@chrono-meta/fh-gate 2.5.0 → 2.6.0

package/scripts/adapters/fixtures/mate_agent_boundary_known_positive.md

@@ -0,0 +1,56 @@
+# [CALIBRATION FIXTURE — known-positive] 정보경계 불변식 합성 명세서
+
+> 🟥 **이것은 실행되는 에이전트 정의가 아니다.** `scripts/blackbox_invariant_check.sh` 의
+> 캘리브레이션 쌍 중 **통과해야 하는 쪽**(expect = PASS, exit 0)이다. 짝은
+> `agent_boundary_known_negative.md` 이고 그쪽은 막혀야 한다(expect = FAIL, exit 1).
+>
+> **왜 실물 명세서를 쓰지 않나**: 실물은 팀이 계속 고치는 살아있는 문서라, 그것을 양성
+> arm 으로 쓰면 계기의 판정이 남의 편집에 따라 조용히 뒤집힌다(감사 대상은 얼려야 한다).
+> 실물 명세서는 인자 없는 기본 대상으로 계속 검사된다 — 이 파일이 그것을 대체하지 않는다.
+>
+> 식별자는 전부 합성이다. 실제 서비스·레포·필드 이름은 한 건도 담지 않는다.
+
+## 입력 인터페이스
+
+외부 정적분석에서 온 findings 를 받되, 이 에이전트는 그 findings 의 **원본 소스**를 절대
+읽지 않는다. 주입 측이 투영한 결과만 본다.
+
+- `finding_id` — 불투명 식별자. 어휘 제약: `^[a-f0-9]{6,64}$` 만 허용한다.
+  자유문자열이면 경로·발췌를 실어 나르는 우회 운반 채널이 된다.
+- `location` — allowlist 정규식 `^<FE-REDACTED>::[0-9]+$` 만 허용한다.
+  denylist(“특정 접두어가 보이면 폐기”)는 상대경로·`file:///` 등으로 뚫린다.
+
+## 투영 규칙
+
+**투영을 수행하는 주체는** 주입 측(파이프라인)이다. 수행 주체를 적지 않으면 redact 규칙이
+수행자 없는 공수표가 된다. 따라서 이 에이전트는 입력을 **"그대로" 전달하지 않는다** —
+투영된 형태만 하위로 넘긴다.
+
+금지 대상은 **위치가 아니라 출처**로 정의한다. 레포 안에 복사된 사본, 빌드 산출물,
+`sourcesContent` 를 담은 소스맵 전부 동일하게 금지다. "레포 밖"으로 정의하면 레포 안
+사본이 통째로 면제된다.
+
+### 현재 배선 상태
+
+이 투영 파이프는 **아직 코드로 구현되어 있지 않다.** 미구현 통제를 구현된 것처럼 적으면
+그 자체가 낙관 방향 결함이다.
+
+그래서 **슬롯은 현재 사용하지 않는다.** 정의되지 않은 절차에 must-never 불변식을 얹지
+않기 위해, 활성화 **경로를 두지 않는다.**
+
+## 안전 규칙
+
+1. 판정 근거는 인용 가능한 증거로 남긴다.
+2. 증거 없는 추정은 신뢰도를 올리지 않는다.
+3. 실패를 성공으로 삼키지 않는다.
+4. 재현 절차 없이 수정안을 제시하지 않는다.
+5. 도메인 데이터는 로그에 남기지 않는다.
+6. **메모리 쓰기 금지** — **출처가 화이트박스면 저장하지 않는다.** 저장된 값은 다음 호출에
+   자동 주입되므로, 읽지 않을 기회조차 없이 세션 경계를 넘어 오염이 지속된다.
+7. 상한 불변식: 외부 findings 근거만 있고 런타임 증거(XML)가 없으면 신뢰도는 MEDIUM 을
+   넘지 못한다. 이 조항은 **다른 모든 조항에 우선**한다.
+8. 금지된 소스의 **능동 탐색**을 하지 않는다. 이 금지는 **도구 무관**이다 — Read·Grep·Glob
+   뿐 아니라 `Bash` 를 경유한 열람도 같은 위반이다. 도구를 열거하는 형태로 적으면 열거되지
+   않은 경로가 그대로 우회로가 된다.
+   필수 채널(리포트·첨부)에서 **조우**한 경우는 별개다: 열기 전에는 알 수 없으므로
+   "읽지 마라"는 이행 불가능한 의무가 된다. 조우 시에는 중단하고 보고한다.

package/scripts/cluster_capability_scan.sh

@@ -590,12 +590,25 @@ EOF
   #   ([[feedback_ci_measures_state_not_transition]] 의 데이터 판본).
   #   앵커를 **추적되는 파일**로 옮긴다 — `.claude/capabilities/*.cap` 은 커밋돼 있어
   #   어느 체크아웃에서도 존재한다. 수집 경로가 죽으면 이 카운트가 0 이 되어 빨개진다.
+  # 🟥 2026-08-20 — 이 레인은 **두 군데가 저자의 체크아웃에 결박**돼 있었고, 소비자 설치에서
+  #   전건 적색이었다(실측: 레지스트리 실물 2.5.1 에서 `discover` rc=10 → selfcheck FAIL).
+  #     ⓐ 전제: `discover` 는 `tracks/` 매핑 목록을 전제하는데 `tracks/` 는 gitignored 라
+  #        **배포물에 구조적으로 존재할 수 없다.** 부재는 «능력 0» 이 아니라 **미측정**이므로
+  #        FAIL 이 아니라 이름 있는 SKIP 으로 낸다([[feedback_not_found_is_not_zero_family]]).
+  #     ⓑ 🟥 **초판이 여기서 틀렸고, cross-family(codex/gpt-5.5)가 잡았다 — 자력 적발 0.**
+  #        기대 문자열 `^forge-harness\(hub\)` 를 «폴더명 결박» 으로 읽고 `basename` 유도로
+  #        바꿨는데, **생산자(:128)는 리터럴 `forge-harness(hub)` 를 낸다.** 즉 유도로 바꾸면
+  #        이름이 다른 트리에서 기대와 산출이 갈려 **거짓 FAIL** 이 된다 — 이 파일이 바로 위에서
+  #        경고하는 divergent-normalizer 를 수리가 새로 만든 꼴이다. 되돌렸다.
+  #        진단 정정: 이 라벨은 «디렉터리 이름»이 아니라 **허브의 상수 식별자**다. 양쪽이 같은
+  #        상수를 쓰는 한 어느 체크아웃에서도 일치하므로 결박이 아니다. 결박은 ⓐ 하나였다.
+  local _hubroot
+  _hubroot="$(cd -P "$(dirname "$SELF")/.." && pwd)"
+  tracked_n="$(_cap_files "$_hubroot/.claude/capabilities" | wc -l | tr -d ' ')"
   out="$(bash "$SELF" discover 2>&1)"; rc=$?
-  # ★세는 규칙은 도구와 **같아야 한다**. 초판은 `ls .../*.cap`(비재귀)였는데 도구가 재귀로
-  #   바뀌자 레인만 2를 세고 도구는 5를 세어 거짓 적색이 났다 — 레인 자신이
-  #   divergent-normalizer 가 된 경우다. `_cap_files` 한 벌로 통일한다.
-  tracked_n="$(_cap_files "$(cd -P "$(dirname "$SELF")/.." && pwd)/.claude/capabilities" | wc -l | tr -d ' ')"
-  if [ "${tracked_n:-0}" -lt 1 ]; then
+  if [ ! -d "$_hubroot/tracks" ]; then
+    echo "  ⏭  L13c SKIP — tracks/ 부재라 discover 의 전제가 없다(gitignored, 배포물에 구조적 부재). 미측정이지 «0건» 아님"
+  elif [ "${tracked_n:-0}" -lt 1 ]; then
     f=$((f+1)); echo "  ❌ L13c 전제 파손 — 추적되는 .claude/capabilities/*.cap 이 0건이다(앵커 대상 부재)"
   elif printf '%s' "$out" | grep -qE '^forge-harness\(hub\)[[:space:]]+OK[[:space:]]+'"$tracked_n"'[[:space:]]'; then
     p=$((p+1)); echo "  ✅ L13c 실물 수집이 살아 있다 — 허브 자신의 추적 선언 ${tracked_n}건을 실제로 집었다"

package/scripts/digest_landing_check.sh

@@ -100,7 +100,12 @@ CHECKER="$SELF_DIR/utterance_landing_check.sh"
 #    다중 경로 지원과의 트레이드오프라 오늘은 **문서화만** 했고 기계 검사는 없다.
 DLC_TRACKED_PATHS="${DLC_TRACKED_PATHS:-knowledge CLAUDE.md}"   # git 추적축 (커밋시각)
 DLC_IGNORED_DIR="${DLC_IGNORED_DIR-tracks/_meta}"               # gitignored 축 (mtime). 빈 값 = 그 축 없음
-SECTION_RE='^## .*Immediate Application Candidates'
+# 🟥 2026-08-19 — 이 정규식은 **FH 자기 어휘**였고 오버라이드가 없었다. 위성 산출의 절 제목은
+# 대상 프로필이 정한다(`## <대상> Application Candidates`) — 즉 계기가 **대상 레포에서는 구조적으로
+# 후보를 못 찾는다.** 실측: forge-wiki·the-bible 둘 다 rc=10. R1(디렉터리를 타깃 파일로 넘김)과
+# 같은 계열이다 — 「배선 완료」로 보고된 계기가 대상 축에서 죽어 있는 형태.
+# 기본값은 종전 그대로라 FH 자기 런은 무변경.
+SECTION_RE="${DLC_SECTION_RE:-^## .*Immediate Application Candidates}"
 
 # 후보 표에서 (id, 판별토큰 OR 정규식) 을 뽑는다. 토큰 없으면 id 만 내고 정규식은 빈 값.
 _extract() { # $1 = digest path
@@ -362,6 +367,18 @@ do_check() {
 }
 
 do_self_test() {
+  # 🟥 2026-08-20 — 아래 레인들은 컨트롤을 **픽스처가 실제로 담은 토큰으로 고정**한다.
+  #    고정 전에는 컨트롤이 `basename "$FH"` 로 유도됐고, 픽스처 카드가 리터럴
+  #    `forge-harness session card` 를 담고 있어서 **체크아웃 디렉터리 이름이 `forge-harness`
+  #    일 때만** 컨트롤이 살았다. npm 소비자는 `node_modules/@chrono-meta/fh-gate` 에 깔리므로
+  #    거기서는 컨트롤이 전건 사망 → 착지 판정 레인 5개가 전부 rc=10 이 됐다.
+  #    known-pair 실측(같은 바이트, 디렉터리명만 교체): `forge-harness/` 15/15 PASS ·
+  #    `some-consumer-app/` 5/15 FAIL. 즉 계기가 **저자의 폴더 이름에 결박**돼 있었다.
+  #    🟥 «10 을 기대하는» 레인들도 같이 고정한다 — 그 레인들은 고정 전에도 10 을 냈지만
+  #    그건 **의도한 사유가 아니라 컨트롤 사망** 때문이었다(거짓 초록).
+  #    🟥 N1(컨트롤 사망)·★N-ctl(유도가 도는가)·★N-ctl-re 는 **일부러** 유도/사망을 주장하므로
+  #    고정하지 않는다. 거기에 넣으면 그 레인의 주장이 뒤집힌다.
+  #    선행 관용구 = 이 파일의 ★N-git 레인(“컨트롤은 픽스처가 담은 토큰으로 고정”).
   local T; T="$(mktemp -d -t dlc_t.XXXXXX)" || return 10
   local pass=0 fail=0 rc
   _t() { if [ "$2" = "$3" ]; then echo "✅ $1 → rc=$3"; pass=$((pass+1));
@@ -384,12 +401,12 @@ EOF
   printf 'forge-harness session card\nallow_force_pushes 잔여가 거짓임을 실측했다\n' > "$T/tgt/card.md"
 
   # P1 — 착지분과 미착지분이 섞이면 rc=1 (미착지 있음)
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "M2 착지 · R2 미착지 → 미착지 검출(1)" 1 "$rc"
 
   # P2 — 둘 다 착지시키면 0
   printf 'prime_agent_sister_asset 도 기록했다\n' >> "$T/tgt/card.md"
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "둘 다 착지 → 전건 착지(0)" 0 "$rc"
 
   # N1 — 컨트롤 사망(타깃에 컨트롤 토큰이 없다) → HARNESS-ERROR(10), PASS 도 FAIL 도 아님
@@ -506,7 +523,7 @@ EOF
   # N2a — 후보가 **전부** 판별불가면 TARGET 이 0건이다. 이건 "미착지" 가 아니라
   #        **계기 부적용**이고, 착지 검증기가 rc=10(PASS 도 FAIL 도 아님)을 낸다.
   #        초판은 여기 기대값을 1 로 적었는데 **내 기대가 틀렸다** — 전부 못 쟀으면 에러다.
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest_unchk.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest_unchk.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "판별불가만 있는 digest → HARNESS-ERROR(10), '착지 0건' 아님" 10 "$rc"
 
   # N2b ★ 진짜 중요한 레인 — **혼합**. 잴 수 있는 건 전부 착지했는데 판별불가가 섞였다.
@@ -522,20 +539,34 @@ EOF
 
 ## end
 EOF
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest_mixed.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest_mixed.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "★혼합(착지 전건 + 판별불가 1) → 0 아님(미측정을 분모에서 안 지운다)" 1 "$rc"
 
   # N3 — 후보 절이 없는 digest → 10 (0건과 미검출을 가른다)
   printf '# digest\n## 다른 절\n내용\n' > "$T/nosection.md"
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/nosection.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/nosection.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "후보 절 부재 → HARNESS-ERROR(10), '0건 착지' 아님" 10 "$rc"
 
+  # N3-b — **대상 어휘 절 제목**은 기본 정규식으로 못 찾고, DLC_SECTION_RE 로는 찾는다.
+  #   🟥 2026-08-19 첫 실사용 발견: 위성 산출의 절 이름은 대상 프로필이 정하는데
+  #   (`## <대상> Application Candidates`) 체커 기본값은 FH 어휘(`Immediate ...`)라
+  #   **위성에서는 구조적으로 rc=10** 이었다(forge-wiki·the-bible 양쪽 실측).
+  #   🟥 픽스처의 후보 머리는 **`**` 형식**이어야 한다 — 평범한 `- ` 불릿은 항목으로 안 잡혀
+  #   arm 도 10 을 내고, 그러면 이 레인이 «오버라이드가 안 먹는다» 는 거짓 결론을 낸다
+  #   (초판이 그렇게 틀렸다 — 픽스처는 뚫리는 표기로 골라야 한다).
+  printf '# digest\n## the-target Application Candidates\n**[A] 후보** — `%s` 를 고친다\n' "card.md" > "$T/targetvocab.md"
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/targetvocab.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  _t "★N3-b control — 대상 어휘 절은 기본 정규식으로 못 찾는다(10)" 10 "$rc"
+  rc=0; DLC_SECTION_RE='^## .*Application Candidates' \
+        DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/targetvocab.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  _t "★N3-b arm — DLC_SECTION_RE 오버라이드가 절을 찾는다(10 아님)" "not10" "$([ "$rc" -eq 10 ] && echo is10 || echo not10)"
+
   # N4 — digest 파일 자체가 없음 → 10
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/does-not-exist.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/does-not-exist.md" >/dev/null 2>&1 || rc=$?
   _t "digest 부재 → rc=10" 10 "$rc"
 
   # N5 컨트롤 — P2 가 여전히 0 인가 (앞 레인이 상태를 오염시키지 않았는지)
-  rc=0; bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
+  rc=0; DLC_CONTROLS="forge-harness session" bash "$SELF_DIR/$(basename "${BASH_SOURCE[0]}")" "$T/digest.md" "$T/tgt/card.md" >/dev/null 2>&1 || rc=$?
   _t "컨트롤 — 정상 케이스 재확인" 0 "$rc"
 
   rm -rf "$T"

package/scripts/package_coverage_check.sh

@@ -110,6 +110,15 @@ ACCEPTED_ABSENT=(
   #     honest state is "declared, and the declaration records a debt" — carried to the card.
   "scripts/test_chamber_run_lanes.sh"
   "scripts/test_frontier_digest_retry.sh"
+  #   · test_satellite_publish_gate_lanes.sh / test_satellite_profile_schema_lanes.sh
+  #     — 2026-08-20. 같은 모양이고, 둘 다 **이미 files[] 에 들어간 채 배포된 뒤에** 잡혔다.
+  #     주체가 frontier_digest_daily.sh(아래 ACCEPTED_ABSENT)라 소비자 머신엔 잴 대상이 없다.
+  #     🟥 실측(레지스트리 실물 2.5.1, 소비자 설치에서 실행): publish_gate 4 passed / 21 failed,
+  #     `rc=127`(러너 부재) → selfcheck 가 하드 FAIL → **배포본이 `SELFCHECK: FAIL` 이었다.**
+  #     🟥 이 검사기는 그걸 rc=0 으로 통과시켰다 — 여기는 「참조된 경로가 출하되나」를 보지
+  #     「출하된 레인의 **주체**가 출하되나」를 안 본다. 그 갭은 아직 안 닫혔다(명시 잔여).
+  "scripts/test_satellite_publish_gate_lanes.sh"
+  "scripts/test_satellite_profile_schema_lanes.sh"
   "scripts/residency_closure_scan.py"
   "scripts/test_residency_closure_lanes.sh"
   # ── The two settings destinations, surfaced 2026-08-13 by fixing this file's own extractor ────

package/scripts/selfcheck.sh

@@ -707,7 +707,18 @@ fi
 # 🟥 이 배선이 없어서 CI 가 `lane-runner: lane suite(s) with no runner and no declaration` 로
 # 빨갰다. 스위트를 신설하고 아무 데서도 안 돌린 것 — 검사기의 표현대로
 # *"A suite nothing executes is prose."* 그 검사기가 내 신설 레인을 잡았다.
-if [ ! -f scripts/test_satellite_publish_gate_lanes.sh ]; then
+# 🟥 2026-08-20 — 대상 축 가드. 이 두 레인의 **주체는 `scripts/frontier_digest_daily.sh`** 이고
+# 그 러너는 의도적으로 출하 대상이 아니다(소비자 계정으로 `claude` CLI 를 태우고 `tracks/` 에 쓴다 —
+# `package_coverage_check.sh` ACCEPTED_ABSENT 가 그 이유를 명시한다). 가드 전에는 레인 파일 존재만
+# 봤기 때문에, 소비자 설치에서 러너가 없는 채로 레인이 실행돼 **rc=127 로 무더기 FAIL** 했다.
+# 실측(레지스트리 실물 2.5.1): publish_gate 4 passed / 21 failed → `SELFCHECK: FAIL`.
+# 🟥 그리고 통과한 쪽이 더 나빴다 — "G1b dispatch 자체가 안 일어남 ✅" 은 러너가 **없어서** 통과한
+# 거짓 초록이다([[feedback_not_found_is_not_zero_family]]).
+# 판정은 `_absent_subject_verdict` 한 곳에 위임한다 — 「files[] 에 없고 부재」면 SKIP,
+# 「출하 선언됐는데 부재」면 삭제/깨진 설치라 FAIL, 매니페스트를 못 읽으면 UNDECIDABLE 로 FAIL.
+if [ ! -f scripts/frontier_digest_daily.sh ]; then
+  _absent_subject_verdict "test_satellite_publish_gate_lanes.sh" "scripts/frontier_digest_daily.sh" || fail=1
+elif [ ! -f scripts/test_satellite_publish_gate_lanes.sh ]; then
   echo "FAIL  test_satellite_publish_gate_lanes.sh: missing — publish gate has no anchor"
   fail=1
 elif _out=$(bash scripts/test_satellite_publish_gate_lanes.sh < /dev/null 2>&1); then
@@ -718,6 +729,23 @@ else
   fail=1
 fi
 
+# test_satellite_profile_schema_lanes — 프로필 스키마 게이트(2026-08-19, 처방 1+3 · C-2).
+# 🟥 신설하고 안 배선해서 `lane-runner: A suite nothing executes is prose` 로 CI 가 빨갰다.
+#    바로 윗 블록이 **같은 사고의 기록**인데 그걸 읽고도 같은 실수를 했다 — 산문은 자기
+#    바로 위에 있어도 안 읽힌다는 실측이고, 잡은 것은 검사기다.
+if [ ! -f scripts/frontier_digest_daily.sh ]; then
+  _absent_subject_verdict "test_satellite_profile_schema_lanes.sh" "scripts/frontier_digest_daily.sh" || fail=1
+elif [ ! -f scripts/test_satellite_profile_schema_lanes.sh ]; then
+  echo "FAIL  test_satellite_profile_schema_lanes.sh: missing — 프로필 스키마 게이트에 앵커 없음"
+  fail=1
+elif _out=$(bash scripts/test_satellite_profile_schema_lanes.sh < /dev/null 2>&1); then
+  echo "PASS  test_satellite_profile_schema_lanes.sh ($(printf '%s\n' "$_out" | grep -oE 'PASS=[0-9]+ FAIL=[0-9]+' | tail -1))"
+else
+  echo "FAIL  test_satellite_profile_schema_lanes.sh: 프로필 스키마 레인 실패"
+  _show_failure "$_out"
+  fail=1
+fi
+
 # test_evidence_root_psa_lanes — 워크트리에서 기밀성 오버라이드를 찾는가 (R4, 2026-08-18).
 # 🟥 `EVIDENCE_ROOT` 에는 레인이 **하나도 없었다** — 그래서 `tracks/` 만 옮기고 gitignored
 # 패턴 파일은 안 옮긴 반쪽-픽스가 그대로 출하됐다. 되돌림 프로브로 E1 만 적색 확인.

package/scripts/test_satellite_publish_gate_lanes.sh

@@ -1,339 +0,0 @@
-#!/usr/bin/env bash
-# test_satellite_publish_gate_lanes.sh — known-pair anchor for the satellite's publish gate.
-#
-# WHY (2026-08-18, 원정 2차)
-#   frontier_digest_daily.sh 는 FH 자신만 대상으로 지어졌고, FH 의 digest 는 gitignored
-#   `tracks/` 에 떨어진다 — 그래서 **공개 노출 문제가 없었다**. 위성이 **공개 레포**를 대상으로
-#   돌면 **매 런이 publish** 다(비가역 표면). §Irreversibility Surface-Class Degrade Invariant:
-#   비가역 표면은 fail-CLOSED — 스캐너가 못 재면 «통과»가 아니라 «보류»다.
-#
-#   🟥 이 스위트의 진짜 주장은 «스캔한다»가 아니라 **«세 값을 두 값으로 접지 않는다»** 다.
-#   CLEAN(0) · LEAK(1) · NOT-SCANNED(3) 은 처방이 각각 다르다: 각각 게시 / 격리 / 보류.
-#   접으면 «못 쟀다»가 «깨끗하다»로 렌더된다 — [[feedback_not_found_is_not_zero_family]].
-#
-# Lanes
-#   P1  CLEAN     → rc=0, 파일 그대로 (게시)
-#   P2  LEAK      → rc=2, 파일이 .QUARANTINE 로 격리 (게시 안 됨)
-#   P3  NOT-SCAN  → rc=3, 파일이 .UNSCANNED 로 보류 (게시 안 됨) — 스캐너가 죽어도 fail-closed
-#   N1  CONTROL — FD_PUBLIC_TARGET 미설정 → 게이트 자체가 안 돈다 (FH 프로덕션 경로 무변경)
-#   N2  CONTROL — P2 와 P3 의 rc 가 **다르다**(2 vs 3). 같으면 두 실패가 한 값으로 접힌 것이다
-#   P4  착지 증언이 **실제로 로그에 찍힌다** — 직전 digest 가 없으면 «SKIPPED (not a pass)».
-#       배선했다 ≠ 발화한다. 그리고 SKIP 을 통과로 렌더하지 않는 것까지 주장한다
-#
-#   R1  착지 증언이 **살아 있다** — 러너가 부르는 형태로 rc=10(계기 사망)이 아니어야 한다
-#   R1n CONTROL — 옛 형태(디렉터리를 타깃으로)는 지금도 rc=10 이다. 고친 게 이거라는 증명
-#   R2  공개 대상이면 로그가 **OUT_DIR 밖**이다 / R2n CONTROL — 비공개면 종전 자리 그대로
-#   R2b LEAK 로그에 **토큰 원문이 없다**(리댁션) — 유출을 격리하며 같은 자리에 복사하지 않는다
-#   R3  같은 날 파일이 둘이고 **뒤엣것이 LEAK** 이면 rc=2 — head -1 이면 CLEAN 이 나온다
-#
-# Exit 0 = 전 레인.
-set -u
-ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/.." && pwd)"
-# 🟥 arm 간 전달 파일을 **고정 `/tmp` 이름**으로 쓰면 안 된다 (보안 패스 2026-08-18, MED·재현됨).
-#    `/tmp/.lw_clean` · `/tmp/.lg_leak` 처럼 이름이 6개 전부 고정이라 심볼릭 링크 선점으로
-#    임의 파일이 덮인다(`cp` 가 링크를 따라간다). 게다가 정리 코드가 없어 게이트 **로그 사본**이
-#    `/tmp` 에 644 로 영구히 남았다 — 기밀성 축의 정반대 방향이다.
-SCRATCH="$(mktemp -d "${TMPDIR:-/tmp}/fh_satlane.XXXXXX")" || exit 1
-trap 'rm -rf "$SCRATCH"' EXIT
-pass=0; fail=0
-t() { if [ "$2" = "$3" ]; then echo "  ✅ $1"; pass=$((pass+1)); else echo "  ❌ $1 — got [$3] want [$2]"; fail=$((fail+1)); fi }
-
-run() { # $1 = digest body · $2 = psa_lib override ("dead") · $3 = arm 이름 → echoes "rc|state"
-  local td; td=$(mktemp -d)
-  mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$td/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-  # 🟥 오버라이드 파일이 없으면 스캐너는 `override_absent(HIGH operator literals unscanned)` 로
-  # **NOT SCANNED** 를 낸다 — MED 히트를 찾고도 «부분 커버리지는 판정이 아니다»라며 거부한다.
-  # 엄격하게 옳은 동작이고, 그래서 이 픽스처는 **합성 리터럴**로 자립시킨다: 운영자의 실제
-  # 리터럴에 의존하면 이 스위트가 그 파일의 존재 여부에 따라 갈린다.
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$td/.claude/rules/.public-surface-patterns"
-  if [ "$2" = "dead" ]; then printf '#!/usr/bin/env bash\npsa_load(){ :; }\npsa_scan_file(){ return 3; }\n' > "$td/scripts/psa_scan_lib.sh"
-  else cp "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"; fi
-  printf '%s\n' "$1" > "$td/out/frontier_digest_$(date +%Y_%m_%d).md"
-  # 러너가 digest_ready 로 이미 있는 파일을 보고 조기 종료하지 않도록, 게이트 경로를 직접 태운다:
-  # attempt 루프 진입 전에 skip 하므로 여기서는 러너 본체 대신 게이트 분기만 재현할 수 없다.
-  # → 러너를 그대로 돌리되 CLAUDE_BIN 을 no-op 스텁으로 줘서 attempt 를 태운다.
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-  local out rc
-  # R2 이후 공개 대상의 로그는 OUT_DIR 밖이다 — arm 은 자기 위치를 명시한다(레인이 로그를 읽어야 하므로)
-  out=$(cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_PUBLIC_TARGET=1 \
-        FD_LOG_DIR="$td/logs" \
-        FD_CLAUDE_BIN="$td/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_ATTEMPT_TIMEOUT_SECS=20 \
-        FD_POLL_SECS=1 bash scripts/frontier_digest_daily.sh 2>&1); rc=$?
-  local state=none
-  ls "$td/out/"*.QUARANTINE >/dev/null 2>&1 && state=quarantine
-  ls "$td/out/"*.UNSCANNED  >/dev/null 2>&1 && state=unscanned
-  ls "$td/out/"*.md         >/dev/null 2>&1 && [ "$state" = none ] && state=published
-  # 착지 증언이 로그에 남았는지 (P4 가 읽는다)
-  # 🟥 arm 마다 따로 남긴다. 초판은 단일 파일에 덮어써서 **마지막 arm(P3, 스캐너 사망)** 것을
-  # 잡았는데, 거기선 게이트가 실패해 증언이 안 도는 게 정상이다 — 레인이 정상 동작을 실패로
-  # 렌더할 뻔했다. 판정 대상 arm 을 이름으로 고른다.
-  grep -h "landing witness" "$td/logs/"*.log 2>/dev/null | head -1 > "$SCRATCH/lw_$3" || : 
-  # R2 레인이 읽는다: LEAK arm 의 로그에 토큰 원문이 남았나
-  cp "$td/logs/"*.log "$SCRATCH/lg_$3" 2>/dev/null || : 
-  echo "$rc|$state"
-  rm -rf "$td"
-}
-
-CLEAN_BODY="# digest
-A clean digest with no operator-private tokens. $(head -c 1200 /dev/zero | tr '\0' 'x')"
-LEAK_BODY="# digest
-this line carries ZZ_SYNTHETIC_LEAK_TOKEN_ZZ which the fixture pattern file flags HIGH. $(head -c 1200 /dev/zero | tr '\0' 'x')"
-
-r=$(run "$CLEAN_BODY" live clean); t "P1 CLEAN → 게시"            "0|published"  "$r"
-r=$(run "$LEAK_BODY"  live leak);  t "P2 LEAK → 격리(.QUARANTINE)" "2|quarantine" "$r"; P2RC=${r%%|*}
-r=$(run "$CLEAN_BODY" dead dead);  t "P3 스캐너 사망 → 보류(.UNSCANNED)" "3|unscanned" "$r"; P3RC=${r%%|*}
-
-# N1 — 게이트 미활성(FD_PUBLIC_TARGET 없음)이면 LEAK 본문이어도 게시된다 = FH 경로 무변경
-td=$(mktemp -d); mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-cp "$ROOT/scripts/frontier_digest_daily.sh" "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"
-cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-printf '%s\n' "$LEAK_BODY" > "$td/out/frontier_digest_$(date +%Y_%m_%d).md"
-printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-out=$(cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_CLAUDE_BIN="$td/scripts/stub-claude" \
-      FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 bash scripts/frontier_digest_daily.sh 2>&1); n1rc=$?
-n1state=published; ls "$td/out/"*.QUARANTINE >/dev/null 2>&1 && n1state=quarantine
-t "N1 control — 게이트 미활성이면 안 돈다(FH 경로 무변경)" "0|published" "$n1rc|$n1state"
-rm -rf "$td"
-
-lw=$(cat "$SCRATCH/lw_clean" 2>/dev/null)   # 게이트가 CLEAN 인 arm 에서만 증언이 돈다
-case "$lw" in *"landing witness"*) r=logged ;; *) r=absent ;; esac
-t "P4 착지 증언이 로그에 찍힌다(배선했다≠발화한다)" "logged" "$r"
-case "$lw" in *"SKIPPED (not a pass)"*) r=honest ;; *"ALL-LANDED"*) r=honest ;; *"SOME-UNLANDED"*) r=honest ;; *"HARNESS-ERROR"*) r=honest ;; *) r=other ;; esac
-t "P4b SKIP 을 통과로 렌더하지 않는다"          "honest" "$r"
-
-t "N2 control — LEAK 과 NOT-SCANNED 의 rc 가 다르다" "different" "$([ "${P2RC:-x}" != "${P3RC:-y}" ] && echo different || echo collapsed)"
-
-# ── FD_PROFILE 갈래 (2026-08-18) ──────────────────────────────────────────
-# 🟥 이 배선은 **한 번 소실됐다.** forge-wiki 워킹 사본에만 넣었다가 PR 정리 때 rm 했고,
-# 그 사실을 몰라 다음 대상의 약한 산출을 «입장 티어가 낮다»·«스킬을 못 불렀다»로 오진했다.
-# 산출물은 커밋됐는데 그걸 만든 코드가 없던 상태 — 그래서 레인으로 못 박는다.
-_prompt() { FH_DIR="$1" OUT_DIR=out HUMAN_DATE=2026-08-18 TODAY=2026_08_18 PROFILE_PATH="$2" \
-  bash -c "$(sed -n '/^_build_prompt()/,/^}/p' "$ROOT/scripts/frontier_digest_daily.sh")
-_build_prompt"; }
-pd=$(mktemp -d); printf 'PROFILE_CANARY_BODY
-' > "$pd/p.md"
-case "$(_prompt "$pd" "p.md")" in *"PROFILE_CANARY_BODY"*) r=in ;; *) r=missing ;; esac
-t "P5 프로필이 프롬프트에 실제로 실린다"        "in" "$r"
-case "$(_prompt "$pd" "p.md")" in *"STANDPOINT"*) r=yes ;; *) r=no ;; esac
-t "P5b 입장 지시(대상 소스를 열어라)가 실린다"   "yes" "$r"
-case "$(_prompt "$pd" "")" in *"STANDPOINT"*|*"TARGET HARNESS"*) r=leaked ;; *) r=clean ;; esac
-t "N3 control — 프로필 미설정이면 종전 문자열 그대로(FH 경로 무변경)" "clean" "$r"
-case "$(_prompt "$pd" "nonexistent.md")" in *"STANDPOINT"*) r=leaked ;; *) r=clean ;; esac
-t "N4 control — 프로필 경로가 없으면 조용히 종전 경로(존재하지 않는 파일을 실었다고 안 한다)" "clean" "$r"
-rm -rf "$pd"
-
-
-# ── R1~R3 (2026-08-18) · 압축 후 수리분 앵커 ───────────────────────────────
-# 🟥 세 결함 다 **내가 같은 날 만들었고**, 셋 다 레인이 없어서 「배선 완료」로 보고됐다.
-
-# R2 · 공개 대상이면 로그가 OUT_DIR **밖**이다
-_logloc() { # $1 = FD_PUBLIC_TARGET 값 → echoes inside|outside
-  local td; td=$(mktemp -d); mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$td/scripts/"
-  cp "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$td/.claude/rules/.public-surface-patterns"
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-  printf 'clean body — 아무 토큰도 없다\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" \
-    > "$td/out/frontier_digest_$(date +%Y_%m_%d).md"
-  ( cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_PUBLIC_TARGET="$1" \
-    FD_CLAUDE_BIN="$td/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash scripts/frontier_digest_daily.sh ) >/dev/null 2>&1
-  local r=outside
-  [ -d "$td/out/logs" ] && r=inside
-  echo "$r"; rm -rf "$td"
-}
-t "R2 공개 대상이면 로그가 OUT_DIR 밖에 앉는다"  "outside" "$(_logloc 1)"
-t "R2n control — 비공개면 종전 자리 그대로(FH 경로 무변경)" "inside"  "$(_logloc 0)"
-
-# R2b · LEAK 로그에 토큰 원문이 남지 않는다 (run() 이 "$SCRATCH/lg_leak" 에 복사해 둔다)
-if [ -f "$SCRATCH/lg_leak" ]; then
-  if grep -q 'ZZ_SYNTHETIC_LEAK_TOKEN_ZZ' "$SCRATCH/lg_leak"; then r=raw
-  elif grep -q 'REDACTED' "$SCRATCH/lg_leak"; then r=redacted
-  else r=nofinding; fi
-else r=nolog; fi
-t "R2b LEAK 로그가 토큰 원문을 안 적는다(리댁션)" "redacted" "$r"
-# R2c · 리댁션이 **allowlist 줄 형태**(끝이 `)`)도 가린다 — 초판은 줄 끝 앵커라 놓쳤다
-_red() { bash -c "$(sed -n '/^_redact()/,/^}/p' "$ROOT/scripts/frontier_digest_daily.sh")
-_redact \"\$1\"" _ "$1"; }
-case "$(_red "  ⚪ allowlisted — f.md: 'ZZ_TOK_ZZ' (row: f.md :: ZZ_TOK_ZZ)")" in
-  *ZZ_TOK_ZZ*) r=raw ;; *REDACTED*) r=redacted ;; *) r=other ;;
-esac
-t "R2c 리댁션이 allowlist 줄 형태도 가린다"      "redacted" "$r"
-case "$(_red "  ❌ HIGH leak — f.md: 'ZZ_TOK_ZZ'")" in
-  *ZZ_TOK_ZZ*) r=raw ;; *REDACTED*) r=redacted ;; *) r=other ;;
-esac
-t "R2c-n control — 종전 형태(줄 끝 인용)도 여전히 가린다" "redacted" "$r"
-
-# R2d · **경로 쪽** 토큰 (cross-family/codex F2) — 파일명에 토큰이 들어가면 왼쪽이 남았다
-_leaky_name() {
-  local td; td=$(mktemp -d); mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$td/.claude/rules/.public-surface-patterns"
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-  local d; d=$(date +%Y_%m_%d)
-  # 🟥 파일명 자체에 토큰이 들어간 케이스. 본문에도 넣어야 스캐너가 히트를 낸다.
-  printf 'ZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" \
-    > "$td/out/frontier_digest_${d}-ZZ_SYNTHETIC_LEAK_TOKEN_ZZ.md"
-  ( cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_PUBLIC_TARGET=1 FD_LOG_DIR="$td/logs" \
-    FD_CLAUDE_BIN="$td/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash scripts/frontier_digest_daily.sh ) >/dev/null 2>&1
-  if grep -q 'ZZ_SYNTHETIC_LEAK_TOKEN_ZZ' "$td/logs/"*.log 2>/dev/null; then echo raw
-  elif grep -q 'FILENAME REDACTED' "$td/logs/"*.log 2>/dev/null; then echo redacted
-  else echo other; fi
-  rm -rf "$td"
-}
-t "R2d 파일명에 든 토큰도 로그에 안 남는다"       "redacted" "$(_leaky_name)"
-
-# R3 · 같은 날 파일이 둘이면 **전부** 스캔한다 (head -1 이면 앞엣것만 보고 CLEAN 을 낸다)
-_two_files() {
-  local td; td=$(mktemp -d); mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$td/scripts/"
-  cp "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$td/.claude/rules/.public-surface-patterns"
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-  local d; d=$(date +%Y_%m_%d)
-  # 🟥 «먼저 걸리는» 쪽을 깨끗하게 둔다 — 초판(head -1)이면 이쪽만 보고 CLEAN 을 냈다.
-  printf 'aaa clean\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" > "$td/out/frontier_digest_${d}.md"
-  printf 'zzz ZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" \
-    > "$td/out/frontier_digest_${d}_b.md"
-  local rc
-  ( cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_PUBLIC_TARGET=1 FD_LOG_DIR="$td/logs" \
-    FD_CLAUDE_BIN="$td/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash scripts/frontier_digest_daily.sh ) >/dev/null 2>&1; rc=$?
-  local q=no; ls "$td/out/"*_b.md.QUARANTINE >/dev/null 2>&1 && q=yes
-  echo "$rc|$q"; rm -rf "$td"
-}
-r=$(_two_files)
-t "R3 둘째 파일의 LEAK 을 놓치지 않는다(rc)"      "2"   "${r%%|*}"
-t "R3b 둘째 파일이 실제로 격리된다"               "yes" "${r##*|}"
-
-# R3c · 선택자 자기모순(digest_ready 참인데 게이트가 볼 파일 0건) → **보류**, 게시 아님
-_selector_race() {
-  local td; td=$(mktemp -d); mkdir -p "$td/scripts" "$td/out" "$td/.claude/rules"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$ROOT/scripts/psa_scan_lib.sh" "$td/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$td/.claude/rules/" 2>/dev/null
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$td/.claude/rules/.public-surface-patterns"
-  # digest_files 를 «참이라 말하고 목록은 비게» 만든다 — 레이스의 최소 재현
-  cat > "$td/drv.sh" <<'EOD'
-FD_FH_DIR="$PWD"; export FD_FH_DIR
-eval "$(sed -n '/^publish_gate()/,/^}/p' scripts/frontier_digest_daily.sh)"
-eval "$(sed -n '/^_redact()/,/^}/p' scripts/frontier_digest_daily.sh)"
-digest_files() { :; }               # 0건
-FH_DIR="$PWD"; OUT_DIR=out; LOG_FILE=/dev/null; FD_PUBLIC_TARGET=1
-publish_gate; echo "rc=$?"
-EOD
-  local o; o=$(cd "$td" && bash drv.sh 2>&1); rm -rf "$td"; echo "${o##*rc=}"
-}
-t "R3c 선택자 자기모순은 게시가 아니라 보류(3)" "3" "$(_selector_race)"
-
-# R1 · 착지 증언이 **러너를 통해** 살아 있다
-# 🟥 초판 레인은 checker 를 **직접** 불러서, R1 을 원복해도 초록이었다 — 호출부를 우회한
-#    장식 앵커다([[feedback_anchor_can_be_decorative]]). 되돌림 프로브가 그걸 잡았다.
-#    지금은 **러너를 돌리고 그 로그**를 읽는다. 러너가 어떻게 부르는지가 판정 대상이다.
-_runner_witness() { # echoes verdict-word from the log
-  local td; td=$(mktemp -d)
-  ( cd "$td" && git init -q . && git config user.email t@t && git config user.name t ) >/dev/null 2>&1
-  mkdir -p "$td/scripts" "$td/out" "$td/knowledge"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$ROOT/scripts/digest_landing_check.sh" \
-     "$ROOT/scripts/utterance_landing_check.sh" "$td/scripts/"
-  chmod +x "$td/scripts/digest_landing_check.sh"
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$td/scripts/stub-claude"; chmod +x "$td/scripts/stub-claude"
-  local d; d=$(date +%Y_%m_%d)
-  cat > "$td/out/frontier_digest_2001_01_01.md" <<'EOF'
-# prev digest
-## 📌 FH Immediate Application Candidates
-
-| # | 티어 | 내용 |
-|---|---|---|
-| **M1** | **M** | `ZZ_LANDED_TOKEN_ZZ` 를 배선한다 |
-EOF
-  sleep 1
-  printf 'ZZ_LANDED_TOKEN_ZZ 배선함 · ZZ_CTL_ZZ\n' > "$td/out/landed.md"
-  printf 'today body\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" > "$td/out/frontier_digest_${d}.md"
-  ( cd "$td" && FD_FH_DIR="$td" FD_OUT_DIR="out" FD_LOG_DIR="$td/logs" \
-    FD_LANDING_TRACKED="knowledge" FD_LANDING_IGNORED="out" FD_LANDING_CONTROLS="ZZ_CTL_ZZ" \
-    FD_CLAUDE_BIN="$td/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash scripts/frontier_digest_daily.sh ) >/dev/null 2>&1
-  local lw; lw=$(grep -h "landing witness" "$td/logs/"*.log 2>/dev/null | tail -1)
-  case "$lw" in
-    *HARNESS-ERROR*) echo dead ;;
-    *ALL-LANDED*)    echo landed ;;
-    *SOME-UNLANDED*) echo measured ;;
-    *SKIPPED*)       echo skipped ;;
-    *)               echo none ;;
-  esac
-  rm -rf "$td"
-}
-t "R1 러너가 부르는 형태에서 계기가 살아 있다(HARNESS-ERROR 아님)" "landed" "$(_runner_witness)"
-
-# R5 · «직전 다이제스트» 선택이 **표기 혼재**에서도 옳은가 (첫 실사용 발견)
-# 🟥 실물 코퍼스에는 `2026-06-02`(대시)와 `2026_08_17`(언더바)가 **섞여 있다.** 로케일 정렬은
-#    대시본을 뒤로 보내 **두 달 전 파일**을 직전으로 골랐고, 그 파일엔 후보 절이 없어 매 런
-#    HARNESS-ERROR 였다. 픽스처가 한 표기만 쓰면 레인 21개가 다 초록인 채로 이게 산다.
-_prev_pick() {
-  local td; td=$(mktemp -d); mkdir -p "$td/out"
-  # 🟥 **같은 연도**여야 재현된다. 첫 픽스처는 `2020-06-02` 를 썼는데 그건 로케일 정렬에서도
-  #    올바르게 뒤로 가서 **버그 판본도 초록**이었다(되돌림 프로브가 잡은 세 번째 장식 앵커).
-  #    실물 코퍼스의 표기를 그대로 쓴다: `2026-06-02` vs `2026_08_17`.
-  : > "$td/out/frontier_digest_2026-06-02.md"     # 옛 대시 표기, 날짜상 더 과거
-  : > "$td/out/frontier_digest_2026_08_17.md"     # 언더바 표기, 더 최근
-  local d; d=$(date +%Y_%m_%d)
-  : > "$td/out/frontier_digest_${d}.md"           # 오늘 것 (제외 대상)
-  # 러너의 선택 표현을 그대로 떼어 쓴다 — 우회하면 앵커가 장식이 된다
-  local expr; expr=$(sed -n '/prev=\$(find/,/tail -1)/p' "$ROOT/scripts/frontier_digest_daily.sh")
-  local got; got=$( cd "$td" && FH_DIR="$td" OUT_DIR=out TODAY="$d" bash -c "$expr; basename \"\$prev\"" )
-  rm -rf "$td"; echo "$got"
-}
-t "R5 표기가 섞여도 «직전»은 날짜상 최신이다" "frontier_digest_2026_08_17.md" "$(_prev_pick)"
-
-# R6 · **엔진 루트 ≠ 대상 루트** (첫 실사용 발견, 2026-08-18)
-# 🟥 위성은 이 러너를 복사하지 않고 FH 의 것을 그대로 돈다(launchd 가 FH 경로를 가리킨다).
-#    초판은 스캐너·패턴·checker 를 전부 `$FH_DIR`(=대상 레포)에서 찾아서, 대상에 그 파일이
-#    없으면 **publish gate 가 영영 fail-closed** 였다 — 실측으로 `psa_scan_lib.sh 부재` 를 봤다.
-#    게다가 그 분기는 파일을 **격리하지 않아** «게시 안 함» 이 거짓이었다(digest 는 이미 트리에 있다).
-_engine_vs_target() { # echoes "rc|state"
-  local eng tgt; eng=$(mktemp -d); tgt=$(mktemp -d)
-  mkdir -p "$eng/scripts" "$eng/.claude/rules" "$tgt/out"      # 🟥 대상에는 scripts/ 를 안 만든다
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$ROOT/scripts/psa_scan_lib.sh" "$eng/scripts/"
-  cp "$ROOT/.claude/rules/.public-surface-patterns.defaults" "$eng/.claude/rules/" 2>/dev/null
-  printf 'HIGH\tZZ_SYNTHETIC_LEAK_TOKEN_ZZ\n' > "$eng/.claude/rules/.public-surface-patterns"
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$eng/scripts/stub-claude"; chmod +x "$eng/scripts/stub-claude"
-  local d; d=$(date +%Y_%m_%d)
-  printf 'clean\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" > "$tgt/out/frontier_digest_${d}.md"
-  local rc
-  ( FD_FH_DIR="$tgt" FD_OUT_DIR="out" FD_PUBLIC_TARGET=1 FD_LOG_DIR="$tgt/logs" \
-    FD_CLAUDE_BIN="$eng/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash "$eng/scripts/frontier_digest_daily.sh" ) >/dev/null 2>&1; rc=$?
-  local state=none
-  ls "$tgt/out/"*.UNSCANNED >/dev/null 2>&1 && state=unscanned
-  ls "$tgt/out/"*.md >/dev/null 2>&1 && [ "$state" = none ] && state=published
-  rm -rf "$eng" "$tgt"; echo "$rc|$state"
-}
-r=$(_engine_vs_target)
-t "R6 도구를 엔진 루트에서 찾는다(대상에 없어도 게이트가 돈다)" "0"         "${r%%|*}"
-t "R6b 그래서 CLEAN 한 digest 가 실제로 게시된다"                "published" "${r##*|}"
-
-# R6c · 스캐너가 **진짜로** 없으면 «게시 안 함» 이 말뿐이 아니라 격리까지 간다
-_lib_absent() {
-  local eng tgt; eng=$(mktemp -d); tgt=$(mktemp -d)
-  mkdir -p "$eng/scripts" "$tgt/out"
-  cp "$ROOT/scripts/frontier_digest_daily.sh" "$eng/scripts/"     # 🟥 psa_scan_lib.sh 는 안 넣는다
-  printf '#!/usr/bin/env bash\nexit 0\n' > "$eng/scripts/stub-claude"; chmod +x "$eng/scripts/stub-claude"
-  local d; d=$(date +%Y_%m_%d)
-  printf 'body\n%s\n' "$(head -c 1200 /dev/zero | tr '\0' 'x')" > "$tgt/out/frontier_digest_${d}.md"
-  local rc
-  ( FD_FH_DIR="$tgt" FD_OUT_DIR="out" FD_PUBLIC_TARGET=1 FD_LOG_DIR="$tgt/logs" \
-    FD_CLAUDE_BIN="$eng/scripts/stub-claude" FD_MAX_ATTEMPTS=1 FD_POLL_SECS=1 \
-    bash "$eng/scripts/frontier_digest_daily.sh" ) >/dev/null 2>&1; rc=$?
-  local state=published
-  ls "$tgt/out/"*.UNSCANNED >/dev/null 2>&1 && state=quarantined
-  rm -rf "$eng" "$tgt"; echo "$state"
-}
-t "R6c 스캐너 부재는 말만이 아니라 실제 격리다"   "quarantined" "$(_lib_absent)"
-
-echo "----"; echo "satellite publish gate: $pass passed, $fail failed"; [ "$fail" -eq 0 ]