初始化 OneCLI

安装并初始化 OneCLI Agent Vault。把现有 .env 凭据迁到 vault。在 /update-nanoclaw 把 OneCLI 作为破坏性变更带进来后、或首次 OneCLI 设置时使用。