@chrono-meta/fh-gate 2.0.0 → 2.0.1

package/scripts/selfcheck.sh

@@ -276,6 +276,82 @@ else
   fail=1
 fi
 
+# gate-anchor harness — the SAME defect the block above documents, still open six days later.
+# MEASURED 2026-08-16 (weekly_audit_2026-08-16.md 🟥-2): scripts/gate_anchor_check.sh has shipped in
+# package.json files[] since 2026-08-10 (b18a2bf, PR #323) with ZERO callers — not selfcheck, not
+# prepublishOnly, not .git-hooks/, not .github/, not npm scripts. Its only other mention is a comment
+# line in a .cap adapter, which is not a call. So the one instrument this repo owns for asking
+# "is the gate green for the RIGHT REASON?" was itself never green, never red, never run.
+#
+# 🟥 The detector did not see it: lane_runner_check.sh reports 46/46 wired · self-test 13/13, because
+# this file is neither a lane suite nor a --self-test subject — it is OUTSIDE the detector's field of
+# view, exactly like directional_diff_gate on 2026-08-15, and it survived that repair.
+#
+# ⚠️ Do NOT use "documented in a .md" as the wiring test: publish_freshness_check.sh has no reference
+# in any TRACKED doc (knowledge/, docs/) and IS wired (prepublishOnly), and it blocked a publish on
+# 2026-08-16. (An earlier draft of this line said "zero .md references" flat; that is false — three
+# gitignored tracks/*.md files mention it. The thesis survives, the number did not, and Axis 3 caught
+# it.) Call sites are the evidence; documentation is not. The first scan for this finding also missed
+# templates/.git-hooks/* because those files carry no extension — scope corrected twice.
+#
+# Exit contract (from the script header): 0 = every known-pair held · 1 = a pair COLLAPSED (real
+# defect) · 10 = harness error OR hooks-not-installed.
+#
+# 🟥 10 IS TWO DIFFERENT PROPOSITIONS AND THIS BLOCK MUST SPLIT THEM. gate_anchor_check.sh reaches
+# `exit 10` from FOUR places, and only ONE of them is a legitimate consumer state:
+#     :43  cwd/script repo mismatch      → harness defect
+#     :99  mktemp failed                 → harness defect
+#     :133 _fixture_fail (git init/seed/remote/origin-main)  → harness defect
+#     :339 NOT_INSTALLED > 0             → legitimate: a package-mode consumer has no hooks
+# Folding all four into a quiet SKIP is fail-open: a fixture collapse in THIS repo (a git default
+# -branch policy change, a restricted TMPDIR, forced commit.gpgsign) would render byte-identically to
+# a consumer who simply has no hooks. That is the "unmeasured → clean" move this file legislates
+# against — and worse, the --self-test loop 200 lines below already routes rc=10 to `fail=1` saying
+# "it could not measure, so its verdicts prove nothing". Same file, same code, opposite verdict.
+# (Adversarial review 2026-08-16 found this; the contradiction was reproduced by reading :524.)
+#
+# The discriminator is mechanical, not a guess: the three harness-defect paths use plain `echo
+# "❌ harness-error: …"`, while the NOT-INSTALLED path goes through `say()` which `--quiet` suppresses.
+# Verified 2026-08-16: running the script from an unrelated git repo with --quiet returns rc=10 AND
+# prints `harness-error` to the captured stream. So harness-error-in-output → FAIL; rc=10 without it
+# → genuine NOT-INSTALLED → SKIP, labelled UNMEASURED and loud.
+#
+# ⚠️ NAMED RESIDUAL, not closed here: in CI this lane is structurally UNMEASURED. No workflow sets
+# core.hooksPath (grep: 0 hits in .github/workflows/), so validate.yml's selfcheck step always lands
+# on the NOT-INSTALLED arm — and `validate` is this repo's only required status check. A permanently
+# SKIPPED lane in the one required check is worse than a permanently red one, because SKIP does not
+# catch the eye. Fixing it is one line in validate.yml (set core.hooksPath before the selfcheck step)
+# and is deliberately NOT bundled here — see the handoff. Until then the only real measurement arm is
+# the author's machine, which is the exact shape portability_lint.sh was written to condemn.
+if [ ! -f scripts/gate_anchor_check.sh ]; then
+  _absent_subject_verdict "gate-anchor harness" "scripts/gate_anchor_check.sh" || fail=1
+else
+  # Capture the status BEFORE any display filter — $? after a pipe is the filter's, and a failed
+  # check would read as 0 (the repo's own pipe-verdict guard fired on this exact shape twice while
+  # this block was being written).
+  _ga_out="$(bash scripts/gate_anchor_check.sh --quiet 2>&1)"; _ga_rc=$?
+  case "$_ga_rc" in
+    0)  echo "PASS  gate-anchor harness (every known-pair held — gate is green for the right reason)" ;;
+    1)  echo "FAIL  gate-anchor harness: a known-pair COLLAPSED — a gate is green for the wrong reason"
+        [ -n "$_ga_out" ] && printf '%s\n' "$_ga_out" | sed 's/^/      /'
+        fail=1 ;;
+    10) if printf '%s' "$_ga_out" | grep -q 'harness-error'; then
+          echo "FAIL  gate-anchor harness: the anchor could not MEASURE (harness-error, rc=10) — a"
+          echo "      collapsed fixture is a defect in the instrument, not a consumer's missing hook."
+          printf '%s\n' "$_ga_out" | sed 's/^/      /'
+          fail=1
+        else
+          echo "SKIP  gate-anchor harness: UNMEASURED (hooks not installed, rc=10)"
+          echo "      Absence is not a pass — this run did NOT establish that the gates are sound."
+          [ -n "$_ga_out" ] && printf '%s\n' "$_ga_out" | sed 's/^/      /'
+        fi ;;
+    *)  echo "FAIL  gate-anchor harness: undeclared exit code $_ga_rc — the contract is 0/1/10, so an"
+        echo "      unknown status is a harness defect, not a pass."
+        [ -n "$_ga_out" ] && printf '%s\n' "$_ga_out" | sed 's/^/      /'
+        fail=1 ;;
+  esac
+fi
+
 # count_check's README format override is a mandatory-pass gate whose pattern is caller-supplied.
 # Same subject-present/anchor-gone shape as the block above: if the guard ships without its known
 # pair, a template that defeats the gate (a rendered newline turns the pattern into an OR search)
@@ -320,6 +396,22 @@ fi
 # how a fresh CI checkout gets approximated, so the check was absent from exactly the tree used
 # to reason about CI. scripts/test_package_coverage_lanes.sh pins the predicate across all four
 # tree shapes plus a known pair.
+# ── FH 내장 어댑터 레인 ────────────────────────────────────────────────────
+# 어댑터(`.claude/capabilities/adapters/*.cap` + `scripts/adapters/*.sh`)는 남의 하네스 능력을
+# FH 안에서 호출하는 **기본 경로**다(운영자 결정 2026-08-16 — 남의 레포에 선언을 심지 않는다).
+# 🟥 배선이 없으면 이 레인은 «만들고 배선 안 함» 이 된다 — 같은 날 `cluster_capability_scan.sh`
+# 가 비재귀 글롭이라 어댑터를 통째로 못 보던 것을 이 세션이 실측으로 잡았고, 그 회귀를 막는
+# 레인(L16/L16b)이 그 파일 self-test 안에 있다. 어댑터 자체의 레인은 여기서 돈다.
+if [ ! -f scripts/adapters/peer_resolve.sh ]; then
+  _absent_subject_verdict "test_adapter_lanes.sh" "scripts/adapters/peer_resolve.sh" || fail=1
+elif [ -f scripts/test_adapter_lanes.sh ]; then
+  if ! bash scripts/test_adapter_lanes.sh; then
+    fail=1
+  fi
+else
+  _absent_subject_verdict "test_adapter_lanes.sh" "scripts/test_adapter_lanes.sh" || fail=1
+fi
+
 if [ ! -f scripts/package_coverage_check.sh ]; then
   _absent_subject_verdict "test_package_coverage_lanes.sh" "scripts/package_coverage_check.sh" || fail=1
 elif [ -f scripts/test_package_coverage_lanes.sh ]; then
@@ -489,7 +581,16 @@ done
 # and capability_registry_check does not: its terminal line is a genuine VERDICT
 # ("publish_freshness 캘리브레이션 통과/실패"), not a Korean test-case title, so a future rename of
 # any single lane cannot flip a real PASS into a false "dispatcher missing?" here.
-for _subj in compaction_probe judgment_circuit_lint novelty_claim_check chamber_witness digest_landing_check publish_freshness_check; do
+# portability_lint joined 2026-08-16 (weekly_audit 🟧-3). Same qualification as publish_freshness_check:
+# its terminal line is a genuine verdict ("portability-lint 캘리브레이션 통과/실패"), emitted once in
+# the summary position, not a Korean test-case title — so renaming any single lane cannot flip a real
+# PASS into a false "dispatcher missing?" here. It earns the slot for a second reason: its own
+# self-test caught THREE defects in it before it ever shipped (a `|` field separator colliding with
+# regex alternation, a line-window too narrow to see the next-line guard, and a rule that flagged its
+# own prescription), and a hand-check then removed two false-positive classes that had inflated its
+# first repo-wide count by 40% (50 → 30). An instrument that has never been able to fail is not
+# calibrated; this one has failed, been fixed, and still discriminates (10 pass / 0 fail).
+for _subj in compaction_probe judgment_circuit_lint novelty_claim_check chamber_witness digest_landing_check publish_freshness_check portability_lint; do
   if [ ! -f "scripts/$_subj.sh" ]; then
     _absent_subject_verdict "$_subj --self-test" "scripts/$_subj.sh" || fail=1
   else
@@ -528,6 +629,24 @@ for _subj in compaction_probe judgment_circuit_lint novelty_claim_check chamber_
         echo "      so its verdicts prove nothing about $_subj. Not a lane failure, not a pass either."
         fail=1; continue ;;
     esac
+    # 🟥 portability_lint 만 **전체 줄 + 비영 카운트**를 요구한다 (적대검증 2026-08-16).
+    # 아래 substring 게이트는 «`캘리브레이션` 이라는 글자가 출력 어딘가에 있나» 만 본다. 그래서
+    # 그 스크립트의 `RULES` 를 통째로 비우고 `_ck` 호출을 전부 지워도
+    # `portability-lint 캘리브레이션 통과: 0 pass / 0 fail` 이 나오고 rc=0 → **PASS** 다.
+    # 이건 이 파일이 directional_diff_gate 에 대해 이미 명시적으로 방어한 결함
+    # (*"a suite with nothing left in it certifies itself"*)이고, 새 subject 만 약한 게이트에
+    # 들어갔다. 저자의 되돌림 프로브(«디스패처 제거 → FAIL»)는 **디스패처 존재**만 입증하고
+    # **레인 생존**은 입증하지 않는다 — 더 강한 뮤턴트(레인 삭제)는 안 돌았고, 돌았으면 초록이었다.
+    if [ "$_subj" = portability_lint ]; then
+      case "$_st_out" in
+        *"portability-lint 캘리브레이션 통과: "[1-9]*" pass / 0 fail"*) : ;;
+        *) echo "FAIL  $_subj: --self-test 가 «비영 pass + 0 fail» 종단 verdict 를 내지 않았다"
+           echo "      (레인이 전멸해도 substring 게이트는 통과한다 — 그래서 여기만 전체 줄을 본다)"
+           printf '%s\n' "$_st_out" | tail -3 | sed 's/^/      /'
+           fail=1; _st_rc=0 ;;
+      esac
+      continue
+    fi
     case "$_st_out" in
       *캘리브레이션*) : ;;
       *) echo "FAIL  $_subj: --self-test produced no calibration verdict (dispatcher missing?)"
@@ -557,6 +676,24 @@ else
   fail=1
 fi
 
+# cluster_capability_scan — wired 2026-08-16 (정체성 ①-(a) cluster-wizard).
+# 종단 판정줄이 `… 캘리브레이션 통과/실패: N PASS / M FAIL` 이라 위 `_subj` 루프의
+# 캘리브레이션 게이트를 **진짜 판정줄로** 만족한다 — 테스트 케이스 제목이 아니다.
+# 그래서 이 subject 는 그 루프에 넣어도 안전하지만, 루프는 `scripts/<name>.sh` 존재를
+# 전제로 SKIP/FAIL 을 가르므로 여기 직접 디스패치로 둔다(다른 두 capability 검사기와 같은 형태).
+# 🟥 exit code 만 보지 않는다 — 레인이 전멸해도 0 이 나온다.
+if [ ! -f scripts/cluster_capability_scan.sh ]; then
+  echo "FAIL  cluster_capability_scan.sh: missing — it ships via package.json files[], so absence is deletion, not package mode"
+  fail=1
+elif _out=$(bash scripts/cluster_capability_scan.sh --self-test < /dev/null 2>&1) \
+     && printf '%s\n' "$_out" | grep -qE '캘리브레이션 통과: [1-9][0-9]* PASS / 0 FAIL'; then
+  echo "PASS  cluster_capability_scan.sh --self-test ($(printf '%s\n' "$_out" | grep -oE '[0-9]+ PASS / [0-9]+ FAIL' | tail -1))"
+else
+  echo "FAIL  cluster_capability_scan.sh: --self-test failed or produced no terminal verdict line"
+  _show_failure "$_out"
+  fail=1
+fi
+
 # capability_effect_probe — wired 2026-08-16. `lane_runner_check.sh` had been flagging it as an
 # embedded --self-test subject with ZERO dispatchers, and that warning was load-bearing: the same
 # day, two SECURITY regression anchors were added to this suite (L8 args injection · L9 the git

package/scripts/test_adapter_lanes.sh

@@ -0,0 +1,296 @@
+#!/usr/bin/env bash
+# test_adapter_lanes.sh — `scripts/adapters/*` (크로스하네스 **어댑터**)의 회귀 레인.
+#
+# ─────────────────────────────────────────────────────────────────────────────
+# 무엇을 고정하나
+# ─────────────────────────────────────────────────────────────────────────────
+# 등록 바(`capability_registry_check.sh`)는 **선언된 캘리브레이션 arm 두 개만** 돌리고,
+# 자기 출력에 «나머지 enum 값은 관측하지 않았다» 고 적는다. 어댑터에서 그 «나머지» 는
+# 하필 가장 중요한 값이다 — **`PEER_ABSENT`**. 「그 하네스를 이 머신에 안 깔았다」가
+# `CLEAN` 으로 접히면 미측정이 통과로 렌더되고, `HARNESS_ERROR` 로 접히면 멀쩡한 이웃이
+# 고장으로 렌더된다. 이 레인 묶음이 그 값과 peer 해석 규칙을 고정한다.
+#
+# 레인 클래스 (되돌림 프로브가 이 태그로 «어느 레인이 빨개져야 하는가» 를 사전등록한다)
+#   resolve-absent   peer 가 안 보일 때 **전용 값**이 나오는가
+#   resolve-alias    별칭 규칙(`<n>-dev` · `_`→`-`)이 실제로 도는가
+#   resolve-guard    모호/부분일치를 **고르지 않는가**
+#   control          peer 가 보이면 **실제 판정**이 나오는가
+#                    (「늘 PEER_ABSENT 를 찍는 계기」와 구분하는 자리)
+#   enum             M4 가 관측하지 않는 나머지 enum 값들
+#
+# 사용법
+#   bash scripts/test_adapter_lanes.sh                 # 레인 전부
+#   bash scripts/test_adapter_lanes.sh --revert-probe  # 레인 + 되돌림 프로브 2종
+# exit: 0 = 전부 기대대로 · 1 = 회귀 · 10 = 하네스 오류(전제 파손 — 판정 아님)
+
+set -uo pipefail
+
+REPO_ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
+# 되돌림 프로브가 **중화된 사본**을 가리키게 하려고 파라미터화한다. 기본값은 실물이다.
+ADAPTER_DIR="${FH_ADAPTER_DIR:-$REPO_ROOT/scripts/adapters}"
+
+T="$(mktemp -d)" || { echo "❌ HARNESS-ERROR — mktemp 실패"; exit 10; }
+trap 'rm -rf "$T"' EXIT
+
+FAIL=0; N=0
+RED_LANES=""     # 이번 실행에서 빨개진 레인 ID (되돌림 프로브가 읽는다)
+
+# ── peer 가 이 머신에 **있어야만** 의미가 있는 레인 ──────────────────────────
+#   🟥 실측(2026-08-16): 로컬 23/23 초록인데 **CI 는 9레인 적색**이었다(G2 G3 G6 G9 M2 M3
+#   Q2 Q3 Q6). 이 레인들이 루트 오버라이드 없이 어댑터를 불러 `$HOME/projects` 를 보는데,
+#   CI 체크아웃엔 peer 레포가 없어 전부 `PEER_ABSENT(20)` 이 나왔다. 즉 레인의 앵커가
+#   **운영자 머신의 레이아웃**에 걸려 있었다 — 같은 날 `L13c` 가 gitignored 데이터에 앵커를
+#   걸어 CI 만 빨갛던 것과 **같은 클래스**다([[feedback_ci_measures_state_not_transition]]).
+#
+#   🟥 그리고 이 스킵은 **조용하면 안 된다.** peer 가 없는 환경에서 컨트롤이 전부 빠지면
+#   남는 것은 PEER_ABSENT 레인뿐이고, 그건 「늘 PEER_ABSENT 를 내는 계기」와 **구분되지 않는다**
+#   — 컨트롤이 막으려던 바로 그 상태다. 그래서 스킵 수를 세어 **종결 줄에 반드시 찍는다.**
+SKIPPED=0
+_lane_peer() {  # $1=peer_root $2=id $3=class $4=설명 $5=expected $6=actual
+  if [ -n "$1" ]; then
+    _lane "$2" "$3" "$4" "$5" "$6"
+  else
+    SKIPPED=$((SKIPPED + 1))
+    printf '  ⏭  %-6s [%-14s] %s — peer 부재로 SKIP (**통과 아님**)\n' "$2" "$3" "$4"
+  fi
+}
+
+_lane() {   # $1=id $2=class $3=설명 $4=expected_rc $5=actual_rc
+  N=$((N + 1))
+  if [ "$4" = "$5" ]; then
+    printf '  ✅ %-6s [%-14s] %s (rc=%s)\n' "$1" "$2" "$3" "$5"
+  else
+    printf '  ❌ %-6s [%-14s] %s — expect rc=%s, got rc=%s\n' "$1" "$2" "$3" "$4" "$5"
+    FAIL=1; RED_LANES="$RED_LANES $1"
+  fi
+}
+
+# 계기 전제 — 어댑터 3종이 **실제로 거기 있는지** 먼저 본다. 없으면 이 레인 묶음은
+# «전부 초록» 이 아니라 하네스 오류다(빈 대상에 대고 초록을 내는 것이 여기서 막으려는 형태).
+for a in gstack_content_safety mate_agent_boundary qasp_new_code_anchor peer_resolve; do
+  [ -r "$ADAPTER_DIR/$a.sh" ] || { echo "❌ HARNESS-ERROR — $ADAPTER_DIR/$a.sh 부재. 빈 대상에 초록을 내지 않는다"; exit 10; }
+done
+
+G="$ADAPTER_DIR/gstack_content_safety.sh"
+M="$ADAPTER_DIR/mate_agent_boundary.sh"
+Q="$ADAPTER_DIR/qasp_new_code_anchor.sh"
+
+# 「peer 가 안 보이는 세계」 = 잘 형성된 루트 목록인데 그 안에 이 peer 가 없는 것.
+# (빈 **문자열**이 아니다 — 그건 「어디를 볼지 자체가 없다」는 다른 명제이고 전제 파손이다.)
+EMPTY_WORLD="$T/empty_world"; mkdir -p "$EMPTY_WORLD"
+
+_rc() { "$@" >/dev/null 2>&1; printf '%s' "$?"; }   # 판정은 파이프를 통과시키지 않는다
+
+# 실물 peer 루트 — 있으면 alias/control 레인을 돌리고, 없으면 그 레인은 SKIP 으로 **말한다**.
+PEER_HOME="${FH_PROJECTS_HOME:-$HOME/projects}"
+_peer_root() {  # $1=이름 → 실물 루트 or 빈 문자열 (별칭 순서는 어댑터와 같다)
+  local n="$1" c
+  for c in "$n" "$n-dev" "$(printf '%s' "$n" | tr '_' '-')"; do
+    [ -d "$PEER_HOME/$c" ] && { printf '%s' "$PEER_HOME/$c"; return; }
+  done
+  printf ''
+}
+GS_ROOT="$(_peer_root gstack)"; MT_ROOT="$(_peer_root mate)"; QS_ROOT="$(_peer_root qasp)"
+
+echo "== 어댑터 레인 (대상: $ADAPTER_DIR) =="
+echo
+
+# ═══════════════════════════════════════════════════════════════════════════
+# ① gstack-content-safety
+# ═══════════════════════════════════════════════════════════════════════════
+echo "── gstack-content-safety (enum 0=CLEAN 1=BLOCK_HIGH 2=REVIEW_MEDIUM 3=NO_TARGET 10=HARNESS_ERROR 20=PEER_ABSENT)"
+_lane G1 resolve-absent "peer 불가시 → 전용값 PEER_ABSENT(CLEAN 도 HARNESS_ERROR 도 아니다)" 20 \
+  "$(FH_CLUSTER_ROOTS="$EMPTY_WORLD" _rc bash "$G" --known-positive)"
+_lane_peer "$GS_ROOT" G2 control "peer 가시 → 실제 판정 BLOCK_HIGH («늘 PEER_ABSENT» 와 구분)" 1 \
+  "$(_rc bash "$G" --known-positive)"
+_lane_peer "$GS_ROOT" G3 control "peer 가시 → 음성 arm 은 CLEAN (계기가 «가른다» 는 증거)" 0 \
+  "$(_rc bash "$G" --known-negative)"
+if [ -n "$GS_ROOT" ]; then
+  _lane G4 resolve-alias "명시 루트 목록(FH_CLUSTER_ROOTS)으로 해석된다" 0 \
+    "$(FH_CLUSTER_ROOTS="$GS_ROOT" _rc bash "$G" --known-negative)"
+else
+  echo "  ⏭  G4    [resolve-alias ] gstack 실물 루트 없음 — SKIP (통과 아님)"
+fi
+# 부분일치로 남의 레포를 집지 않는다. basename 이 **정확히** 별칭 후보여야 한다.
+mkdir -p "$T/world_prefix/gstackx"
+_lane G5 resolve-guard "basename 부분일치는 peer 가 아니다(gstackx ≠ gstack)" 20 \
+  "$(FH_CLUSTER_ROOTS="$T/world_prefix/gstackx" _rc bash "$G" --known-positive)"
+mkdir -p "$T/empty_target"
+_lane_peer "$GS_ROOT" G6 enum "빈 디렉토리 → NO_TARGET(3). CLEAN 이 아니다 — 아무것도 안 쟀다" 3 \
+  "$(_rc bash "$G" --target "$T/empty_target")"
+_lane_peer "$GS_ROOT" G7 enum "없는 대상 → HARNESS_ERROR(10). 부재 대상은 빈 대상이 아니다" 10 \
+  "$(_rc bash "$G" --target "$T/does_not_exist")"
+_lane_peer "$GS_ROOT" G8 enum "인자 없음 → HARNESS_ERROR(10). 안 돈 실행을 판정으로 렌더하지 않는다" 10 \
+  "$(_rc bash "$G")"
+# MEDIUM 만 — 자동 차단이 아니라 사람 판단. 리터럴은 이 소스가 자기 스캐너에 물리지 않게 쪼갠다.
+printf 'payroll note\ncontact ssn %s-%s-%s for the record\n' '123' '45' '6789' > "$T/medium_only.txt"
+_lane_peer "$GS_ROOT" G9 enum "MEDIUM 만 → REVIEW_MEDIUM(2). CLEAN 과도 BLOCK 과도 다른 값이다" 2 \
+  "$(_rc bash "$G" --target "$T/medium_only.txt")"
+echo
+
+# ═══════════════════════════════════════════════════════════════════════════
+# ② mate-agent-boundary
+# ═══════════════════════════════════════════════════════════════════════════
+echo "── mate-agent-boundary (enum 0=PASS 1=FAIL 10=HARNESS_ERROR 20=PEER_ABSENT)"
+_lane M1 resolve-absent "peer 불가시 → 전용값 PEER_ABSENT(PASS 로도 HARNESS_ERROR 로도 안 접힌다)" 20 \
+  "$(FH_CLUSTER_ROOTS="$EMPTY_WORLD" _rc bash "$M" --known-positive)"
+_lane_peer "$MT_ROOT" M2 control "peer 가시 → 실제 판정 PASS" 0 "$(_rc bash "$M" --known-positive)"
+_lane_peer "$MT_ROOT" M3 control "peer 가시 → 음성 arm 은 FAIL (판별력의 증거)" 1 "$(_rc bash "$M" --known-negative)"
+if [ -n "$MT_ROOT" ]; then
+  # 🟥 별칭 레인의 핵심: 이름은 `mate` 인데 실물 디렉토리는 `mate-dev` 다.
+  #    별칭 후보에서 `<n>-dev` 가 빠지면 이 레인이 즉시 PEER_ABSENT 로 빨개진다.
+  _lane M4 resolve-alias "이름 mate → 실물 $(basename "$MT_ROOT") 로 별칭 해석된다" 0 \
+    "$(FH_CLUSTER_ROOTS="$MT_ROOT" _rc bash "$M" --known-positive)"
+else
+  echo "  ⏭  M4    [resolve-alias ] mate 실물 루트 없음 — SKIP (통과 아님)"
+fi
+_lane_peer "$MT_ROOT" M5 enum "없는 대상 → HARNESS_ERROR(10). peer 헤더가 «위반 0 이 아니다» 라고 못 박은 값" 10 \
+  "$(_rc bash "$M" --target "$T/does_not_exist.md")"
+_lane_peer "$MT_ROOT" M6 enum "알 수 없는 모드 → HARNESS_ERROR(10)" 10 "$(_rc bash "$M" --bogus-mode)"
+echo
+
+# ═══════════════════════════════════════════════════════════════════════════
+# ③ qasp-new-code-anchor
+# ═══════════════════════════════════════════════════════════════════════════
+echo "── qasp-new-code-anchor (enum 0=PASS 1=VIOLATION 2=ARGS 3=HARNESS_ERROR 4=OUT_OF_SCOPE 20=PEER_ABSENT)"
+_lane Q1 resolve-absent "peer 불가시 → 전용값 PEER_ABSENT(PASS 로도 HARNESS_ERROR 로도 안 접힌다)" 20 \
+  "$(FH_CLUSTER_ROOTS="$EMPTY_WORLD" _rc bash "$Q" --known-positive)"
+_lane_peer "$QS_ROOT" Q2 control "peer 가시 → 실제 판정 VIOLATION" 1 "$(_rc bash "$Q" --known-positive)"
+_lane_peer "$QS_ROOT" Q3 control "peer 가시 → 음성 arm 은 PASS (판별력의 증거)" 0 "$(_rc bash "$Q" --known-negative)"
+if [ -n "$QS_ROOT" ]; then
+  _lane Q4 resolve-alias "이름 qasp → 실물 $(basename "$QS_ROOT") 로 별칭 해석된다" 0 \
+    "$(FH_CLUSTER_ROOTS="$QS_ROOT" _rc bash "$Q" --known-negative)"
+  # 🟥 모호 가드 — 한 이름에 레포 둘. **고르지 않는다.** 조용히 하나를 고르면 «어느
+  #    하네스를 쟀는지» 아무도 모르게 된다. 판정 불가는 PASS 가 아니므로 HARNESS_ERROR.
+  mkdir -p "$T/ambig/qasp" "$T/ambig/qasp-dev"
+  _lane Q5 resolve-guard "한 이름에 레포 둘 → 고르지 않고 HARNESS_ERROR(3)" 3 \
+    "$(FH_CLUSTER_ROOTS="$T/ambig/qasp:$T/ambig/qasp-dev" _rc bash "$Q" --known-positive)"
+else
+  echo "  ⏭  Q4/Q5 [resolve-*    ] qasp 실물 루트 없음 — SKIP (통과 아님)"
+fi
+_lane_peer "$QS_ROOT" Q6 enum "--range 에 base 없음 → ARGS(2). 판정이 아니다" 2 "$(_rc bash "$Q" --range)"
+
+# ── 합성 peer — peer 히스토리를 만지지 않고 나머지 enum 을 덮는다 ────────────
+# 🟥 왜 합성 peer 인가: peer 는 `residency: company` 다. 실물 히스토리를 레인으로 쓰면
+#    레인 출력에 조직 경로가 실린다. 그리고 실물 히스토리는 남의 커밋에 따라 조용히
+#    다른 것을 재게 된다(감사 대상은 얼려야 한다). 합성 peer 는 **peer 의 실제 진입점
+#    스크립트를 복사해** 쓰므로, 재는 것은 여전히 «어댑터가 peer 의 exit 을 옳게
+#    재매핑하는가» 다 — 어댑터의 매핑이지 peer 의 히스토리가 아니다.
+if [ -n "$QS_ROOT" ] && [ -r "$QS_ROOT/scripts/new_code_anchor_scan.sh" ]; then
+  SYN="$T/synworld/qasp-dev"; mkdir -p "$SYN/scripts" "$SYN/src" "$SYN/tests"
+  cp "$QS_ROOT/scripts/new_code_anchor_scan.sh" "$SYN/scripts/" || { echo "❌ HARNESS-ERROR — peer 진입점 복사 실패"; exit 10; }
+  GIT=(git -c user.email=lane@localhost -c user.name=lane -c commit.gpgsign=false)
+  ( cd "$SYN" && "${GIT[@]}" init -q . && printf 'base\n' > README.md \
+      && "${GIT[@]}" add -A && "${GIT[@]}" commit -qm base ) >/dev/null 2>&1 \
+    || { echo "❌ HARNESS-ERROR — 합성 peer 레포 생성 실패"; exit 10; }
+  SYN_BASE="$(cd "$SYN" && git rev-parse HEAD)"
+  # 범위 밖 언어의 신규 실행 코드만 넣는다 → 「검사되지 않았다」 ≠ 「깨끗하다」
+  ( cd "$SYN" && printf 'export const f = (a) => a + 1;\n' > src/newthing.ts \
+      && "${GIT[@]}" add -A && "${GIT[@]}" commit -qm oos ) >/dev/null 2>&1
+  _lane Q7 enum "범위 밖 언어의 신규 실행 코드 → OUT_OF_SCOPE(4). PASS 로 접히지 않는다" 4 \
+    "$(FH_CLUSTER_ROOTS="$SYN" _rc bash "$Q" --range "$SYN_BASE" HEAD)"
+  _lane Q8 enum "해석 불가 ref → HARNESS_ERROR(3). 판정이 아니다" 3 \
+    "$(FH_CLUSTER_ROOTS="$SYN" _rc bash "$Q" --range no-such-ref-xyz HEAD)"
+else
+  echo "  ⏭  Q7/Q8 [enum         ] qasp 진입점 도달 불가 — SKIP (통과 아님)"
+fi
+echo
+
+# ═══════════════════════════════════════════════════════════════════════════
+# 되돌림 프로브 — 앵커가 장식이 아님을 «되돌려 보고» 잰다 (적용확인 → 실행 → 복원)
+# ═══════════════════════════════════════════════════════════════════════════
+# 레인이 초록인 것과 레인에 **판별력이 있는 것**은 다른 명제다. 여기서는 peer 해석부를
+# 두 방향으로 중화하고, **사전등록한 레인 집합만** 빨개지는지 본다.
+#   R1 «부재 분기» 중화 → 부재를 부재로 못 낸다  ⇒ resolve-absent + resolve-guard(부분일치) 빨강
+#   R2 «별칭 목록» 중화 → `-dev` 를 못 찾는다    ⇒ mate/qasp 의 alias·control·enum 레인만 빨강
+#
+# 🟥 **초판 사전등록이 두 군데 틀렸고, 프로브가 그걸 잡았다**(2026-08-16). 적어 두는 이유는
+#    이게 프로브에 판별력이 있다는 증거이기 때문이다 — 사전등록을 관측에 맞춰 조용히 고치면
+#    그 증거가 사라진다. 두 차이는 **레인 결함이 아니라 사전등록 오류**였고, 기계적으로 설명된다:
+#      · R1 에 **G5** 가 추가로 빨강: G5 는 `gstackx` 루트를 준다. 중화판은 부재 분기 대신
+#        `$PROJECTS_HOME/gstack` 를 내는데 **그 경로는 실재한다** → 어댑터가 실제로 돌아
+#        BLOCK_HIGH(1) 을 낸다. G5 도 부재 분기에 결박된 레인이므로 빨강이 맞다.
+#      · R2 에서 **Q5 는 초록**: Q5 는 `qasp` 와 `qasp-dev` 둘을 주는 모호 레인이다. 별칭
+#        목록이 `$1` 하나로 줄면 `qasp` 만 맞아 **모호가 아니게 되고**, 어댑터는 진입점
+#        부재로 HARNESS_ERROR(3) 를 낸다 — 기대값과 같은 값이다. 즉 R2 는 Q5 를 원리적으로
+#        구분하지 못한다. 그건 Q5 의 결함이 아니라 **이 프로브 축의 사각지대**이고,
+#        Q5 는 R1 이 아니라 별도 축(모호 판정 자체를 지우는 중화)으로만 흔들 수 있다.
+# ★중화는 **실물 파일이 아니라 사본**에 건다(FH_ADAPTER_DIR). 실물 트리를 건드리지 않고,
+#  사본이 실물과 «중화한 줄 말고는 동일» 함을 적용확인 단계에서 대조한다.
+_revert_probe() {
+  local name="$1" sedexpr="$2" applied_marker="$3" expect_red="$4" desc="$5"
+  local C="$T/neutralized_$name"
+  rm -rf "$C"; mkdir -p "$C"
+  cp -R "$REPO_ROOT/scripts/adapters/." "$C/" || { echo "❌ HARNESS-ERROR — 사본 생성 실패"; return 10; }
+  # ── 1단 적용확인: 중화가 **실제로 들어갔는가**. 안 들어간 채 «초록» 을 보고
+  #    «레인이 튼튼하다» 고 읽는 것이 이 프로브의 최대 실패모드다.
+  sed -i.bak "$sedexpr" "$C/peer_resolve.sh" && rm -f "$C/peer_resolve.sh.bak"
+  if ! grep -q "$applied_marker" "$C/peer_resolve.sh"; then
+    echo "  ❌ $name — 중화가 적용되지 않았다(마커 «$applied_marker» 부재). 프로브를 신뢰할 수 없다"
+    return 1
+  fi
+  # 중화한 파일 말고는 사본이 실물과 동일해야 한다(다른 변수를 안 건드렸다는 확인).
+  local other_diff
+  other_diff="$(diff -rq "$REPO_ROOT/scripts/adapters" "$C" 2>/dev/null | grep -v 'peer_resolve.sh' | wc -l | tr -d ' ')"
+  if [ "$other_diff" != "0" ]; then
+    echo "  ❌ $name — 사본이 peer_resolve.sh 외에도 다르다($other_diff건). 프로브 격리 실패"
+    return 1
+  fi
+  # ── 2단 실행: 사본을 대상으로 레인을 통째로 다시 돌린다.
+  local out red
+  out="$(FH_ADAPTER_DIR="$C" bash "${BASH_SOURCE[0]}" --lanes-only 2>&1)"
+  red="$(printf '%s\n' "$out" | sed -n 's/^  ❌ \([A-Z][0-9]*\) .*/\1/p' | sort | tr '\n' ' ' | sed 's/ $//')"
+  # ── 3단 복원: 사본을 지운다. 실물은 애초에 안 건드렸다.
+  rm -rf "$C"
+  printf '  %s — %s\n' "$name" "$desc"
+  printf '     사전등록 빨강: [%s]\n' "$expect_red"
+  printf '     실측   빨강: [%s]\n' "$red"
+  if [ "$red" = "$expect_red" ]; then
+    printf '     ✅ 정확히 그 레인만 빨개졌다 — 이 레인들은 peer 해석부에 실제로 결박돼 있다\n'
+    return 0
+  fi
+  printf '     ❌ 사전등록과 다르다 — 레인이 장식이거나 사전등록이 틀렸다. 둘 다 결함이다\n'
+  return 1
+}
+
+case "${1:-}" in
+  --lanes-only)
+    # 되돌림 프로브가 자기를 재귀 호출할 때 쓰는 모드. 프로브를 다시 돌리지 않는다.
+    ;;
+  --revert-probe)
+    echo "== 되돌림 프로브 (적용확인 → 실행 → 복원) =="
+    RP=0
+    # R1: 「없다」를 못 내게 한다 — 부재 분기를 순진한 추측 경로로 바꾼다.
+    _revert_probe R1 \
+      's|^    printf .peer-resolve: peer|    printf "%s" "${FH_PROJECTS_HOME:-$HOME/projects}/$n"; return 0  # NEUTRALIZED_R1\n    printf '"'"'peer-resolve: peer|' \
+      'NEUTRALIZED_R1' \
+      'G1 G5 M1 Q1' \
+      '«부재» 분기 중화 → 부재 분기에 결박된 레인만 빨개져야 한다' || RP=1
+    echo
+    # R2: 별칭 후보를 이름 자신 하나로 줄인다 — `-dev` 를 못 찾게 된다.
+    _revert_probe R2 \
+      's|^  printf .%s\\n. "\$1" "\$1-dev".*$|  printf "%s\\n" "$1"   # NEUTRALIZED_R2|' \
+      'NEUTRALIZED_R2' \
+      'M2 M3 M4 M5 M6 Q2 Q3 Q4 Q6 Q7 Q8' \
+      '별칭 목록 중화 → mate/qasp 쪽 레인만 빨개져야 한다(gstack 은 별칭이 필요 없다)' || RP=1
+    echo
+    [ "$RP" -eq 0 ] || FAIL=1
+    ;;
+  '') ;;
+  *) echo "usage: $(basename "$0") [--revert-probe]" >&2; exit 10 ;;
+esac
+
+echo
+if [ "$FAIL" -eq 0 ]; then
+  # ★`${N}` 로 감싼다 — 한글이 바로 뒤에 오면 bash 가 `$N개` 를 **변수명 `N개`** 로 읽어
+  #   `unbound variable` 로 죽는다(실측 2026-08-16: 레인 23개 전부 초록인데 마지막 요약
+  #   줄에서 rc=1). 계기가 자기 보고 줄에서 죽으면 초록이 빨강으로 렌더된다.
+  echo "✅ 레인 ${N}개 전부 기대대로"
+  if [ "$SKIPPED" -gt 0 ]; then
+    echo "⏭  단, peer 부재로 **${SKIPPED}개 레인이 안 돌았다** — 그중 컨트롤이 빠지면"
+    echo "   남은 초록은 「늘 PEER_ABSENT 를 내는 계기」와 구분되지 않는다. 초록을 그렇게 읽지 마라."
+  fi
+else
+  echo "❌ 회귀 — 빨강:$RED_LANES (레인 ${N}개 실행 · peer 부재 SKIP ${SKIPPED}개)"
+fi
+exit "$FAIL"

package/scripts/test_capability_entrypoint_shipping.sh

@@ -41,7 +41,14 @@ command -v node >/dev/null 2>&1 || {
 # Discover entry points by convention. A DISCOVERY of zero is an instrument failure, not a clean
 # result: this check exists precisely because the surface it guards is invisible to reference
 # walking, so "found nothing to check" must never render as "everything ships".
-ENTRIES=$(find scripts -maxdepth 1 -type f -name '*_capability.sh' 2>/dev/null | sort)
+# 🟥 2026-08-16: 발견 규약이 **한 벌뿐**이었다(`scripts/*_capability.sh`, maxdepth 1). 같은 날
+# 도입된 **어댑터 진입점**(`scripts/adapters/*.sh` — 남의 하네스 능력을 FH 안에서 부르는 기본
+# 경로)은 이름도 위치도 그 규약 밖이라 **이 검사에 구조적으로 안 보였다.** 즉 어댑터 스크립트가
+# `files[]` 에서 빠져도 이 검사는 초록이었다 — 검사기가 지키려던 바로 그 결함이 검사기 자신의
+# 사각에서 재현될 수 있었다. 두 규약을 **합집합**으로 본다(빼지 말고 더한다).
+ENTRIES=$( { find scripts -maxdepth 1 -type f -name '*_capability.sh' 2>/dev/null
+             find scripts/adapters -maxdepth 1 -type f -name '*.sh' 2>/dev/null
+           } | LC_ALL=C sort -u )
 n=$(printf '%s\n' "$ENTRIES" | grep -c . || true)
 n=$(( ${n:-0} + 0 ))
 if [ "$n" -eq 0 ]; then

package/scripts/test_relay_channel_lanes.sh

@@ -578,6 +578,82 @@ A_N10=$(cap a_n10.cap "id: demo:a" "entry: bash $T/n_key_pass.sh" "verdict_chann
 rc=0; bash "$RELAY" run --cap "$A_N10" --cap "$B" --task t > "$T/on10" 2>&1 || rc=$?
 _t "N10 both 채널의 **일치** 정상 경로가 실제로 돈다(과차단 아님)" 0 "$rc"
 
+# ── N11–N15 노드별 호출 인자 채널 (`--cap-args`) ─────────────────────────────
+#   🟥 이 채널이 없던 동안 **호출 시점 인자를 요구하는 능력은 relay 를 통과할 수 없었다**
+#   (실측 2026-08-16, pmh-dev:merge-noop-check → 항상 ARGS→HARNESS_ERROR→BLOCKED).
+#   fail-closed 라 방향은 옳았지만 신호가 0 이었고, 그건 «호출 가능» 을 구조적으로 못 만든다.
+#   레인은 네 가지를 따로 단언한다 — 도달 · 결박 대상 · fail-closed · **비주입 컨트롤**.
+mk n_echo_args.sh '#!/usr/bin/env bash
+# 받은 위치 인자를 그대로 찍고, 첫 인자가 "GO" 일 때만 통과한다.
+echo "ARGS=[$*]"
+[ "${1:-}" = "GO" ] && exit 0
+exit 1'
+ARGSCAP() { cap "$1" "id: demo:$2" "entry: bash $T/n_echo_args.sh" "verdict_channel: exit" \
+  "verdict_enum: 0=PASS 1=FAIL" "approval: auto" "reversibility: reversible" "residency: public" \
+  "degrade: fail-closed" "tier_floor: none" "writes: read-only" "judge: mechanical" \
+  "verdict_binding: FAIL"; }
+
+# N11 인자가 실제로 진입점에 **도달한다** — 없으면 FAIL 이어야 할 노드가 통과한다
+A_N11=$(ARGSCAP a_n11.cap a)
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap-args "GO" --cap "$B" --task t \
+  --record "$T/rec11" > "$T/on11" 2>&1 || rc=$?
+_t    "N11 --cap-args 가 진입점에 실제로 도달한다" 0 "$rc"
+# ★ 단언 대상은 relay 의 stdout 이 아니라 **노드 자신의 출력**이다. relay 는 노드 stdout 을
+#   기록 디렉터리로 보내므로, relay 출력에 대고 grep 하면 늘 «없음» 이 나와 거짓 적색이 된다
+#   (초판이 그렇게 틀렸다 — 계기가 아니라 단언 위치가 틀린 경우).
+_tout "N11b 받은 인자를 진입점이 그대로 본다" "ARGS=\[GO\]" "$T/rec11/node1.out"
+
+# N12 🟥 **비주입 컨트롤** — 같은 capfile 에 인자만 빼면 FAIL 이어야 한다.
+#     이게 없으면 N11 은 «인자와 무관하게 늘 통과하는 계기» 와 구분되지 않는다.
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap "$B" --task t \
+  --record "$T/rec12" > "$T/on12" 2>&1 || rc=$?
+_t    "N12 인자를 안 주면 같은 노드가 막힌다(컨트롤 — 채널이 실재한다는 증거)" 2 "$rc"
+_tout "N12b 인자 없이 부르면 진입점이 빈 인자를 본다" "ARGS=\[\]" "$T/rec12/node1.out"
+
+# N13 결박 대상은 **가장 최근 --cap** 이다 — 위치 인덱스로 짝지으면 조용히 다른 노드에 붙는다
+A_N13=$(ARGSCAP a_n13.cap a)
+rc=0; bash "$RELAY" run --cap "$B" --cap "$A_N13" --cap-args "GO" --task t > "$T/on13" 2>&1 || rc=$?
+_t    "N13 인자가 «가장 최근 --cap» 에 결박된다(첫 노드로 새지 않는다)" 0 "$rc"
+
+# N14 `--cap` 없이 먼저 오면 fail-closed — 어디 붙일지 모르는 인자를 조용히 버리지 않는다
+rc=0; bash "$RELAY" run --cap-args "GO" --cap "$A_N11" --cap "$B" --task t > "$T/on14" 2>&1 || rc=$?
+_t    "N14 --cap 앞의 --cap-args 는 fail-closed(무음 폐기 아님)" 10 "$rc"
+
+# N15 셸 메타문자 거부 — 진입점이 단어분해로 실행되므로 프로브와 같은 규칙을 쓴다
+rc=0; bash "$RELAY" run --cap "$A_N11" --cap-args 'GO; rm -rf /tmp/x' --cap "$B" --task t > "$T/on15" 2>&1 || rc=$?
+_t    "N15 --cap-args 의 셸 메타문자는 거부된다" 10 "$rc"
+
+# ── N16–N18 cross-family 3건(2026-08-16) — 전부 손 재현 후 앵커 ────────────────
+# 셋 다 「조용히 잘못되는」 형태다: 값이 사라지거나, 결박이 죽거나, 인자 경계가 바뀐다.
+A_N16=$(ARGSCAP a_n16.cap a)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "FIRST" --cap-args "GO" --cap "$B" --task t > "$T/on16" 2>&1 || rc=$?
+_t "N16 같은 --cap 에 --cap-args 두 번은 fail-closed(앞 값 무음 폐기 금지)" 10 "$rc"
+
+# N17 결박 플래그와의 충돌 — `--cap-args --` 로 `--upstream-verdict` 를 위치인자로 밀어낼 수 있었다
+A_N17=$(cap a_n17.cap "id: demo:a" "entry: bash $T/n_echo_args.sh" "upstream_argv: yes" \
+  "verdict_channel: exit" "verdict_enum: 0=PASS 1=FAIL" \
+  "approval: auto" "reversibility: reversible" "residency: public" "degrade: fail-closed" \
+  "tier_floor: none" "writes: read-only" "judge: mechanical" "verdict_binding: FAIL")
+rc=0; bash "$RELAY" run --cap "$A_N17" --cap-args "GO" --cap "$B" --task t > "$T/on17" 2>&1 || rc=$?
+_t "N17 upstream_argv 노드에 --cap-args 를 붙이면 fail-closed(결박이 조용히 죽지 않는다)" 10 "$rc"
+# N17b 컨트롤 — upstream_argv 를 **선언하지 않은** 노드는 종전대로 통과해야 한다(과차단 방지)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "GO" --cap "$B" --task t > "$T/on17b" 2>&1 || rc=$?
+_t "N17b 컨트롤 — upstream_argv 미선언 노드는 --cap-args 를 정상 수용" 0 "$rc"
+
+# N18 개행 — 초판 가드를 통과해 **한 인자가 두 인자로 쪼개졌다**($'GO\nSECOND' → ARGC=2)
+rc=0; bash "$RELAY" run --cap "$A_N16" --cap-args "$(printf 'GO\nSECOND')" --cap "$B" --task t > "$T/on18" 2>&1 || rc=$?
+_t "N18 --cap-args 의 개행은 거부된다(인자 경계 무음 변형 차단)" 10 "$rc"
+# N18b 컨트롤 — **정상 다중 인자**(공백 구분)는 계속 통과해야 한다. 안 그러면 N18 은
+#      「인자를 여러 개 못 주는 계기」와 구분되지 않는다.
+A_N18=$(cap a_n18.cap "id: demo:a" "entry: bash $T/n_echo_args.sh" "verdict_channel: exit" \
+  "verdict_enum: 0=PASS 1=FAIL" "approval: auto" "reversibility: reversible" "residency: public" \
+  "degrade: fail-closed" "tier_floor: none" "writes: read-only" "judge: mechanical" \
+  "verdict_binding: FAIL")
+rc=0; bash "$RELAY" run --cap "$A_N18" --cap-args "GO SECOND THIRD" --cap "$B" --task t \
+  --record "$T/rec18" > "$T/on18b" 2>&1 || rc=$?
+_t    "N18b 컨트롤 — 공백 구분 다중 인자는 정상 통과" 0 "$rc"
+_tout "N18b2 세 인자가 그대로 도달한다" "ARGS=\[GO SECOND THIRD\]" "$T/rec18/node1.out"
+
 printf '\n── relay_channel lanes: %d PASS / %d FAIL ──\n' "$pass" "$fail"
 [ "$fail" -eq 0 ] || exit 1
 exit 0

package/templates/.git-hooks/pre-commit

@@ -284,8 +284,20 @@ else
   psa_load "$REPO_ROOT/.claude/rules/.public-surface-patterns.defaults" \
            "${PSA_PATTERNS:-$REPO_ROOT/.claude/rules/.public-surface-patterns}"
   if [ "$PSA_OVERRIDE_PRESENT" -eq 0 ]; then
-    echo "  ⚠️  operator pattern override absent — only committed defaults active (home paths)."
-    echo "     Populate .claude/rules/.public-surface-patterns (gitignored) for company-specific tokens."
+    # 2026-08-16 weekly-audit residual — operator decision: LOUDER WARNING, not fail-closed.
+    # A hard block here would fail every fresh clone's / CI's / worktree's first commit (the
+    # override is gitignored by construction), training PUBLIC_SURFACE_OK into a reflex — the same
+    # override-habituation this repo has measured and warned against repeatedly. So the degrade
+    # direction stays PASS; what changed is that the old two-line notice was easy to scroll past in
+    # a green hook run. This is now impossible to miss, still non-blocking.
+    echo ""
+    echo "  🟧🟧🟧 CONFIDENTIALITY COVERAGE REDUCED — READ BEFORE TRUSTING THIS PASS 🟧🟧🟧"
+    echo "  ⚠️  operator pattern override ABSENT — only committed defaults are active."
+    echo "     Company/employer-name and real-username token classes are UNSCANNED this run."
+    echo "     A clean PASS below reflects the defaults-only pattern set, not the full one."
+    echo "     Fix: populate .claude/rules/.public-surface-patterns (gitignored, one severity<TAB>regex per line)."
+    echo "  🟧🟧🟧 ────────────────────────────────────────────────────────────── 🟧🟧🟧"
+    echo ""
   fi
   if [ "$PSA_DEFAULTS_OK" -eq 0 ] || [ "$PSA_BAD_ROWS" -gt 0 ] \
      || [ -z "$(printf '%s' "$PSA_STREAM" | grep -vE '^[[:space:]]*(#|$)' || true)" ]; then