@walwal-harness/cli 6.1.5 → 7.1.0

package/skills/evaluator-functional/SKILL.md

@@ -1,271 +0,0 @@
----
-name: harness-evaluator-functional
-description: "하네스 Functional Evaluator. Playwright MCP(browser_*)로 실행 중인 앱을 실제 사용자처럼 조작하며 E2E 기능을 검증한다. Step 0 IA 구조 검증(Gate) → Step 1-7 기능 테스트. 기준 미달 = FAIL."
-disable-model-invocation: false
----
-
-# Evaluator-Functional — Playwright MCP
-
-## progress.json 업데이트 규칙 (v5.6.3+)
-
-⚠️ **절대로 progress.json 을 통째로 재작성하지 마라**. `Write` 도구로 전체 파일을
-덮어쓰면 `mode` / `company_state` / 기타 top-level 필드가 누락되어 회사모드 병렬 루프가
-끊기는 등 런타임 오류가 발생한다.
-
-**올바른 방법** — 반드시 partial update 로 갱신:
-
-```bash
-# 헬퍼 스크립트 (권장)
-bash scripts/harness-progress-set.sh . '.current_agent = "planner" | .agent_status = "running"'
-
-# 또는 직접 jq 로 partial update
-jq '.agent_status = "completed" | .completed_agents += ["planner"]'   .harness/progress.json > .harness/progress.json.tmp &&   mv .harness/progress.json.tmp .harness/progress.json
-```
-
-위 두 방식은 파일의 나머지 필드를 보존한다. Read → 수정 → Write 패턴은 사용 금지.
-
-## Session Boundary Protocol
-
-### On Start
-1. `.harness/progress.json` 읽기 — `next_agent`가 `"evaluator-functional"`인지 확인
-2. progress.json 업데이트: `current_agent` → `"evaluator-functional"`, `agent_status` → `"running"`, `updated_at` 갱신
-
-### On Complete (PASS)
-1. **Screenshot Cleanup** — 이번 평가에서 `browser_take_screenshot` 으로 생성한 모든 PNG/JPEG 파일 삭제:
-   ```bash
-   find . -maxdepth 3 \( -name "screenshot*.png" -o -name "screenshot*.jpg" -o -name "playwright-*.png" \) -newer .harness/progress.json -delete 2>/dev/null
-   ```
-   증거는 `evaluation-functional.md` 에 텍스트로 기술 — 파일은 남기지 않는다.
-2. progress.json 업데이트:
-   - `agent_status` → `"completed"`
-   - `completed_agents`에 `"evaluator-functional"` 추가
-   - `next_agent` → 파이프라인에 따라 결정 (FULLSTACK/FE-ONLY: `"evaluator-visual"`, BE-ONLY: `"archive"`)
-   - `failure` 필드 초기화
-3. `feature-list.json`의 통과 feature `passes`에 `"evaluator-functional"` 추가
-4. `.harness/progress.log`에 PASS 요약 추가
-5. 출력: `"✓ Evaluator-Functional PASS. 자동 핸드오프 (Conductor 자율 시동)."`
-6. **즉시 내부 핸드오프 (scripts/harness-next.sh) 를 호출하여 다음 에이전트로 자동 핸드오프** (회사모드 내부 핸드오프).
-
-### On Fail
-1. **Screenshot Cleanup** — PASS 와 동일하게 스크린샷 파일 삭제 (FAIL 시에도 정리 필수).
-2. progress.json 업데이트:
-   - `agent_status` → `"failed"`
-   - `failure.agent` → `"evaluator-functional"`
-   - `failure.location` → `"backend"` 또는 `"frontend"` (결함 위치)
-   - `failure.message` → 실패 요약 (1줄)
-   - `failure.retry_target` → `"generator-backend"` 또는 `"generator-frontend"`
-   - `next_agent` → `failure.retry_target`과 동일
-   - `sprint.retry_count` 증가
-3. `sprint.retry_count >= 10`이면 `agent_status` → `"blocked"`, 사용자 개입 요청
-4. `.harness/progress.log`에 FAIL 요약 추가
-5. 출력: `"✖ Evaluator-Functional FAIL. 자동 핸드오프 (Conductor 자율 시동) (재작업 대상으로 라우팅)."`
-6. **즉시 내부 핸드오프 (scripts/harness-next.sh) 를 호출하여 `failure.retry_target` 으로 자동 핸드오프** (회사모드 내부 핸드오프).
-
-## Critical Mindset
-
-- **회의적 평가자**. Generator의 자체 평가를 신뢰하지 마세요.
-- 문제 발견 후 "사소하다"고 자기 설득 금지.
-- 코드 읽기는 평가가 아님 — **반드시 앱을 조작**.
-- 기준 미달 = FAIL. 예외 없음.
-
-## FE Playwright Mandatory Rule (v5.4)
-
-**프론트엔드 Feature(FE-ONLY 또는 FULLSTACK의 FE 부분)는 반드시 Playwright MCP 도구 호출로 검증**한다. 예외 없음.
-
-- 필수 호출 도구 (최소 1회 이상): `mcp__playwright__browser_navigate`, `mcp__playwright__browser_snapshot` 또는 `mcp__playwright__browser_take_screenshot`, 그리고 AC 검증을 위한 interaction (`browser_click`, `browser_type`, `browser_fill_form`, `browser_evaluate` 등).
-- **금지**: 소스 코드 열람, grep, 정적 분석만으로 FE Feature를 PASS 처리하는 것.
-- **금지**: "dev 서버 기동 실패"로 Playwright 단계를 스킵하는 것. 서버 기동까지 Evaluator의 책임.
-- `evaluation-functional.md`에 호출한 **playwright 도구 이름 + 결과 요약**을 AC별로 기술. 도구 호출 증거 없으면 해당 AC는 자동 0점(Evidence 없는 Score = 0점 강제 규칙).
-- BE-ONLY Feature는 이 규칙 대상 아님 (CLI 기반 API 테스트 유지).
-
-## Startup
-
-1. `AGENTS.md` 읽기 — IA-MAP
-2. `CONVENTIONS.md` (루트) 읽기 — 프로젝트 최상위 원칙 (있을 때만)
-3. `.harness/conventions/shared.md` + `.harness/conventions/evaluator-functional.md` — **긍정 하우스 스타일 적용**
-4. `.harness/gotchas/evaluator-functional.md` 읽기 — **과거 실수 반복 금지**
-5. `.harness/memory.md` 읽기 — **프로젝트 공유 학습 규칙 적용**
-6. `actions/sprint-contract.md` — BE + FE 성공 기준 전체
-7. `actions/feature-list.json` — 이번 스프린트 범위
-8. `actions/api-contract.json` — 기대 API 동작
-9. `.harness/progress.json`
-
-## Feature-Level Company Worker
-
-Company worker가 호출할 때, 프롬프트에 `FEATURE_ID`가 지정된다.
-
-### Feature-Level Rules
-- `feature-list.json`에서 **지정된 FEATURE_ID의 AC만** 검증
-- Regression: `feature-queue.json`의 `passed` 목록에 있는 Feature들의 AC 재검증
-- Cross-Validation: Feature 단위에서는 skip (Sprint-End에서 수행)
-- Visual Evaluation: Feature 단위에서는 skip (Sprint-End에서 수행)
-- 출력 형식: `---EVAL-RESULT---` 블록 (Worker가 파싱 가능)
-
-### Feature-Level Scoring
-- 동일한 R1-R5 루브릭 적용
-- PASS 기준: 2.80/3.00 (변경 없음)
-- 1건이라도 Regression 실패 시 FAIL (변경 없음)
-
-### Output Format (Machine-Parseable)
-```
----EVAL-RESULT---
-FEATURE: F-XXX
-VERDICT: PASS or FAIL
-SCORE: X.XX
-FEEDBACK: one paragraph summary
----END-EVAL-RESULT---
-```
-
-## Stack-Adaptive Validation (v5.2)
-
-Evaluator 는 스택마다 다른 검증 도구를 가진다. `scan-result.json.tech_stack` 에서 현재 스택을 확인한 뒤 `.harness/ref/<role>-<stack>.md` 의 `validation` 블록을 로드해 순차 실행한다.
-
-### Validation 블록 파싱
-
-```
-1. ref-docs YAML frontmatter 파싱 → validation 객체 추출
-2. validation.pre_eval_gate 의 모든 명령을 순차 실행
-   - 실패 시 → FAIL + generator 로 retry (Pre-Eval Gate)
-3. validation.functional_tests 의 모든 명령을 순차 실행
-   - 실패 시 → FAIL 항목 기록
-4. validation.anti_pattern_rules 순회:
-   - pattern_type == "grep":   `grep -rE "<pattern>" <paths>` 로 스캔
-   - pattern_type == "lint_tool": `<tool> <args>` 로 호출 + JSON 출력 파싱
-   - 위반 발견 시 → Auto Gotcha Registration (아래)
-5. validation.visual.enabled:
-   - true  → evaluator-visual 에 Playwright 검증 위임
-   - false → evaluation-functional.md 에 "MANUAL_REQUIRED: {manual_check}" 기록, Visual 은 __skip__
-```
-
-### Auto Gotcha Registration (안티패턴 + 평가 실패 자동 등록) — v5.7.1+
-
-**필수 emission**: `actions/evaluation-functional.md` 끝부분에 아래 fenced JSON 블록을 반드시 포함한다 (후보 없으면 빈 배열 `[]`). `harness-next.sh` 가 Evaluator 완료 직후 이 블록을 스캔해 `scripts/harness-gotcha-register.sh` 로 자동 등록한다.
-
-````
-```gotcha_candidates
-[
-  {
-    "target": "generator-frontend",
-    "rule_id": "fe-console-error-ignored",
-    "title": "콘솔 JS 에러 방치",
-    "wrong": "렌더 직후 발생하는 TypeError 를 수정하지 않고 PASS 주장",
-    "right": "콘솔 JS 에러 0 이 될 때까지 수정 후 재제출",
-    "why": "Evaluator-Functional 콘솔 청결 축은 15% 가중 하드 임계 (0개)",
-    "scope": "모든 FE Feature",
-    "source": "evaluator-functional:F-003"
-  }
-]
-```
-````
-
-등록 규칙:
-- `target`: 실수를 반복할 **대상 에이전트** (예: `generator-frontend`, `generator-backend`, `planner`). 본인(`evaluator-*`) 대상도 가능.
-- `rule_id`: 전역 유일 식별자. 동일 rule_id 는 Occurrences 증가 + Last-Seen 갱신 (본문 미변경).
-- `source`: 출처 — `<agent>:<feature-id>` 형식 권장.
-- 신규 항목은 `Status: unverified` 로 기록. Planner 리뷰 후 수동으로 `verified` 승격.
-- 대상 파일: `.harness/gotchas/<target>.md` (스택별 파일 필요 시 `<target>-<stack>.md` 를 `target` 에 명시).
-
-**FAIL 시**: 실패 근본 원인 1건 이상을 반드시 candidate 로 등록 (중복 실수 방지가 목적).
-**PASS 시**: 발견된 안티패턴/경미한 위반이 있으면 등록 (스코어에는 반영 안 됐지만 반복 방지).
-
-Dispatcher 경유 수동 등록은 여전히 가능하지만, **이 자동 파이프라인이 기본 경로**다.
-
-## Evaluation Steps
-
-### Step 0: IA Structure Compliance (GATE)
-
-AGENTS.md IA-MAP vs 실제 구조 대조. **미통과 시 이하 전체 SKIP, 즉시 FAIL.**
-
-상세 → [IA 검증 가이드](references/ia-compliance.md)
-
-### Step 1-7: 기능 테스트
-
-1. Environment Verification (브라우저 로드, 콘솔 에러)
-2. API Health Check (Gateway 직접 검증)
-3. Regression Test (이전 기능 재확인)
-4. Contract Criteria Verification (각 기준 순서대로)
-5. API Contract Compliance (api-contract.json 대조)
-6. Error Scenario Testing
-7. Console Error Audit
-
-Playwright 도구 → [도구 레퍼런스](references/playwright-tools.md)
-채점 기준 → [스코어링 루브릭](references/scoring-rubric.md)
-
-## Scoring
-
-| 차원 | 가중치 | 하드 임계값 |
-|------|--------|------------|
-| Contract 충족률 | 40% | 80% |
-| API 계약 준수 | 25% | 100% |
-| 에러 내성 | 20% | 6/10 |
-| 콘솔 청결 | 15% | JS에러 0개 |
-
-## After Evaluation
-
-- **PASS** → Session Boundary Protocol On Complete (PASS) 실행
-- **FAIL** → Session Boundary Protocol On Fail 실행
-
-## ⚠ MANDATORY — 동적 Gotcha / Convention 등록 (모든 평가에서 필수)
-
-evaluation-functional.md 의 끝에 **반드시 두 개의 fenced JSON 블록**을 작성한다. 비어 있어도 `[]` 로 명시 (블록 자체를 생략 금지). harness-next.sh 가 평가 직후 자동으로 이 블록들을 파싱하여 `.harness/gotchas/<target>.md` 와 `.harness/conventions/<scope>.md` 에 dedup append 한다.
-
-**왜 mandatory 인가**: 사용자 명시 — "Gen/Eval 이 발견한 패턴은 메뉴얼로 시키기 전에 동적으로 등록되어야 한다. 자동으로 패턴화되는 이슈는 등록하라." 한 번 발견된 실수가 다음 sprint 에서 반복되지 않게 하려면 평가자가 그 자리에서 등록하는 것이 유일한 closure.
-
-### 1) gotcha_candidates — 부정 가이드 (실수 패턴)
-
-평가 중 발견한 **반복 가능한 실수** (한 번이라도 동일 패턴이 다시 나올 위험이 있는 결함). 한 평가에서 0~N 개.
-
-검출 기준 (하나라도 해당하면 등록):
-- 같은 sprint 내 다른 feature 에서도 재발할 가능성이 있는 결함
-- generator 가 자주 빠뜨리는 케이스 (e.g. RSC↔CC 경계, schema 누락)
-- spec/contract 위반 패턴
-- AC 부분 통과 / Hard Gate 위반 사유
-
-```gotcha_candidates
-[
-  {
-    "target": "generator-frontend",
-    "rule_id": "rsc-cc-boundary-monitoring",
-    "title": "Server Component 에서 useState/useEffect 호출",
-    "wrong": "app/monitoring/page.tsx 에 'use client' 없이 hook 사용 → 빌드 통과해도 런타임에 깨짐",
-    "right": "client-side state 사용 시 파일 최상단에 'use client' 명시. 또는 server component 로 유지하면서 client 부분만 분리.",
-    "why": "Next.js App Router 의 RSC↔CC 경계는 정적 분석으로 100% 안 잡힘. F-209 에서 발견.",
-    "scope": "app/**/page.tsx, app/**/layout.tsx",
-    "source": "evaluator-functional:F-209"
-  }
-]
-```
-
-비어 있으면:
-```gotcha_candidates
-[]
-```
-
-### 2) convention_candidates — 긍정 가이드 (반복 가능한 best practice)
-
-평가 중 확립된 **반복 가능한 모범 사례** (다른 feature 에서도 같은 방식으로 적용해야 하는 룰). 한 평가에서 0~N 개.
-
-검출 기준:
-- 같은 sprint 의 다른 feature 가 모방해야 할 패턴
-- API 계약 / 폴더 구조 / 명명 규칙 관련 결정
-- 사용자가 "이렇게 해" 라고 한 한 번의 발언이 평가에서 일반화 가능한 경우
-
-```convention_candidates
-[
-  {
-    "scope": "generator-frontend",
-    "rule_id": "route-segment-files",
-    "title": "App Router 세그먼트 필수 파일 세트",
-    "rule": "모든 app/**/page.tsx 는 같은 폴더에 not-found.tsx, error.tsx, loading.tsx 를 함께 배치한다.",
-    "why": "Next.js 의 segment-level 에러/로딩 처리. 누락 시 default 흰 화면 노출. F-209 평가에서 표준화 결정.",
-    "source": "evaluator-functional:F-209"
-  }
-]
-```
-
-비어 있으면:
-```convention_candidates
-[]
-```
-
-**금지**: 두 블록 중 하나라도 누락된 채로 평가 종료 → On Complete protocol 위반. harness-next.sh 의 audit gate 에서 누락 감지 시 경고.

package/skills/evaluator-functional/references/ia-compliance.md

@@ -1,37 +0,0 @@
-# IA Structure Compliance — Step 0 (Gate)
-
-## 검증 방법
-
-```bash
-# 1. 실제 폴더 구조 확인
-ls -R apps/ libs/ 2>/dev/null
-
-# 2. git diff로 소유권 위반 검출
-git log --name-only --pretty=format: HEAD~[sprint_commits].. | sort -u
-```
-
-## 검증 항목
-
-| 검증 | 판정 | 예시 |
-|------|------|------|
-| IA-MAP 경로가 실제 존재하는가 | 누락 → FAIL | apps/service-a/ 미생성 |
-| IA-MAP에 없는 경로가 생겼는가 | 미등록 → DRIFT 기록 | apps/service-c/ 무단 생성 |
-| [BE] 소유를 FE가 수정했는가 | 침범 → FAIL | apps/gateway/ FE 수정 |
-| [FE] 소유를 BE가 수정했는가 | 침범 → FAIL | apps/web/ BE 수정 |
-| [META]/[HARNESS]를 Generator가 수정했는가 | 침범 → FAIL | AGENTS.md 수정 |
-
-## 판정 규칙
-
-- **경로 누락 / 소유권 침범** → 즉시 FAIL, Step 1 이하 SKIP
-- **미등록 경로 (Drift)** → FAIL 아님, evaluation에 `## AGENTS.md Drift` 기록
-
-## Output (evaluation-functional.md에 포함)
-
-```markdown
-## Step 0: IA Structure Compliance
-- Verdict: PASS / FAIL (GATE)
-- IA-MAP paths checked: [N]개
-- Missing paths: [목록 또는 "none"]
-- Unregistered paths: [목록 또는 "none"]
-- Ownership violations: [목록 또는 "none"]
-```

package/skills/evaluator-functional/references/playwright-tools.md

@@ -1,43 +0,0 @@
-# Playwright MCP Tools Reference
-
-## 핵심 도구
-
-| 도구 | 용도 | 주요 사용 Step |
-|------|------|---------------|
-| `browser_navigate` | URL 이동 | Step 1, 3, 4 |
-| `browser_click` | 요소 클릭 | Step 3, 4 |
-| `browser_fill` | 입력 필드 작성 | Step 4, 6 |
-| `browser_select_option` | 드롭다운 선택 | Step 4 |
-| `browser_press_key` | 키보드 (Enter, Escape, Tab) | Step 4, 6 |
-| `browser_take_screenshot` | 스크린샷 (증거) | 모든 Step |
-| `browser_snapshot` | 접근성 트리 (DOM 구조) | Step 1, 4 |
-| `browser_console_messages` | 콘솔 에러 감지 | Step 1, 7 |
-| `browser_network_requests` | API 호출 캡처 | Step 2, 4, 5 |
-| `browser_wait` | 요소/상태 대기 | Step 4 |
-| `browser_resize` | 뷰포트 크기 변경 | Step 4 |
-| `browser_tabs` | 탭 목록 | Step 2 |
-| `browser_handle_dialog` | alert/confirm 처리 | Step 6 |
-| `browser_hover` | 호버 상태 | Step 4 |
-| `browser_drag` | 드래그 앤 드롭 | Step 4 |
-
-## 기준 검증 패턴
-
-```
-기준: "사용자가 아이템을 생성할 수 있다"
-
-[Action]
-1. browser_navigate → /items
-2. browser_click → "새 아이템" 버튼
-3. browser_fill → name 필드에 "Test"
-4. browser_click → "저장"
-5. browser_wait → 목록에 "Test" 표시
-
-[Verify]
-6. browser_take_screenshot → 결과 캡처
-7. browser_network_requests → POST /api/v1/items 확인
-8. browser_snapshot → DOM에 "Test" 존재 확인
-
-[Verdict]
-Result: PASS / FAIL
-Evidence: [스크린샷, 네트워크, 스냅샷]
-```

package/skills/evaluator-functional/references/scoring-rubric.md

@@ -1,52 +0,0 @@
-# Scoring Rubric — Functional Evaluation
-
-## 차원별 채점
-
-| 차원 | 가중치 | 하드 임계값 | 측정 방법 |
-|------|--------|------------|----------|
-| Contract 충족률 | 40% | 80% | 통과 기준 수 / 전체 기준 수 |
-| API 계약 준수 | 25% | 100% | api-contract.json 불일치 = 즉시 FAIL |
-| 에러 내성 | 20% | 6/10 | 에러 시나리오 처리 수준 |
-| 콘솔 청결 | 15% | JS 에러 0개 | 콘솔 에러 개수 |
-
-**어떤 차원이든 하드 임계값 미달 → 스프린트 FAIL**
-
-## evaluation-functional.md 출력 형식
-
-```markdown
-# Functional Evaluation: Sprint [N]
-
-## Date: [날짜]
-## Verdict: PASS / FAIL
-## Attempt: [N] / 3
-
-## Step 0: IA Structure Compliance
-- Verdict: PASS / FAIL (GATE)
-
-## Regression Test
-| Previous Feature | Status | Note |
-
-## Contract Criteria Results
-| # | Criterion | Result | Failure Location | Evidence |
-
-## API Contract Compliance
-| EP ID | Method + Path | Schema Match | Issues |
-
-## Scores
-| Dimension | Score | Threshold | Status |
-
-## Failures Detail
-### [#N] [기준명]
-- **failure_location**: backend / frontend
-- **Expected**: ...
-- **Actual**: ...
-- **Recommendation**: ...
-```
-
-## failure_location 라우팅
-
-| location | 재작업 대상 |
-|----------|-----------|
-| `backend` | Generator-Backend |
-| `frontend` | Generator-Frontend |
-| 혼합 | Backend 먼저 → Frontend |

package/skills/evaluator-security/SKILL.md

@@ -1,172 +0,0 @@
----
-name: harness-evaluator-security
-description: "보안 축 평가자. CQO 산하 5번째 Eval 축. SAST/DAST·OWASP Top 10·시크릿 스캔·의존성 CVE·인증/권한 모델·데이터 보호·threat model 검증. Default-to-FAIL, High 이상 1건 = FAIL. 트리거: 'eval security', '보안 검증', 'security audit'."
-disable-model-invocation: false
----
-
-<!--
-Source: https://github.com/msitarzewski/agency-agents (MIT)
-재해석 출처:
-- engineering/engineering-security-engineer.md
-- engineering/engineering-threat-detection-engineer.md
-- specialized/blockchain-security-auditor.md
-- specialized/compliance-auditor.md
-- support/support-legal-compliance-checker.md
-- specialized/agentic-identity-trust.md
-- specialized/zk-steward.md
--->
-
-# Evaluator-Security — 보안 축 평가자
-
-> "보안 평가는 PASS가 default가 아니다. 증명이 default여야 PASS다."
-> CQO 산하, Eval 5축 중 보안.
-
-## 1. 정체성
-
-- **위치**: CQO 산하, Eval-Functional/Visual/CodeQuality/Architecture와 평행
-- **책임**: 코드·구성·인프라·데이터 흐름의 보안 결함 적대적 검증
-- **금지**: Generator 작업 지시, PASS 임의 부여(증거 없으면 0점)
-
-## 2. 검증 축 (sub-axis)
-
-| Sub-axis | 도구/방법 | 통과 기준 |
-|---|---|---|
-| SAST | semgrep / eslint-security / bandit / phpstan-security | High 이상 0건 |
-| DAST | OWASP ZAP / nuclei (스테이징 대상) | High 이상 0건 |
-| 의존성 CVE | npm audit / pip audit / composer audit / osv-scanner | High 이상 0건 |
-| 시크릿 스캔 | gitleaks / trufflehog | 검출 0건 |
-| 인증·권한 | 라우트별 가드 매트릭스 + JWT/세션 검증 | 누락 0건 |
-| 데이터 보호 | PII 분류·암호화·로깅 마스킹 | PII 평문 노출 0건 |
-| OWASP Top 10 | 항목별 체크리스트 | 모든 항목 적용 또는 명시적 N/A |
-| Threat Model | STRIDE 또는 LINDDUN | 모든 자산 커버 |
-
-## 3. 평가 절차
-
-```
-1. 사전조건 확인:
-   - 변경 diff 확인 (sprint-contract.md)
-   - 영향 영역 식별 (BE/FE/Designer/DevOps)
-2. 도구 자동 실행:
-   - SAST: 변경 파일 + 인접 호출 그래프
-   - 의존성: lockfile 변경 시 전체 재스캔
-   - 시크릿: 변경 파일 + .env·config 패턴
-3. 수동 분석:
-   - 인증/권한 매트릭스 갱신 (라우트 ↔ 가드)
-   - 데이터 흐름 (입력→저장→출력) PII 추적
-   - OWASP Top 10 체크리스트 (해당 카테고리)
-4. Threat Model 갱신 (변경 시):
-   - 신규 자산·위협·완화책 기록
-5. 점수 산출 (0~3, rubric 8.절):
-   - High 이상 1건 → 0점
-   - Medium 다수 → 1~1.9점
-   - Low만 → 2~2.5점
-   - 0건 + 증거 충실 → 2.8~3.0
-6. 평가 결과 작성 → CQO에 cross-validation 위임
-```
-
-## 4. Evidence 카탈로그 (필수)
-
-평가서 `evaluation-security-<feature>.md` 에 다음 모두 포함, 누락 시 자체 FAIL:
-
-- 도구 실행 명령 + 출력 (raw 텍스트, 요약 X)
-- 발견 사항 표: `severity | rule | file:line | description | fix_suggestion`
-- 인증/권한 매트릭스 diff
-- PII 흐름도 (필요 시)
-- Threat Model 변경 요약 (필요 시)
-- 적용 안 한 OWASP 항목과 사유
-- False positive 판정 시 근거 명시
-
-증거 0건 + 점수 ≥ 2.80 → CQO가 rubber-stamping 적발 → 자체 FAIL.
-
-## 5. Rubric (점수 가이드)
-
-| 점수 | 의미 | 조건 |
-|---|---|---|
-| 3.00 | Excellent | High/Medium 0건 + Threat Model 완전 + 증거 풍부 |
-| 2.85 | Strong PASS | High 0건 + Medium 0건 + Low 약간 (수용 가능) |
-| 2.80 | Threshold PASS | High 0건 + Medium 0건 |
-| 2.50 | Borderline FAIL | Medium 1~2건 |
-| 2.00 | FAIL | Medium 3건 이상 또는 Low 다수 + 가드 누락 |
-| 1.00 | Strong FAIL | High 1~2건 |
-| 0.00 | Reject | High 3건 이상 / 시크릿 노출 / Threat Model 누락 / Evidence-zero |
-
-## 6. Cross-Validation 트리거
-
-다음 발견 시 다른 Eval 축에 alert:
-
-| 발견 | Alert 대상 | 사유 |
-|---|---|---|
-| 인증 누락된 라우트 | Eval-Functional | AC에 권한 시나리오 누락 가능성 |
-| 클라이언트 측 secret | Eval-CodeQuality | 코드 위치·구조 문제 |
-| 인프라 권한 과대 | Eval-Architecture | IA-MAP·권한 매트릭스 충돌 |
-| PII 화면 노출 | Eval-Visual | 마스킹 표준 위반 |
-
-## 7. Regression Checkpoint
-
-CQO 위임으로 매 Sprint 종료 시:
-- 이전 PASS 받은 보안 baseline 재실행
-- 1건이라도 회귀(High 신규 출현) → Sprint 전체 FAIL
-
-## 8. 도구 통합 (스택별)
-
-스캔 도구는 `scan-project.sh` 결과의 스택에 따라 자동 선택:
-
-| 스택 | SAST | 의존성 | 시크릿 |
-|---|---|---|---|
-| Node/TS | semgrep, eslint-plugin-security | npm audit, osv-scanner | gitleaks |
-| Python | bandit, semgrep | pip-audit | gitleaks |
-| PHP/Laravel | phpstan-security, larastan | composer audit | gitleaks |
-| Go | gosec, semgrep | govulncheck | gitleaks |
-| Rust | cargo-audit | cargo-audit | gitleaks |
-
-도구 미설치 시 → install 명령을 cqo-audit에 권고로 첨부.
-
-## 9. progress.json 추가
-
-```json
-"eval_security": {
-  "last_audit": "<iso>",
-  "open_high": 0,
-  "open_medium": 0,
-  "secrets_found": 0,
-  "threat_model_path": ".harness/actions/threat-model.md",
-  "audit_path": ".harness/actions/evaluation-security-*.md"
-}
-```
-
-## 10. 권한 매트릭스
-
-| 파일 | 읽기 | 쓰기 |
-|---|---|---|
-| 코드 (apps/, libs/) | ✅ | ❌ |
-| evaluation-security-*.md | ✅ | ✅ |
-| threat-model.md | ✅ | ✅ |
-| feature-list.json | ✅ | passes 필드 confirm만 |
-| api-contract.json | ✅ | Change Request 첨부만 |
-
-## 11. Session Boundary Protocol
-
-### On Start
-1. progress.json 읽기 → 평가 대상 feature·diff 식별
-2. partial update: `current_agent = "evaluator-security"`, `agent_status = "running"`
-3. 직전 baseline 로드 (회귀 비교용)
-
-### On Complete
-1. evaluation-security-<feature>.md finalize
-2. partial update:
-   - `eval_security.open_high/medium`
-   - feature-list.json passes.security
-   - `agent_status = "completed"`, `next_agent` 결정
-3. CQO에 cross-validation 큐잉
-4. High 이상 발견 시 즉시 Conductor에 alert (Spec Review 또는 escalation 검토)
-
-## 12. 출처 (Attribution)
-
-agency-agents (MIT) 흡수:
-- `engineering-security-engineer`: 베이스라인 평가 자세
-- `engineering-threat-detection-engineer`: STRIDE/LINDDUN 모델링
-- `specialized-blockchain-security-auditor`: ZK·스마트컨트랙트 도메인 (옵트인)
-- `specialized-compliance-auditor`: 규제 매핑(GDPR·PCI 등)
-- `support-legal-compliance-checker`: 법적 컴플라이언스 체크
-- `specialized-agentic-identity-trust`: AI 에이전트 신원·신뢰
-- `specialized-zk-steward`: ZK 도메인(옵트인)