elanous 0.2.23 → 0.2.25

package/scripts/ci-typecheck-changed.ts

@@ -13,7 +13,17 @@ import {
   type TypecheckError,
 } from '../src/typecheck-ratchet.js';
 import { debug } from '../src/debug/log.js';
-import { tscEnv } from '../src/typecheck-ratchet.js';
+import {
+  ROOT_PLACEHOLDER,
+  baselineCacheEnabled,
+  computeBaselineCacheKey,
+  workingTreeInstallKey,
+  lookupBaselineCache,
+  storeBaselineCache,
+  toPlaceholderPaths,
+  type BaselineCacheOptions,
+} from './tsc-baseline-cache.js';
+import { TSC_OOM_RETRY_HEAP_MB, TSC_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
 
 /** Inherited GIT_DIR / GIT_WORK_TREE would make `--cwd <other tree>` still read the launcher's repo. */
 function gitEnv(base: NodeJS.ProcessEnv = process.env): NodeJS.ProcessEnv {
@@ -40,19 +50,26 @@ function sh(cmd: string, cwd = process.cwd()): string {
 
 export type TscRun = { out: string; ran: boolean; why?: string };
 
-export { TSC_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
+export { TSC_HEAP_MB, TSC_OOM_RETRY_HEAP_MB, tscEnv } from '../src/typecheck-ratchet.js';
 /** V8 힙 부족의 얼굴 — 「타입 에러」와 «다른 값»이다. */
 const OOM = /heap out of memory|Ineffective mark-compacts near heap limit/;
 
 /** tsc 실행 결과 — 실행 여부와 진단 출력을 분리한다. */
 export function runTsc(cmd: string, exec = execSync): TscRun {
-  try {
-    const out = exec(cmd, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], env: tscEnv(), maxBuffer: 64 * 1024 * 1024 }) as unknown as string;
-    return { out: String(out ?? ''), ran: true };
-  } catch (error: unknown) {
-    const e = error as { status?: number | null; signal?: string | null; stdout?: string; stderr?: string; code?: string };
-    const out = `${e.stdout ?? ''}${e.stderr ?? ''}`;
-    if (OOM.test(out)) return { out, ran: false, why: `tsc 가 V8 힙 부족(OOM)으로 죽었다 — 타입 에러가 아니다 (NODE_OPTIONS=${tscEnv().NODE_OPTIONS})` };
+  type Attempt = { out: string; error?: { status?: number | null; signal?: string | null; code?: string } };
+  const run = (env: NodeJS.ProcessEnv): Attempt => {
+    try {
+      const out = exec(cmd, { encoding: 'utf8', stdio: ['ignore', 'pipe', 'pipe'], env, maxBuffer: 64 * 1024 * 1024 }) as unknown as string;
+      return { out: String(out ?? '') };
+    } catch (error: unknown) {
+      const e = error as { status?: number | null; signal?: string | null; stdout?: string; stderr?: string; code?: string };
+      return { out: `${e.stdout ?? ''}${e.stderr ?? ''}`, error: e };
+    }
+  };
+  const result = (attempt: Attempt, env: NodeJS.ProcessEnv): TscRun => {
+    const { out, error: e } = attempt;
+    if (OOM.test(out)) return { out, ran: false, why: `tsc 가 V8 힙 부족(OOM)으로 죽었다 — 타입 에러가 아니다 (NODE_OPTIONS=${env.NODE_OPTIONS})` };
+    if (!e) return { out, ran: true };
     if (e.signal || e.code === 'ENOENT' || e.status === null || e.status === undefined) {
       return { out, ran: false, why: `tsc 실행 실패 (signal=${String(e.signal)} code=${String(e.code)} status=${String(e.status)})` };
     }
@@ -64,7 +81,23 @@ export function runTsc(cmd: string, exec = execSync): TscRun {
       return { out, ran: false, why: `tsc 가 종료코드 ${e.status} 로 끝났는데 TS 진단이 한 건도 없다(래퍼 실패로 본다)` };
     }
     return { out, ran: true };
-  }
+  };
+
+  const initialEnv = tscEnv();
+  const initial = run(initialEnv);
+  if (!OOM.test(initial.out)) return result(initial, initialEnv);
+
+  const retryEnv = {
+    ...initialEnv,
+    NODE_OPTIONS: `${(initialEnv.NODE_OPTIONS ?? '').replace(/--max-old-space-size(?:=|\s+)\d+/g, '').trim()} --max-old-space-size=${TSC_OOM_RETRY_HEAP_MB}`.trim(),
+  };
+  const retryResult = result(run(retryEnv), retryEnv);
+  debug.log('harness.host-regate', 'tsc-oom-retry', {
+    heapFrom: TSC_HEAP_MB,
+    heapTo: TSC_OOM_RETRY_HEAP_MB,
+    result: retryResult,
+  });
+  return retryResult;
 }
 
 export type ChangedTsFiles = {
@@ -784,7 +817,28 @@ export function rebaseWorktreePaths(diagnostics: readonly TypecheckError[], work
   return diagnostics.map((diagnostic) => ({ ...diagnostic, line: rebase(diagnostic.line), file: rebase(diagnostic.file) }));
 }
 
-export function readMergeBaseDiagnostics(base: string, command: string, cwd = process.cwd(), run = runTsc): BaselineDiagnostics {
+export type BaselineCacheIo = BaselineCacheOptions & { log?: (message: string) => void };
+
+/**
+ * 같은 base 커밋 ⊕ 같은 명령 ⊕ 같은 설정 해시 ⊕ 같은 작업 트리 설치 키면 저장된 진단을 재사용한다(워크트리·tsc 0회).
+ * 캐시의 어떤 실패도 던지지 않는다 — miss 로 떨어져 아래 측정이 그대로 돈다.
+ */
+function lookupCachedBaseline(key: string, command: string, cwd: string, cacheIo: BaselineCacheIo, installKey?: string): BaselineDiagnostics | undefined {
+  const lookup = lookupBaselineCache(key, cacheIo);
+  const result = lookup.result === 'hit' ? 'hit' : lookup.result === 'corrupt' ? 'corrupt' : 'miss';
+  cacheIo.log?.(`[tsc-gate] typecheck baseline-cache ${result === 'hit' ? 'hit' : 'miss'} ${key.slice(0, 12)} installKey ${installKey?.slice(0, 12) ?? 'n/a'}`);
+  debug.log('typecheck.gate', 'baseline-cache', { result, key, command, installKey: installKey ?? null });
+  if (lookup.result !== 'hit') return undefined;
+  return { diagnostics: rebaseWorktreePaths(lookup.diagnostics, ROOT_PLACEHOLDER, cwd) };
+}
+
+export function readMergeBaseDiagnostics(base: string, command: string, cwd = process.cwd(), run = runTsc, cacheIo: BaselineCacheIo = {}): BaselineDiagnostics {
+  const cacheKey = baselineCacheEnabled(cacheIo.env ?? process.env) ? computeBaselineCacheKey(base, command, cwd, cacheIo) : undefined;
+  const installKey = cacheKey ? workingTreeInstallKey(cwd, cacheIo) : undefined;
+  if (cacheKey) {
+    const cached = lookupCachedBaseline(cacheKey, command, cwd, cacheIo, installKey);
+    if (cached) return cached;
+  }
   const workspace = mkdtempSync(join(tmpdir(), 'ci-typecheck-baseline-'));
   const worktree = join(workspace, 'base');
   try {
@@ -798,7 +852,11 @@ export function readMergeBaseDiagnostics(base: string, command: string, cwd = pr
       execSync(cmd, { ...options, cwd: worktree, maxBuffer: 64 * 1024 * 1024, env: tscEnv() }) as string) as typeof execSync;
     const result = run(command, baselineExec);
     if (!result.ran) return { unavailable: result.why ?? '기준 worktree tsc 실행 실패' };
-    return { diagnostics: rebaseWorktreePaths(parseTypecheckErrors(result.out), worktree, cwd) };
+    const measured = parseTypecheckErrors(result.out);
+    if (cacheKey && !storeBaselineCache(cacheKey, command, toPlaceholderPaths(measured, worktree), cacheIo)) {
+      debug.log('typecheck.gate', 'baseline-cache', { result: 'store-failed', key: cacheKey, command });
+    }
+    return { diagnostics: rebaseWorktreePaths(measured, worktree, cwd) };
   } catch (error) {
     return { unavailable: error instanceof Error ? error.message : String(error) };
   } finally {
@@ -889,8 +947,9 @@ function inspectTscResult(tsc: TscRun, changed: ReadonlySet<string>, baseline: R
 export function runGate(io: Partial<GateIo> = {}): void {
   const cwd = io.cwd ?? process.cwd();
   const defaultChanged = () => changedTsFiles((cmd) => sh(cmd, cwd), process.env, cwd, io.baseRef);
-  const { changedTsFiles: getChanged = defaultChanged, runTscCmd = (cmd: string) => runTsc(cmd, ((command, options) => execSync(command, { ...options, cwd, env: tscExecEnv(options?.env) })) as typeof execSync), log = (message: string) => console.log(message), warn = (message: string) => console.warn(message), error = (message: string) => console.error(message), exit = ((code: number) => process.exit(code)) as GateIo['exit'] } = io;
-  const readBaselineDiagnostics = io.readBaselineDiagnostics ?? ((base: string, command: string) => readMergeBaseDiagnostics(base, command, cwd));
+  const defaultRunTsc = (cmd: string) => runTsc(cmd, ((command, options) => execSync(command, { ...options, cwd, env: tscExecEnv(options?.env) })) as typeof execSync);
+  const { changedTsFiles: getChanged = defaultChanged, runTscCmd = defaultRunTsc, log = (message: string) => console.log(message), warn = (message: string) => console.warn(message), error = (message: string) => console.error(message), exit = ((code: number) => process.exit(code)) as GateIo['exit'] } = io;
+  const readBaselineDiagnostics = io.readBaselineDiagnostics ?? ((base: string, command: string) => readMergeBaseDiagnostics(base, command, cwd, runTsc, { log }));
   // Set 주입은 기존 테스트 심이며 기준 revision이 없다. 실제 ChangedTsFiles 경로만 Git 관측을 요구한다.
   const requiredExportFields = io.requiredExportFields ?? ((changed: ReadonlySet<string>, base: string) => base === 'injected test seam'
     ? { fields: [], removedSymbols: [], parameterIncreases: [] }

package/scripts/fleet/bedrock-pod-secret.ts

@@ -0,0 +1,122 @@
+#!/usr/bin/env bun
+/**
+ * BEDROCK-PROVIDER ② (0.2.24) — 호스트 `~/.aws` 프로필 → 풀 클러스터의 bedrock Pod 전용 Secret(`elanous-bedrock-aws`).
+ *
+ * ⛔ 값은 터미널·로그·파일 어디에도 안 낸다 — 자격은 메모리에서 바로 `kubectl apply -f -` 의 stdin 으로만 간다.
+ *   출력은 «키 이름 · 리전 · 대상» 뿐이다.
+ * ⛔ 기본은 «계획만»(dry-run · 클러스터 접촉 0). 실제로 만들려면 `--apply` — 대표·OP 승인 뒤에만 친다.
+ * ⛔ 임시 자격(세션 토큰 · SSO/역할)은 기본 거부 — Pod 수명 중 만료되면 자식이 403 으로 죽는다. Pod 용 정적 키(IAM 사용자 · bedrock-mantle:CreateInference 만)를 쓴다.
+ *
+ * 사용:
+ *   bun scripts/fleet/bedrock-pod-secret.ts --context k3d-elanous-pool                      # 계획만(키 이름)
+ *   bun scripts/fleet/bedrock-pod-secret.ts --context k3d-elanous-pool --apply              # 만든다/갱신한다
+ *   옵션: --profile <이름>(기본 elanous-bedrock) · --namespace <ns>(기본 elanous-test) · --region <r>(기본 프로필 region)
+ *         --allow-session-token(임시 자격을 알고 싣는다)
+ * 짝: docker/h1/policy-bedrock.yaml(이그레스) · src/task-orchestrator/surfaces/pod-bedrock-child.ts(발사 전 판정)
+ */
+import { spawnSync } from 'node:child_process';
+import { existsSync, readFileSync } from 'node:fs';
+import { homedir } from 'node:os';
+import { join } from 'node:path';
+import { BEDROCK_POD_SECRET_NAME } from '../../src/task-orchestrator/surfaces/pod-bedrock-child.js';
+import { regionFromAwsConfigText, validBedrockRegion, type BedrockCredentials } from '../../src/llm/bedrock.js';
+
+export interface BedrockSecretArgs {
+  context?: string;
+  namespace: string;
+  profile: string;
+  region?: string;
+  apply: boolean;
+  allowSessionToken: boolean;
+}
+
+export function parseArgs(argv: readonly string[]): BedrockSecretArgs | { error: string } {
+  const out: BedrockSecretArgs = { namespace: 'elanous-test', profile: 'elanous-bedrock', apply: false, allowSessionToken: false };
+  for (let i = 0; i < argv.length; i++) {
+    const a = argv[i]!;
+    const value = () => { const v = argv[++i]; if (!v || v.startsWith('--')) throw new Error(`${a} 에 값이 없다`); return v; };
+    try {
+      if (a === '--context') out.context = value();
+      else if (a === '--namespace') out.namespace = value();
+      else if (a === '--profile') out.profile = value();
+      else if (a === '--region') out.region = value();
+      else if (a === '--apply') out.apply = true;
+      else if (a === '--allow-session-token') out.allowSessionToken = true;
+      else return { error: `모르는 인자: ${a}` };
+    } catch (e) { return { error: (e as Error).message }; }
+  }
+  if (!out.context) return { error: '--context <풀 문맥> 이 필요하다 — 어느 클러스터에 둘지 명시한다(기본 문맥에 조용히 쓰지 않는다)' };
+  return out;
+}
+
+/** Secret 매니페스트 — 값은 이 객체 안에만 있고, 호출자는 stdin 으로만 넘긴다. */
+export function bedrockPodSecretManifest(input: { namespace: string; region: string; credentials: BedrockCredentials; name?: string }): Record<string, unknown> {
+  return {
+    apiVersion: 'v1', kind: 'Secret', type: 'Opaque',
+    metadata: { name: input.name ?? BEDROCK_POD_SECRET_NAME, namespace: input.namespace, labels: { 'elanous.secret': 'bedrock-aws' } },
+    stringData: {
+      AWS_ACCESS_KEY_ID: input.credentials.accessKeyId,
+      AWS_SECRET_ACCESS_KEY: input.credentials.secretAccessKey,
+      ...(input.credentials.sessionToken ? { AWS_SESSION_TOKEN: input.credentials.sessionToken } : {}),
+      AWS_REGION: input.region,
+    },
+  };
+}
+
+/** 사람에게 보이는 계획 — 키 «이름»만. */
+export function describePlan(args: BedrockSecretArgs, region: string, manifest: Record<string, unknown>): string {
+  const keys = Object.keys((manifest as { stringData: Record<string, string> }).stringData);
+  return [
+    `대상: --context ${args.context} · ${args.namespace}/${BEDROCK_POD_SECRET_NAME}`,
+    `출처: ~/.aws 프로필 ${args.profile} · 리전 ${region}`,
+    `키: ${keys.join(', ')} (값은 출력하지 않는다)`,
+  ].join('\n');
+}
+
+export interface Deps {
+  resolve: (profile: string) => Promise<BedrockCredentials>;
+  readConfig: () => string | undefined;
+  kubectl: (args: string[], stdin: string) => { status: number | null; stdout: string; stderr: string };
+  print: (line: string) => void;
+}
+
+const defaultDeps: Deps = {
+  resolve: async (profile) => {
+    const { defaultProvider } = await import('@aws-sdk/credential-provider-node');
+    const c = await defaultProvider({ profile })();
+    return { accessKeyId: c.accessKeyId, secretAccessKey: c.secretAccessKey, ...(c.sessionToken ? { sessionToken: c.sessionToken } : {}) };
+  },
+  readConfig: () => {
+    const p = process.env.AWS_CONFIG_FILE?.trim() || join(homedir(), '.aws', 'config');
+    try { return existsSync(p) ? readFileSync(p, 'utf8') : undefined; } catch { return undefined; }
+  },
+  kubectl: (args, stdin) => {
+    const r = spawnSync('kubectl', args, { input: stdin, encoding: 'utf8', timeout: 60_000 });
+    return { status: r.status, stdout: r.stdout ?? '', stderr: r.stderr ?? '' };
+  },
+  print: (line) => console.log(line),
+};
+
+export async function run(argv: readonly string[], deps: Deps = defaultDeps): Promise<number> {
+  const args = parseArgs(argv);
+  if ('error' in args) { deps.print(`⛔ ${args.error}`); return 2; }
+  const region = validBedrockRegion(args.region ?? regionFromAwsConfigText(deps.readConfig() ?? '', args.profile));
+  if (!region) { deps.print(`⛔ 리전 없음 — --region 또는 ~/.aws/config 의 [profile ${args.profile}] region`); return 2; }
+  let credentials: BedrockCredentials;
+  try { credentials = await deps.resolve(args.profile); }
+  catch (e) { deps.print(`⛔ 프로필 ${args.profile} 자격을 못 풀었다 (${(e as { name?: string })?.name ?? 'Error'})`); return 2; }   // ⛔ 메시지 원문은 싣지 않는다
+  if (credentials.sessionToken && !args.allowSessionToken) {
+    deps.print('⛔ 임시 자격(세션 토큰)이다 — Pod 수명 중 만료된다. Pod 용 정적 키를 쓰거나, 알고 싣는다면 --allow-session-token');
+    return 2;
+  }
+  const manifest = bedrockPodSecretManifest({ namespace: args.namespace, region, credentials });
+  deps.print(describePlan(args, region, manifest));
+  if (!args.apply) { deps.print('계획만(dry-run) — 클러스터에 쓰지 않았다. 만들려면 --apply(승인 뒤)'); return 0; }
+  const r = deps.kubectl(['--context', args.context!, 'apply', '-f', '-'], JSON.stringify(manifest));
+  // kubectl apply 의 출력은 «secret/<이름> created|configured» 뿐이다 — stderr 는 원문 대신 rc 만.
+  if (r.status !== 0) { deps.print(`⛔ kubectl apply 실패 rc=${r.status}`); return 1; }
+  deps.print(`✅ ${r.stdout.trim().split('\n')[0] ?? 'applied'}`);
+  return 0;
+}
+
+if (import.meta.main) process.exit(await run(process.argv.slice(2)));

package/scripts/fleet/node-setup-linux.sh

@@ -0,0 +1,97 @@
+# shellcheck shell=bash
+# 리눅스 노드 갈래 — node-setup.sh 가 원격 `uname -s` = Linux 일 때 source 한다(WORKER-WSL-LINUX-POOL · OP 2026-10-11 host-e-wsl 실측).
+#   맥 갈래(brew·OrbStack·Chrome·~/.zshenv) 대신: apt 기본 패키지 · systemd · docker-ce(공식 apt) · docker 서비스·그룹 · ~/.docker-fleet(빈 currentContext)
+#   · k3d(공식 install.sh) · kubectl(k3s 와 같은 판 · sha256 검증) · nodejs(codex CLI 셔뱅) · codex CLI(이 맥과 같은 판) · 미러(HEAD=main).
+#   bun · 레지스트리 · 클러스터 · kubeconfig · 정책 · DNS · 판 대조는 맥과 «같은» 단계를 탄다(node-setup.sh).
+# ⭐ 단계마다 «이미 돼 있으면 건너뛴다»(멱등) · --check 면 바꾸지 않고 → 할 일만.
+# ⛔ sudo 는 «sudo -n» 으로만 — 비대화형 ssh 에서 비번을 묻고 멈추지 않는다(묻으면 ✗ ⊕ 사람이 칠 명령).
+# ⛔ 코드 밖(윈도우 Startup .cmd · .wslconfig · 자격 · codexHome)은 실행하지 않는다 — linux_handoff 가 «사람 손 할 일»로 출력만.
+# 아키텍처가 이 맥과 다르다(x86_64) → Pod 이미지는 그 노드에서 `ELANOUS_BUILD_REMOTE=<호스트>` 로 굽는다(맥 arm64 이미지 못 씀).
+
+KUBECTL_VER="${ELANOUS_FLEET_KUBECTL_VERSION:-${K3S_IMAGE##*:}}"; KUBECTL_VER="${KUBECTL_VER%%-k3s*}"   # 풀의 k3s 와 같은 판
+CODEX_VER="${ELANOUS_FLEET_CODEX_VERSION:-$(codex --version 2>/dev/null | awk '{print $NF}')}"          # 이 맥과 같은 판
+APT_BASE="ca-certificates curl unzip git python3"                                                        # unzip = bun 설치기
+
+linux_base() {
+  ok "OS Linux $(R 'uname -m' 2>/dev/null)$(R '. /etc/os-release 2>/dev/null && printf " · %s" "$PRETTY_NAME"' 2>/dev/null)"
+  # L1. apt 기본 패키지
+  if R 'for c in curl unzip git python3; do command -v $c >/dev/null || exit 1; done'; then ok "기본 패키지(curl·unzip·git·python3)"
+  elif [ $CHECK = 1 ]; then todo "apt 기본 패키지($APT_BASE)"
+  else R "{ sudo -n apt-get update -qq && sudo -n apt-get install -y -qq $APT_BASE; } >/tmp/fleet-apt.log 2>&1" && ok "기본 패키지 (설치)" || bad "기본 패키지 설치 실패 — 원격 /tmp/fleet-apt.log (sudo 비번이면 사람이: sudo apt-get install -y $APT_BASE)"; fi
+  # L2. systemd — docker·containerd 를 서비스로 띄우려면 PID 1 이 systemd 여야 한다(WSL 은 /etc/wsl.conf 로 켠다).
+  if R 'test "$(ps -p 1 -o comm= 2>/dev/null)" = systemd'; then ok "systemd (PID 1)"
+  else bad "systemd 가 PID 1 이 아니다 — WSL 이면 /etc/wsl.conf 에 [boot] systemd=true 뒤 wsl --shutdown(사람이)"; fi
+  # L3. docker — Docker Desktop shim 이면 멈춘다: 엔진이 윈도우 쪽 Desktop VM 이라 k3d 풀이 그 VM 에 뜬다(배포판 안 docker-ce 가 아니다).
+  SHIM="$(R 'p=$(command -v docker 2>/dev/null) && case "$(readlink -f "$p")" in /mnt/wsl/*|*docker-desktop*) echo shim;; esac; docker info --format "{{.OperatingSystem}}" 2>/dev/null | grep -qi "docker desktop" && echo shim' 2>/dev/null)"
+  if [ -n "$SHIM" ]; then bad "docker 가 Docker Desktop shim 이다 — Desktop 설정에서 이 배포판의 WSL integration 을 끄고(사람이) 다시 돌리면 docker-ce 를 깐다"; echo; echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; exit 1; fi
+  LX_DOCKER_PENDING=0
+  if R 'command -v dockerd >/dev/null && dpkg -s docker-ce >/dev/null 2>&1'; then ok "docker-ce (apt)"
+  elif [ $CHECK = 1 ]; then todo "docker-ce 설치(공식 apt 저장소 · docker-ce·cli·containerd.io·buildx)"; LX_DOCKER_PENDING=1
+  else R '{ sudo -n install -m 0755 -d /etc/apt/keyrings && . /etc/os-release && sudo -n curl -fsSL "https://download.docker.com/linux/$ID/gpg" -o /etc/apt/keyrings/docker.asc && sudo -n chmod a+r /etc/apt/keyrings/docker.asc && printf "Types: deb\nURIs: https://download.docker.com/linux/%s\nSuites: %s\nComponents: stable\nArchitectures: %s\nSigned-By: /etc/apt/keyrings/docker.asc\n" "$ID" "$VERSION_CODENAME" "$(dpkg --print-architecture)" | sudo -n tee /etc/apt/sources.list.d/docker.sources >/dev/null && sudo -n apt-get update -qq && sudo -n apt-get install -y -qq docker-ce docker-ce-cli containerd.io docker-buildx-plugin; } >/tmp/fleet-docker-apt.log 2>&1' && ok "docker-ce (설치 · 공식 apt)" || { bad "docker-ce 설치 실패 — 원격 /tmp/fleet-docker-apt.log (sudo 비번이면 사람이)"; LX_DOCKER_PENDING=1; }; fi
+  if R 'systemctl is-enabled docker containerd >/dev/null 2>&1 && systemctl is-active docker containerd >/dev/null 2>&1'; then ok "docker·containerd 서비스(enable · active)"
+  elif [ $CHECK = 1 ]; then todo "systemctl enable --now docker containerd"; LX_DOCKER_PENDING=1
+  else R 'sudo -n systemctl enable --now docker containerd >/tmp/fleet-docker-svc.log 2>&1' && ok "docker·containerd 서비스 (enable --now)" || { bad "docker 서비스 기동 실패 — 원격 /tmp/fleet-docker-svc.log"; LX_DOCKER_PENDING=1; }; fi
+  # 그룹은 «그룹 db»로 잰다(id -nG <사용자>) — 지금 세션 그룹이 아니라 다음 ssh 연결이 받을 그룹.
+  if R 'id -nG "$(id -un)" | tr " " "\n" | grep -qx docker'; then ok "docker 그룹"
+  elif [ $CHECK = 1 ]; then todo "usermod -aG docker <사용자>"; LX_DOCKER_PENDING=1
+  else R 'sudo -n usermod -aG docker "$(id -un)"' && ok "docker 그룹 (추가 · 새 ssh 연결부터)" || { bad "docker 그룹 추가 실패"; LX_DOCKER_PENDING=1; }; fi
+  if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"
+  elif [ $LX_DOCKER_PENDING = 0 ]; then bad "docker 엔진에 못 붙는다(설치·서비스·그룹은 됐다)"; fi
+  # L4. 플릿 docker 설정 — 리눅스엔 키체인이 없어도 같은 DOCKER_CONFIG 를 쓴다(build.sh ELANOUS_BUILD_REMOTE). 빈 currentContext = 기본 소켓 · buildx 는 시스템 플러그인.
+  if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1'; then ok "플릿 docker 설정(~/.docker-fleet · buildx)"
+  elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(빈 currentContext)"
+  else R 'mkdir -p ~/.docker-fleet && { test -f ~/.docker-fleet/config.json || printf "{\"currentContext\": \"\"}\n" > ~/.docker-fleet/config.json; }'
+    R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+}
+
+linux_tools() {
+  # L5. k3d — 공식 설치 스크립트(/usr/local/bin)
+  if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
+  elif [ $CHECK = 1 ]; then todo "k3d 설치(공식 install.sh)"
+  else R 'curl -fsSL https://raw.githubusercontent.com/k3d-io/k3d/main/install.sh | sudo -n bash >/tmp/fleet-k3d.log 2>&1' && R 'command -v k3d' >/dev/null && ok "k3d (설치)" || bad "k3d 설치 실패 — 원격 /tmp/fleet-k3d.log"; fi
+  # L6. kubectl — 클러스터와 같은 판 · sha256 이 맞을 때만 설치한다(원격 클러스터 점검이 이것을 쓴다).
+  kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+  if [ "$kv" = "$KUBECTL_VER" ]; then ok "kubectl $kv"
+  elif [ $CHECK = 1 ]; then todo "kubectl $KUBECTL_VER 설치(지금 ${kv:-없음} · sha256 검증)"
+  else R "{ a=\$(dpkg --print-architecture) && mkdir -p /tmp/fleet-kubectl-$KUBECTL_VER && cd /tmp/fleet-kubectl-$KUBECTL_VER && curl -fsSLo kubectl https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl && curl -fsSLo kubectl.sha256 https://dl.k8s.io/release/$KUBECTL_VER/bin/linux/\$a/kubectl.sha256 && echo \"\$(cat kubectl.sha256)  kubectl\" | sha256sum --check && sudo -n install -o root -g root -m 0755 kubectl /usr/local/bin/kubectl; } >/tmp/fleet-kubectl.log 2>&1"
+    kv="$(R 'kubectl version --client -o json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"clientVersion\"][\"gitVersion\"])"' 2>/dev/null)"
+    [ "$kv" = "$KUBECTL_VER" ] && ok "kubectl $kv (설치 · sha256 검증)" || bad "kubectl $KUBECTL_VER 설치 실패(sha256 이 틀리면 설치 안 함) — 원격 /tmp/fleet-kubectl.log"; fi
+  # L7. nodejs — codex CLI 가 node 셔뱅이다(없으면 usage 가 «app-server exited» 로 죽는다).
+  if R 'command -v node' >/dev/null; then ok "node $(R 'node --version')"
+  elif [ $CHECK = 1 ]; then todo "nodejs 설치(apt · codex CLI 셔뱅)"
+  else R 'sudo -n apt-get install -y -qq nodejs >/tmp/fleet-node.log 2>&1' && R 'command -v node' >/dev/null && ok "node (설치 · apt)" || bad "nodejs 설치 실패 — 원격 /tmp/fleet-node.log"; fi
+  # L8. codex CLI — 이 맥과 같은 판(bun 전역)
+  cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+  if [ -n "$cv" ] && { [ -z "$CODEX_VER" ] || [ "$cv" = "$CODEX_VER" ]; }; then ok "codex $cv"
+  elif [ $CHECK = 1 ]; then todo "codex CLI ${CODEX_VER:-?} (지금 ${cv:-없음} · bun add -g @openai/codex@<이 맥 판>)"
+  elif [ -z "$CODEX_VER" ]; then bad "이 맥에 codex 가 없어 판을 모른다 — ELANOUS_FLEET_CODEX_VERSION 으로 준다"
+  else R "bun add -g @openai/codex@$CODEX_VER >/tmp/fleet-codex.log 2>&1"; cv="$(R 'codex --version 2>/dev/null' 2>/dev/null | awk '{print $NF}')"
+    [ "$cv" = "$CODEX_VER" ] && ok "codex $cv (설치)" || bad "codex $CODEX_VER 설치 실패 — 원격 /tmp/fleet-codex.log"; fi
+}
+
+# tailnet 이름 — 인자(ELANOUS_FLEET_TSNAME)가 먼저 · 없으면 원격 tailscale(맥 갈래와 같은 명령) · WSL 이면 윈도우 쪽 tailscale.exe.
+linux_tsname() {
+  if [ -n "${ELANOUS_FLEET_TSNAME:-}" ]; then TSNAME="$ELANOUS_FLEET_TSNAME"; return; fi
+  [ -n "$TSNAME" ] || TSNAME="$(R 'tailscale.exe status --self --json 2>/dev/null | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+}
+
+# 미러 — HEAD 는 main(기본 master 면 첫 clone 이 깨진다). 이미 있고 HEAD 가 master 면 symbolic-ref 만 고친다(객체는 안 건드린다).
+linux_mirror() {
+  if R "test -d ~/mirror/elanous-agent.git"; then
+    if [ "$(R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD 2>/dev/null')" = refs/heads/main ]; then ok "호스트 git 미러 ~/mirror/elanous-agent.git (HEAD=main)"
+    elif [ $CHECK = 1 ]; then todo "호스트 git 미러 HEAD 를 main 으로(git symbolic-ref HEAD refs/heads/main)"
+    else R 'git --git-dir="$HOME/mirror/elanous-agent.git" symbolic-ref HEAD refs/heads/main' && ok "호스트 git 미러 (HEAD=main 으로 고침)" || bad "미러 HEAD 고치기 실패"; fi
+  elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare -b main) ⊕ 이 맥에서 첫 push"
+  else R "mkdir -p ~/mirror && git init -q --bare -b main ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · HEAD=main · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+}
+
+# 코드 밖 — 실행하지 않는다. 자격은 «어디에 무엇»만 적고 값을 읽거나 옮기지 않는다.
+linux_handoff() {
+  echo
+  echo "✋ 사람 손 할 일 (코드 밖 · 이 스크립트는 실행하지 않는다)"
+  echo "  1. 윈도우 Startup 폴더에 .cmd — wsl.exe -d <배포판 이름> (⚠️ 기본 배포판이 docker-desktop 일 수 있다 — -d 필수)"
+  echo "  2. %UserProfile%\\.wslconfig — [wsl2] memory=40GB · vmIdleTimeout=-1 (뒤 wsl --shutdown)"
+  echo "  3. 자격(대표 승인 뒤 · 값은 사람이 옮긴다): Pod Secret 둘 · ~/.cache/{openrouter,zai}_api_key · ~/.grok/auth.json · codex = ~/.elanous/auth.json 의 openai-codex* ⊕ ~/.codex*/auth.json"
+  echo "  4. codexHome 경로를 리눅스 홈(/home/<사용자>/…)으로 — 맥 경로 그대로면 usage 가 «authentication required»"
+  echo "  5. Pod 이미지는 이 노드에서 굽는다 — ELANOUS_BUILD_REMOTE=$HOST (x86_64 · 맥 arm64 이미지 못 씀)"
+}

package/scripts/fleet/node-setup.sh

@@ -3,6 +3,7 @@
 #   bash scripts/fleet/node-setup.sh <호스트> [--check]
 #   <호스트>  ssh 로 닿는 이름(예: node-b · node-c) — 이 맥에서 `ssh -o BatchMode=yes <호스트> true` 가 돼야 한다.
 #   --check  영구 설정을 바꾸지 않고 상태만 본다(단계마다 ✓ · ✗ · → 할 일). DNS 점검용 Pod 는 잠깐 만들었다 지운다.
+#   원격 `uname -s` = Linux(WSL Ubuntu 등)면 brew·OrbStack·Chrome·~/.zshenv 대신 리눅스 갈래(scripts/fleet/node-setup-linux.sh)를 탄다.
 # ⭐ 단계마다 «이미 돼 있으면 건너뛴다» — 몇 번 돌려도 같은 결과(재현 가능한 셋업).
 # ⛔ 원격의 다른 컨테이너·앱은 건드리지 않는다. 이 맥의 ~/.kube/config 는 바꾸기 전에 백업한다.
 set -u
@@ -20,6 +21,9 @@ echo "▶ 노드 $HOST$([ $CHECK = 1 ] && echo ' (점검만)')"
 
 # 1. ssh
 R true >/dev/null 2>&1 && ok "ssh" || { bad "ssh 불통 — 이 맥에서 ssh 키·Tailscale 확인"; exit 1; }
+# 1b. 원격 OS — Linux(WSL Ubuntu 등)면 리눅스 갈래(scripts/fleet/node-setup-linux.sh · apt·docker-ce·k3d install.sh). 맥은 아래 종전 단계 그대로.
+NODE_OS="$(R 'uname -s' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then . "$ROOT/scripts/fleet/node-setup-linux.sh"; linux_base; else
 # 2. brew · docker(OrbStack)
 R 'command -v brew' >/dev/null && ok "brew" || bad "brew 없음 — https://brew.sh 로 먼저 설치(사람이)"
 if R 'docker info --format "{{.ServerVersion}}"' >/dev/null 2>&1; then ok "docker $(R 'docker info --format "{{.ServerVersion}} cpu={{.NCPU}} mem={{.MemTotal}}"')"; else bad "docker 없음·꺼짐 — OrbStack 을 설치·실행(사람이 · ⛔ OrbStack 내장 k8s 는 NetworkPolicy 를 집행 안 한다 · k3d 를 쓴다)"; fi
@@ -36,6 +40,7 @@ if R 'test -f ~/.docker-fleet/config.json && DOCKER_CONFIG=~/.docker-fleet docke
 elif [ $CHECK = 1 ]; then todo "~/.docker-fleet(키체인 없는 docker 설정)"
 else R 'mkdir -p ~/.docker-fleet && ctx=$(python3 -c "import json,os;print(json.load(open(os.path.expanduser(\"~/.docker/config.json\"))).get(\"currentContext\",\"\"))" 2>/dev/null); printf "{\"currentContext\": \"%s\"}\n" "$ctx" > ~/.docker-fleet/config.json; [ -e ~/.docker-fleet/contexts ] || ln -s ~/.docker/contexts ~/.docker-fleet/contexts; [ -e ~/.docker-fleet/cli-plugins ] || [ ! -d ~/.docker/cli-plugins ] || ln -s ~/.docker/cli-plugins ~/.docker-fleet/cli-plugins'
   R 'DOCKER_CONFIG=~/.docker-fleet docker info >/dev/null 2>&1 && DOCKER_CONFIG=~/.docker-fleet docker buildx version >/dev/null 2>&1' && ok "플릿 docker 설정 (~/.docker-fleet 생성 · buildx)" || bad "플릿 docker 설정으로 docker 에 못 붙는다"; fi
+fi
 # 3. bun — 이 맥과 «같은 판»(시험 샤딩은 판이 같아야 비교된다).
 #    ⛔ 원격에 «다른 판» bun 이 이미 있으면 덮어쓰지 않는다(그 기계의 다른 일이 쓴다) — ~/.bun-<판> 에 나란히 둔다.
 #    ⛔ 나란히 설치할 땐 설치기가 셸 설정에 PATH 를 덧붙여 기본 bun 을 가로채지 않게, 셸 설정 파일을 전후로 되돌린다.
@@ -46,6 +51,7 @@ elif [ "$side" = "$BUN_VER" ]; then ok "bun $side (~/.bun-$BUN_VER · 기본 bun
 elif [ $CHECK = 1 ]; then todo "bun $BUN_VER 설치(기본 bun ${have:-없음} — $([ -n "$have" ] && echo '건드리지 않고 ~/.bun-'"$BUN_VER"' 에 나란히' || echo '~/.bun'))"
 elif [ -z "$have" ]; then R "curl -fsSL https://bun.sh/install | bash -s bun-v$BUN_VER >/dev/null 2>&1"; [ "$(R 'bun --version')" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun)" || bad "bun 설치 실패"
 else R "for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f ] && cp -p \$HOME/\$f \$HOME/\$f.fleet-bak; done; curl -fsSL https://bun.sh/install | BUN_INSTALL=\$HOME/.bun-$BUN_VER bash -s bun-v$BUN_VER >/dev/null 2>&1; for f in .zshrc .bashrc .bash_profile .zprofile .profile .config/fish/config.fish; do [ -f \$HOME/\$f.fleet-bak ] && mv \$HOME/\$f.fleet-bak \$HOME/\$f; done"; [ "$(R "$FLEET_BUN --version")" = "$BUN_VER" ] && ok "bun $BUN_VER (설치 · ~/.bun-$BUN_VER · 기본 bun $have 그대로)" || bad "bun 나란히 설치 실패"; fi
+if [ "$NODE_OS" = Linux ]; then linux_tools; else
 # 4. Chrome (CDP 시험 레인 · 이 맥과 같은 조건)
 if R 'test -d "/Applications/Google Chrome.app"'; then ok "Chrome"
 elif [ $CHECK = 1 ]; then todo "Chrome 설치"
@@ -54,8 +60,10 @@ else R 'brew install --cask google-chrome >/tmp/fleet-chrome.log 2>&1' && ok "Ch
 if R 'command -v k3d' >/dev/null; then ok "k3d $(R 'k3d version | head -1 | cut -d" " -f3')"
 elif [ $CHECK = 1 ]; then todo "k3d 설치"
 else R 'brew install k3d >/tmp/fleet-k3d.log 2>&1' && ok "k3d (설치)" || bad "k3d 설치 실패"; fi
+fi
 # 6. 클러스터 elanous-pool — API 를 0.0.0.0:<포트> 로 · 인증서 SAN = 호스트 이름 ⊕ tailnet 이름
 TSNAME="$(R '(tailscale status --self --json 2>/dev/null || /Applications/Tailscale.app/Contents/MacOS/Tailscale status --self --json 2>/dev/null) | python3 -c "import json,sys;print(json.load(sys.stdin)[\"Self\"][\"DNSName\"].rstrip(\".\"))"' 2>/dev/null)"
+if [ "$NODE_OS" = Linux ]; then linux_tsname; fi
 # 5b. 노드 로컬 레지스트리 — 델타 판올림(대표 2026-09-26): 원격 빌드가 여기로 push 하면 «없는 층만» 올라가고
 #     Pod 는 커밋 태그로 pull 한다(종전 `k3d image import` 는 4GB 전체를 클러스터 저장소로 매번 복사했다).
 REGISTRY="${ELANOUS_FLEET_REGISTRY:-elanous-registry}"; REG_PORT="${ELANOUS_FLEET_REGISTRY_PORT:-5050}"
@@ -74,9 +82,11 @@ fi
 # 🪞 호스트 git 미러(대표 09-29) — Pod 는 GitHub 대신 이 미러에서 clone 한다(`ELANOUS_POD_HOST_MIRROR` · #21929).
 #   bare 미러 = 원격 ~/mirror/elanous-agent.git(없으면 만든다 · 갱신은 이 맥의 크론이 push). 클러스터 노드에 읽기 전용으로 붙인다.
 MIRROR_DIR='$HOME/mirror'; MIRROR_MOUNT=/mirror-host
+if [ "$NODE_OS" = Linux ]; then linux_mirror; else
 if R "test -d ~/mirror/elanous-agent.git"; then ok "호스트 git 미러 ~/mirror/elanous-agent.git"
 elif [ $CHECK = 1 ]; then todo "호스트 git 미러 ~/mirror/elanous-agent.git 생성(git init --bare) ⊕ 이 맥에서 첫 push"
 else R "mkdir -p ~/mirror && git init -q --bare ~/mirror/elanous-agent.git" && ok "호스트 git 미러 (생성 · 첫 push 는 이 맥 크론)" || { bad "미러 생성 실패"; exit 1; }; fi
+fi
 # 클러스터가 그 레지스트리를 쓰나 ⊕ 미러가 붙어 있나 — 둘 중 하나라도 아니면(옛 클러스터) 돌고 있는 Job 이 없을 때만 다시 만든다.
 #   ⛔ k3d 는 볼륨을 «클러스터 생성 때만» 붙인다 — 붙이려면 다시 만들 수밖에 없다.
 REG_WIRED=0; R "docker exec k3d-$CLUSTER-server-0 cat /etc/rancher/k3s/registries.yaml 2>/dev/null | grep -q k3d-$REGISTRY" && REG_WIRED=1
@@ -177,6 +187,7 @@ kubectl --context "$CTX" --request-timeout=10s -n elanous-test delete "pod/$DNS_
 v="$(kubectl --context "$CTX" --request-timeout=10s get nodes -o jsonpath='{.items[0].status.nodeInfo.kubeletVersion}' 2>/dev/null)"
 want="${K3S_IMAGE##*:}"; want="${want/-k3s/+k3s}"
 [ "$v" = "$want" ] && ok "k3s $v" || bad "k3s ${v:-응답 없음} ≠ 기대 $want"
+if [ "$NODE_OS" = Linux ]; then linux_handoff; fi
 echo
 if [ $FAIL = 0 ] && [ $TODO -gt 0 ]; then echo "→ $HOST 할 일 $TODO — --check 없이 다시 돌리면 채운다"; exit 2
 elif [ $FAIL = 0 ]; then echo "✓ $HOST 준비됨 — 풀에 넣기: ELANOUS_POD_POOL='…,$CTX@$HOST:<상한>#k3d-$REGISTRY:$REG_PORT'"; else echo "✗ $HOST 미완 — 위 ✗ 를 먼저"; fi

package/scripts/fleet/zai-pod-secret.ts

@@ -0,0 +1,86 @@
+#!/usr/bin/env bun
+/**
+ * ZAI-POD-CHILD (0.2.24) — 호스트 ZAI 키(키 캐시 `~/.cache/zai_api_key` → env `ZAI_API_KEY`) → 풀 클러스터의 glm Pod 전용 Secret(`elanous-zai-coding-plan`).
+ *
+ * ⛔ 값은 터미널·로그·파일 어디에도 안 낸다 — 키는 메모리에서 바로 `kubectl apply -f -` 의 stdin 으로만 간다. 출력은 «키 이름 · 대상» 뿐이다.
+ * ⛔ 기본은 «계획만»(dry-run · 클러스터 접촉 0). 실제로 만들려면 `--apply` — 승인 뒤에만 친다.
+ * 본보기 = scripts/fleet/bedrock-pod-secret.ts
+ *
+ * 사용:
+ *   bun scripts/fleet/zai-pod-secret.ts --context k3d-elanous-pool            # 계획만(키 이름)
+ *   bun scripts/fleet/zai-pod-secret.ts --context k3d-elanous-pool --apply    # 만든다/갱신한다
+ *   옵션: --namespace <ns>(기본 elanous-test)
+ * 짝: docker/h1/policy-zai.yaml(이그레스) · src/task-orchestrator/surfaces/pod-zai-child.ts(발사 전 판정 · 동시 상한)
+ */
+import { spawnSync } from 'node:child_process';
+import { ZAI_POD_SECRET_KEY, ZAI_POD_SECRET_NAME } from '../../src/task-orchestrator/surfaces/pod-zai-child.js';
+
+export interface ZaiSecretArgs { context?: string; namespace: string; apply: boolean }
+
+export function parseArgs(argv: readonly string[]): ZaiSecretArgs | { error: string } {
+  const out: ZaiSecretArgs = { namespace: 'elanous-test', apply: false };
+  for (let i = 0; i < argv.length; i++) {
+    const a = argv[i]!;
+    const value = () => { const v = argv[++i]; if (!v || v.startsWith('--')) throw new Error(`${a} 에 값이 없다`); return v; };
+    try {
+      if (a === '--context') out.context = value();
+      else if (a === '--namespace') out.namespace = value();
+      else if (a === '--apply') out.apply = true;
+      else return { error: `모르는 인자: ${a}` };
+    } catch (e) { return { error: (e as Error).message }; }
+  }
+  if (!out.context) return { error: '--context <풀 문맥> 이 필요하다 — 어느 클러스터에 둘지 명시한다(기본 문맥에 조용히 쓰지 않는다)' };
+  return out;
+}
+
+/** Secret 매니페스트 — 값은 이 객체 안에만 있고, 호출자는 stdin 으로만 넘긴다. */
+export function zaiPodSecretManifest(input: { namespace: string; key: string; name?: string }): Record<string, unknown> {
+  return {
+    apiVersion: 'v1', kind: 'Secret', type: 'Opaque',
+    metadata: { name: input.name ?? ZAI_POD_SECRET_NAME, namespace: input.namespace, labels: { 'elanous.secret': 'zai-coding-plan' } },
+    stringData: { [ZAI_POD_SECRET_KEY]: input.key },
+  };
+}
+
+/** 사람에게 보이는 계획 — 키 «이름»만. */
+export function describePlan(args: ZaiSecretArgs): string {
+  return [
+    `대상: --context ${args.context} · ${args.namespace}/${ZAI_POD_SECRET_NAME}`,
+    '출처: 호스트 키 캐시 ~/.cache/zai_api_key → env ZAI_API_KEY',
+    `키: ${ZAI_POD_SECRET_KEY} (값은 출력하지 않는다)`,
+  ].join('\n');
+}
+
+export interface Deps {
+  key: () => string | undefined;
+  kubectl: (args: string[], stdin: string) => { status: number | null; stdout: string; stderr: string };
+  print: (line: string) => void;
+}
+
+const defaultDeps: Deps = {
+  key: () => undefined,
+  kubectl: (args, stdin) => {
+    const r = spawnSync('kubectl', args, { input: stdin, encoding: 'utf8', timeout: 60_000 });
+    return { status: r.status, stdout: r.stdout ?? '', stderr: r.stderr ?? '' };
+  },
+  print: (line) => console.log(line),
+};
+
+export async function run(argv: readonly string[], deps: Deps = defaultDeps): Promise<number> {
+  const args = parseArgs(argv);
+  if ('error' in args) { deps.print(`⛔ ${args.error}`); return 2; }
+  const key = deps.key()?.trim();
+  if (!key) { deps.print('⛔ 호스트에 ZAI 키가 없다 — ~/.cache/zai_api_key 또는 env ZAI_API_KEY'); return 2; }
+  deps.print(describePlan(args));
+  if (!args.apply) { deps.print('계획만(dry-run) — 클러스터에 쓰지 않았다. 만들려면 --apply(승인 뒤)'); return 0; }
+  const r = deps.kubectl(['--context', args.context!, 'apply', '-f', '-'], JSON.stringify(zaiPodSecretManifest({ namespace: args.namespace, key })));
+  // kubectl apply 의 출력은 «secret/<이름> created|configured» 뿐이다 — stderr 는 원문 대신 rc 만.
+  if (r.status !== 0) { deps.print(`⛔ kubectl apply 실패 rc=${r.status}`); return 1; }
+  deps.print(`✅ ${r.stdout.trim().split('\n')[0] ?? 'applied'}`);
+  return 0;
+}
+
+if (import.meta.main) {
+  const { getZaiApiKey } = await import('../../src/llm/zai-coding-plan.js');
+  process.exit(await run(process.argv.slice(2), { ...defaultDeps, key: () => getZaiApiKey() }));
+}

package/scripts/land-global-checks.ts

@@ -25,6 +25,9 @@ export const LAND_GLOBAL_CHECKS: readonly LandGlobalCheck[] = [
   { pattern: /^docs\/ops\/machines\.yaml$/, test: 'test/machines-ledger-data.test.ts', why: '기계 원장 데이터 ↔ 생성 Markdown(#24729)' },
   // 새 CLI 하위 명령은 `src/index.ts` 또는 `src/cli/` 의 등록 모듈에서 생긴다 — 입구 목록 시험(#24661).
   { pattern: /^src\/(?:index|cli\/(?:[^/]+\/)*[^/]+)(?<!\.test)\.ts$/, test: 'src/index.test.ts', why: 'CLI 입구·하위 명령 목록(#24661)' },
+  // src/cli/ 밖의 명령 등록 모듈(`*-cli.ts` · `*-cli-command.ts`)도 하위 명령을 더한다 — 10-11 #26232 가
+  //   src/harness/harness-cli-command.ts 에 `harness progress` 를 더해 index.test 목록 스냅샷을 깨고 main 을 붉혔다.
+  { pattern: /^src\/(?:[^/]+\/)+[^/]+-cli(?:-command)?(?<!\.test)\.ts$/, test: 'src/index.test.ts', why: 'src/cli 밖 명령 등록 모듈의 하위 명령 목록(10-11 #26232)' },
 ];
 
 /** 바뀐 파일 → 끌려오는 전역 시험(표 순서 · 중복 없음). */