Refactor LLM runtime handling and enhance CLI documentation

- Updated `resolve_llm_runtime` to prioritize live configuration over legacy notes, ensuring accurate runtime resolution.
- Enhanced `tunnel_forwards` to prefer current configuration for LLM runtime, improving tunnel setup logic.
- Improved idle-killer logic to handle stale markers and provide clearer warnings in the status output.
- Updated CLI documentation in `cli.md` to reflect changes in command behavior and runtime handling.
- Enhanced tests to validate new runtime resolution logic and ensure proper handling of configuration states.

docs/llm.md

@@ -12,7 +12,7 @@ gpu-rent up --llm llamacpp
 LLM_RUNTIME=ollama
 ```
 
-Без параметров `gpu-rent` / `gpu-rent up` (без `--yes`) спросит про LLM, если в vars ещё `none`.
+Без параметров `gpu-rent` показывает help (не `up`). Double-click лаунчеры: `GPU_RENT_DEFAULT_ARGS=up --yes`. `gpu-rent up` без `--yes` спросит про LLM, если в vars ещё `none`. Полный doctor: `gpu-rent up -v`.
 
 ## Порты (только loopback + туннель)
 
@@ -56,4 +56,24 @@ Community abliterate-модели без гарантий безопасност
 
 ## Idle-killer
 
-Busy также если идёт `ollama pull`, в Ollama есть loaded model, или llama.cpp занимает слоты.
+Busy также если идёт `ollama pull` (маркер младше ~45 мин), в Ollama есть loaded model, или llama.cpp занимает слоты. Зависший маркер `.gpu-rent-ollama-pulling` старше 45 мин idle-killer сбрасывает.
+
+## Supply-chain (install на VM)
+
+Скрипты `install_ollama.sh` / `install_llamacpp.sh` по умолчанию тянут upstream **без pin** (Ollama: `curl|sh`; llama.cpp: GitHub `latest`). Это риск подмены артефакта.
+
+Рекомендуется задать pin через env при bootstrap (или патч vars / future hooks):
+
+```bash
+# Ollama — GitHub release + checksum
+OLLAMA_VERSION=0.6.5
+OLLAMA_SHA256=<sha256 of ollama-linux-amd64.tgz>
+
+# llama.cpp — tag или прямой URL + checksum
+LLAMACPP_TAG=b4690
+# или:
+LLAMACPP_ASSET_URL=https://github.com/ggerganov/llama.cpp/releases/download/...
+LLAMACPP_SHA256=<sha256 of archive>
+```
+
+Без этих переменных в логе будет `WARN` про отсутствие pin/checksum.