docs(security): 台账记两条口径（已合并分支默认保留 / GPU 真链路三格维持观察）

[ReSerendipity]

晨会裁定的两条口径落进 docs/SECURITY_CODEQL_TRIAGE.md §8.7，纯文档：

• 已合并分支不删：fix/codeql-path-injection-unified（fix(security): 路径包含性与对外错误面各收敛到一处（CodeQL 47 条真修） #155 → d875c9c）与 docs/codeql-rescan-155（docs(security): #155 重扫实测台账 + HTTP 层复验（open 归零） #156 → 5c578a5）留在 origin。理由是 delete_branch_on_merge=false 是仓库级显式设置 —— 删分支等于替维护者改掉这条策略。以后合并后默认保留，要删单独取一句话。
• GPU 真链路三格维持观察：resolve_persona_ref 与 voxcpm2 设计/剧本工坊的音色解析仍空着；不为补测试自行下载权重或加载引擎（3–4GB 下载与 GPU 加载都在红线上），只能用户侧真机收口。
• 另记 A1–A16 的跟踪载体待定：§4 条件 5 写明 pip-audit 没有 expiration 机制、只能靠文档 + 人守，而 Dependabot 只为 A1–A8 开单。汇总 issue 草稿已交，批复前保持"只有文档、没有 issue"。

无代码改动；docs/SECURITY_CODEQL_TRIAGE.md 单文件。

Refs: #155 #156