feat(governance): 新增 Agent host stateful 版本盤點

docs/ai/AI_AGENT_AUTOMATION_WORKLIST_2026-06-04.md

@@ -13,7 +13,7 @@
 | 工具 / 服務 / 套件 AI 自動化 | 92% | P0 已完成；P1 服務 / runtime / 監控 / provider / service health / 備份 / DR / 套件與供應鏈只讀基線已完成；P1-007 失敗限定通知合約與前端 redaction 合約已完成；下一主線是 P2-004 依賴 / 供應鏈漂移監控 | 狀態分類、盤點 schema、權限矩陣、靜態盤點種子、只讀 API、UI 骨架、驗證、自動化待辦 schema / 快照 / API / 分組 UI、Backup / DR 目標盤點、準備度矩陣、備份通知政策、Backup / DR 證據 UI、復原演練批准包模板、異地 / escrow 準備度狀態、任務批准邊界、確定性進度彙總、Python 套件 / 供應鏈只讀基線、JS pnpm/npm 只讀基線、Docker build surface 只讀基線、CVE / license / drift 嚴重度政策、定期依賴漂移與外部資料來源檢查設計、依賴升級批准包模板、runtime_surface_inventory_v1 schema / snapshot / API / UI、gitea_workflow_runner_health_v1 schema / snapshot / API / UI、observability_contract_matrix_v1 schema / snapshot / API / UI、ai_provider_route_matrix_v1 schema / snapshot / API / UI、service_health_gap_matrix_v1 schema / snapshot / API / UI、service health evidence cards UI、service_health_failure_notification_policy_v1 schema / snapshot / API / UI 已完成 |
 | OpenClaw / Hermes / NemoTron 佈建布局 | 45% | P1-401 / P1-402 已完成；仍是只讀 layout 與治理頁顯示，不是 runtime deploy | `ai_agent_deployment_layout_v1` schema、`ai_agent_deployment_layout_2026-06-11.json`、`GET /api/v1/agents/agent-deployment-layout`、治理頁自動化盤點 UI、`AI_AGENT_DEPLOYMENT_LAYOUT_2026-06-11.md` |
 | OpenClaw / Hermes / NemoTron 主動溝通與學習契約 | 35% | P2-401A 已完成只讀 contract；runtime worker、DB migration、Telegram 實發、SDK / 付費服務仍未開 gate | `ai_agent_communication_learning_contract_v1` schema、`ai_agent_communication_learning_contract_2026-06-11.json`、`GET /api/v1/agents/agent-communication-learning-contract`、MASTER §3.2.1b / §3.4.3 |
-| AI Agent 主動營運委派與版本生命週期 | 78% | P2-402A / P2-402B / P2-402C / P2-402D / P2-402E 已完成；已建立 repo-only 版本新鮮度快照、工具採用批准包、Telegram action-required digest policy、Gitea PR 草案 lane 與 API。定期排程、外部版本查詢、工具安裝、CI 變更、套件升級、主機更新、container pull、實際 PR creation、auto merge、Telegram 實發仍未開 gate | `ai_agent_proactive_operations_contract_v1`、`ai_agent_version_freshness_snapshot_v1`、`ai_agent_tool_adoption_approval_package_v1`、`ai_agent_telegram_action_required_digest_policy_v1`、`ai_agent_gitea_pr_draft_lane_v1`、`GET /api/v1/agents/agent-proactive-operations-contract`、`GET /api/v1/agents/agent-version-freshness-snapshot`、`GET /api/v1/agents/agent-tool-adoption-approval-package`、`GET /api/v1/agents/agent-telegram-action-required-digest-policy`、`GET /api/v1/agents/agent-gitea-pr-draft-lane`、MASTER §3.2.1c |
+| AI Agent 主動營運委派與版本生命週期 | 86% | P2-402A / P2-402B / P2-402C / P2-402D / P2-402E / P2-402F 已完成；已建立 repo-only 版本新鮮度快照、工具採用批准包、Telegram action-required digest policy、Gitea PR 草案 lane、host / K3s / stateful 版本只讀盤點與 API。定期排程、外部版本查詢、工具安裝、CI 變更、套件升級、主機更新、container pull、實際 PR creation、auto merge、Telegram 實發、SSH、kubectl、重啟仍未開 gate | `ai_agent_proactive_operations_contract_v1`、`ai_agent_version_freshness_snapshot_v1`、`ai_agent_tool_adoption_approval_package_v1`、`ai_agent_telegram_action_required_digest_policy_v1`、`ai_agent_gitea_pr_draft_lane_v1`、`ai_agent_host_stateful_version_inventory_v1`、`GET /api/v1/agents/agent-proactive-operations-contract`、`GET /api/v1/agents/agent-version-freshness-snapshot`、`GET /api/v1/agents/agent-tool-adoption-approval-package`、`GET /api/v1/agents/agent-telegram-action-required-digest-policy`、`GET /api/v1/agents/agent-gitea-pr-draft-lane`、`GET /api/v1/agents/agent-host-stateful-version-inventory`、MASTER §3.2.1c |
 | 本工作清單與分析報告 | 100% | 已完成 | 本 MD 文件 |
 
 AI Agent 自動化工作包目前完成度：**92%**。本工作清單文件本身完成度：**100%**。
@@ -22,7 +22,7 @@ AI Agent 自動化工作包目前完成度：**92%**。本工作清單文件本
 
 三 Agent 主動溝通與學習契約目前完成度：**35%**。已完成只讀 schema / snapshot / API / 測試與 MASTER 同步；下一步依優先順序推 `P2-401B` AgentSession / Redis Streams migration 與 worker gate，但在批准前仍不得啟動 runtime loop。
 
-AI Agent 主動營運委派與版本生命週期目前完成度：**78%**。已完成 12 類版本 domain、24 類可委派能力、5 種 cadence、8 類 MCP、4 類 RAG memory、只讀 API、`P2-402B` repo-only daily version freshness snapshot、`P2-402C` Renovate / OSV-Scanner / Trivy / Syft / Grype 工具採用批准包、`P2-402D` Telegram action-required digest policy，以及 `P2-402E` Gitea PR 草案 lane；下一步是 `P2-402F` host OS / K3s / stateful services 版本只讀盤點，外部 registry / package source / host probe / 工具安裝 / CI 變更 / 實際 PR creation / Telegram 實發仍需 gate。
+AI Agent 主動營運委派與版本生命週期目前完成度：**86%**。已完成 12 類版本 domain、24 類可委派能力、5 種 cadence、8 類 MCP、4 類 RAG memory、只讀 API、`P2-402B` repo-only daily version freshness snapshot、`P2-402C` Renovate / OSV-Scanner / Trivy / Syft / Grype 工具採用批准包、`P2-402D` Telegram action-required digest policy、`P2-402E` Gitea PR 草案 lane，以及 `P2-402F` host OS / K3s / stateful services 版本只讀盤點；下一步是 `P2-402G` governance UI 顯示可委派能力，外部 registry / package source / host probe / SSH / kubectl / 工具安裝 / CI 變更 / 實際 PR creation / Telegram 實發仍需 gate。
 
 完成度計算模型：
 
@@ -956,7 +956,7 @@ UI：
 | P2-402C | 完成 | 100 | OpenClaw | 建立 Renovate / OSV-Scanner / Trivy / Syft / Grype 工具採用批准包 | `ai_agent_tool_adoption_approval_package_v1` / snapshot / 只讀 API / 測試；5 工具、5 官方來源、4 採用 lane、6 批准欄位 | 只讀；tool install、CI change、external lookup、vulnerability DB、PR、Telegram 全部未啟用 |
 | P2-402D | 完成 | 100 | OpenClaw | 建立 Telegram action-required digest policy | `ai_agent_telegram_action_required_digest_policy_v1` / snapshot / 只讀 API / 測試；8 條 digest rule、3 個 channel 草案、5 類 trigger category、成功降噪與 redaction policy | 只讀；Telegram send、Gateway queue write、route / receiver change、workflow、runtime 全部未啟用 |
 | P2-402E | 完成 | 100 | Hermes | 設計 Gitea PR 草案 lane | `ai_agent_gitea_pr_draft_lane_v1` / snapshot / 只讀 API / 測試；6 條 grouping rule、7 個 lane step、9 個 required check、6 條 rollback requirement、4 個 draft template | 只讀；branch push、PR creation、workflow trigger、lockfile、package upgrade、auto merge、Telegram 全部未啟用 |
-| P2-402F | 待辦 | 0 | OpenClaw | 建立 host OS / K3s / stateful services 版本只讀盤點 | host / K3s / DB / Redis / MinIO / Gitea 版本矩陣 | host readonly probe + maintenance window approval |
+| P2-402F | 完成 | 100 | OpenClaw | 建立 host OS / K3s / stateful services 版本只讀盤點 | `ai_agent_host_stateful_version_inventory_v1` / snapshot / 只讀 API / 測試；5 台主機、2 個 K3s 節點、12 個 stateful / ops 服務、6 個只讀 probe step、maintenance window approval package | 只讀；SSH、kubectl、apt / K3s upgrade、node drain、reboot、stateful restart、Telegram 全部未啟用 |
 | P2-402G | 待辦 | 0 | Hermes | 接入 governance UI 顯示可委派能力 | 自主等級、gate、owner、Telegram policy | frontend UI change approval |
 | P2-101 | 待辦 | 0 | OpenClaw | 定義操作類別權限模型 | 操作政策 schema | HITL 關卡 |
 | P2-102 | 待辦 | 0 | OpenClaw | 所有候選操作都要有 dry-run 證據 | dry-run 合約 | 不直接 apply |

docs/ai/AI_AGENT_GITEA_PR_DRAFT_LANE_2026-06-11.md

@@ -1,7 +1,7 @@
 # AI Agent Gitea PR 草案 Lane 工作報告
 
 > 日期：2026-06-11（台北時間）
-> 狀態：P2-402E 已完成；整體 AI Agent 主動營運與版本生命週期完成度 78%。
+> 狀態：P2-402E 已完成；P2-402F 已接續完成；整體 AI Agent 主動營運與版本生命週期完成度 86%。
 > 邊界：本文件與對應 API 只提供 Gitea PR 草案 lane，不 push branch、不建立或更新 Gitea PR、不留言、不 auto merge、不觸發 workflow、不改 CI、不寫 lockfile、不升級套件、不 build / pull image、不發 Telegram、不顯示工作視窗對話內容。
 
 ## 1. 本波完成項目
@@ -13,7 +13,7 @@
 | API loader | 完成 | `apps/api/src/services/ai_agent_gitea_pr_draft_lane.py` |
 | 只讀 API | 完成 | `GET /api/v1/agents/agent-gitea-pr-draft-lane` |
 | 測試 | 完成 | loader / API / PR creation boundary / automerge boundary / blocking checks / owner response / transcript redaction |
-| 主契約同步 | 完成 | `ai_agent_proactive_operations_contract_v1` 完成度 78%，current `P2-402E`，next `P2-402F` |
+| 主契約同步 | 完成 | `ai_agent_proactive_operations_contract_v1` 已由 P2-402F 推進到完成度 86%，current `P2-402F`，next `P2-402G` |
 
 ## 2. Grouping 規則摘要
 
@@ -66,7 +66,7 @@
 
 | 優先 | ID | 工作 | 完成標準 |
 |---:|---|---|---|
-| 1 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 主機、K3s、PostgreSQL、Redis、MinIO、Harbor、Gitea 版本矩陣；只讀 probe / maintenance approval |
+| 1 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 已完成；只讀 schema / snapshot / API / 測試，SSH / kubectl / upgrade / reboot 未啟用 |
 | 2 | P2-402G | Governance UI 顯示可委派能力 | 前端顯示 autonomy level、gate、owner、Telegram policy，無執行按鈕 |
 | 3 | 候選池 | Gitea bot / branch policy approval package | bot account、branch naming、PR permission、rollback、audit trail |
 | 4 | 候選池 | Draft PR packet renderer | 把 grouping / test / rollback / owner response 轉為可審核 PR 草案，不呼叫 Gitea API |

docs/ai/AI_AGENT_HOST_STATEFUL_VERSION_INVENTORY_2026-06-11.md

@@ -0,0 +1,66 @@
+# AI Agent Host / K3s / Stateful 版本只讀盤點
+
+> 日期：2026-06-11（台北時間）
+> 狀態：P2-402F 已完成；整體 AI Agent 主動營運與版本生命週期完成度 86%。
+> 事實來源：`ai_agent_host_stateful_version_inventory_v1`、`ai_agent_proactive_operations_contract_v1`、MASTER §3.2.1c。
+
+## 1. 本波完成
+
+| 項目 | 狀態 | 說明 |
+|---|---|---|
+| Schema | 完成 | `docs/schemas/ai_agent_host_stateful_version_inventory_v1.schema.json` |
+| Snapshot | 完成 | `docs/evaluations/ai_agent_host_stateful_version_inventory_2026-06-11.json` |
+| 只讀 loader | 完成 | 強制 SSH / kubectl / upgrade / drain / reboot / restart / Telegram / transcript gate 全為 false |
+| API | 完成 | `GET /api/v1/agents/agent-host-stateful-version-inventory` |
+| 測試 | 完成 | loader / API / rollup / reboot / drain / stateful restart / redaction boundary |
+| 主契約同步 | 完成 | `ai_agent_proactive_operations_contract_v1` 完成度 86%，current `P2-402F`，next `P2-402G` |
+
+## 2. 盤點範圍
+
+| 類別 | 數量 | 內容 |
+|---|---:|---|
+| Host | 5 | 188 AI / DB / monitoring / backup；110 DevOps / registry；112 Kali read-only；120 K3s blocked；121 K3s peer / VIP evidence |
+| K3s node | 2 | 120 server、121 server；需要 skew policy、node readiness、ArgoCD sync / health 與 rollback ref |
+| Stateful / ops service | 12 | PostgreSQL、Redis、MinIO、ClickHouse、SignOz、Prometheus、Alertmanager、Gitea、Harbor、Sentry、Langfuse、ArgoCD |
+| Readonly probe step | 6 | endpoint map、CD banner evidence、host probe packet、K3s skew packet、stateful packet、maintenance packet |
+| Maintenance required fields | 11 | owner、decision、maintenance window、affected scope、backup snapshot、rollback、smoke、communication、risk acceptance |
+
+## 3. 仍維持 false
+
+| Gate | 值 |
+|---|---|
+| SSH login | false |
+| Host command execution | false |
+| Kubectl command execution | false |
+| Apt / kernel / K3s upgrade | false |
+| Node drain / kubelet restart | false |
+| Reboot | false |
+| Stateful service restart / upgrade | false |
+| DB migration / restore / backup delete | false |
+| Image pull / package install | false |
+| External version lookup / active scan | false |
+| Telegram direct send / queue write | false |
+| Secret plaintext / 工作視窗對話內容 | false |
+
+## 4. Maintenance Window 批准包
+
+任何從「只讀盤點」進到「live probe」或「變更」前，都必須補齊：
+
+| 欄位 | 用途 |
+|---|---|
+| owner / decision | 明確責任人與是否接受風險 |
+| maintenance_window | 維護時間窗，不可由 Agent 自行假設 |
+| affected_hosts / affected_services | 爆炸半徑與服務清單 |
+| backup_snapshot_ref | 變更前備份證據 |
+| rollback_owner / rollback_plan | 回滾責任人與步驟 |
+| smoke_plan | public / NodePort / stateful / backup / rollback readback |
+| communication_plan | Telegram / AwoooP / owner 溝通草案 |
+| risk_acceptance | 人工接受風險，不可由 AI 自動批准 |
+
+## 5. 下一步
+
+| 優先 | 任務 | 關卡 |
+|---:|---|---|
+| 1 | P2-402G Governance UI 顯示可委派能力 | frontend UI change approval |
+| 2 | Host readonly probe owner request | 需 owner approval，不得直接 SSH / kubectl |
+| 3 | Stateful backup freshness packet | 需備份 evidence，不得 restore / prune |

docs/ai/AI_AGENT_PROACTIVE_OPERATIONS_2026-06-11.md

@@ -1,7 +1,7 @@
 # AI Agent 主動營運委派與版本生命週期分析報告
 
 > 日期：2026-06-11（台北時間）
-> 文件定位：P2-402A / P2-402B / P2-402C / P2-402D / P2-402E 只讀契約摘要。權威細節以 MASTER §3.2.1c、`ai_agent_proactive_operations_contract_v1`、`ai_agent_version_freshness_snapshot_v1`、`ai_agent_tool_adoption_approval_package_v1`、`ai_agent_telegram_action_required_digest_policy_v1` 與 `ai_agent_gitea_pr_draft_lane_v1` 為準。
+> 文件定位：P2-402A / P2-402B / P2-402C / P2-402D / P2-402E / P2-402F 只讀契約摘要。權威細節以 MASTER §3.2.1c、`ai_agent_proactive_operations_contract_v1`、`ai_agent_version_freshness_snapshot_v1`、`ai_agent_tool_adoption_approval_package_v1`、`ai_agent_telegram_action_required_digest_policy_v1`、`ai_agent_gitea_pr_draft_lane_v1` 與 `ai_agent_host_stateful_version_inventory_v1` 為準。
 
 ## 1. 本波完成度
 
@@ -12,7 +12,8 @@
 | 工具採用批准包 | 100% | P2-402C 已完成 Renovate / OSV-Scanner / Trivy / Syft / Grype schema / committed snapshot / API / 測試 |
 | Telegram action-required digest policy | 100% | P2-402D 已完成 critical / action-required / failure-only digest schema / committed snapshot / API / 測試 |
 | Gitea PR 草案 lane | 100% | P2-402E 已完成 grouping、automerge=false、測試證據、rollback、owner response schema / committed snapshot / API / 測試 |
-| 整體主動營運與版本生命週期 | 78% | 已完成架構、repo-only freshness、工具採用批准包、Telegram digest policy 與 Gitea PR 草案 lane；runtime 排程、工具安裝、CI 變更、實際 PR 建立與更新仍未開 gate |
+| Host / K3s / stateful 版本只讀盤點 | 100% | P2-402F 已完成 5 台主機、2 個 K3s 節點、12 個 stateful / ops 服務與 maintenance window 批准包 schema / committed snapshot / API / 測試 |
+| 整體主動營運與版本生命週期 | 86% | 已完成架構、repo-only freshness、工具採用批准包、Telegram digest policy、Gitea PR 草案 lane 與 host / K3s / stateful 版本只讀盤點；runtime 排程、工具安裝、CI 變更、實際 PR 建立與更新、host probe、升級、重啟仍未開 gate |
 
 ## 2. 可交給 AI Agent 的工作分類
 
@@ -46,6 +47,9 @@
 | `docs/schemas/ai_agent_gitea_pr_draft_lane_v1.schema.json` | Gitea PR 草案 lane schema；branch push、PR creation、workflow trigger、lockfile、automerge、Telegram 全部預設 false |
 | `docs/evaluations/ai_agent_gitea_pr_draft_lane_2026-06-11.json` | 6 條 grouping rule、7 個 lane step、9 個 required check、6 條 rollback requirement、4 個 draft template |
 | `GET /api/v1/agents/agent-gitea-pr-draft-lane` | 只讀 API；不 push branch、不建立 PR、不觸發 workflow、不改 CI、不升級套件、不發 Telegram |
+| `docs/schemas/ai_agent_host_stateful_version_inventory_v1.schema.json` | Host / K3s / stateful 版本只讀盤點 schema；SSH、kubectl、upgrade、drain、reboot、restart、Telegram 全部預設 false |
+| `docs/evaluations/ai_agent_host_stateful_version_inventory_2026-06-11.json` | 5 台主機、2 個 K3s 節點、12 個 stateful / ops 服務、6 個只讀 probe 步驟、maintenance window approval package |
+| `GET /api/v1/agents/agent-host-stateful-version-inventory` | 只讀 API；不 SSH、不 kubectl、不升級、不 drain、不 reboot、不重啟 stateful、不發 Telegram |
 
 ## 4. P2-402B Repo-only 版本新鮮度快照
 
@@ -94,16 +98,28 @@ P2-402C 的重點是把「哪些工具可被採用、採用前要填哪些批准
 
 P2-402E 的重點是先把「PR 草案要長什麼樣、要有哪些證據、誰要回覆、怎麼 rollback」固定成契約。它不是 Gitea bot 啟用；bot account、branch policy、實際 PR creation、workflow trigger、lockfile write、package upgrade、Telegram 實發全部維持 blocked。
 
-## 8. 下一步優先順序
+## 8. P2-402F Host / K3s / Stateful 版本只讀盤點
+
+| 類別 | 本波定義 | 仍禁止 |
+|---|---|---|
+| Host inventory | 5 台主機：188 AI / DB / monitoring / backup、110 DevOps / registry、112 Kali read-only、120 K3s blocked、121 K3s peer / VIP evidence | 不 SSH、不跑 host command、不 apt upgrade、不 reboot |
+| K3s inventory | 2 個 K3s server 節點與 VIP API endpoint；要求 version skew policy、node readiness、ArgoCD sync / health、rollback ref | 不 kubectl、不 K3s upgrade、不 node drain、不 kubelet restart |
+| Stateful services | 12 個服務：PostgreSQL、Redis、MinIO、ClickHouse、SignOz、Prometheus、Alertmanager、Gitea、Harbor、Sentry、Langfuse、ArgoCD | 不 restart、不 upgrade、不 migration、不 restore、不刪 backup |
+| Readonly probe packet | 6 個 planned-only step：repo endpoint map、CD banner evidence、host probe packet、K3s skew packet、stateful packet、maintenance window packet | 不把 planned probe 當已執行，不開 runtime gate |
+| Maintenance window | owner、decision、maintenance window、affected scope、backup snapshot、rollback owner、smoke plan、communication plan、risk acceptance | 不用 Agent 自我批准取代 owner gate |
+
+P2-402F 的重點是把「要盤哪些主機與 stateful 服務、盤點前要誰批准、升級前要哪些備份與 rollback 證據」固定成資料契約。它不是主機探測或升級；SSH、kubectl、apt upgrade、K3s upgrade、node drain、reboot、stateful restart、Telegram 實發全部維持 blocked。
+
+## 9. 下一步優先順序
 
 | ID | 優先 | 任務 | 關卡 |
 |---|---|---|---|
 | P2-402D | 0 | Telegram action-required digest policy | 已完成，只讀；Telegram send / queue write 未啟用 |
 | P2-402E | 1 | Gitea PR 草案 lane | 已完成，只讀；branch push / PR creation / workflow trigger 未啟用 |
-| P2-402F | 2 | host OS / K3s / stateful services 版本只讀盤點 | host probe / maintenance approval |
+| P2-402F | 2 | host OS / K3s / stateful services 版本只讀盤點 | 已完成，只讀；SSH / kubectl / upgrade / reboot 未啟用 |
 | P2-402G | 3 | governance UI 顯示可委派能力 | frontend UI approval |
 
-## 8. 仍維持 false 的安全邊界
+## 10. 仍維持 false 的安全邊界
 
 - `runtime_version_update_allowed=false`
 - `package_upgrade_allowed=false`
@@ -119,3 +135,10 @@ P2-402E 的重點是先把「PR 草案要長什麼樣、要有哪些證據、誰
 - `external_registry_lookup_allowed=false`
 - `daily_schedule_enabled=false`
 - `gitea_pr_creation_allowed=false`
+- `ssh_login_allowed=false`
+- `kubectl_command_execution_allowed=false`
+- `apt_upgrade_allowed=false`
+- `k3s_upgrade_allowed=false`
+- `node_drain_allowed=false`
+- `reboot_allowed=false`
+- `stateful_service_restart_allowed=false`

docs/ai/AI_AGENT_TELEGRAM_ACTION_REQUIRED_DIGEST_POLICY_2026-06-11.md

@@ -50,6 +50,6 @@
 | 優先 | ID | 工作 | 完成標準 |
 |---:|---|---|---|
 | 1 | P2-402E | Gitea PR 草案 lane | 已完成：Renovate grouping、automerge=false、測試要求、rollback、owner response；bot / branch policy 仍未批准 |
-| 2 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 主機、K3s、PostgreSQL、Redis、MinIO、Harbor、Gitea 只讀版本矩陣 |
+| 2 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 已完成；主機、K3s、PostgreSQL、Redis、MinIO、Harbor、Gitea 只讀版本矩陣 |
 | 3 | P2-402G | Governance UI 顯示可委派能力 | 前端顯示 autonomy level、gate、owner、Telegram policy，無執行按鈕 |
 | 4 | 候選池 | Telegram Gateway E2E 批准包 | queue write / send / callback / fallback path 的測試與 rollout gate |

docs/ai/AI_AGENT_TOOL_ADOPTION_APPROVAL_PACKAGE_2026-06-11.md

@@ -39,7 +39,7 @@
 |---:|---|---|---|---|
 | 1 | P2-402D | Telegram action-required digest policy | 定義 critical / action-required / failure-only，禁止成功洗版，接 Telegram Gateway E2E gate | 完成 |
 | 2 | P2-402E | Gitea PR 草案 lane | Renovate grouping、automerge=false、測試要求、rollback、owner response | 完成 |
-| 3 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 主機、K3s、PostgreSQL、Redis、MinIO、Harbor、Gitea 只讀版本矩陣 | 待辦 |
+| 3 | P2-402F | host OS / K3s / stateful services 版本只讀盤點 | 主機、K3s、PostgreSQL、Redis、MinIO、Harbor、Gitea 只讀版本矩陣 | 完成 |
 | 4 | P2-402G | Governance UI 顯示可委派能力 | 前端顯示 autonomy level、gate、owner、Telegram policy，無執行按鈕 | 待辦 |
 | 5 | 候選池 | SBOM artifact policy | Syft / Trivy artifact 格式、保存、redaction、消費者規則 | 未排正式編號 |
 | 6 | 候選池 | Scanner false-positive policy | OSV / Trivy / Grype 差異、suppression、severity mapping、owner SLA | 未排正式編號 |