Потому что сравниваются манифесты из release secret (или live-объекты) с новым рендером, а Kubernetes к этому моменту уже мутировал ресурсы: проставил defaults, webhooks дописали своё. Плюс недетерминизм самого рендера. В итоге diff показывает «изменения», которые ничего не изменят.