@uzysjung/agent-harness 26.166.0 → 26.167.0

package/README.ko.md

@@ -28,7 +28,7 @@ uzys-agent-harness는 에이전트를 규칙 목록으로 묶지 않는다. 대
 
 ### 4. 여러 관점과 여러 에이전트로 속도, 비용, 품질을 맞춘다
 
-스스로 하는 점검과 독립 검토를 나눈다. 중요한 변경은 결과물을 만들지 않은 다른 에이전트가 검토하고, 개발 트랙에는 여러 사용자 입장(페르소나)에서 결과물을 따져 보는 스킬도 들어간다. 선택 스킬을 더하면 작업마다 어울리는 모델과 추론 강도를 골라 가벼운 일은 빠르고 싸게, 중요한 일은 꼼꼼하게 처리하고, 다른 회사의 모델에게 의견을 물을 수도 있다.
+스스로 하는 점검과 독립 검토를 나눈다. 중요한 변경은 결과물을 만들지 않은 다른 에이전트가 검토하고, 개발 트랙에는 여러 사용자 입장(페르소나)에서 결과물을 따져 보는 스킬도 들어간다. 개발 트랙에는 작업마다 어울리는 모델과 추론 강도를 골라 가벼운 일은 빠르고 싸게, 중요한 일은 꼼꼼하게 처리하게 하는 스킬도 들어가고, 그 회사의 CLI 가 있으면 다른 회사의 모델에게 의견을 물을 수도 있다.
 
 이 네 가지를 담은 룰과 스킬, 그리고 프로젝트 스택에 맞는 외부 스킬(공식 저장소이거나, 출처와 인기도, 설치 경로를 확인해 고른 것)을 명령 하나로 설치한다. 내 `CLAUDE.md`에는 주석으로 표시한 블록 하나만 붙고 나머지는 건드리지 않는다. 지울 때도 `CLAUDE.md`나 `.mcp.json` 같은 공용 파일에서는 하네스가 넣은 부분만 빠진다. Claude Code, Codex, OpenCode, Antigravity에서 쓸 수 있고, 파일 편집을 막는 훅과 검토 에이전트는 Claude Code에서 동작한다.
 
@@ -110,7 +110,7 @@ CI, 컨테이너, 스크립트처럼 마법사를 띄울 수 없는 곳에서는
 
 ### 만드는 에이전트와 검사하는 에이전트를 나눈다
 
-자기가 한 일을 자기가 검사하면 놓치기 쉽다. Claude Code에서는 코드를 짜지 않은 `reviewer` 서브에이전트가 테스트나 앱을 직접 돌려 보고 결과를 검사한다. 선택 스킬인 `model-orchestration`을 더하면 에이전트가 일마다 어떤 모델에게 얼마나 깊이 생각하게 할지 고른다. 가벼운 일은 빠르고 싸게, 판단할 게 많은 일은 더 강한 모델에게 맡겨 속도와 비용, 품질 사이에서 균형을 잡는다.
+자기가 한 일을 자기가 검사하면 놓치기 쉽다. Claude Code에서는 코드를 짜지 않은 `reviewer` 서브에이전트가 테스트나 앱을 직접 돌려 보고 결과를 검사한다. 개발 트랙에는 `model-orchestration` 스킬이 들어가 에이전트가 일마다 어떤 모델에게 얼마나 깊이 생각하게 할지 고른다. 가벼운 일은 빠르고 싸게, 판단할 게 많은 일은 더 강한 모델에게 맡겨 속도와 비용, 품질 사이에서 균형을 잡는다.
 
 작업 원칙 전문은 [templates/CLAUDE.md](templates/CLAUDE.md)에서 볼 수 있다. 설치하면 이 파일이 `CLAUDE-uzys-harness.md`라는 이름으로 들어가고, 내 `CLAUDE.md`는 한 줄로 이 파일을 불러온다. 프로젝트의 방향은 [docs/NORTH_STAR.md](docs/NORTH_STAR.md)에 정리해 두었다.
 
@@ -128,7 +128,7 @@ your-project/
 │   ├── agents/               메인 에이전트가 일을 넘기는 서브에이전트(reviewer, implementer 등).
 │   ├── hooks/                도구가 자동으로 실행하는 훅 스크립트(세션 시작, 파일 보호).
 │   └── settings.json         훅을 등록한다. 기존 설정과 합친다.
-├── .mcp.json                 context7(최신 라이브러리 문서), github 등 MCP 서버. 기존 설정과 합친다.
+├── .mcp.json                 context7(최신 라이브러리 문서)와 트랙별 MCP 서버. 기존 설정과 합친다.
 └── .uzys-agent-harness/      설치 기록과 보조 스크립트.
 ```
 
@@ -170,18 +170,18 @@ your-project/
 | `tooling` | 앱 스택 없는 Bash·Markdown 프로젝트 | 없음 |
 | `full` | 개발 트랙 전부와 문서 작업 | 위 항목 전부 + `anthropic-document-skills` |
 | `executive` | 제안서, 실사, 발표 자료, 재무 모델 | `anthropic-document-skills` |
-| `project-management` | PM 업무 | 없음 (`product-skills` 선택 가능) |
+| `project-management` | PM 업무 | 없음 |
 | `growth-marketing` | 그로스·콘텐츠 마케팅 | 없음 (`marketingskills` 선택 가능) |
 
-MCP 서버도 함께 들어간다. 모든 트랙에 `context7`(최신 라이브러리 문서), `github`, `chrome-devtools`가 들어가고, `csr-*`와 `ssr-htmx` 트랙에는 배포용 `railway-mcp-server`가, `csr-supabase`에는 `supabase`가 더해진다. `full`은 둘 다 받는다. `ssr-nextjs`에서는 Railway MCP가 기본이 아니고, 직접 고르면 들어간다.
+MCP 서버도 함께 들어간다. 모든 트랙에 `context7`(최신 라이브러리 문서)가 들어가고, 웹 트랙(`csr-*`, `ssr-*`, `full`)에는 Google 사용 통계를 끈 `chrome-devtools`가 더해진다. `csr-*`와 `ssr-htmx` 트랙에는 `railway-mcp-server`(Railway 원격 서버 — 처음 쓸 때 로그인한다)가, `csr-supabase`에는 `supabase`가 더해진다. `full`은 둘 다 받는다. `ssr-nextjs`에서는 Railway MCP가 기본이 아니고, 직접 고르면 들어간다. Vercel·GitHub 공식 원격 서버(`vercel`, `github-mcp`)는 미리 체크되지 않는다 — `--with`로 더한다.
 
 미리 체크되지는 않지만 3단계나 `--with <id>`로 더할 수 있는 것도 있다.
 
 - 프론트엔드·디자인: `web-design-guidelines`, `taste-skill`, `jakubkrehel-skills`, `preline`, `scroll-world`
-- 배포: `vercel-cli`, `netlify-cli`, `supabase-cli`, `railway-mcp-server`, `railway-skills`
-- 보안 리뷰: `security-guidance`, `trailofbits-skills`
-- 제품·마케팅·재무: `product-skills`, `marketingskills`, `finance-skills`
-- 발표·영상: `frontend-slides`, `marp-slide`, `revealjs`, `remotion`, `gsap-skills` 등
+- 배포: `vercel-cli`, `netlify-cli`, `supabase-cli`, `railway-mcp-server`, `vercel`, `railway-skills`
+- 보안 리뷰: `security-guidance`, `claude-security`
+- 마케팅·재무: `marketingskills`, `finance-skills`
+- 발표·영상: `frontend-slides`, `marp-slide`, `hyperframes`, `remotion`, `gsap-skills` 등
 - 정해진 개발 절차가 필요한 팀: `openspec`, `bmad-method` ([WORKFLOWS.md](docs/WORKFLOWS.md)에서 비교)
 
 트랙별 전체 구성은 [docs/TRACKS.md](docs/TRACKS.md)에, 항목별 출처와 설치 방식, 지원 도구는 [docs/COMPATIBILITY.md](docs/COMPATIBILITY.md)에 있다.

package/README.md

@@ -28,7 +28,7 @@ Every instruction the agent reads each session takes up context, and as they pil
 
 ### 4. Several viewpoints and several agents balance speed, cost, and quality
 
-Self-checks and independent review are kept apart. Important changes are reviewed by an agent that didn't build them, and dev tracks also get a skill that examines the work from several user perspectives (personas). With the optional skills, each task gets a fitting model and reasoning effort, light work fast and cheap and important work done carefully, and a model from another vendor can give a second opinion.
+Self-checks and independent review are kept apart. Important changes are reviewed by an agent that didn't build them, and dev tracks also get a skill that examines the work from several user perspectives (personas). Dev tracks also get skills that give each task a fitting model and reasoning effort, light work fast and cheap and important work done carefully, and, if you have that vendor's CLI, let a model from another vendor give a second opinion.
 
 One command installs the rules and skills that carry these four ideas, plus third-party skills for your stack (from official repositories, or picked after checking their source, popularity, and install path). Your `CLAUDE.md` gets one block marked with comments and nothing else is touched. On uninstall, shared files such as `CLAUDE.md` and `.mcp.json` lose only the harness's part. Works with Claude Code, Codex, OpenCode, and Antigravity; the hook that blocks file edits and the reviewer agent run on Claude Code.
 
@@ -110,7 +110,7 @@ Every instruction read each session takes up context, and instructions written f
 
 ### The agent that builds is not the one that checks
 
-An agent checking its own work tends to miss things. On Claude Code, a `reviewer` subagent that didn't write the code runs your tests or the app and checks the result. With the optional `model-orchestration` skill, the agent also picks the model and reasoning effort for each task: fast and cheap for light work, stronger where more judgment is needed. That is how speed, cost, and quality get balanced.
+An agent checking its own work tends to miss things. On Claude Code, a `reviewer` subagent that didn't write the code runs your tests or the app and checks the result. On dev tracks, the `model-orchestration` skill also has the agent pick the model and reasoning effort for each task: fast and cheap for light work, stronger where more judgment is needed. That is how speed, cost, and quality get balanced.
 
 The full working principles are in [templates/CLAUDE.md](templates/CLAUDE.md). They are installed as `CLAUDE-uzys-harness.md` and pulled in by one line in your `CLAUDE.md`. The project's direction is in [docs/NORTH_STAR.md](docs/NORTH_STAR.md).
 
@@ -128,7 +128,7 @@ your-project/
 │   ├── agents/               reviewer, implementer: subagents the main agent hands work to
 │   ├── hooks/                session start, file protection. Claude Code runs them itself
 │   └── settings.json         registers the hooks (merged with yours)
-├── .mcp.json                 MCP servers: context7 (current library docs), github, and more (merged with yours)
+├── .mcp.json                 MCP servers: context7 (current library docs) and more by track (merged with yours)
 └── .uzys-agent-harness/      the install record and helper scripts
 ```
 
@@ -163,18 +163,18 @@ A track is a starting setup for a dev stack or a kind of work: the top nine rows
 | `tooling` | Bash and Markdown projects with no app stack | None |
 | `full` | Every dev track, plus documents | All of the above, plus `anthropic-document-skills` |
 | `executive` | Proposals, due diligence, decks, financial models | `anthropic-document-skills` |
-| `project-management` | PM work | None (`product-skills` available) |
+| `project-management` | PM work | None |
 | `growth-marketing` | Growth and content marketing | None (`marketingskills` available) |
 
-MCP servers come too. Every track gets `context7` (current library docs), `github`, and `chrome-devtools`. The `csr-*` and `ssr-htmx` tracks add `railway-mcp-server` for deployment, and `csr-supabase` adds `supabase`. `full` gets both. On `ssr-nextjs`, Railway MCP is not a default; pick it if you want it.
+MCP servers come too. Every track gets `context7` (current library docs). Web tracks (`csr-*`, `ssr-*`, `full`) add `chrome-devtools`, with Google's usage statistics turned off. The `csr-*` and `ssr-htmx` tracks add `railway-mcp-server` (Railway's remote server — you sign in on first use), and `csr-supabase` adds `supabase`. `full` gets both. On `ssr-nextjs`, Railway MCP is not a default; pick it if you want it. Vercel's and GitHub's official remote servers (`vercel`, `github-mcp`) are never pre-checked — add them with `--with`.
 
 More external assets are never pre-checked but can be added at step 3 or with `--with <id>`:
 
 - Frontend and design: `web-design-guidelines`, `taste-skill`, `jakubkrehel-skills`, `preline`, `scroll-world`
-- Deployment: `vercel-cli`, `netlify-cli`, `supabase-cli`, `railway-mcp-server`, `railway-skills`
-- Security review: `security-guidance`, `trailofbits-skills`
-- Product, marketing, finance: `product-skills`, `marketingskills`, `finance-skills`
-- Slides and video: `frontend-slides`, `marp-slide`, `revealjs`, `remotion`, `gsap-skills`, and more
+- Deployment: `vercel-cli`, `netlify-cli`, `supabase-cli`, `railway-mcp-server`, `vercel`, `railway-skills`
+- Security review: `security-guidance`, `claude-security`
+- Marketing and finance: `marketingskills`, `finance-skills`
+- Slides and video: `frontend-slides`, `marp-slide`, `hyperframes`, `remotion`, `gsap-skills`, and more
 - Teams that want a fixed development process: `openspec`, `bmad-method` (compared in [WORKFLOWS.md](docs/WORKFLOWS.md))
 
 Each track's full set is in [docs/TRACKS.md](docs/TRACKS.md). Every asset's source, install method, and supported tools are in [docs/COMPATIBILITY.md](docs/COMPATIBILITY.md).

package/dist/{chunk-AHAAF4HS.js → chunk-KVXCTS6D.js}

@@ -141,16 +141,17 @@ var EXTERNAL_ASSETS = [
   // v26.108.0 (ADR-037, 라이프사이클 자산화 ②) — CI 스캐폴드: `.github/workflows/` fill-in
   //   워크플로(tag-트리거 CI + 실DB 서비스 컨테이너 + coverage 게이트 + Playwright E2E).
   //   실무 CI 패턴의 도메인 중립 일반화 (CI 부재 프로젝트의 갭이 계기). `.claude/` 밖에
-  //   쓰는 첫 자산 — opt-in 전용 + 기존 워크플로 파일은 절대 덮어쓰지 않는다 (src/ci-scaffold.ts,
+  //   쓰는 첫 자산 — 기존 워크플로 파일은 절대 덮어쓰지 않는다 (src/ci-scaffold.ts,
   //   manifest 경유 아님 — CLI 선택과 무관하게 설치되는 CLI-agnostic 산출물).
+  // ADR-105 (#726, 사용자 결정 2026-10-11) — opt-in 전용 → 개발 트랙 기본. 없을 때만 쓰는 계약은 그대로.
   {
     id: "ci-scaffold",
     tier: "official",
     // uzys 본 하네스 자체 템플릿
-    description: "CI scaffold \u2014 .github/workflows fill-in templates (tag-triggered CI + real-DB service container + coverage gate + Playwright E2E); never overwrites existing workflow files (opt-in)",
+    description: "CI scaffold \u2014 .github/workflows fill-in templates (tag-triggered CI + real-DB service container + coverage gate + Playwright E2E); writes only when the file is absent, never overwrites existing workflow files",
     category: "workflow",
     source: "uzys",
-    condition: { kind: "opt-in" },
+    condition: { kind: "has-dev-track" },
     method: { kind: "internal", key: "ci-scaffold" }
   },
   // === Repo-bundled internal skills (uzys 1st-party, v26.87.0) ===
@@ -258,10 +259,11 @@ var EXTERNAL_ASSETS = [
     id: "model-orchestration",
     tier: "official",
     // uzys 자사 스킬 리포
-    description: "Model orchestration \u2014 decompose work by capability and route independent, bounded tasks to available agents while preserving ownership, permissions, and verification. Model names are Claude Code vocabulary; on other CLIs the same split maps onto that vendor's tiers (opt-in \u2014 recommended)",
+    description: "Model orchestration \u2014 decompose work by capability and route independent, bounded tasks to available agents while preserving ownership, permissions, and verification. Model names are Claude Code vocabulary; on other CLIs the same split maps onto that vendor's tiers",
     category: "workflow",
     source: "uzys",
-    condition: { kind: "opt-in" },
+    // ADR-105 (#726) — opt-in → 개발 트랙 기본.
+    condition: { kind: "has-dev-track" },
     method: { kind: "internal", key: "model-orchestration" }
   },
   {
@@ -270,10 +272,12 @@ var EXTERNAL_ASSETS = [
     id: "external-model-consult",
     tier: "official",
     // uzys 자사 스킬 리포
-    description: "External model consult \u2014 ask an available external model/provider for an independent draft, critique, or provider-only output such as image generation (opt-in \u2014 recommended; requires that provider's CLI)",
+    description: "External model consult \u2014 ask an available external model/provider for an independent draft, critique, or provider-only output such as image generation (requires that provider's CLI)",
     category: "dev-tools",
     source: "uzys",
-    condition: { kind: "opt-in" },
+    // ADR-105 (#726) — opt-in → 개발 트랙 기본. 설치는 디렉터리 복사뿐이라 provider CLI 가 없어도
+    //   설치는 성공한다 — 없으면 실행 시점에 래퍼가 멈추고 스킬이 "설치·로그인은 사용자 몫"을 알린다.
+    condition: { kind: "has-dev-track" },
     method: { kind: "internal", key: "external-model-consult" }
   },
   {
@@ -326,8 +330,9 @@ var EXTERNAL_ASSETS = [
     method: { kind: "internal", key: "self-hosted-github-runner" }
   },
   {
-    // 트랙과 무관한 글쓰기 규율이라 어느 트랙에서도 고를 수 있고, 어느 트랙에도 자동으로는
-    //   안 깔린다(opt-in). 한국어로 쓰지 않는 사용자에게 기본 설치되면 그대로 낭비다.
+    // 트랙과 무관한 글쓰기 규율이다. ADR-105 (#726, 사용자 결정 2026-10-11) — opt-in → 개발 트랙
+    //   기본. 한국어로 쓰지 않는 설치자에게는 descriptor 상주가 낭비라는 대가를 받아들였다
+    //   (빼려면 `--without natural-korean`).
     // user-centered-explanation 과의 경계: 저쪽은 **무엇을 어떤 형식으로 말할지**(설명·승인
     //   요청의 구조)이고, 이쪽은 **한국어로 쓰는 행위 자체**(답변·글쓰기·번역·퇴고)의 표현이다.
     // #428 — 전신 `humanize-korean`(#355, 진단-우선 퇴고)을 개명·교체했다. 범위가 퇴고에서
@@ -336,10 +341,10 @@ var EXTERNAL_ASSETS = [
     id: "natural-korean",
     tier: "official",
     // uzys 자사 스킬
-    description: "Natural Korean \u2014 write, answer, translate, and revise in Korean that reads as Korean: keep meaning and register, cut translationese, needless English, stock phrases, and mechanical repetition; fix only what is actually awkward (opt-in)",
+    description: "Natural Korean \u2014 write, answer, translate, and revise in Korean that reads as Korean: keep meaning and register, cut translationese, needless English, stock phrases, and mechanical repetition; fix only what is actually awkward",
     category: "workflow",
     source: "uzys",
-    condition: { kind: "opt-in" },
+    condition: { kind: "has-dev-track" },
     method: { kind: "internal", key: "natural-korean" }
   },
   // === Option-gated (v26.42.0 — opt-in, BREAKING vs prior has-dev-track auto-install) ===
@@ -398,12 +403,13 @@ var EXTERNAL_ASSETS = [
   // #709 (ADR-101) — Railway MCP 서버의 **선택** 경로. 서버 정의는 트랙 표(`templates/track-mcp-map.tsv`)의 같은 이름
   //   행 하나다(key === 행 이름). 그 행의 패턴이 기본 트랙(csr-* · ssr-htmx · full)을 정하고, 이 항목은 그 밖의 트랙
   //   (ssr-nextjs 등)에서 위저드 체크 · `--with` 로 고르게 한다. experimental 이라 조건으로는 미리 체크되지 않는다.
-  //   상류 repo 는 archived — Railway 의 현행 경로(`railway mcp`)로 행 명령을 바꾸는 일은 별도 이슈.
+  //   #712 (ADR-106) — 행이 Railway 공식 원격 서버(`https://mcp.railway.com`, OAuth)로 바뀌었다. 이름 · 키 id 는 그대로라 기록이
+  //   이어져 update 가 같은 키를 갈아 끼운다.
   {
     id: "railway-mcp-server",
     tier: "experimental",
-    // railwayapp/railway-mcp-server 190★ · archived (월간 trust-tier-drift 가 REPO_OVERRIDE 로 감시)
-    description: "Railway MCP server (`npx -y @railway/mcp-server`) in `.mcp.json` \u2014 already on by default on csr-*, ssr-htmx and full; check it to add it on any other track (e.g. ssr-nextjs). Upstream repo is archived; Railway's current route is `railway mcp` (opt-in)",
+    // railwayapp/cli 621★ (원격 서버에 공개 저장소가 따로 없다 — 같은 벤더의 CLI 를 감시, REPO_OVERRIDE)
+    description: "Railway's official remote MCP (https://mcp.railway.com, signs in with OAuth on first use) in .mcp.json, Codex and OpenCode \u2014 default on csr-* \xB7 ssr-htmx \xB7 full; check it to add it on any other track",
     category: "backend",
     source: "railwayapp",
     condition: { kind: "opt-in" },
@@ -412,19 +418,59 @@ var EXTERNAL_ASSETS = [
     cliSupportOverride: ["claude", "codex", "opencode"],
     method: { kind: "internal", key: "railway-mcp-server" }
   },
+  // #711 (ADR-106) — Vercel 공식 원격 MCP. 트랙 표 행의 패턴은 `-`(기본 트랙 없음) — 어느 트랙에서도 미리 체크하지 않는다
+  //   (사용자 확정 2026-10-11 "opt-in", ssr-nextjs 포함). Antigravity 는 MCP 를 받지 않는다(Vercel 승인 클라이언트에도 없다).
+  {
+    id: "vercel",
+    tier: "vetted",
+    // Vercel MCP 에 공개 저장소가 따로 없다 — 같은 벤더의 vercel/vercel 16k 를 감시(REPO_OVERRIDE)
+    description: "Vercel's official remote MCP (https://mcp.vercel.com, signs in with OAuth on first use) in .mcp.json, Codex and OpenCode. Only if this project deploys to Vercel",
+    category: "backend",
+    source: "vercel",
+    condition: { kind: "opt-in" },
+    cliSupportOverride: ["claude", "codex", "opencode"],
+    method: { kind: "internal", key: "vercel" }
+  },
+  // #722 (ADR-106) — GitHub 공식 원격 MCP 의 opt-in 경로. 기본에서 뺀 옛 `github`(@modelcontextprotocol/server-github, 상류
+  //   deprecated)와 **다른 이름**이다 — 같은 이름이면 옛 설치본의 기록된 몫이 선택으로 읽혀 PAT 없는 설치자에게 매 세션 실패하는
+  //   서버가 조용히 깔린다. 인증 = 환경변수 GITHUB_PAT(파일에는 이름만).
+  {
+    id: "github-mcp",
+    tier: "vetted",
+    // github/github-mcp-server 33.5k (REPO_OVERRIDE)
+    description: "GitHub's official remote MCP server (api.githubcopilot.com) in .mcp.json, Codex and OpenCode \u2014 needs a GitHub personal access token in GITHUB_PAT in the shell you start the CLI from. Not needed when the agent uses the gh CLI",
+    category: "dev-tools",
+    source: "github",
+    condition: { kind: "opt-in" },
+    cliSupportOverride: ["claude", "codex", "opencode"],
+    method: { kind: "internal", key: "github-mcp" }
+  },
+  // #722 (ADR-106) — Chrome DevTools MCP. 트랙 표 행이 웹 트랙(csr-* · ssr-* · full)의 기본이고, 이 항목은 그 밖의 트랙에서
+  //   고르게 한다. Google 사용 통계는 행의 `--no-usage-statistics` 로 끈다.
+  {
+    id: "chrome-devtools",
+    tier: "vetted",
+    // ChromeDevTools/chrome-devtools-mcp 53k (REPO_OVERRIDE)
+    description: "Chrome DevTools MCP \u2014 browser automation, console, network and performance tools for the agent. Default on csr-* \xB7 ssr-* \xB7 full; check it to add it on any other track. Google's usage statistics are turned off (--no-usage-statistics)",
+    category: "understanding",
+    source: "ChromeDevTools",
+    condition: { kind: "opt-in" },
+    cliSupportOverride: ["claude", "codex", "opencode"],
+    method: { kind: "internal", key: "chrome-devtools" }
+  },
   // === csr-supabase|full CLI ===
   {
     id: "vercel-cli",
     tier: "vetted",
-    // vercel/vercel 15k
-    description: "Vercel CLI \u2014 the real deploy tool as a devDependency (global under --scope global). Only if this project deploys to Vercel. `vercel mcp` then wires Vercel's official MCP (OAuth) into Claude Code",
+    // vercel/vercel 16k
+    description: "Vercel CLI \u2014 the real deploy tool as a devDependency (global under --scope global). Only if this project deploys to Vercel. Non-interactive `vercel link`/deploy needs `--scope` when your account has several teams (55.0.0+)",
     category: "backend",
     source: "vercel",
     // 2026-08-02 사용자 결정: 트랙 기본 → opt-in (ADR-063). #709 가 ssr-nextjs 기본으로 바꿨다가 #715 에서 되돌렸다 —
     //   설치자 package.json 에 의존성을 더하고(에이전트는 npx 로 쓸 수 있다) login 없이는 쓸 것이 없으며 핀이 낡는다.
-    //   Next.js 의 Vercel 기본은 공식 MCP(#711)로 채운다.
+    //   Vercel 공식 MCP 도 opt-in 이다(`vercel` 항목, #711 · ADR-106 — 사용자 확정 2026-10-11).
     condition: { kind: "opt-in" },
-    method: { kind: "npm", pkg: "vercel", version: "54.17.3" }
+    method: { kind: "npm", pkg: "vercel", version: "63.1.2" }
   },
   {
     // v26.106.0 (ADR-035, 사용자 승인 B): 배포 CLI 2종 동시 기본의 중복 해소 — npm dl 실측 10.11:1
@@ -604,20 +650,6 @@ var EXTERNAL_ASSETS = [
       pluginId: "understand-anything@understand-anything"
     }
   },
-  {
-    id: "agentmemory",
-    tier: "vetted",
-    // rohitg00/agentmemory 21k
-    description: "AgentMemory \u2014 a separate memory server (MCP + hooks) that persists state across sessions; the runtime server is its own install (npx @agentmemory/agentmemory). Check first whether your CLI's own memory and project records already cover it",
-    category: "understanding",
-    source: "rohitg00",
-    condition: { kind: "opt-in" },
-    method: {
-      kind: "plugin",
-      marketplace: "rohitg00/agentmemory",
-      pluginId: "agentmemory@agentmemory"
-    }
-  },
   // === Visual & Media (v26.85.0) — 코드-퍼스트 제작 자산. 전부 opt-in. ===
   // Docker 실설치 검증 PASS (실 claude 2.1.177): plugin install / npx skills add resolve 확인.
   {
@@ -684,24 +716,22 @@ var EXTERNAL_ASSETS = [
     method: { kind: "skill", source: "hugohe3/ppt-master", skill: "ppt-master" }
   },
   {
-    id: "web-video-presentation",
-    tier: "vetted",
-    // ConardLi/garden-skills 8.4k
-    description: "web-video-presentation \u2014 click-driven 16:9 web decks that play like video, with optional TTS narration. Keeps a step-by-step approval procedure; use for narrated web presentations",
-    category: "visual-media",
-    source: "ConardLi",
-    condition: { kind: "opt-in" },
-    method: { kind: "skill", source: "ConardLi/garden-skills", skill: "web-video-presentation" }
-  },
-  {
-    id: "revealjs",
-    tier: "experimental",
-    // ryanbbrown/revealjs-skill 347 (<1000 → experimental, opt-in + 경고)
-    description: "reveal.js \u2014 HTML presentations with themes, code highlighting, and speaker notes, no build step. Overlaps the other HTML deck assets; pick it when you specifically need reveal.js templates or compatibility",
+    // ADR-104 (#726) — web-video-presentation 의 교체. plugin 인 이유: skill 방식이면 상류 CLI 가
+    //   작업 중 `npx hyperframes skills update`/`init` 으로 같은 스킬 디렉터리를 다시 쓰고 prune 해
+    //   설치 기록(#573 sha)과 어긋난다. plugin 모드는 그 런타임 설치를 상류가 스스로 금한다.
+    //   Anthropic 공식 마켓플레이스 항목(sha 고정 URL 소스, 내용 저자 HeyGen) — 그래서 tier official.
+    id: "hyperframes",
+    tier: "official",
+    // anthropics/claude-plugins-official 등재 (heygen-com/hyperframes)
+    description: "HyperFrames \u2014 write video as HTML and render it to MP4 (headless Chrome + FFmpeg): narrated explainers, slideshow-style decks, captions and voice-over. Rendering needs Node 22+ and FFmpeg",
     category: "visual-media",
-    source: "ryanbbrown",
+    source: "heygen-com",
     condition: { kind: "opt-in" },
-    method: { kind: "skill", source: "ryanbbrown/revealjs-skill", skill: "revealjs" }
+    method: {
+      kind: "plugin",
+      marketplace: "anthropics/claude-plugins-official",
+      pluginId: "hyperframes@claude-plugins-official"
+    }
   },
   // === Supabase agent-skills (csr-supabase|full) ===
   {
@@ -830,25 +860,6 @@ var EXTERNAL_ASSETS = [
       pluginId: "finance-skills@claude-code-skills"
     }
   },
-  // === Project Management Track (v0.5.0) ===
-  // SPEC §3.5 — product-skills: has-dev-track + project-management 합집합 (executive/growth-marketing 제외).
-  {
-    id: "product-skills",
-    tier: "vetted",
-    // alirezarezvani 16k
-    description: "product-skills \u2014 RICE prioritization, PRD, interview analysis, design tokens, project scaffolding (15 skills with Python tools). Pick it for product-management work, and use the tools you need",
-    category: "dev-tools",
-    source: "alirezarezvani",
-    // v26.106.0 (ADR-035, 사용자 승인 C): dev 8트랙 기본에서 제외 — PM 스킬 15종은 PM 트랙 목적
-    //   자산. dev 트랙은 wizard 체크 / --with 로 opt-in.
-    // 2026-08-02 사용자 결정: 트랙 기본 → opt-in (ADR-063)
-    condition: { kind: "opt-in" },
-    method: {
-      kind: "plugin",
-      marketplace: "alirezarezvani/claude-skills",
-      pluginId: "product-skills@claude-code-skills"
-    }
-  },
   // === Growth Marketing Track (v0.5.0) ===
   // 2026-08-02 정비 — alirezarezvani 번들 4종(c-level·business-growth·pm·marketing) +
   //   research-summarizer 제거. 남는 마케팅 번들은 아래 coreyhaines31/marketingskills 하나로,
@@ -881,24 +892,29 @@ var EXTERNAL_ASSETS = [
   //   karpathy-gate.sh · settings.json PreToolUse auto-wire)도 함께 삭제 — BREAKING, ADR-060.
   // === Option-gated ===
   {
-    // v26.39.2 fix — marketplace name = "trailofbits" (NOT "trailofbits-skills") +
-    // "trailofbits-skills" plugin 자체가 존재하지 않음. marketplace 안에 14+ 개별 plugin.
-    // 단일 대표 plugin = `differential-review` (코드 변경 보안 리뷰, 가장 보편).
-    // 추가 plugin 원하는 사용자는: `claude plugin install <name>@trailofbits` (예: audit-context-building)
-    id: "trailofbits-skills",
-    tier: "vetted",
-    // trailofbits/skills 5.5k (CC-BY-SA — 출처 신뢰)
-    description: "Trail of Bits differential-review \u2014 security review of a change: history, call impact, attack scenarios, verification scope. For security-relevant changes, not every PR",
+    // ADR-104 (#726) — trailofbits-skills(differential-review)의 교체. Anthropic 공식 플러그인.
+    //   `git push` 에 훅을 걸고 스캔이 시간·토큰을 쓰므로 opt-in 이다.
+    id: "claude-security",
+    tier: "official",
+    // anthropics/claude-plugins-official 등재 (./plugins/claude-security)
+    description: "Claude Security \u2014 on-request vulnerability scan of a branch, PR, or commit diff; a verifier agent challenges each finding and results are tallied in code; asks you to confirm the cost before it starts. For a light diff check, the built-in /security-review is enough",
     category: "dev-tools",
-    source: "trailofbits",
+    source: "anthropics",
     condition: { kind: "opt-in" },
     method: {
       kind: "plugin",
-      marketplace: "trailofbits/skills",
-      pluginId: "differential-review@trailofbits"
+      marketplace: "anthropics/claude-plugins-official",
+      pluginId: "claude-security@claude-plugins-official"
     }
   }
 ];
+var REMOVED_CATALOG_ASSETS = {
+  "product-skills": {},
+  agentmemory: {},
+  revealjs: {},
+  "trailofbits-skills": { replacedBy: "claude-security" },
+  "web-video-presentation": { replacedBy: "hyperframes" }
+};
 var DEV_METHOD_SKILL_IDS = [
   "compaction-handoff",
   "user-centered-explanation",
@@ -1029,7 +1045,7 @@ import { dirname as dirname3, join as join4 } from "path";
 // package.json
 var package_default = {
   name: "@uzysjung/agent-harness",
-  version: "26.166.0",
+  version: "26.167.0",
   description: "Curate vetted AI-coding skills & plugins by your tech stack \u2014 install only what you need, across Claude Code, Codex, OpenCode & Antigravity",
   type: "module",
   publishConfig: {
@@ -2097,7 +2113,7 @@ var dev = (s) => hasDevTrack(s.tracks);
 var onTracks = (pattern) => (s) => anyTrack(s.tracks, pattern);
 var COMMON_RULES = ["git-policy", "change-management", "doc-governance"];
 var DEV_RULES = ["test-policy", "ship-checklist"];
-var UI_RULES = [];
+var UI_RULES = ["ui-components"];
 var TRACK_RULES = {
   base: [],
   // #456 — 공통 룰만. cli-development 는 tooling·full 전용
@@ -2568,6 +2584,7 @@ export {
   anyTrack,
   hasUiTrack,
   EXTERNAL_ASSETS,
+  REMOVED_CATALOG_ASSETS,
   DEV_METHOD_SKILL_IDS,
   INTERNAL_BUNDLED_SKILL_IDS,
   CONTINUOUS_SKILLS,
@@ -2654,4 +2671,4 @@ export {
   CATEGORIES,
   CATEGORY_TITLES
 };
-//# sourceMappingURL=chunk-AHAAF4HS.js.map
+//# sourceMappingURL=chunk-KVXCTS6D.js.map