Create a script (e.g., in hack/ or as a Makefile target) that bumps the build and cli submodule SHAs. The script should: cd into each submodule, git fetch origin, git checkout <target-SHA>, then git add build/ cli/ in the parent repo. It should generate a changelog snippet showing the commit range (old SHA to new SHA). Must never use git submodule update --remote as that's the old auto-follow behavior.