docs(upstream): 将 UPSTREAM.md 来源记录统一改为中文维护

把 12 份 UPSTREAM.md 来源记录全部翻译为中文，并把中文定为这份仓库自有
维护文档的强制语言。

- 翻译 hippo-memory-pi、pi-ask-user、pi-chrome、pi-compaction、
  pi-extension-codex-fast-mode、pi-minimal-footer、pi-notify、
  pi-permission-system/docs/auto-review、pi-ssh、pi-subagents 与
  pi-tool-search 的来源记录。
- 在 AGENTS.md 增加纪律：每个自维护扩展目录必须保留中文 UPSTREAM.md，
  内容涵盖官方仓库、tag/commit、导入版本、导入日期、许可证归属、本地
  改动清单与同步上游时的约束。
- 明确边界：UPSTREAM.md 属于仓库自有的维护文档，因此使用中文；上游自带
  的源码、测试、文档、README、CHANGELOG 与 LICENSE 一律保持原文，不翻
  译、不改写，避免同步上游时产生无意义 diff 并破坏许可证原文完整性。
- 所有 40 位 commit、tag/版本号、仓库 URL 与许可证路径原样保留，仅翻译
  叙述性文字。

验证：12 份文件均无残留英文正文；逐份复核了 commit、版本、URL 与
LICENSES/ 路径未发生改变。

pi-subagents/UPSTREAM.md

@@ -1,16 +1,16 @@
-# Upstream provenance
+# 上游来源
 
-- Upstream: <https://github.com/tintinweb/pi-subagents>
-- Imported tag: `v0.18.0`
-- Imported commit: `3f9d35cd078d18a141eb5a6d8f4fc5010d756280`
-- Snapshot date: 2026-08-20
-- Upstream package version: `0.18.0`
-- License: MIT
+- 上游：<https://github.com/tintinweb/pi-subagents>
+- 导入 tag：`v0.18.0`
+- 导入 commit：`3f9d35cd078d18a141eb5a6d8f4fc5010d756280`
+- 快照日期：2026-08-20
+- 上游包版本：`0.18.0`
+- 许可证：MIT
 
-## Local maintenance
+## 本地维护
 
-This directory is maintained directly by the `my-pi` repository. It is not a submodule and must not contain a nested `.git`, upstream `.pi` state, `node_modules`, coverage output, or generated build output.
+本目录由 `my-pi` 仓库直接维护。它不是 submodule，且不得包含嵌套 `.git`、上游 `.pi` 状态、`node_modules`、覆盖率输出或生成的构建产物。
 
-The initial import preserves the upstream TypeScript source, tests, examples, documentation, media, package metadata, and license. The upstream `.github/` automation and local `.pi/` state were intentionally not imported.
+初始导入保留了上游 TypeScript 源码、测试、示例、文档、媒体、包元数据和许可证。上游 `.github/` 自动化与本地 `.pi/` 状态有意未导入。
 
-The source is included in the root package and installed through the root `file:./pi-subagents` dependency, while the host-owned `extensions/subagents.ts` wrapper is default-loaded from root `pi.extensions`. The local snapshot adds the documented permission child lifecycle bridge, root-authority forwarding identity, active-agent identity, and host-owned exact-path mandatory extension policy. The bundle wrapper protects `extensions/permission-system.ts` from Agent-controlled extension filtering and fails closed if that entry is unavailable. Root orchestration tools are assigned to Tool Search's checked-in `subagents` group, and Pi host peers are marked optional so the bundle does not install a second Pi runtime.
+源码包含在根包中，并通过根 `file:./pi-subagents` 依赖安装，而宿主自有的 `extensions/subagents.ts` wrapper 当前不由根 `pi.extensions` 默认加载。本地快照新增了文档化的权限子会话生命周期桥接、根 authority 转发身份、活跃 Agent 身份，以及宿主自有的精确路径 mandatory extension 策略。组合包 wrapper 保护 `extensions/permission-system.ts` 免受 Agent 控制的扩展过滤，并在该入口不可用时 fail closed。根编排工具归入 Tool Search 已提交的 `subagents` 分组，Pi host peer 标记为 optional，以免组合包安装第二套 Pi runtime。