@actual-app/cli: CSV serializer não neutraliza injeção de fórmula

O serializador CSV em `packages/cli/src/output.ts` não neutraliza prefixos de injeção de fórmula (`=`, `+`, `-`, `@`, `\t`, `\r`), permitindo execução de fórmulas ao abrir o CSV no Excel, LibreOffice Calc ou Google Sheets.

Usuários do `@actual-app/cli` que exportam dados para CSV com `--format csv` e abrem o arquivo em um programa de planilha.

Aplique a correção recomendada: neutralize os prefixos de gatilho de fórmula em `escapeCsv` adicionando uma aspa simples no início de valores que começam com `=`, `+`, `-`, `@`, `\t` ou `\r`.