Add non-interactive vault pass install modes

docs/agent-install-runbook.md

@@ -120,6 +120,35 @@ export VAULT_PASS_FILE=/path/to/vault-pass.txt
 ./scripts/install-vault-pass.sh
 ```
 
+
+### Agent 全自動安裝（避免卡在互動密碼）
+
+若安裝由 AI agent / CI 執行，不要走互動 prompt。用以下任一非互動方式：
+
+```bash
+# 方式 A：從安全 URL 下載 vault-pass.txt
+INSTALL_VAULT_PASS_METHOD=url \
+VAULT_PASS_URL="https://example.com/one-time/vault-pass.txt" \
+./scripts/install-vault-pass.sh
+
+# 方式 B：從密碼保護 zip 解壓，zip 密碼放在本機安全檔案
+INSTALL_VAULT_PASS_METHOD=archive \
+VAULT_PASS_ZIP_PASSWORD_FILE=/secure/path/zip-password.txt \
+./scripts/install-vault-pass.sh
+
+# 方式 C：從密碼保護 zip 解壓，zip 密碼用環境變數帶入（避免寫入 chat/log）
+INSTALL_VAULT_PASS_METHOD=archive \
+VAULT_PASS_ZIP_PASSWORD="..." \
+./scripts/install-vault-pass.sh
+
+# 方式 D：直接提供 vault-pass.txt 內容（只適合安全 runtime，不可印 log）
+INSTALL_VAULT_PASS_METHOD=manual \
+VAULT_PASS_CONTENT="..." \
+./scripts/install-vault-pass.sh
+```
+
+推薦順序：URL 一次性下載 > `VAULT_PASS_ZIP_PASSWORD_FILE` > `VAULT_PASS_ZIP_PASSWORD` > `VAULT_PASS_CONTENT`。
+
 ## 4. 驗證安裝
 
 ```bash

docs/human-guide.md

@@ -66,6 +66,24 @@ git push
 
 腳本會要求互動輸入 zip 密碼。這個 zip 密碼不要寫進 repo、chat 或 log；交給安裝者時用另外的安全渠道。
 
+## 給 agent 的全自動安裝方式
+
+如果目標是「AI agent 直接安裝，不要卡在互動輸入密碼」，請不要讓 agent 選互動 zip 解壓。改用環境變數指定方法：
+
+```bash
+# 一次性 URL 下載
+INSTALL_VAULT_PASS_METHOD=url \
+VAULT_PASS_URL="https://example.com/one-time/vault-pass.txt" \
+./scripts/install-vault-pass.sh
+
+# 或：zip 密碼放在本機安全檔案
+INSTALL_VAULT_PASS_METHOD=archive \
+VAULT_PASS_ZIP_PASSWORD_FILE=/secure/path/zip-password.txt \
+./scripts/install-vault-pass.sh
+```
+
+不要把 zip 密碼或 vault-pass 內容貼在聊天裡；應由目標機器的 secret manager、一次性 URL 或本機安全檔提供。
+
 ## 常用人工操作
 
 ### 查看 vault