@chrono-meta/fh-gate 2.4.0 → 2.5.0

package/scripts/capability_effect_probe.sh

@@ -54,6 +54,26 @@ set -f
 
 RC_OK=0; RC_VIOLATION=1; RC_UNVERIFIABLE=3; RC_HARNESS=10
 
+# 🟥 **계기 전제 프리플라이트** (2026-08-18, 넓은-질문 탈상관 팔이 known-pair 로 재현).
+#   `_snapshot` 의 파일 축은 `… | xargs -0 shasum -a 256 2>/dev/null` 이다. `shasum` 이 없거나
+#   죽으면 before/after 가 **둘 다 빈 문자열**이 되어 `changed=0` → **`✅ VERIFIED · 관측=no-write`**.
+#   재현(같은 capfile, PATH 만 다름): 정상 `🟥 VIOLATION rc=1` / shasum=127 `✅ VERIFIED rc=0`.
+#   ⇒ 이 파일이 헤더에서 겨눈 「미측정을 0 으로 렌더」의 자기 판본이었고, `UNVERIFIABLE` 조차
+#     아니라 **VERIFIED** 였다. 계기가 죽으면 판정을 내지 않는다.
+#   ★`2>/dev/null` 은 남긴다 — 개별 파일 권한 오류로 전체가 죽으면 그게 더 나쁘다.
+#     막는 지점은 **전제**(도구 부재)이지 개별 항목 실패가 아니다.
+#   ⚠️ **폴백이 필요하다**(cross-family 지목 #3): `shasum` 은 macOS/perl 계열 관행이고
+#     Linux/BusyBox 소비자는 `sha256sum` 만 있는 경우가 흔하다. 이 파일은 `package.json
+#     files[]` 로 **출하되므로** shasum 강제는 과차단이다.
+HASHER=""
+if   command -v shasum    >/dev/null 2>&1; then HASHER="shasum -a 256"
+elif command -v sha256sum >/dev/null 2>&1; then HASHER="sha256sum"
+else
+  echo "❌ HARNESS_ERROR — \`shasum\` 도 \`sha256sum\` 도 PATH 에 없다." >&2
+  echo "   스냅샷의 해시 축이 죽어 거짓 \`VERIFIED\` 가 난다. 판정하지 않고 중단한다." >&2
+  exit "$RC_HARNESS"
+fi
+
 # writes 축 순서 (좁음 → 넓음). 관측이 선언보다 넓으면 VIOLATION.
 ORDER_writes="read-only write-local write-remote"
 
@@ -82,7 +102,8 @@ GIT_META_WATCH=""
 # 아니라 **파일당 프로세스 스폰**이었다. `xargs` 배치로 한 번에 넘기면 같은 대상을 재면서
 # 비용이 떨어진다 — 정확도를 깎아 비용을 맞추려던 게 잘못된 트레이드였다.
 
-_snapshot() {  # $1=dir → "sha  path" 목록 (정렬)
+_snapshot() {  # $1=dir → "file <path>" + "sha  path" + dir/기타 축 (정렬)
+  local _flist; _flist=$(mktemp "${TMPDIR:-/tmp}/fh_flist.XXXXXX")
   {
     # `.git` 은 통째로 제외한다 — `git status` 류가 `.git/index` 를 정당하게 갱신하므로
     # 전체를 재면 읽기 전용 capability 가 거짓 VIOLATION 을 받는다. 대신 아래에서
@@ -101,10 +122,19 @@ _snapshot() {  # $1=dir → "sha  path" 목록 (정렬)
       case "$w" in "$1"/*|"$1") ;; *) continue ;; esac
       find "$w" -type f 2>/dev/null
     done
-  } | LC_ALL=C sort -u \
-    | tr '\n' '\0' \
-    | xargs -0 -n 400 shasum -a 256 2>/dev/null \
+  } | LC_ALL=C sort -u > "$_flist"
+  # 🟥 **이름 목록 축 — 해시와 별도로 낸다** (2026-08-18, cross-family 지목 #1).
+  #   해시 축만 두면 «해시가 실패한 파일»과 «없는 파일»이 **구분 불가**다. 실측 반례 둘:
+  #     ⓐ `shasum` 이 존재하지만 exit 1 인 shim  → 해시 0줄 → changed=0 → ✅ VERIFIED
+  #     ⓑ **가짜 도구 없이도** `touch f && chmod 000 f` → 그 파일 해시만 실패 →
+  #        `2>/dev/null` 이 삼킴 → ✅ VERIFIED
+  #   ⇒ 이름 목록은 **해시 도구와 무관하게** 생성/삭제를 잡는다. 두 축은 서로의 폴백이 아니라
+  #     **다른 것을 잰다**(이름=존재 · 해시=내용). 둘 다 필요하다.
+  LC_ALL=C sed 's/^/file /' "$_flist"
+  tr '\n' '\0' < "$_flist" \
+    | xargs -0 -n 400 $HASHER 2>/dev/null \
     | LC_ALL=C sort
+  rm -f "$_flist"
   # 🟥 **디렉토리 존재 축** (2026-08-17). 위 블록은 `-type f` 라 **파일만** 센다 — 빈
   #   디렉토리는 관측면에 아예 없었고, `mkdir -p uploads outputs tmp` 만 하는 capability 가
   #   `writes: read-only` 선언으로 **✅ VERIFIED** 를 받았다(known-pair 3-arm 실측).
@@ -285,6 +315,12 @@ probe_one() {  # $1=capfile → rc
 
   local before after out rc
   before=$(_snapshot "$sandbox")
+  # 🟥 스냅샷은 **절대 비지 않는다** — 디렉토리 축이 최소한 루트 자신을 찍기 때문이다.
+  #   비었다면 `find` 조차 실패한 것이고, 그건 관측이 아니라 계기 사망이다.
+  if [ -z "$before" ]; then
+    echo "  ❌ HARNESS_ERROR — 사전 스냅샷이 비었다($sandbox). 관측면이 죽었다." >&2
+    return "$RC_HARNESS"
+  fi
   local out_before; out_before=$(_snapshot "$outside")
 
   # 실행 — **양 arm 을 같은 샌드박스 정책으로** 돌린다(2026-08-16 cross-family 지목).
@@ -787,6 +823,106 @@ EOF
     fails=$((fails+1)); echo "❌ L18 rc=$rc (1 기대) — 비정규 노드가 감시면 밖이다"
   fi
 
+  # ── L19 **집계가 위반을 «못 쟀음»으로 삼키지 않는다** ────────────────────────
+  #   RC_VIOLATION=1 · RC_UNVERIFIABLE=3 이라 수치 max 로 접으면 exit 3 이 나왔다.
+  cat > "$d/agg_viol.cap" <<EOF
+id: t:aggv
+entry: bash -c 'touch aggregated_violation'
+requires_cwd: $_rs
+writes: read-only
+EOF
+  out=$("$0" "$d/agg_viol.cap" "$d/nz_undeclared.cap" 2>&1); rc=$?
+  if [ "$rc" = "1" ] && printf '%s' "$out" | grep -q "nz_undeclared" \
+     && printf '%s' "$out" | grep -q "unverifiable=1"; then
+    pass=$((pass+1)); echo "✅ L19 위반+미측정 배치: exit=VIOLATION 이고 미측정이 요약에 남는다"
+  else
+    fails=$((fails+1)); echo "❌ L19 rc=$rc — 집계가 위반을 삼키거나 두 번째 capfile 을 안 쟀다"
+  fi
+  # L19b **순서 반전** — cross-family 지목 #4: 위반이 먼저면 short-circuit 퇴행도 초록이다.
+  out=$("$0" "$d/nz_undeclared.cap" "$d/agg_viol.cap" 2>&1); rc=$?
+  if [ "$rc" = "1" ]; then
+    pass=$((pass+1)); echo "✅ L19b 순서를 뒤집어도 VIOLATION 이 이긴다(미측정이 먼저여도)"
+  else
+    fails=$((fails+1)); echo "❌ L19b rc=$rc (1 기대) — 첫 rc 에 갇히거나 심각도가 뒤집힌다"
+  fi
+  # L19c 컨트롤 — 위반이 없으면 여전히 미측정(3)이다(과차단 방지).
+  out=$("$0" "$d/nz_undeclared.cap" 2>&1); rc=$?
+  if [ "$rc" = "3" ]; then
+    pass=$((pass+1)); echo "✅ L19c 컨트롤 — 위반 없는 배치는 여전히 UNVERIFIABLE"
+  else
+    fails=$((fails+1)); echo "❌ L19c rc=$rc (3 기대) — 심각도 매핑이 미측정을 잘못 접는다"
+  fi
+
+  # ── L20 계열 **계기가 죽으면 판정하지 않는다 · 살아 있으면 과차단하지 않는다** ──────
+  #   🟥 초판 레인은 두 번 틀렸다(둘 다 자력 적발 0):
+  #     ⓐ `PATH=/nonexistent` 로 재서 **capfile 파싱 실패**를 프리플라이트로 오귀속 — 되돌림
+  #       3중 프로브가 적발(수리를 되돌려도 초록이었다)
+  #     ⓑ shim 빌더가 `set -f`(전역 noglob) 때문에 확장이 안 됨 — **캘리브레이션 짝**이 적발
+  #   여기서는 도구를 **하나씩** 빼고, 매 arm 에 기대값을 다르게 건다.
+  #   ★PATH 원소 분해는 공백/글롭 안전하게(`tr` → 줄 단위). cross-family 지목 #7.
+  _mkshim() {  # $1=shim경로  $2..=제외할 도구명
+    local shimd="$1"; shift
+    mkdir -p "$shimd"
+    printf '%s\n' "$PATH" | tr ':' '\n' > "$d/_pathdirs"
+    local _p _f _b _x _skip
+    set +f
+    while IFS= read -r _p; do
+      [ -n "$_p" ] && [ -d "$_p" ] || continue
+      for _f in "$_p"/*; do
+        [ -e "$_f" ] || continue
+        _b=${_f##*/}; _skip=0
+        for _x in "$@"; do [ "$_b" = "$_x" ] && { _skip=1; break; }; done
+        [ "$_skip" = 1 ] && continue
+        [ -e "$shimd/$_b" ] || ln -s "$_f" "$shimd/$_b" 2>/dev/null
+      done
+    done < "$d/_pathdirs"
+    set -f
+  }
+
+  # L20 해시 도구가 **둘 다** 없으면 판정하지 않는다.
+  _mkshim "$d/bin_none" shasum sha256sum
+  out=$(PATH="$d/bin_none" "${BASH:-/bin/bash}" "$0" "$d/agg_viol.cap" 2>&1); rc=$?
+  if [ "$rc" = "10" ] && printf '%s' "$out" | grep -q "sha256sum"; then
+    pass=$((pass+1)); echo "✅ L20 해시 도구 전무는 HARNESS_ERROR (이유도 찍힌다)"
+  else
+    fails=$((fails+1)); echo "❌ L20 rc=$rc (10 기대) — 계기 사망이 통과/판정으로 렌더된다"
+  fi
+  # L20b **과차단 방지** — `shasum` 만 없고 `sha256sum` 이 있으면 정상 판정해야 한다.
+  #   cross-family 지목 #3: 이 파일은 files[] 로 출하되고 Linux 소비자는 sha256sum 만 갖는다.
+  if command -v sha256sum >/dev/null 2>&1; then
+    _mkshim "$d/bin_s256" shasum
+    out=$(PATH="$d/bin_s256" "${BASH:-/bin/bash}" "$0" "$d/agg_viol.cap" 2>&1); rc=$?
+    if [ "$rc" = "1" ]; then
+      pass=$((pass+1)); echo "✅ L20b shasum 부재+sha256sum 존재 → 폴백이 정상 판정(과차단 없음)"
+    else
+      fails=$((fails+1)); echo "❌ L20b rc=$rc (1 기대) — 폴백이 없거나 과차단한다"
+    fi
+  else
+    echo "⏭  L20b SKIP — 이 머신에 sha256sum 이 없다(미측정, 통과 아님)"
+  fi
+  # L20c **«있는데 고장난» 해시 도구** — cross-family 지목 #1. 프리플라이트는 통과한다.
+  _mkshim "$d/bin_broken" shasum sha256sum
+  printf '#!/bin/sh\nexit 1\n' > "$d/bin_broken/shasum"; chmod +x "$d/bin_broken/shasum"
+  out=$(PATH="$d/bin_broken" "${BASH:-/bin/bash}" "$0" "$d/agg_viol.cap" 2>&1); rc=$?
+  if [ "$rc" = "1" ]; then
+    pass=$((pass+1)); echo "✅ L20c 해시 도구가 고장나도 파일 생성은 잡힌다(이름 목록 축)"
+  else
+    fails=$((fails+1)); echo "❌ L20c rc=$rc (1 기대) — 고장난 계기가 거짓 VERIFIED 를 낸다"
+  fi
+  # L20d **읽을 수 없는 파일** — 가짜 도구 없이 재현되는 형태(cross-family 지목 #1 두 번째).
+  cat > "$d/unreadable.cap" <<EOF
+id: t:unread
+entry: bash -c 'touch hidden_regular && chmod 000 hidden_regular'
+requires_cwd: $_rs
+writes: read-only
+EOF
+  out=$(probe_one "$d/unreadable.cap" 2>&1); rc=$?
+  if [ "$rc" = "1" ]; then
+    pass=$((pass+1)); echo "✅ L20d chmod 000 파일 생성도 위반이다(해시 실패가 삼키지 않는다)"
+  else
+    fails=$((fails+1)); echo "❌ L20d rc=$rc (1 기대) — 해시 실패가 파일 생성을 삼킨다"
+  fi
+
   rm -rf "$d"
   echo "── capability_effect_probe lanes: $pass PASS / $fails FAIL ──"
   [ "$fails" = "0" ]
@@ -797,9 +933,41 @@ case "${1:-}" in
   "") echo "usage: $0 <capfile> [...] | --self-test" >&2; exit "$RC_HARNESS";;
 esac
 
+# 🟥 **집계는 수치 max 가 아니라 심각도 max 다** (2026-08-18, 넓은-질문 탈상관 팔 지목).
+#   `RC_VIOLATION=1` · `RC_UNVERIFIABLE=3` 이라 수치 `-gt` 로 접으면
+#   **실제 위반(1) + 못 쟀음(3) → exit 3** 이 된다. 헤더가 3 을 「판정 아님」으로 정의해 놨으니
+#   `rc==1` 로 위반을 라우팅하는 상위 게이트는 **조용히 놓치고** 재시도/유예 경로를 탄다.
+#   ⇒ 수치 순서와 심각도 순서가 어긋나 있었다. 여기서 명시적으로 매핑한다.
+#   ★미지의 코드는 **가장 심각**으로 접는다(fail-closed) — 새 rc 가 생겼을 때 조용히
+#     통과하는 쪽으로 기울지 않게.
+_sev() {  # 종료코드 → 심각도(클수록 심각). 수치 크기 ≠ 심각도.
+  case "$1" in
+    "$RC_OK")           printf '0' ;;
+    "$RC_UNVERIFIABLE") printf '1' ;;
+    "$RC_VIOLATION")    printf '2' ;;
+    "$RC_HARNESS")      printf '3' ;;
+    *)                  printf '3' ;;
+  esac
+}
+
+# 🟥 **배치는 «가장 심각한 것» 하나만 종료코드로 낼 수 있다** — 그래서 접히는 정보가 생긴다.
+#   cross-family 지목 #2: 심각도 매핑을 넣은 뒤 「위반 + 미측정」 배치가 `1` 로 나가므로,
+#   `rc==3` 으로 «미측정 있음» 을 라우팅하던 소비자는 **미측정 capfile 을 잃는다.**
+#   ⇒ 종료코드는 심각도로 두고, **접힌 정보는 요약 줄로 표면화**한다(삼키지 않는다).
+#     한 줄이면 상위가 grep 으로 집을 수 있고, 종료코드 계약은 하나로 유지된다.
 worst=0
+n_viol=0; n_unver=0; n_harn=0; n_ok=0
 for c in "$@"; do
   probe_one "$c"; rc=$?
-  [ "$rc" -gt "$worst" ] && worst=$rc
+  case "$rc" in
+    "$RC_OK")           n_ok=$((n_ok+1)) ;;
+    "$RC_VIOLATION")    n_viol=$((n_viol+1)) ;;
+    "$RC_UNVERIFIABLE") n_unver=$((n_unver+1)) ;;
+    *)                  n_harn=$((n_harn+1)) ;;
+  esac
+  [ "$(_sev "$rc")" -gt "$(_sev "$worst")" ] && worst=$rc
 done
+if [ "$#" -gt 1 ]; then
+  echo "── BATCH SUMMARY: ok=$n_ok violation=$n_viol unverifiable=$n_unver harness=$n_harn (exit=$worst)"
+fi
 exit "$worst"

package/scripts/digest_landing_check.sh

@@ -85,13 +85,77 @@ FH="${CLAUDE_PROJECT_DIR:-$(cd "$SELF_DIR/.." && pwd)}"
 # ⚠️ 검증기는 **도구**이고 FH 는 **대상**이다 — 두 축을 같은 변수로 묶으면 격리 픽스처에서
 # 도구까지 임시 트리에서 찾다가 죽는다(실측). 도구는 언제나 이 스크립트 옆에 있다.
 CHECKER="$SELF_DIR/utterance_landing_check.sh"
+
+# ── 착지 스코프 (2026-08-18, R1) ────────────────────────────────────────────
+# 기본 스코프는 **FH 자신의 문법**이다(`knowledge` · `CLAUDE.md` · gitignored `tracks/_meta`).
+# 위성이 겨눈 대상 하네스에는 그 셋이 없어서 타깃이 0건 → rc=10 이 매 런 찍힌다. 그건 정직한
+# 값이지만(미측정≠0), 계기가 **구조적으로 죽은 채** 배선된 것과 같다.
+# 🟥 스코프를 «러너가 손으로 목록을 만들어 넘기는» 식으로 풀지 않는다 — 그러면 선후 필터가
+#    두 벌이 되고 관대함이 갈리는 순간 한쪽만 통과하는 입력이 무음 드롭된다
+#    ([[feedback_divergent_leniency_duplicate_normalizers]]). 필터는 여기 한 곳에 두고
+#    **무엇을 볼지만** 밖에서 정한다.
+# 기본값은 종전 그대로 — FH 경로 무변경.
+# ⚠️ **명명된 잔여 (cross-family/codex F4)**: 이 값은 **공백 분리**된 다중 pathspec 이다.
+#    따라서 **경로에 공백이 있으면 갈린다** — `docs public` 은 «한 경로»가 아니라 두 경로가 된다.
+#    다중 경로 지원과의 트레이드오프라 오늘은 **문서화만** 했고 기계 검사는 없다.
+DLC_TRACKED_PATHS="${DLC_TRACKED_PATHS:-knowledge CLAUDE.md}"   # git 추적축 (커밋시각)
+DLC_IGNORED_DIR="${DLC_IGNORED_DIR-tracks/_meta}"               # gitignored 축 (mtime). 빈 값 = 그 축 없음
 SECTION_RE='^## .*Immediate Application Candidates'
 
 # 후보 표에서 (id, 판별토큰 OR 정규식) 을 뽑는다. 토큰 없으면 id 만 내고 정규식은 빈 값.
 _extract() { # $1 = digest path
   awk -v sec="$SECTION_RE" '
+    # 판별자 추출 — 표/문단 **두 경로가 공유**한다(중복 정규화기 방지).
+    function harvest(body, toks,   tmp, w, t) {
+      tmp=body
+      while (match(tmp, /\[\[[^]]+\]\]/)) {
+        w=substr(tmp, RSTART+2, RLENGTH-4); tmp=substr(tmp, RSTART+RLENGTH)
+        if (length(w) >= 5) toks = (toks == "" ? w : toks "|" w)
+      }
+      tmp=body
+      while (match(tmp, /`[^`]+`/)) {
+        t=substr(tmp, RSTART+1, RLENGTH-2); tmp=substr(tmp, RSTART+RLENGTH)
+        sub(/[: ].*$/, "", t)
+        gsub(/^[[:space:]]+|[[:space:]]+$/, "", t)
+        if (length(t) < 5) continue
+        if (t ~ /[][(){}.*+?^$\\|]/) { if (t ~ /^[A-Za-z0-9_.-]+$/) { } else continue }
+        gsub(/\./, "\\.", t)
+        toks = (toks == "" ? t : toks "|" t)
+      }
+      return toks
+    }
     $0 ~ sec { inblk=1; next }
-    inblk && /^## /  { inblk=0 }
+    inblk && /^## /  { if (pid != "") { print pid "\t" ptoks; pid="" } inblk=0; inpara=0 }
+    # ── 문단 형식 (2026-08-18 신설) ───────────────────────────────────────
+    # 🟥 이 계기는 후보를 **표**로만 읽었다. 실측: 다이제스트 60건 중 표 형식은 **4건**,
+    # 나머지는 `**① …**` `**[A] …**` `**1. …**` `**#1 …**` 같은 **문단 형식**이다.
+    # 즉 계기가 실물의 6.7% 만 읽을 수 있었고, 그래서 첫 실측이 rc=10(«후보 절을 못 찾았다»)
+    # 을 냈다. 안 드러난 이유는 **프로덕션 호출부가 0** 이었기 때문 — 아무도 안 돌렸다.
+    # ⚠️ 머리 표기는 여러 종이라 한 모양에 맞추지 않는다(실측: ① · [A] · 1. · #1 · 그 외).
+    #    **`**` 로 열리는 줄**을 항목 시작으로 보고, 다음 항목/절까지를 본문으로 모은다.
+    # 🟥 판별자 추출은 **표 경로와 같은 코드**를 쓴다 — 두 벌로 갈리면 관대함이 어긋나
+    #    한쪽만 통과하는 입력이 무음 드롭된다(divergent leniency).
+    # 항목 머리 **네** 형식을 다 받는다. 실측(60건 후보 절 전수, 하나씩 열어서 확인):
+    #   `**…**` 74 · 표 `|` 28 · `### [M] 1.` 22 · **번호 리스트 `1. **…**`**(초기 다이제스트의 주 형식)
+    # 🟥 초판은 `**` 만 받았고, 표가 섞인 절에서 **표 앞의 `**` 줄을 먼저 삼켜** 표 행을
+    #    UNCHECKABLE 로 떨어뜨렸다(회귀 실측). 그래서 **표 행은 항상 표 경로가 먼저 가져간다**.
+    inblk && (/^###+ / || /^\*\*/ || /^[0-9]+\. / || /^- \*\*/) {
+      if (pid != "") { print pid "\t" ptoks }
+      pid=$0; ptoks=""
+      sub(/^###+ /, "", pid); sub(/^[0-9]+\. /, "", pid); sub(/^- /, "", pid)
+      sub(/^\*\*/, "", pid); sub(/\*\*.*$/, "", pid)
+      gsub(/^[[:space:]]+|[[:space:]]+$/, "", pid)
+      # 🟥 substr 로 자르지 않는다 — awk 는 로케일에 따라 **바이트** 단위라 한글/기호를
+      #    중간에서 쪼개고 그 출력이 UTF-8 로 안 읽힌다(실측: 집계 스크립트가 UnicodeDecodeError).
+      #    id 는 표시용이므로 자르지 말고 **공백 기준 앞 6낱말**만 쓴다.
+      if (split(pid, _w, /[[:space:]]+/) > 6) {
+        pid=""; for (_i=1; _i<=6; _i++) pid = pid (_i>1 ? " " : "") _w[_i]
+      }
+      ptoks=harvest($0, ptoks)
+      inpara=1; next
+    }
+    # 표 행은 아래 표 경로가 처리한다 — 여기서 안 먹는다(우선순위 명시).
+    inblk && inpara && !/^\|/ && !/^###+ / && !/^[0-9]+\. / && !/^- \*\*/ { ptoks=harvest($0, ptoks); next }
     inblk && /^\|/ {
       line=$0
       # 헤더/구분선 제외
@@ -135,6 +199,7 @@ _extract() { # $1 = digest path
       }
       print id "\t" toks
     }
+    END { if (pid != "") print pid "\t" ptoks }
   ' "$1"
 }
 
@@ -143,8 +208,30 @@ do_extract() { # $1 = digest
   [ -f "$d" ] || { echo "❌ digest 없음: $d" >&2; return 10; }
   # 컨트롤 — 이 계기가 살아 있는지 증명한다. 대상 트리에 확실히 존재하는 토큰.
   # 컨트롤이 죽으면 착지 검증기가 rc=10 을 내고 타깃 결과를 인쇄하지 않는다.
-  printf 'CONTROL\tforge-harness\t컨트롤: 레포명\n'
-  printf 'CONTROL\tsession\t컨트롤: 흔한 토큰\n'
+  # 🟥 R1-b (2026-08-18) — 컨트롤이 `forge-harness`/`session` 으로 **하드코딩**이었다.
+  # 위성이 겨눈 레포에는 그 두 토큰이 없으므로 **컨트롤이 매번 죽고** 계기는 rc=10 만 낸다.
+  # R1 의 인자 버그를 고쳐도 이게 남아 있으면 계기는 여전히 구조적으로 죽은 채다 — 그 사실을
+  # 이 레인이 잡았다(수리가 신규 결함의 출처인 것과 같은 얼굴: 반쪽 수리).
+  # 기본값은 **자기 레포 이름**이라 FH 에서는 종전과 동일(`forge-harness`)하다.
+  # 🟥 두 갈래를 갈라야 한다 (cross-family/codex F3 지목, 실측으로 **더 나쁜 형태** 확인):
+  #    초판은 `for _ctl in ${DLC_CONTROLS:-$(basename "$FH") session}` 였는데, 비인용 명령치환은
+  #    단어분리 **와 글로빙**을 둘 다 탄다 — 레포명이 `.*` 인 디렉터리에서 실측하니 컨트롤이
+  #    `.git` 등 **4개로 글로브 확장**됐다. 게다가 컨트롤은 ERE 로 쓰이므로 레포명에 정규식
+  #    메타문자가 있으면 «아무 내용에나 매치»해 **계기 생존이 오탐**이 된다.
+  #  ⇒ 유도 기본값은 **리터럴로 취급**(메타문자 이스케이프) · 사용자 지정값만 정규식으로 둔다.
+  local _ctl _label=1
+  if [ -n "${DLC_CONTROLS:-}" ]; then
+    for _ctl in $DLC_CONTROLS; do            # 명시값은 «정규식» 계약 — 의도적 분리
+      printf 'CONTROL\t%s\t컨트롤%s: %s\n' "$_ctl" "$_label" "$_ctl"
+      _label=$((_label+1))
+    done
+  else
+    local _repo; _repo="$(basename "$FH")"
+    # ERE 메타문자 이스케이프 — 유도값은 «그 문자열이 실제로 있는가» 를 묻는 것이지 패턴이 아니다
+    _repo="$(printf '%s' "$_repo" | sed 's/[][\.^$*+?(){}|]/\\&/g')"
+    printf 'CONTROL\t%s\t컨트롤1: %s\n' "$_repo" "$_repo"
+    printf 'CONTROL\tsession\t컨트롤2: session\n'
+  fi
   while IFS=$'\t' read -r id toks; do
     [ -n "${id:-}" ] || continue
     n=$((n+1))
@@ -168,7 +255,14 @@ do_check() {
   [ -x "$CHECKER" ] || [ -f "$CHECKER" ] || {
     echo "❌ 착지 검증기 부재: $CHECKER (이 스크립트는 검증을 자체 구현하지 않는다)" >&2; return 10; }
 
-  local -a targets
+  # 🟥 R7 (2026-08-19, **첫 실사용 발견**) — `set -u` + bash 3.2 에서 **빈 배열의 `${a[@]}` 는
+  #    unbound 에러**다. 대상 레포에 digest 이후 커밋이 없으면 targets 가 비고, 그러면 아래
+  #    필터 루프가 터진다. 그 순간 스크립트는 판정을 인쇄하지 못한 채 **rc=1 로 끝나고**,
+  #    러너는 그 1 을 「SOME-UNLANDED」로 로그에 적는다 — 즉 **셸 에러가 착지율 시계열에
+  #    실측값으로 들어간다**([[feedback_not_found_is_not_zero_family]] 의 가장 조용한 얼굴).
+  #    실측: forge-wiki 대상 첫 런이 정확히 그렇게 «SOME-UNLANDED (rc=1)» 을 남겼고 본문은 없었다.
+  #    올바른 값은 rc=10(타깃 0건 = HARNESS-ERROR)이다. 빈 배열 확장을 전부 방어한다.
+  local -a targets=()
   if [ "$#" -gt 0 ]; then targets=("$@")
   else
     # 기본 스코프 = 공개 FH 자산 + tracks. **비공개 store 제외**(운영자 결정).
@@ -176,7 +270,8 @@ do_check() {
     # ⚠️ CLAUDE.md 도 **선후 필터를 거친다.** 초판은 무조건 추가했고, 그래서 이 파일 하나가
     # 필터를 우회해 오탐 원천이 됐다 — 손검증에서 "M1 착지 1파일" 의 그 1파일이 CLAUDE.md
     # 였고, 후보와 무관하게 원래 있던 토큰이었다. 예외 경로 하나가 필터 전체를 무력화한다.
-    [ -f "$FH/CLAUDE.md" ] && [ "$FH/CLAUDE.md" -nt "$d" ] && targets+=("$FH/CLAUDE.md")
+    case " $DLC_TRACKED_PATHS " in *" CLAUDE.md "*)
+      [ -f "$FH/CLAUDE.md" ] && [ "$FH/CLAUDE.md" -nt "$d" ] && targets+=("$FH/CLAUDE.md") ;; esac
     # ★ **digest 보다 나중에 수정된 파일만** 본다. grep 은 "토큰이 있다" 만 재고
     # "이 후보 때문에 생겼다" 는 못 잰다 — 이미 있던 문서가 착지로 잡힌다(실측: 후보 하나가
     # 21파일 히트, 전부 무관한 기존 문서였다). 선후 필터가 인과를 주지는 않지만
@@ -211,11 +306,13 @@ do_check() {
       [ -n "$f" ] || continue
       case "$f" in *.md) ;; *) continue ;; esac
       [ -f "$FH/$f" ] && targets+=("$FH/$f")
-    done < <(git -C "$FH" log --since="@$_dts" --name-only --pretty=format: -- knowledge CLAUDE.md 2>/dev/null | sort -u)
-    while IFS= read -r f; do targets+=("$f"); done < <(
-      find "$FH/tracks/_meta" -name '*.md' -type f -newer "$d" 2>/dev/null | head -400)
+    done < <(git -C "$FH" log --since="@$_dts" --name-only --pretty=format: -- $DLC_TRACKED_PATHS 2>/dev/null | sort -u)
+    if [ -n "$DLC_IGNORED_DIR" ] && [ -d "$FH/$DLC_IGNORED_DIR" ]; then
+      while IFS= read -r f; do targets+=("$f"); done < <(
+        find "$FH/$DLC_IGNORED_DIR" -name '*.md' -type f -newer "$d" 2>/dev/null | head -400)
+    fi
     # dirty tracked — 커밋 안 된 수정본엔 git 시각 증거가 없다. 초록으로 만들지 않고 셈에 남긴다.
-    DIRTY_TRACKED="$(git -C "$FH" diff --name-only -- knowledge CLAUDE.md 2>/dev/null | grep -c '[.]md$')" || true
+    DIRTY_TRACKED="$(git -C "$FH" diff --name-only -- $DLC_TRACKED_PATHS 2>/dev/null | grep -c '[.]md$')" || true
     DIRTY_TRACKED="${DIRTY_TRACKED//[^0-9]/}"; DIRTY_TRACKED="${DIRTY_TRACKED:-0}"
   fi
   # ★ 자기참조 차단 — **이 계기의 첫 실물 실행에서 100% 오탐을 낸 원인**이다.
@@ -224,7 +321,7 @@ do_check() {
   local _dbase; _dbase="$(basename "$d")"
   local -a _filtered=()
   local _t
-  for _t in "${targets[@]}"; do
+  for _t in ${targets[@]+"${targets[@]}"}; do
     case "$_t" in
       *"$_dbase") continue ;;          # digest 자신
       */logs/*)   continue ;;          # 그 생성 로그
@@ -232,7 +329,7 @@ do_check() {
     esac
     _filtered+=("$_t")
   done
-  targets=("${_filtered[@]}")
+  targets=(${_filtered[@]+"${_filtered[@]}"})
   [ "${#targets[@]}" -gt 0 ] || { echo "❌ 타깃 0건" >&2; return 10; }
 
   local probes; probes="$(mktemp -t dlc.XXXXXX)" || return 10
@@ -244,7 +341,7 @@ do_check() {
   local unchk; unchk="$(grep -c '^# UNCHECKABLE' "$probes" 2>/dev/null)" || true
   unchk="${unchk//[^0-9]/}"; unchk="${unchk:-0}"
   echo "── digest 착지 검증: $(basename "$d") ──"
-  echo "   스코프: 공개 FH 자산 + tracks/ (비공개 companion store 제외 — '조직 전파'가 아니라 '허브 내부 착지')"
+  echo "   스코프: git추적[${DLC_TRACKED_PATHS}] + ignored[${DLC_IGNORED_DIR:-없음}] (비공개 companion store 제외 — '조직 전파'가 아니라 '레포 내부 착지')"
   echo "   타깃 파일 ${#targets[@]}건 (digest 이후 수정분만) · 판별불가 후보 ${unchk}건"
   echo "   축: git추적=커밋시각 · gitignored=mtime · dirty tracked ${DIRTY_TRACKED:-0}건=UNMEASURED"
   echo "   ⚠️ 이 계기는 **선후**를 잰다. 인과가 아니다 — 히트는 열어서 확인하라"
@@ -331,8 +428,66 @@ EOF
     touch knowledge/old.md
     printf 'forge-harness session control\n' > tracks/_meta/card.md
   ) >/dev/null 2>&1
-  out="$( cd "$G" && CLAUDE_PROJECT_DIR="$G" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" \
+  # 컨트롤은 픽스처가 실제로 담고 있는 토큰으로 고정한다(레포명이 mktemp 난수라서).
+  # 🟥 이 레인의 주장은 **git/mtime 두 축 분리**지 컨트롤 유도가 아니다 — 축을 섞지 않는다.
+  out="$( cd "$G" && CLAUDE_PROJECT_DIR="$G" DLC_CONTROLS="forge-harness session" \
+          bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" \
           "$G/tracks/_meta/frontier_digest_2001_01_02.md" 2>&1 )"
+  # ── ★N-ctl (2026-08-18, R1-b) — 컨트롤이 **레포 이름을 따라간다** ────────────
+  # 초판은 `forge-harness`/`session` 하드코딩이라 **위성이 겨눈 레포에선 매번 컨트롤 사망**
+  # (= rc=10)이었다. R1 의 인자 버그를 고쳐도 계기는 구조적으로 죽은 채였을 것이다.
+  local out_ctl rc_ctl
+  out_ctl="$( cd "$G" && CLAUDE_PROJECT_DIR="$G" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" \
+          "$G/tracks/_meta/frontier_digest_2001_01_02.md" 2>&1 )"; rc_ctl=$?
+  # 픽스처 레포 이름(mktemp 난수)은 본문에 없다 ⇒ 유도된 컨트롤이 죽어 rc=10 이 정상이다.
+  # 이것이 «유도가 실제로 돈다»의 증거다(하드코딩이면 여기서 rc=1 이 나온다).
+  _t "★N-ctl 컨트롤이 레포명을 따라간다(하드코딩 아님)" 10 "$rc_ctl"
+  # ── ★N-ctl-re (cross-family/codex F3) — 유도 컨트롤은 **리터럴**이지 정규식이 아니다 ──────
+  # 초판은 `for _ctl in ${DLC_CONTROLS:-$(basename "$FH") session}` 였다. 비인용 명령치환이라
+  # ⓐ 레포명이 ERE 메타문자면 «아무 내용에나 매치»해 계기 생존이 **오탐**이 되고
+  # ⓑ 실측하니 글로빙까지 타서 컨트롤이 `.git` 등으로 **확장**되기도 했다.
+  # 🟥 픽스처는 **판별하는 형태**여야 한다. 첫 판본은 레포명을 `.*` 로 잡았는데, 그건 글로빙에
+  #    걸려 죽은 컨트롤이 생기는 바람에 **버그 판본도 rc=10** 을 냈다 — 되돌림 프로브가 그
+  #    장식성을 잡았다([[feedback_fixture_must_use_the_breaking_spelling]]).
+  #    그래서 레포명을 `a.b` 로 쓴다: 글로브로는 아무것도 안 맞아 그대로 남고(확장 없음),
+  #    ERE 로는 `axb` 에 매치된다. 대상에 `axb` 만 두면
+  #      버그 판본 → 컨트롤 **생존(오탐)** → rc≠10
+  #      수리 판본 → 리터럴 `a.b` 없음 → 컨트롤 사망 → rc=10
+  local RG; RG="$(mktemp -d -t 'dlc_re.XXXXXX')" || return 10
+  local RD="$RG/a.b"
+  (
+    mkdir -p "$RD/tracks/_meta" "$RD/knowledge" && cd "$RD" \
+      && git init -q . && git config user.email t@t && git config user.name t
+    printf '# d\n## 📌 FH Immediate Application Candidates\n\n| # | 티어 | 내용 |\n|---|---|---|\n| **A1** | M | `zzz_absent_token` 후보 |\n\n## end\n' \
+      > tracks/_meta/frontier_digest_2001_01_01.md
+    touch -t 200101010000 tracks/_meta/frontier_digest_2001_01_01.md
+    # 리터럴 `a.b` 는 **없다**. `axb`(ERE 로만 매치) 와 `session` 만 있다.
+    printf 'axb 그리고 session\n' > tracks/_meta/card.md
+  ) >/dev/null 2>&1
+  local rc_re
+  ( cd "$RD" && CLAUDE_PROJECT_DIR="$RD" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" \
+      "$RD/tracks/_meta/frontier_digest_2001_01_01.md" ) >/dev/null 2>&1; rc_re=$?
+  _t "★N-ctl-re 레포명이 정규식 메타문자여도 리터럴로 취급(컨트롤 오탐 없음)" 10 "$rc_re"
+  rm -rf "$RG"
+
+  # ── ★N-empty (2026-08-19, R7) — 타깃이 0건이면 **rc=10** 이지 rc=1 이 아니다 ────────────
+  # 🟥 `set -u` + bash 3.2 에서 빈 배열 확장이 터지면, 스크립트는 판정을 못 내고 **rc=1** 로
+  #    끝난다. 러너는 그 1 을 「SOME-UNLANDED」로 적는다 — 셸 에러가 착지율 시계열에 실측값으로
+  #    들어간다. 첫 실사용(forge-wiki 대상)에서 정확히 그 로그가 나왔고 본문은 비어 있었다.
+  local EG; EG="$(mktemp -d -t dlc_e.XXXXXX)" || return 10
+  (
+    mkdir -p "$EG/wiki" && cd "$EG" && git init -q . \
+      && git config user.email t@t && git config user.name t
+    printf '# d\n## 📌 FH Immediate Application Candidates\n\n| # | 티어 | 내용 |\n|---|---|---|\n| **A1** | M | `zzz_tok` 후보 |\n\n## end\n' \
+      > wiki/frontier_digest_2001_01_01.md
+  ) >/dev/null 2>&1
+  # digest 이후 커밋 0 · ignored 축 없음 ⇒ 타깃 0건
+  local rc_e
+  ( cd "$EG" && CLAUDE_PROJECT_DIR="$EG" DLC_TRACKED_PATHS="wiki" DLC_IGNORED_DIR="" \
+      DLC_CONTROLS="zzz_tok" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" \
+      "$EG/wiki/frontier_digest_2001_01_01.md" ) >/dev/null 2>&1; rc_e=$?
+  _t "★N-empty 타깃 0건은 HARNESS-ERROR(10)이지 미착지(1)가 아니다" 10 "$rc_e"
+  rm -rf "$EG"
   # ⚠️ **줄 단위로** 본다. `case *"A1"*"미착지"*` 는 마지막 요약줄("N건 중 M건 미착지")까지
   # 삼켜 오매칭한다 — 문자열 위치로 판정하는 prose-grep 함정([[feedback_typed_verdict_channel]]).
   if printf '%s\n' "$out" | grep -qE '후보 A1[[:space:]]+미착지'; then

package/scripts/fh_session_load.sh

@@ -290,6 +290,77 @@ fi
   ( cd "$FH" && bash scripts/branch_claim.sh reap                     >/dev/null 2>&1 ) || true
 }
 
+# ── 매핑된 프로젝트의 capability 표면화 (2026-08-18) ───────────────────────────
+# WHY HERE (branch-claim 과 같은 자리, early exit **위**): 이건 Mode D 전용이 아니다.
+# companion store 가 없는 설치에서도 프로젝트는 매핑되고, 그때도 형제 하네스의 스킬은
+# 안 보인다. 아래 early exit 밑에 두면 그 설치에서 통째로 죽는다 — 바로 위 branch-claim
+# 블록이 같은 이유로 여기 있다.
+# ⚠️ **정밀화(cross-family 적발)**: `tracks/` 는 npm 산출물에 **안 들어간다**(per-install 데이터).
+#    그러니 «갓 설치한» 소비자에게는 이 블록이 아무것도 안 찍는다 — 값은 그 사람이 프로젝트를
+#    **매핑한 뒤부터** 생긴다. 「공개 사용자에게도 산다」는 그런 뜻이지 «설치 즉시 값이 있다» 가
+#    아니다. (실측: 팩 산출물에 tracks 없음 → 침묵 · tracks/someproject 생성 후 → 발화)
+#
+# WHY AT ALL: `CLAUDE.md §Cross-Project Skill Bus` 는 registry 를 **온보딩 Step 1-c** 에서
+# 읽는데, §Active Onboarding 의 Guards 가 «explicit task-entry → skip onboarding menu» 다.
+# 첫 발화가 task 면 메뉴와 함께 **데이터 로드까지 같이 꺼진다.** 메뉴는 UI 고 registry 는
+# 데이터인데 한 단계에 묶여 있어서 UI 를 끄면 데이터도 꺼진다.
+#   → Mode D companion-store 로드는 이 병을 이미 한 번 고쳤다(«이건 메뉴가 아니라 데이터
+#     로드다» carve-out + 이 스크립트). **registry 엔 그 처방이 안 붙었다** = 반쪽-픽스
+#     전파경계.
+# 실측(2026-08-18): `tracks/gstack` 이 매핑돼 있고 SKILL.md 가 55개인데, 운영자가 이름을
+# 댈 때까지 세션이 그 존재를 몰랐다. CATALOG·CLAUDE.md·sim-conductor 에 전부 등록돼 있었다.
+#
+# 비용 경계: 이름과 개수만. 목록 전량 로드는 안 한다(토큰). 실물이 없거나 스킬이 0인 트랙은
+# 아예 안 찍는다 — 매 세션 13줄이 뜨면 그건 배경 소음이고 아무도 안 읽는다.
+# 🟥 0 을 «없다» 로 렌더하지 않는다: 프로젝트 루트를 못 찾으면 그렇게 적고, 개수를 0 으로
+#    적지 않는다(부재 ≠ 0).
+_PROJ_ROOT="${FH_PROJECTS_ROOT:-$(dirname "$FH")}"
+if [ -d "$FH/tracks" ]; then
+  _reg=""; _mapped=0; _resolved=0
+  for _t in "$FH"/tracks/*/; do
+    _n=$(basename "$_t")
+    case "$_n" in _*) continue ;; esac
+    [ "$_n" = "*" ] && continue
+    _mapped=$((_mapped + 1))
+    _d="$_PROJ_ROOT/$_n"
+    [ -d "$_d" ] || continue
+    _resolved=$((_resolved + 1))
+    # 무거운 디렉터리를 쳐낸다 — 비용 주장이 «내 머신의 내 프로젝트 집합» 위에 서 있으면
+      # 안 된다(cross-family 지적). node_modules/.venv/.git 이 depth 3 안에 있으면 선형으로 는다.
+      _sk=$(find "$_d" -maxdepth 3 \( -name node_modules -o -name .git -o -name .venv \
+              -o -name venv -o -name target -o -name dist \) -prune -o \
+              -name SKILL.md -print 2>/dev/null | wc -l | tr -d ' ')
+    [ "${_sk:-0}" -gt 0 ] || continue
+    _reg="${_reg}  ▸ ${_n} — SKILL.md ${_sk}개  (${_d})
+"
+  done
+  # 🟥 **부재 ≠ 0.** 판별자는 «루트 디렉터리가 있나»가 아니다 — `dirname "$FH"` 는 거의 항상
+  #    존재해서 그 분기는 발화 불가한 장식이었다(초판 결함, 같은 커밋에서 자력 적발).
+  #    실질 판별자는 **매핑된 트랙이 있는데 하나도 실물로 해소되지 않았다** 이고, 그때만
+  #    「못 쟀다」를 말한다. 소비자의 레포가 다른 경로에 있으면 정확히 이 상태가 된다.
+  # 🟥 **all-or-nothing 이면 안 된다** (cross-family 적발, 초판 결함): «전부 못 찾았을 때만»
+  #    말하면 13개 중 1개만 해소되고 12개가 없을 때 그 12개가 **완전히 침묵**한다 — 이 블록이
+  #    없애려는 «부재를 0으로 렌더» 를 블록 자신이 재현한다. 미해소가 하나라도 있으면 말한다.
+  _unres=$((_mapped - _resolved))
+  if [ "$_unres" -gt 0 ]; then
+    _reg="${_reg}  ⚠️ 매핑된 트랙 ${_mapped}개 중 ${_unres}개는 «${_PROJ_ROOT}» 밑에서 실물을 못 찾았다 — 그 ${_unres}개는 «0» 이 아니라 **미측정**이다 (경로가 다르면 FH_PROJECTS_ROOT).
+"
+  fi
+  if [ -n "$_reg" ]; then
+    if [ "$_resolved" -gt 0 ]; then
+      echo "🧩 [cross-project skill bus] 매핑된 프로젝트에 SKILL.md 가 있다 — 파일 개수만 센 것이지 «지금 세션에서 호출 가능하다» 는 확인이 아니다."
+      printf "%s" "$_reg"
+      # 목록이 실제로 있을 때만 낸다. 강등(못 찾음) 케이스에 이 안내가 붙으면 «읽을 것이 있다» 는
+      # 인상을 주는데 목록은 비어 있다 — 없는 것을 있다고 말하는 쪽이다.
+      echo "   ⚠️ 이 줄은 «있다» 만 말한다. 쓰기 전에 그쪽 SKILL.md 를 읽어라 — 필드 하네스 용어를"
+      echo "      일반 개념으로 정규화하는 것이 이 레포의 상습 실패다."
+    else
+      echo "🧩 [cross-project skill bus] 매핑은 있는데 실물을 못 찾았다 — 아래는 **미측정**이다."
+      printf "%s" "$_reg"
+    fi
+  fi
+fi
+
 # Non-Mode-D / no companion store → silent no-op (this is the majority path for public users).
 [ -d "$BE/.git" ] || exit 0
 

package/scripts/selfcheck.sh

@@ -703,6 +703,35 @@ else
   fail=1
 fi
 
+# test_satellite_publish_gate_lanes — 위성 공개표면 게이트(2026-08-18, 원정 2차).
+# 🟥 이 배선이 없어서 CI 가 `lane-runner: lane suite(s) with no runner and no declaration` 로
+# 빨갰다. 스위트를 신설하고 아무 데서도 안 돌린 것 — 검사기의 표현대로
+# *"A suite nothing executes is prose."* 그 검사기가 내 신설 레인을 잡았다.
+if [ ! -f scripts/test_satellite_publish_gate_lanes.sh ]; then
+  echo "FAIL  test_satellite_publish_gate_lanes.sh: missing — publish gate has no anchor"
+  fail=1
+elif _out=$(bash scripts/test_satellite_publish_gate_lanes.sh < /dev/null 2>&1); then
+  echo "PASS  test_satellite_publish_gate_lanes.sh ($(printf '%s\n' "$_out" | grep -oE '[0-9]+ passed, [0-9]+ failed' | tail -1))"
+else
+  echo "FAIL  test_satellite_publish_gate_lanes.sh: publish gate lanes failed"
+  _show_failure "$_out"
+  fail=1
+fi
+
+# test_evidence_root_psa_lanes — 워크트리에서 기밀성 오버라이드를 찾는가 (R4, 2026-08-18).
+# 🟥 `EVIDENCE_ROOT` 에는 레인이 **하나도 없었다** — 그래서 `tracks/` 만 옮기고 gitignored
+# 패턴 파일은 안 옮긴 반쪽-픽스가 그대로 출하됐다. 되돌림 프로브로 E1 만 적색 확인.
+if [ ! -f scripts/test_evidence_root_psa_lanes.sh ]; then
+  echo "FAIL  test_evidence_root_psa_lanes.sh: missing — EVIDENCE_ROOT 기밀성 경로에 앵커 없음"
+  fail=1
+elif _out=$(bash scripts/test_evidence_root_psa_lanes.sh < /dev/null 2>&1); then
+  echo "PASS  test_evidence_root_psa_lanes.sh ($(printf '%s\n' "$_out" | grep -oE '[0-9]+ passed, [0-9]+ failed' | tail -1))"
+else
+  echo "FAIL  test_evidence_root_psa_lanes.sh: evidence-root psa lanes failed"
+  _show_failure "$_out"
+  fail=1
+fi
+
 # cluster_capability_scan — wired 2026-08-16 (정체성 ①-(a) cluster-wizard).
 # 종단 판정줄이 `… 캘리브레이션 통과/실패: N PASS / M FAIL` 이라 위 `_subj` 루프의
 # 캘리브레이션 게이트를 **진짜 판정줄로** 만족한다 — 테스트 케이스 제목이 아니다.