elanous 0.2.22 → 0.2.24

package/scripts/bench-report.ts

@@ -1,15 +1,17 @@
 #!/usr/bin/env bun
 // 벤치 한 판(runId) → 팔 × 지표 표. RFC-fleet-supervisor-substrates-benchmark-and-token-accounting §F5 · 2026-09-25.
-//   bun scripts/bench-report.ts --run <runId> [--since 24h] [--json]
-// 입력은 호스트 로그 셋뿐이다(새 저장소 0):
+//   bun scripts/bench-report.ts --run <runId> [--since 24h] [--json] [--bn1 <관측.json>]
+// 기본 입력은 호스트 로그 셋뿐이다(새 저장소 0). BN1은 선택적 별도 관측 파일이다.
+// 기본 로그 입력:
 //   ① `self-dev.orchestrate substrate`   — 팔 선언(benchArms: id·provider·model)
 //   ② `self-implement.pod job-applied`   — spaceId ↔ armId
 //   ③ `self-dev.orchestrate job.done`    — taskId·stage·prUrl·durationMs ⊕ (E4) gatePassed·reviewVerdict·reviewMustFixCount
 //   ④ `llm-usage` site=`pod-rollup:*`    — Pod 가 잰 사용량(armId 별)
 // ⛔ runId 로만 거른다 — `--all --include-test` 의 «모든 우주»가 섞여도 runId 는 한 판이다.
 // ⛔ 이음이 끊긴 칸은 0 으로 채우지 않고 `null`(못 이음)로 둔다.
-// ⛔ 이 표로 팔을 «비교»하지 않는다 — 팔 밖 모델 행(leak)이 0이고 팔마다 표본이 쌓인 뒤에만(A/B 매뉴얼 · 결론 금지).
+// ⛔ 기본 표로 팔을 «비교»하지 않는다 — 팔 밖 모델 행(leak)이 0이고 팔마다 표본이 쌓인 뒤에만(A/B 매뉴얼 · 결론 금지). BN1도 네 팔 동일 골 측정 전 결론 금지.
 import { spawnSync } from 'node:child_process';
+import { readFileSync } from 'node:fs';
 import { dirname, join } from 'node:path';
 
 export interface LogRow { category?: string; event?: string; data?: Record<string, unknown> | null }
@@ -120,6 +122,68 @@ export function buildBenchReport(rows: readonly LogRow[], runId: string): { runI
   return { runId, arms: [...arms.values()].sort((x, y) => (x.armId < y.armId ? -1 : 1)), unjoinedJobs, ...(image ? { image } : {}) };
 }
 
+export const BN1_ARMS = ['Codex', 'OpenClaw', 'Hermes', '엘라누스'] as const;
+export type Bn1Arm = typeof BN1_ARMS[number];
+export interface Bn1Input {
+  runId: string;
+  goals: Array<{ id: string; text: string }>;
+  observations: Array<{
+    goalId: string;
+    arm: Bn1Arm;
+    completed: boolean | null;
+    humanInterventions: number | null;
+    durationMs: number | null;
+    costUsd: number | null;
+    evidence: string;
+  }>;
+}
+
+/** BN1 is a separate, opt-in experiment: no inference from pod stage, calls or known-cost subtotal. */
+export function buildBn1Comparison(input: Bn1Input, runId: string) {
+  if (!input || typeof input.runId !== 'string' || !input.runId.trim() || input.runId !== runId || !Array.isArray(input.goals) || !input.goals.length || !Array.isArray(input.observations)) throw new Error('BN1: runId 또는 골 셋이 유효하지 않음');
+  const goals = new Set<string>();
+  for (const goal of input.goals) {
+    if (typeof goal?.id !== 'string' || !goal.id.trim() || typeof goal.text !== 'string' || !goal.text.trim() || goals.has(goal.id)) throw new Error('BN1: 빈 골 또는 중복 골');
+    goals.add(goal.id);
+  }
+  const observed = new Map<string, Bn1Input['observations'][number]>();
+  for (const row of input.observations) {
+    if (!row || typeof row.goalId !== 'string' || typeof row.arm !== 'string') throw new Error('BN1: 알 수 없거나 중복된 골/팔');
+    const key = `${row.goalId}\u0000${row.arm}`;
+    if (!goals.has(row.goalId) || !BN1_ARMS.includes(row.arm) || observed.has(key)) throw new Error('BN1: 알 수 없거나 중복된 골/팔');
+    if (typeof row.evidence !== 'string' || !row.evidence.trim()) throw new Error('BN1: 관측 근거가 없음');
+    if (row.completed !== null && typeof row.completed !== 'boolean') throw new Error('BN1: 완주 값은 boolean 또는 null');
+    for (const value of [row.humanInterventions, row.durationMs, row.costUsd]) {
+      if (value === undefined || (value !== null && (typeof value !== 'number' || !Number.isFinite(value) || value < 0))) throw new Error('BN1: 수치는 0 이상 또는 null');
+    }
+    if (row.humanInterventions !== null && !Number.isInteger(row.humanInterventions)) throw new Error('BN1: 사람 개입 수는 정수');
+    observed.set(key, row);
+  }
+  const comparedGoals = input.goals.map((goal) => {
+    const arms = BN1_ARMS.map((arm) => {
+      const row = observed.get(`${goal.id}\u0000${arm}`);
+      return { arm, completed: row?.completed ?? null, humanInterventions: row?.humanInterventions ?? null,
+        durationMs: row?.durationMs ?? null, costUsd: row?.costUsd ?? null, evidence: row?.evidence ?? null };
+    });
+    return { id: goal.id, text: goal.text, arms };
+  });
+  const fieldsComplete = comparedGoals.every((goal) => goal.arms.every((arm) =>
+    arm.completed !== null && arm.humanInterventions !== null && arm.durationMs !== null && arm.costUsd !== null && arm.evidence !== null));
+  return { runId, fieldsComplete, goals: comparedGoals };
+}
+
+export function renderBn1Comparison(rep: ReturnType<typeof buildBn1Comparison>): string {
+  const value = (v: number | boolean | null): string => v === null ? '못 잼' : typeof v === 'boolean' ? (v ? '완주' : '미완주') : String(v);
+  const cell = (text: string): string => text.replaceAll('|', '\\|').replaceAll('\n', '<br>');
+  return ['## BN1 · 같은 골 대조 (X1 격리 설치와 짝)', '',
+    `측정 칸 완비: ${rep.fieldsComplete ? '네 팔 관측값 기입 완료(출처와 조건 별도 검증 필요)' : '아니오 — 미관측 칸 존재'}`,
+    '', '| 골 | 공유 골 입력(미확정 가능) | 팔 | 끝까지 | 사람 개입 수 | 시간(ms) | 비용(USD) | 근거 |',
+    '|---|---|---|---|---|---|---|---|',
+    ...rep.goals.flatMap((goal) => goal.arms.map((row) => `| ${cell(goal.id)} | ${cell(goal.text)} | ${row.arm} | ${value(row.completed)} | ${value(row.humanInterventions)} | ${value(row.durationMs)} | ${value(row.costUsd)} | ${row.evidence === null ? '못 잼' : cell(row.evidence)} |`)),
+    '', 'X1 짝 실측(격리 설치·첫 실행, 개발 골 대조 아님): docs/measurements/X1-inner-pty-openclaw-hermes-install-2026-10-03.md',
+    '못 잼은 0이 아니라 미관측이다. 동일 골 네 팔의 근거가 모이기 전 비교 우열은 판정하지 않는다.'].join('\n');
+}
+
 export function renderBenchReport(rep: ReturnType<typeof buildBenchReport>): string {
   const k = (n: number): string => (n >= 10_000 ? `${Math.round(n / 1000)}k` : String(n));
   const lines = [
@@ -146,6 +210,21 @@ if (import.meta.main) {
   const arg = (name: string): string | undefined => { const i = process.argv.indexOf(name); return i > 0 ? process.argv[i + 1] : undefined; };
   const runId = arg('--run');
   if (!runId) { console.error('사용: bun scripts/bench-report.ts --run <runId> [--since 24h] [--json]'); process.exit(2); }
+  const bn1Path = arg('--bn1');
+  if (process.argv.includes('--bn1') && (!bn1Path || bn1Path.startsWith('--'))) {
+    console.error('BN1 입력 실패: --bn1 <관측.json> 경로 필요');
+    process.exit(2);
+  }
+  let bn1: ReturnType<typeof buildBn1Comparison> | undefined;
+  if (bn1Path) {
+    try { bn1 = buildBn1Comparison(JSON.parse(readFileSync(bn1Path, 'utf8')) as Bn1Input, runId); }
+    catch (error) { console.error(`BN1 입력 실패: ${error instanceof Error ? error.message : String(error)}`); process.exit(2); }
+  }
+  // BN1 external arms have no self-dev pod logs. Do not require legacy bench arms for their report.
+  if (bn1) {
+    console.log(process.argv.includes('--json') ? JSON.stringify(bn1) : renderBn1Comparison(bn1));
+    process.exit(0);
+  }
   const bin = join(dirname(import.meta.dir), 'bin', 'elanous.mjs');
   const rows: LogRow[] = [];
   for (const q of [['--category', 'self-dev.orchestrate'], ['--category', 'self-implement.pod'], ['--event', 'llm-usage']]) {

package/scripts/ci-typecheck-changed.ts

@@ -13,7 +13,16 @@ import {
   type TypecheckError,
 } from '../src/typecheck-ratchet.js';
 import { debug } from '../src/debug/log.js';
-import { tscEnv } from '../src/typecheck-ratchet.js';
+import {
+  ROOT_PLACEHOLDER,
+  baselineCacheEnabled,
+  computeBaselineCacheKey,
+  lookupBaselineCache,
+  storeBaselineCache,
+  toPlaceholderPaths,
+  type BaselineCacheOptions,
+} from './tsc-baseline-cache.js';
+import { TSC_OOM_RETRY_HEAP_MB, TSC_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
 
 /** Inherited GIT_DIR / GIT_WORK_TREE would make `--cwd <other tree>` still read the launcher's repo. */
 function gitEnv(base: NodeJS.ProcessEnv = process.env): NodeJS.ProcessEnv {
@@ -24,6 +33,15 @@ function gitEnv(base: NodeJS.ProcessEnv = process.env): NodeJS.ProcessEnv {
   return env;
 }
 
+/**
+ * tsc 를 띄울 env — 호출자(runTsc)가 넘긴 env(= tscEnv · 20GB 힙)를 «바탕»으로 GIT_* 만 걷는다.
+ * 🩸 2026-10-09: 이 자리가 `env: gitEnv()`(process.env 바탕)로 덮어 tscEnv 의 힙이 사라졌다 → 호스트 재게이트 tsc 가
+ *   ≈4GB(V8 기본)에서 OOM · merge-ready 자식이 `host-regate-failed` 로 «실패» 기록(오늘 5건).
+ */
+export function tscExecEnv(callerEnv: NodeJS.ProcessEnv | undefined): NodeJS.ProcessEnv {
+  return gitEnv(callerEnv ?? tscEnv());
+}
+
 /** git 조회용 — 명령 실패는 호출자가 빈 출력과 구분할 수 있게 전파한다. */
 function sh(cmd: string, cwd = process.cwd()): string {
   return execSync(cmd, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], cwd, env: gitEnv() });
@@ -31,19 +49,26 @@ function sh(cmd: string, cwd = process.cwd()): string {
 
 export type TscRun = { out: string; ran: boolean; why?: string };
 
-export { TSC_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
+export { TSC_HEAP_MB, TSC_OOM_RETRY_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
 /** V8 힙 부족의 얼굴 — 「타입 에러」와 «다른 값»이다. */
 const OOM = /heap out of memory|Ineffective mark-compacts near heap limit/;
 
 /** tsc 실행 결과 — 실행 여부와 진단 출력을 분리한다. */
 export function runTsc(cmd: string, exec = execSync): TscRun {
-  try {
-    const out = exec(cmd, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], env: tscEnv(), maxBuffer: 64 * 1024 * 1024 }) as unknown as string;
-    return { out: String(out ?? ''), ran: true };
-  } catch (error: unknown) {
-    const e = error as { status?: number | null; signal?: string | null; stdout?: string; stderr?: string; code?: string };
-    const out = `${e.stdout ?? ''}${e.stderr ?? ''}`;
-    if (OOM.test(out)) return { out, ran: false, why: `tsc 가 V8 힙 부족(OOM)으로 죽었다 — 타입 에러가 아니다 (NODE_OPTIONS=${tscEnv().NODE_OPTIONS})` };
+  type Attempt = { out: string; error?: { status?: number | null; signal?: string | null; code?: string } };
+  const run = (env: NodeJS.ProcessEnv): Attempt => {
+    try {
+      const out = exec(cmd, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], env, maxBuffer: 64 * 1024 * 1024 }) as unknown as string;
+      return { out: String(out ?? '') };
+    } catch (error: unknown) {
+      const e = error as { status?: number | null; signal?: string | null; stdout?: string; stderr?: string; code?: string };
+      return { out: `${e.stdout ?? ''}${e.stderr ?? ''}`, error: e };
+    }
+  };
+  const result = (attempt: Attempt, env: NodeJS.ProcessEnv): TscRun => {
+    const { out, error: e } = attempt;
+    if (OOM.test(out)) return { out, ran: false, why: `tsc 가 V8 힙 부족(OOM)으로 죽었다 — 타입 에러가 아니다 (NODE_OPTIONS=${env.NODE_OPTIONS})` };
+    if (!e) return { out, ran: true };
     if (e.signal || e.code === 'ENOENT' || e.status === null || e.status === undefined) {
       return { out, ran: false, why: `tsc 실행 실패 (signal=${String(e.signal)} code=${String(e.code)} status=${String(e.status)})` };
     }
@@ -55,7 +80,23 @@ export function runTsc(cmd: string, exec = execSync): TscRun {
       return { out, ran: false, why: `tsc 가 종료코드 ${e.status} 로 끝났는데 TS 진단이 한 건도 없다(래퍼 실패로 본다)` };
     }
     return { out, ran: true };
-  }
+  };
+
+  const initialEnv = tscEnv();
+  const initial = run(initialEnv);
+  if (!OOM.test(initial.out)) return result(initial, initialEnv);
+
+  const retryEnv = {
+    ...initialEnv,
+    NODE_OPTIONS: `${(initialEnv.NODE_OPTIONS ?? '').replace(/--max-old-space-size(?:=|\s+)\d+/g, '').trim()} --max-old-space-size=${TSC_OOM_RETRY_HEAP_MB}`.trim(),
+  };
+  const retryResult = result(run(retryEnv), retryEnv);
+  debug.log('harness.host-regate', 'tsc-oom-retry', {
+    heapFrom: TSC_HEAP_MB,
+    heapTo: TSC_OOM_RETRY_HEAP_MB,
+    result: retryResult,
+  });
+  return retryResult;
 }
 
 export type ChangedTsFiles = {
@@ -775,7 +816,27 @@ export function rebaseWorktreePaths(diagnostics: readonly TypecheckError[], work
   return diagnostics.map((diagnostic) => ({ ...diagnostic, line: rebase(diagnostic.line), file: rebase(diagnostic.file) }));
 }
 
-export function readMergeBaseDiagnostics(base: string, command: string, cwd = process.cwd(), run = runTsc): BaselineDiagnostics {
+export type BaselineCacheIo = BaselineCacheOptions & { log?: (message: string) => void };
+
+/**
+ * 같은 base 커밋 ⊕ 같은 명령 ⊕ 같은 설정 해시면 저장된 진단을 재사용한다(워크트리·tsc 0회).
+ * 캐시의 어떤 실패도 던지지 않는다 — miss 로 떨어져 아래 측정이 그대로 돈다.
+ */
+function lookupCachedBaseline(key: string, command: string, cwd: string, cacheIo: BaselineCacheIo): BaselineDiagnostics | undefined {
+  const lookup = lookupBaselineCache(key, cacheIo);
+  const result = lookup.result === 'hit' ? 'hit' : lookup.result === 'corrupt' ? 'corrupt' : 'miss';
+  cacheIo.log?.(`[tsc-gate] typecheck baseline-cache ${result === 'hit' ? 'hit' : 'miss'} ${key.slice(0, 12)}`);
+  debug.log('typecheck.gate', 'baseline-cache', { result, key, command });
+  if (lookup.result !== 'hit') return undefined;
+  return { diagnostics: rebaseWorktreePaths(lookup.diagnostics, ROOT_PLACEHOLDER, cwd) };
+}
+
+export function readMergeBaseDiagnostics(base: string, command: string, cwd = process.cwd(), run = runTsc, cacheIo: BaselineCacheIo = {}): BaselineDiagnostics {
+  const cacheKey = baselineCacheEnabled(cacheIo.env ?? process.env) ? computeBaselineCacheKey(base, command, cwd, cacheIo) : undefined;
+  if (cacheKey) {
+    const cached = lookupCachedBaseline(cacheKey, command, cwd, cacheIo);
+    if (cached) return cached;
+  }
   const workspace = mkdtempSync(join(tmpdir(), 'ci-typecheck-baseline-'));
   const worktree = join(workspace, 'base');
   try {
@@ -789,7 +850,11 @@ export function readMergeBaseDiagnostics(base: string, command: string, cwd = pr
       execSync(cmd, { ...options, cwd: worktree, maxBuffer: 64 * 1024 * 1024, env: tscEnv() }) as string) as typeof execSync;
     const result = run(command, baselineExec);
     if (!result.ran) return { unavailable: result.why ?? '기준 worktree tsc 실행 실패' };
-    return { diagnostics: rebaseWorktreePaths(parseTypecheckErrors(result.out), worktree, cwd) };
+    const measured = parseTypecheckErrors(result.out);
+    if (cacheKey && !storeBaselineCache(cacheKey, command, toPlaceholderPaths(measured, worktree), cacheIo)) {
+      debug.log('typecheck.gate', 'baseline-cache', { result: 'store-failed', key: cacheKey, command });
+    }
+    return { diagnostics: rebaseWorktreePaths(measured, worktree, cwd) };
   } catch (error) {
     return { unavailable: error instanceof Error ? error.message : String(error) };
   } finally {
@@ -880,8 +945,9 @@ function inspectTscResult(tsc: TscRun, changed: ReadonlySet<string>, baseline: R
 export function runGate(io: Partial<GateIo> = {}): void {
   const cwd = io.cwd ?? process.cwd();
   const defaultChanged = () => changedTsFiles((cmd) => sh(cmd, cwd), process.env, cwd, io.baseRef);
-  const { changedTsFiles: getChanged = defaultChanged, runTscCmd = (cmd: string) => runTsc(cmd, ((command, options) => execSync(command, { ...options, cwd, env: gitEnv() })) as typeof execSync), log = (message: string) => console.log(message), warn = (message: string) => console.warn(message), error = (message: string) => console.error(message), exit = ((code: number) => process.exit(code)) as GateIo['exit'] } = io;
-  const readBaselineDiagnostics = io.readBaselineDiagnostics ?? ((base: string, command: string) => readMergeBaseDiagnostics(base, command, cwd));
+  const defaultRunTsc = (cmd: string) => runTsc(cmd, ((command, options) => execSync(command, { ...options, cwd, env: tscExecEnv(options?.env) })) as typeof execSync);
+  const { changedTsFiles: getChanged = defaultChanged, runTscCmd = defaultRunTsc, log = (message: string) => console.log(message), warn = (message: string) => console.warn(message), error = (message: string) => console.error(message), exit = ((code: number) => process.exit(code)) as GateIo['exit'] } = io;
+  const readBaselineDiagnostics = io.readBaselineDiagnostics ?? ((base: string, command: string) => readMergeBaseDiagnostics(base, command, cwd, runTsc, { log }));
   // Set 주입은 기존 테스트 심이며 기준 revision이 없다. 실제 ChangedTsFiles 경로만 Git 관측을 요구한다.
   const requiredExportFields = io.requiredExportFields ?? ((changed: ReadonlySet<string>, base: string) => base === 'injected test seam'
     ? { fields: [], removedSymbols: [], parameterIncreases: [] }

package/scripts/fleet/bedrock-pod-secret.ts

@@ -0,0 +1,122 @@
+#!/usr/bin/env bun
+/**
+ * BEDROCK-PROVIDER ② (0.2.24) — 호스트 `~/.aws` 프로필 → 풀 클러스터의 bedrock Pod 전용 Secret(`elanous-bedrock-aws`).
+ *
+ * ⛔ 값은 터미널·로그·파일 어디에도 안 낸다 — 자격은 메모리에서 바로 `kubectl apply -f -` 의 stdin 으로만 간다.
+ *   출력은 «키 이름 · 리전 · 대상» 뿐이다.
+ * ⛔ 기본은 «계획만»(dry-run · 클러스터 접촉 0). 실제로 만들려면 `--apply` — 대표·OP 승인 뒤에만 친다.
+ * ⛔ 임시 자격(세션 토큰 · SSO/역할)은 기본 거부 — Pod 수명 중 만료되면 자식이 403 으로 죽는다. Pod 용 정적 키(IAM 사용자 · bedrock-mantle:CreateInference 만)를 쓴다.
+ *
+ * 사용:
+ *   bun scripts/fleet/bedrock-pod-secret.ts --context k3d-elanous-pool                      # 계획만(키 이름)
+ *   bun scripts/fleet/bedrock-pod-secret.ts --context k3d-elanous-pool --apply              # 만든다/갱신한다
+ *   옵션: --profile <이름>(기본 elanous-bedrock) · --namespace <ns>(기본 elanous-test) · --region <r>(기본 프로필 region)
+ *         --allow-session-token(임시 자격을 알고 싣는다)
+ * 짝: docker/h1/policy-bedrock.yaml(이그레스) · src/task-orchestrator/surfaces/pod-bedrock-child.ts(발사 전 판정)
+ */
+import { spawnSync } from 'node:child_process';
+import { existsSync, readFileSync } from 'node:fs';
+import { homedir } from 'node:os';
+import { join } from 'node:path';
+import { BEDROCK_POD_SECRET_NAME } from '../../src/task-orchestrator/surfaces/pod-bedrock-child.js';
+import { regionFromAwsConfigText, validBedrockRegion, type BedrockCredentials } from '../../src/llm/bedrock.js';
+
+export interface BedrockSecretArgs {
+  context?: string;
+  namespace: string;
+  profile: string;
+  region?: string;
+  apply: boolean;
+  allowSessionToken: boolean;
+}
+
+export function parseArgs(argv: readonly string[]): BedrockSecretArgs | { error: string } {
+  const out: BedrockSecretArgs = { namespace: 'elanous-test', profile: 'elanous-bedrock', apply: false, allowSessionToken: false };
+  for (let i = 0; i < argv.length; i++) {
+    const a = argv[i]!;
+    const value = () => { const v = argv[++i]; if (!v || v.startsWith('--')) throw new Error(`${a} 에 값이 없다`); return v; };
+    try {
+      if (a === '--context') out.context = value();
+      else if (a === '--namespace') out.namespace = value();
+      else if (a === '--profile') out.profile = value();
+      else if (a === '--region') out.region = value();
+      else if (a === '--apply') out.apply = true;
+      else if (a === '--allow-session-token') out.allowSessionToken = true;
+      else return { error: `모르는 인자: ${a}` };
+    } catch (e) { return { error: (e as Error).message }; }
+  }
+  if (!out.context) return { error: '--context <풀 문맥> 이 필요하다 — 어느 클러스터에 둘지 명시한다(기본 문맥에 조용히 쓰지 않는다)' };
+  return out;
+}
+
+/** Secret 매니페스트 — 값은 이 객체 안에만 있고, 호출자는 stdin 으로만 넘긴다. */
+export function bedrockPodSecretManifest(input: { namespace: string; region: string; credentials: BedrockCredentials; name?: string }): Record<string, unknown> {
+  return {
+    apiVersion: 'v1', kind: 'Secret', type: 'Opaque',
+    metadata: { name: input.name ?? BEDROCK_POD_SECRET_NAME, namespace: input.namespace, labels: { 'elanous.secret': 'bedrock-aws' } },
+    stringData: {
+      AWS_ACCESS_KEY_ID: input.credentials.accessKeyId,
+      AWS_SECRET_ACCESS_KEY: input.credentials.secretAccessKey,
+      ...(input.credentials.sessionToken ? { AWS_SESSION_TOKEN: input.credentials.sessionToken } : {}),
+      AWS_REGION: input.region,
+    },
+  };
+}
+
+/** 사람에게 보이는 계획 — 키 «이름»만. */
+export function describePlan(args: BedrockSecretArgs, region: string, manifest: Record<string, unknown>): string {
+  const keys = Object.keys((manifest as { stringData: Record<string, string> }).stringData);
+  return [
+    `대상: --context ${args.context} · ${args.namespace}/${BEDROCK_POD_SECRET_NAME}`,
+    `출처: ~/.aws 프로필 ${args.profile} · 리전 ${region}`,
+    `키: ${keys.join(', ')} (값은 출력하지 않는다)`,
+  ].join('\n');
+}
+
+export interface Deps {
+  resolve: (profile: string) => Promise<BedrockCredentials>;
+  readConfig: () => string | undefined;
+  kubectl: (args: string[], stdin: string) => { status: number | null; stdout: string; stderr: string };
+  print: (line: string) => void;
+}
+
+const defaultDeps: Deps = {
+  resolve: async (profile) => {
+    const { defaultProvider } = await import('@aws-sdk/credential-provider-node');
+    const c = await defaultProvider({ profile })();
+    return { accessKeyId: c.accessKeyId, secretAccessKey: c.secretAccessKey, ...(c.sessionToken ? { sessionToken: c.sessionToken } : {}) };
+  },
+  readConfig: () => {
+    const p = process.env.AWS_CONFIG_FILE?.trim() || join(homedir(), '.aws', 'config');
+    try { return existsSync(p) ? readFileSync(p, 'utf8') : undefined; } catch { return undefined; }
+  },
+  kubectl: (args, stdin) => {
+    const r = spawnSync('kubectl', args, { input: stdin, encoding: 'utf8', timeout: 60_000 });
+    return { status: r.status, stdout: r.stdout ?? '', stderr: r.stderr ?? '' };
+  },
+  print: (line) => console.log(line),
+};
+
+export async function run(argv: readonly string[], deps: Deps = defaultDeps): Promise<number> {
+  const args = parseArgs(argv);
+  if ('error' in args) { deps.print(`⛔ ${args.error}`); return 2; }
+  const region = validBedrockRegion(args.region ?? regionFromAwsConfigText(deps.readConfig() ?? '', args.profile));
+  if (!region) { deps.print(`⛔ 리전 없음 — --region 또는 ~/.aws/config 의 [profile ${args.profile}] region`); return 2; }
+  let credentials: BedrockCredentials;
+  try { credentials = await deps.resolve(args.profile); }
+  catch (e) { deps.print(`⛔ 프로필 ${args.profile} 자격을 못 풀었다 (${(e as { name?: string })?.name ?? 'Error'})`); return 2; }   // ⛔ 메시지 원문은 싣지 않는다
+  if (credentials.sessionToken && !args.allowSessionToken) {
+    deps.print('⛔ 임시 자격(세션 토큰)이다 — Pod 수명 중 만료된다. Pod 용 정적 키를 쓰거나, 알고 싣는다면 --allow-session-token');
+    return 2;
+  }
+  const manifest = bedrockPodSecretManifest({ namespace: args.namespace, region, credentials });
+  deps.print(describePlan(args, region, manifest));
+  if (!args.apply) { deps.print('계획만(dry-run) — 클러스터에 쓰지 않았다. 만들려면 --apply(승인 뒤)'); return 0; }
+  const r = deps.kubectl(['--context', args.context!, 'apply', '-f', '-'], JSON.stringify(manifest));
+  // kubectl apply 의 출력은 «secret/<이름> created|configured» 뿐이다 — stderr 는 원문 대신 rc 만.
+  if (r.status !== 0) { deps.print(`⛔ kubectl apply 실패 rc=${r.status}`); return 1; }
+  deps.print(`✅ ${r.stdout.trim().split('\n')[0] ?? 'applied'}`);
+  return 0;
+}
+
+if (import.meta.main) process.exit(await run(process.argv.slice(2)));

package/scripts/fleet/node-setup-linux.sh

@@ -0,0 +1,97 @@
+# shellcheck shell=bash
+# 리눅스 노드 갈래 — node-setup.sh 가 원격 `uname -s` = Linux 일 때 source 한다(WORKER-WSL-LINUX-POOL · OP 2026-10-11 host-e-wsl 실측).
+#   맥 갈래(brew·OrbStack·Chrome·~/.zshenv) 대신: apt 기본 패키지 · systemd · docker-ce(공식 apt) · docker 서비스·그룹 · ~/.docker-fleet(빈 currentContext)
+#   · k3d(공식 install.sh) · kubectl(k3s 와 같은 판 · sha256 검증) · nodejs(codex CLI 셔뱅) · codex CLI(이 맥과 같은 판) · 미러(HEAD=main).
+#   bun · 레지스트리 · 클러스터 · kubeconfig · 정책 · DNS · 판 대조는 맥과 «같은» 단계를 탄다(node-setup.sh).
+# ⭐ 단계마다 «이미 돼 있으면 건너뛴다»(멱등) · --check 면 바꾸지 않고 → 할 일만.
+# ⛔ sudo 는 «sudo -n» 으로만 — 비대화형 ssh 에서 비번을 묻고 멈추지 않는다(묻으면 ✗ ⊕ 사람이 칠 명령).
+# ⛔ 코드 밖(윈도우 Startup .cmd · .wslconfig · 자격 · codexHome)은 실행하지 않는다 — linux_handoff 가 «사람 손 할 일»로 출력만.
+# 아키텍처가 이 맥과 다르다(x86_64) → Pod 이미지는 그 노드에서 `ELANOUS_BUILD_REMOTE=<호스트>` 로 굽는다(맥 arm64 이미지 못 씀).
+
+KUBECTL_VER="${ELANOUS_FLEET_KUBECTL_VERSION:-${K3S_IMAGE##*:}}"; KUBECTL_VER="${KUBECTL_VER%%-k3s*}"   # 풀의 k3s 와 같은 판
+CODEX_VER="${ELANOUS_FLEET_CODEX_VERSION:-$(codex --version 2>/dev/null | awk '{print $NF}')}"          # 이 맥과 같은 판
+APT_BASE="ca-certificates curl unzip git python3"                                                        # unzip = bun 설치기
+
+linux_base() {
+  ok "OS Linux $(R 'uname -m' 2>/dev/null)$(R '. /etc/os-release 2>/dev/null && printf " · %s" "$PRETTY_NAME"' 2>/dev/null)"
+  # L1. apt 기본 패키지
+  if R 'for c in curl unzip git python3; do command -v $c >/dev/null || exit 1; done'; then ok "기본 패키지(curl·unzip·git·python3)"
+  elif [ $CHECK = 1 ]; then todo "apt 기본 패키지($APT_BASE)"
+  else R "{ sudo -n apt-get update -qq && sudo -n apt-get install -y -qq $APT_BASE; } >/tmp/fleet-apt.log 2>&1" && ok "기본 패키지 (설치)" || bad "기본 패키지 설치 실패 — 원격 /tmp/fleet-apt.log (sudo 비번이면 사람이: sudo apt-get install -y $APT_BASE)"; fi
+  # L2. systemd — docker·containerd 를 서비스로 띄우려면 PID 1 이 systemd 여야 한다(WSL 은 /etc/wsl.conf 로 켠다).
+  if R 'test "$(ps -p 1 -o comm= 2>/dev/null)" = systemd'; then ok "systemd (PID 1)"
+  else bad "systemd 가 PID 1 이 아니다 — WSL 이면 /etc/wsl.conf 에 [boot] systemd=true 뒤 wsl --shutdown(사람이)"; fi
+  # L3. docker — Docker Desktop shim 이면 멈춘다: 엔진이 윈도우 쪽 Desktop VM 이라 k3d 풀이 그 VM 에 뜬다(배포판 안 docker-ce 가 아니다).
+  SHIM="$(R 'p=$(command -v docker 2>/dev/null) && case "$(readlink -f "$p")" in /mnt/wsl/*|*docker-desktop*) echo shim;; esac; docker info --format "{{.OperatingSystem}}" 2>/dev/null | grep -qi "docker desktop" && echo shim' 2>/dev/null)"
+  if [ -n "$SHIM" ]; then bad "docker 가 Docker Desktop shim 이다 — Desktop 설정에서 이 배포판의 WSL integration 을 끄고(사람이) 다시 돌리면 docker-ce 를 깐다"; echo; echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; exit 1; fi
+  LX_DOCKER_PENDING=0
+  if R 'command -v dockerd >/dev/null && dpkg -s docker-ce >/dev/null 2>&1'; then ok "docker-ce (apt)"
+  elif [ $CHECK = 1 ]; then todo "docker-ce 설치(공식 apt 저장소 · docker-ce·cli·containerd.io·buildx)"; LX_DOCKER_PENDING=1
+  else R '{ sudo -n install -m 0755 -d /etc/apt/keyrings && . /etc/os-release && sudo -n curl -fsSL "https://download.docker.com/linux/$ID/gpg" -o /etc/apt/keyrings/docker.asc && sudo -n chmod a+r /etc/apt/keyrings/docker.asc && printf "Types: deb\nURIs: https://download.docker.com/linux/%s\nSuites: %s\nComponents: stable\nArchitectures: %s\nSigned-By: /etc/apt/keyrings/docker.asc\n" "$ID" "$VERSION_CODENAME" "$(dpkg --print-architecture)" | sudo -n tee /etc/apt/sources.list.d/docker.sources >/dev/null && sudo -n apt-get update -qq && sudo -n apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-buildx-plugin; } >/tmp/fleet-docker-apt.log 2>&1' && ok "docker-ce (설치 · 공식 apt)" || { bad "docker-ce 설치 실패 — 원격 /tmp/fleet-docker-apt.log (sudo 비번이면 사람이)"; LX_DOCKER_PENDING=1; }; fi
+  if R 'systemctl is-enabled docker containerd >/dev/null 2>&1 && systemctl is-active docker containerd >/dev/null 2>&1'; then ok "docker·containerd 서비스(enable · active)"
+  elif [ $CHECK = 1 ]; then todo "systemctl enable --now docker containerd"; LX_DOCKER_PENDING=1
+  else R 'sudo -n systemctl enable --now docker containerd >/tmp/fleet-docker-svc.log 2>&1' && ok "docker·containerd 서비스 (enable --now)" || { bad "docker 서비스 기동 실패 — 원격 /tmp/fleet-docker-svc.log"; LX_DOCKER_PENDING=1; }; fi
+  # 그룹은 «그룹 db»로 잰다(id -nG <사용자>) — 지금 세션 그룹이 아니라 다음 ssh 연결이 받을 그룹.
+  if R 'id -nG "$(id -un)" | tr " " "\n" | grep -qx docker'; then ok "docker 그룹"
+  elif [ $CHECK = 1 ]; then todo "usermod -aG docker <사용자>"; LX_DOCKER_PENDING=1
+  else R 'sudo -n usermod -aG docker "$(id -un)"' && ok "docker 그룹 (추가 · 새 ssh 연결부터)" || { bad "docker 그룹 추가 실패"; LX_DOCKER_PENDING=1; }; fi
+  if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"
+  elif [ $LX_DOCKER_PENDING = 0 ]; then bad "docker 엔진에 못 붙는다(설치·서비스·그룹은 됐다)"; fi
+  # L4. 플릿 docker 설정 — 리눅스엔 키체인이 없어도 같은 DOCKER_CONFIG 를 쓴다(build.sh ELANOUS_BUILD_REMOTE). 빈 currentContext = 기본 소켓 · buildx 는 시스템 플러그인.
+  if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1'; then ok "플릿 docker 설정(~/.docker-fleet · buildx)"
+  elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(빈 currentContext)"
+  else R 'mkdir -p ~/.docker-fleet && { test -f ~/.docker-fleet/config.json || printf "{\"currentContext\": \"\"}\n" > ~/.docker-fleet/config.json; }'
+    R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+}
+
+linux_tools() {
+  # L5. k3d — 공식 설치 스크립트(/usr/local/bin)
+  if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
+  elif [ $CHECK = 1 ]; then todo "k3d 설치(공식 install.sh)"
+  else R 'curl -fsSL https://raw.githubusercontent.com/k3d-io/k3d/main/install.sh | sudo -n bash >/tmp/fleet-k3d.log 2>&1' && R 'command -v k3d' >/dev/null && ok "k3d (설치)" || bad "k3d 설치 실패 — 원격 /tmp/fleet-k3d.log"; fi
+  # L6. kubectl — 클러스터와 같은 판 · sha256 이 맞을 때만 설치한다(원격 클러스터 점검이 이것을 쓴다).
+  kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+  if [ "$kv" = "$KUBECTL_VER" ]; then ok "kubectl $kv"
+  elif [ $CHECK = 1 ]; then todo "kubectl $KUBECTL_VER 설치(지금 ${kv:-없음} · sha256 검증)"
+  else R "{ a=\$(dpkg --print-architecture) && mkdir -p /tmp/fleet-kubectl-$KUBECTL_VER && cd /tmp/fleet-kubectl-$KUBECTL_VER && curl -fsSLo kubectl https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl && curl -fsSLo kubectl.sha256 https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl.sha256 && echo \"\$(cat kubectl.sha256)  kubectl\" | sha256sum --check && sudo -n install -o root -g root -m 0755 kubectl /usr/local/bin/kubectl; } >/tmp/fleet-kubectl.log 2>&1"
+    kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+    [ "$kv" = "$KUBECTL_VER" ] && ok "kubectl $kv (설치 · sha256 검증)" || bad "kubectl $KUBECTL_VER 설치 실패(sha256 이 틀리면 설치 안 함) — 원격 /tmp/fleet-kubectl.log"; fi
+  # L7. nodejs — codex CLI 가 node 셔뱅이다(없으면 usage 가 «app-server exited» 로 죽는다).
+  if R 'command -v node' >/dev/null; then ok "node $(R 'node --version')"
+  elif [ $CHECK = 1 ]; then todo "nodejs 설치(apt · codex CLI 셔뱅)"
+  else R 'sudo -n apt-get install -y -qq nodejs >/tmp/fleet-node.log 2>&1' && R 'command -v node' >/dev/null && ok "node (설치 · apt)" || bad "nodejs 설치 실패 — 원격 /tmp/fleet-node.log"; fi
+  # L8. codex CLI — 이 맥과 같은 판(bun 전역)
+  cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+  if [ -n "$cv" ] && { [ -z "$CODEX_VER" ] || [ "$cv" = "$CODEX_VER" ]; }; then ok "codex $cv"
+  elif [ $CHECK = 1 ]; then todo "codex CLI ${CODEX_VER:-?} (지금 ${cv:-없음} · bun add -g @openai/codex@<이 맥 판>)"
+  elif [ -z "$CODEX_VER" ]; then bad "이 맥에 codex 가 없어 판을 모른다 — ELANOUS_FLEET_CODEX_VERSION 으로 준다"
+  else R "bun add -g @openai/codex@$CODEX_VER >/tmp/fleet-codex.log 2>&1"; cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+    [ "$cv" = "$CODEX_VER" ] && ok "codex $cv (설치)" || bad "codex $CODEX_VER 설치 실패 — 원격 /tmp/fleet-codex.log"; fi
+}
+
+# tailnet 이름 — 인자(ELANOUS_FLEET_TSNAME)가 먼저 · 없으면 원격 tailscale(맥 갈래와 같은 명령) · WSL 이면 윈도우 쪽 tailscale.exe.
+linux_tsname() {
+  if [ -n "${ELANOUS_FLEET_TSNAME:-}" ]; then TSNAME="$ELANOUS_FLEET_TSNAME"; return; fi
+  [ -n "$TSNAME" ] || TSNAME="$(R 'tailscale.exe status --self --json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+}
+
+# 미러 — HEAD 는 main(기본 master 면 첫 clone 이 깨진다). 이미 있고 HEAD 가 master 면 symbolic-ref 만 고친다(객체는 안 건드린다).
+linux_mirror() {
+  if R "test -d ~/mirror/elanous-agent.git"; then
+    if [ "$(R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD 2>/dev/null')" = refs/heads/main ]; then ok "호스트 git 미러 ~/mirror/elanous-agent.git (HEAD=main)"
+    elif [ $CHECK = 1 ]; then todo "호스트 git 미러 HEAD 를 main 으로(git symbolic-ref HEAD refs/heads/main)"
+    else R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD refs/heads/main' && ok "호스트 git 미러 (HEAD=main 으로 고침)" || bad "미러 HEAD 고치기 실패"; fi
+  elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare -b main) ⊕ 이 맥에서 첫 push"
+  else R "mkdir -p ~/mirror && git init -q --bare -b main ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · HEAD=main · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+}
+
+# 코드 밖 — 실행하지 않는다. 자격은 «어디에 무엇»만 적고 값을 읽거나 옮기지 않는다.
+linux_handoff() {
+  echo
+  echo "✋ 사람 손 할 일 (코드 밖 · 이 스크립트는 실행하지 않는다)"
+  echo "  1. 윈도우 Startup 폴더에 .cmd — wsl.exe -d <배포판 이름> (⚠️ 기본 배포판이 docker-desktop 일 수 있다 — -d 필수)"
+  echo "  2. %UserProfile%\\.wslconfig — [wsl2] memory=40GB · vmIdleTimeout=-1 (뒤 wsl --shutdown)"
+  echo "  3. 자격(대표 승인 뒤 · 값은 사람이 옮긴다): Pod Secret 둘 · ~/.cache/{openrouter,zai}_api_key · ~/.grok/auth.json · codex = ~/.elanous/auth.json 의 openai-codex* ⊕ ~/.codex*/auth.json"
+  echo "  4. codexHome 경로를 리눅스 홈(/home/<사용자>/…)으로 — 맥 경로 그대로면 usage 가 «authentication required»"
+  echo "  5. Pod 이미지는 이 노드에서 굽는다 — ELANOUS_BUILD_REMOTE=$HOST (x86_64 · 맥 arm64 이미지 못 씀)"
+}

package/scripts/fleet/node-setup.sh

@@ -3,6 +3,7 @@
 #   bash scripts/fleet/node-setup.sh <호스트> [--check]
 #   <호스트>  ssh 로 닿는 이름(예: node-b · node-c) — 이 맥에서 `ssh -o BatchMode=yes <호스트> true` 가 돼야 한다.
 #   --check  영구 설정을 바꾸지 않고 상태만 본다(단계마다 ✓ · ✗ · → 할 일). DNS 점검용 Pod 는 잠깐 만들었다 지운다.
+#   원격 `uname -s` = Linux(WSL Ubuntu 등)면 brew·OrbStack·Chrome·~/.zshenv 대신 리눅스 갈래(scripts/fleet/node-setup-linux.sh)를 탄다.
 # ⭐ 단계마다 «이미 돼 있으면 건너뛴다» — 몇 번 돌려도 같은 결과(재현 가능한 셋업).
 # ⛔ 원격의 다른 컨테이너·앱은 건드리지 않는다. 이 맥의 ~/.kube/config 는 바꾸기 전에 백업한다.
 set -u
@@ -20,6 +21,9 @@ echo "▶ 노드 $HOST$([ $CHECK = 1 ] && echo ' (점검만)')"
 
 # 1. ssh
 R true >/dev/null 2>&1 && ok "ssh" || { bad "ssh 불통 — 이 맥에서 ssh 키·Tailscale 확인"; exit 1; }
+# 1b. 원격 OS — Linux(WSL Ubuntu 등)면 리눅스 갈래(scripts/fleet/node-setup-linux.sh · apt·docker-ce·k3d install.sh). 맥은 아래 종전 단계 그대로.
+NODE_OS="$(R 'uname -s' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then . "$ROOT/scripts/fleet/node-setup-linux.sh"; linux_base; else
 # 2. brew · docker(OrbStack)
 R 'command -v brew' >/dev/null && ok "brew" || bad "brew 없음 — https://brew.sh 로 먼저 설치(사람이)"
 if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"; else bad "docker 없음·꺼짐 — OrbStack 을 설치·실행(사람이 · ⛔ OrbStack 내장 k8s 는 NetworkPolicy 를 집행 안 한다 · k3d 를 쓴다)"; fi
@@ -36,6 +40,7 @@ if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docke
 elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(키체인 없는 docker 설정)"
 else R 'mkdir -p ~/.docker-fleet && ctx=$(python3 -c "import json,os;print(json.load(open(os.path.expanduser(\"~/.docker/config.json\"))).get(\"currentContext\",\"\"))" 2>/dev/null); printf "{\"currentContext\": \"%s\"}\n" "$ctx" > ~/.docker-fleet/config.json; [ -e ~/.docker-fleet/contexts ] || ln -s ~/.docker/contexts ~/.docker-fleet/contexts; [ -e ~/.docker-fleet/cli-plugins ] || [ ! -d ~/.docker/cli-plugins ] || ln -s ~/.docker/cli-plugins ~/.docker-fleet/cli-plugins'
   R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+fi
 # 3. bun — 이 맥과 «같은 판»(시험 샤딩은 판이 같아야 비교된다).
 #    ⛔ 원격에 «다른 판» bun 이 이미 있으면 덮어쓰지 않는다(그 기계의 다른 일이 쓴다) — ~/.bun-<판> 에 나란히 둔다.
 #    ⛔ 나란히 설치할 땐 설치기가 셸 설정에 PATH 를 덧붙여 기본 bun 을 가로채지 않게, 셸 설정 파일을 전후로 되돌린다.
@@ -46,6 +51,7 @@ elif [ "$side" = "$BUN_VER" ]; then ok "bun $side (~/.bun-$BUN_VER · 기본 bun
 elif [ $CHECK = 1 ]; then todo "bun $BUN_VER 설치(기본 bun ${have:-없음} — $([ -n "$have" ] && echo '건드리지 않고 ~/.bun-'"$BUN_VER"' 에 나란히' || echo '~/.bun'))"
 elif [ -z "$have" ]; then R "curl -fsSL https://bun.sh/install | bash -s bun-v$BUN_VER >/dev/null 2>&1"; [ "$(R 'bun --version')" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun)" || bad "bun 설치 실패"
 else R "for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f ] && cp -p \$HOME/\$f \$HOME/\$f.fleet-bak; done; curl -fsSL https://bun.sh/install | BUN_INSTALL=\$HOME/.bun-$BUN_VER bash -s bun-v$BUN_VER >/dev/null 2>&1; for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f.fleet-bak ] && mv \$HOME/\$f.fleet-bak \$HOME/\$f; done"; [ "$(R "$FLEET_BUN --version")" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun-$BUN_VER · 기본 bun $have 그대로)" || bad "bun 나란히 설치 실패"; fi
+if [ "$NODE_OS" = Linux ]; then linux_tools; else
 # 4. Chrome (CDP 시험 레인 · 이 맥과 같은 조건)
 if R 'test -d "/Applications/Google Chrome.app"'; then ok "Chrome"
 elif [ $CHECK = 1 ]; then todo "Chrome 설치"
@@ -54,8 +60,10 @@ else R 'brew install --cask google-chrome >/tmp/fleet-chrome.log 2>&1' && ok "Ch
 if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
 elif [ $CHECK = 1 ]; then todo "k3d 설치"
 else R 'brew install k3d >/tmp/fleet-k3d.log 2>&1' && ok "k3d (설치)" || bad "k3d 설치 실패"; fi
+fi
 # 6. 클러스터 elanous-pool — API 를 0.0.0.0:<포트> 로 · 인증서 SAN = 호스트 이름 ⊕ tailnet 이름
 TSNAME="$(R '(tailscale status --self --json 2>/dev/null || /Applications/Tailscale.app/Contents/MacOS/Tailscale status --self --json 2>/dev/null) | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then linux_tsname; fi
 # 5b. 노드 로컬 레지스트리 — 델타 판올림(대표 2026-09-26): 원격 빌드가 여기로 push 하면 «없는 층만» 올라가고
 #     Pod 는 커밋 태그로 pull 한다(종전 `k3d image import` 는 4GB 전체를 클러스터 저장소로 매번 복사했다).
 REGISTRY="${ELANOUS_FLEET_REGISTRY:-elanous-registry}"; REG_PORT="${ELANOUS_FLEET_REGISTRY_PORT:-5050}"
@@ -74,9 +82,11 @@ fi
 # 🪞 호스트 git 미러(대표 09-29) — Pod 는 GitHub 대신 이 미러에서 clone 한다(`ELANOUS_POD_HOST_MIRROR` · #21929).
 #   bare 미러 = 원격 ~/mirror/elanous-agent.git(없으면 만든다 · 갱신은 이 맥의 크론이 push). 클러스터 노드에 읽기 전용으로 붙인다.
 MIRROR_DIR='$HOME/mirror'; MIRROR_MOUNT=/mirror-host
+if [ "$NODE_OS" = Linux ]; then linux_mirror; else
 if R "test -d ~/mirror/elanous-agent.git"; then ok "호스트 git 미러 ~/mirror/elanous-agent.git"
 elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare) ⊕ 이 맥에서 첫 push"
 else R "mkdir -p ~/mirror && git init -q --bare ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+fi
 # 클러스터가 그 레지스트리를 쓰나 ⊕ 미러가 붙어 있나 — 둘 중 하나라도 아니면(옛 클러스터) 돌고 있는 Job 이 없을 때만 다시 만든다.
 #   ⛔ k3d 는 볼륨을 «클러스터 생성 때만» 붙인다 — 붙이려면 다시 만들 수밖에 없다.
 REG_WIRED=0; R "docker exec k3d-$CLUSTER-server-0 cat /etc/rancher/k3s/registries.yaml 2>/dev/null | grep -q k3d-$REGISTRY" && REG_WIRED=1
@@ -177,6 +187,7 @@ kubectl --context "$CTX" --request-timeout=10s -n elanous-test delete "pod/$DNS_
 v="$(kubectl --context "$CTX" --request-timeout=10s get nodes -o jsonpath='{.items[0].status.nodeInfo.kubeletVersion}' 2>/dev/null)"
 want="${K3S_IMAGE##*:}"; want="${want/-k3s/+k3s}"
 [ "$v" = "$want" ] && ok "k3s $v" || bad "k3s ${v:-응답 없음} ≠ 기대 $want"
+if [ "$NODE_OS" = Linux ]; then linux_handoff; fi
 echo
 if [ $FAIL = 0 ] && [ $TODO -gt 0 ]; then echo "→ $HOST 할 일 $TODO — --check 없이 다시 돌리면 채운다"; exit 2
 elif [ $FAIL = 0 ]; then echo "✓ $HOST 준비됨 — 풀에 넣기: ELANOUS_POD_POOL='…,$CTX@$HOST:<상한>#k3d-$REGISTRY:$REG_PORT'"; else echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; fi