feat(governance): 新增 Agent host stateful 版本盤點

docs/superpowers/specs/2026-04-15-MASTER-ai-autonomous-flywheel-v2.md

@@ -670,7 +670,7 @@ Repo / registry / release notes / K8s / host / observability / backup evidence
 | 檔案 / API | 用途 |
 |---|---|
 | `docs/schemas/ai_agent_proactive_operations_contract_v1.schema.json` | 主動營運委派、版本生命週期、MCP、RAG、Telegram policy、approval boundary 契約 |
-| `docs/evaluations/ai_agent_proactive_operations_contract_2026-06-11.json` | 12 類版本 domain、24 類可委派能力、5 種 cadence、8 類 MCP、4 類 RAG memory；完成度 `78%` |
+| `docs/evaluations/ai_agent_proactive_operations_contract_2026-06-11.json` | 12 類版本 domain、24 類可委派能力、5 種 cadence、8 類 MCP、4 類 RAG memory；完成度 `86%` |
 | `apps/api/src/services/ai_agent_proactive_operations_contract.py` | 只讀 loader；強制 runtime update / package upgrade / host upgrade / workflow schedule / auto merge / Telegram direct send 全部 false |
 | `GET /api/v1/agents/agent-proactive-operations-contract` | 治理 API；只回傳 committed snapshot，不啟用排程、不升級、不呼叫付費服務 |
 | `docs/schemas/ai_agent_version_freshness_snapshot_v1.schema.json` | P2-402B repo-only 版本新鮮度 schema；鎖定 schedule / external lookup / upgrade / Telegram / PR / host probe 全部 false |
@@ -685,6 +685,9 @@ Repo / registry / release notes / K8s / host / observability / backup evidence
 | `docs/schemas/ai_agent_gitea_pr_draft_lane_v1.schema.json` | P2-402E Gitea PR 草案 lane schema；鎖定 branch push / PR creation / workflow trigger / lockfile / automerge / Telegram 全部 false |
 | `docs/evaluations/ai_agent_gitea_pr_draft_lane_2026-06-11.json` | P2-402E committed snapshot：6 條 grouping rule、7 個 lane step、9 個 required check、6 條 rollback requirement、4 個 draft template |
 | `GET /api/v1/agents/agent-gitea-pr-draft-lane` | 只讀 API；只回傳 PR 草案 lane，不 push branch、不建立 PR、不觸發 workflow、不改 CI、不升級套件、不發 Telegram |
+| `docs/schemas/ai_agent_host_stateful_version_inventory_v1.schema.json` | P2-402F host / K3s / stateful 版本只讀盤點 schema；鎖定 SSH / kubectl / upgrade / drain / reboot / restart / Telegram 全部 false |
+| `docs/evaluations/ai_agent_host_stateful_version_inventory_2026-06-11.json` | P2-402F committed snapshot：5 台主機、2 個 K3s 節點、12 個 stateful / ops 服務、6 個只讀 probe step、maintenance window approval package |
+| `GET /api/v1/agents/agent-host-stateful-version-inventory` | 只讀 API；只回傳 host / K3s / stateful 版本盤點，不 SSH、不 kubectl、不升級、不重啟、不發 Telegram |
 
 **採用順序：**
 
@@ -692,7 +695,8 @@ Repo / registry / release notes / K8s / host / observability / backup evidence
 2. 再評估 external primary source weekly watch：Renovate、OSV-Scanner、Trivy、Syft、Grype、Kubernetes skew policy、Docker Scout。✅ P2-402C 已建立工具採用批准包；工具安裝、CI 變更、外部查詢仍未授權。
 3. 建立 Telegram action-required digest policy，先定義 critical / action-required / failure-only 通知門檻，禁止成功洗版。✅ P2-402D 已建立 policy snapshot/API；Telegram 實發與 queue write 仍未授權。
 4. 再進 Gitea PR 草案 lane：grouping、automerge=false、tests、rollback、owner response。✅ P2-402E 已建立 draft lane snapshot/API；branch push、PR creation、workflow trigger、lockfile、package upgrade、auto merge 仍未授權。
-5. 最後才進人工批准後的 dry-run / smoke / canary / production rollout。下一步 P2-402F host OS / K3s / stateful services 版本只讀盤點。
+5. 建立 host OS / K3s / stateful services 版本只讀盤點，先固定維護窗口、備份、rollback 與 smoke gate。✅ P2-402F 已建立 snapshot/API；SSH、kubectl、upgrade、drain、reboot、stateful restart 仍未授權。
+6. 最後才進人工批准後的 dry-run / smoke / canary / production rollout。下一步 P2-402G governance UI 顯示可委派能力。
 
 #### 3.2.2 核心缺口與災難場景
 
@@ -1726,6 +1730,12 @@ Phase 6 完成後
 - 更新 `ai_agent_proactive_operations_contract_2026-06-11.json`：整體完成度 `78%`，current task `P2-402E`，next task `P2-402F`。
 - 本波仍不 push branch、不建立或更新 Gitea PR、不留言、不 auto merge、不觸發 workflow、不改 CI、不寫 lockfile、不升級套件、不 build / pull image、不發 Telegram、不讀取或輸出 secret、不回傳工作視窗對話內容；P2-402F 才建立 host OS / K3s / stateful services 版本只讀盤點。
 
+### 2026-06-11 23:59 (台北) — §3.2 / §5 — 完成 P2-402F host / K3s / stateful 版本只讀盤點 — 回應統帥要求讓 Agent 定期管理主機、套件、服務與維護窗口
+
+- 新增 `ai_agent_host_stateful_version_inventory_v1` schema / committed snapshot / loader / API / 測試，定義 5 台主機、2 個 K3s 節點、12 個 stateful / ops 服務、6 個只讀 probe step、maintenance window approval package 與 redaction policy。
+- 更新 `ai_agent_proactive_operations_contract_2026-06-11.json`：整體完成度 `86%`，current task `P2-402F`，next task `P2-402G`。
+- 本波仍不 SSH、不執行 host command、不執行 kubectl、不 apt / kernel / K3s upgrade、不 node drain、不 kubelet restart、不 reboot、不 stateful restart、不 DB migration、不 restore、不 pull image、不發 Telegram、不讀取或輸出 secret、不回傳工作視窗對話內容；P2-402G 才接治理 UI 顯示可委派能力。
+
 ### 2026-04-15 (台北) — 全檔 — 建立 v2 骨架，§0/§1 完成 — 統帥批准「單 MASTER + 4 道閘門」結構
 
 - 從 v1（plans/2026-04-15-MASTER-ai-autonomous-flywheel.md）繼承核心發現