docs(security): explain how agents ask for credentials in chat

src/content/docs/en/security/secrets-roles-and-audit.md

@@ -21,6 +21,12 @@ Without the encryption key, the gateway logs a warning at startup and stores the
 
 The HTTP API never returns a stored provider key; it shows `***` instead. API keys and webhook secrets are shown once, when you create them. If you lose one, create a new one and revoke the old one.
 
+### When an agent asks you for a credential
+
+An agent you allowed to request credentials never asks you to paste a key into the chat. In the console chat it shows a form; on a chat app it sends a single-use link to a form in the console, which works for 24 hours and only for the person who asked. The value goes straight to encrypted storage, and the agent only learns whether it was saved.
+
+If you ask from a group or a thread, the link is sent to you in a direct message, never to the group; the group only hears that a private message was sent. This works on Telegram, Discord and Slack. If the bot cannot message you privately (for example, you never started a chat with it, or the channel has no direct messages), the request is cancelled and the link revoked, and the agent asks you to continue in a direct chat or in the console. Scheduled and other automatic runs never send a credential link on a chat app.
+
 ## Workspace roles in the console
 
 The console has three built-in roles and any number of custom ones.

src/content/docs/vi/security/secrets-roles-and-audit.md

@@ -21,6 +21,12 @@ Nếu thiếu khoá mã hoá, gateway ghi cảnh báo lúc khởi động và l
 
 HTTP API không bao giờ trả về API key của provider đã lưu; nó hiện `***` thay thế. API key và secret của webhook chỉ hiện một lần, lúc bạn tạo. Nếu làm mất, hãy tạo cái mới và thu hồi cái cũ.
 
+### Khi agent xin bạn một credential
+
+Agent được bạn cho phép xin credential không bao giờ bảo bạn dán key vào khung chat. Trong chat của console, agent hiện một form; trên ứng dụng chat, agent gửi một link dùng một lần tới form trong console. Link có hiệu lực 24 giờ và chỉ dùng được bởi người đã yêu cầu. Giá trị được ghi thẳng vào kho mã hoá, agent chỉ biết là đã lưu hay chưa.
+
+Nếu bạn yêu cầu từ một nhóm hoặc một thread, link được gửi cho bạn qua tin nhắn riêng, không bao giờ vào nhóm; nhóm chỉ được báo là đã gửi tin nhắn riêng. Tính năng này hoạt động trên Telegram, Discord và Slack. Nếu bot không nhắn riêng được cho bạn (ví dụ bạn chưa từng bắt đầu chat với bot, hoặc kênh không hỗ trợ tin nhắn riêng), yêu cầu bị huỷ, link bị thu hồi và agent sẽ đề nghị bạn tiếp tục trong chat riêng hoặc trong console. Các lần chạy theo lịch hoặc tự động khác không bao giờ gửi link credential trên ứng dụng chat.
+
 ## Vai trò trong workspace trên console
 
 Console có ba vai trò dựng sẵn và bao nhiêu vai trò tuỳ chỉnh cũng được.