docs: remind to rotate the admin key after first start (seed key lives in plaintext config.yaml)

README.md

@@ -118,6 +118,8 @@ sources:
 
 - `gateway_keys` 配置只是**初始 admin 密钥种子**：首次启动迁移为运行时 admin
   key，之后不再参与鉴权管理。
+- **重要：首次启动后请在 WebUI「密钥」页更换管理员密钥**——初始密钥明文写在
+  `config.yaml` 里，继续使用存在被盗风险；用新密钥登录后删除初始密钥。
 - WebUI **密钥页**可创建/删除密钥；每个密钥可指定 `admin`（管理全部）或
   `user`（仅看自己的 key）角色，并配置**模型范围**（模型 + 源 + token 配额 +
   重置周期）。