W4-C4: 活体演习链路（周种子缺陷注入 + 诱饵联动 + 缺席 fail-closed 演练）

[randypanding]

父意图: #161 | 宪法: §4B/§6 活体演习 | 波次: W4 | 依赖: W2 | 预算: BUDGET-01
C1 须附 ADR。注入由独立 workflow 执行（非关卡建设者），样本库 owner 审。

任务

活体演习链路：每周向随机 PR 注入已知缺陷（owner 审过的样本库随机选取）→
独立验证"该缺陷应触发 X 关卡失败"→ 演习红/绿公开进 dashboard（绿=演习失败）；
holdout 泄漏诱饵联动检查；缺席 fail-closed 全链路演练。

AC（Given-When-Then）

• AC-1 (e2e): Given 一次周演习，When 注入已知缺陷，Then 对应关卡变红且结果进 dashboard；关卡绿 → 演习失败 → P0 issue。
• AC-2 (api): Given 缺陷样本库，When 检查，Then 每条样本有 owner 审批记录与预期触发的关卡 ID。
• AC-3 (e2e): Given 人为暂停审计包/心跳，When 缺席超时，Then 自动合并关闭（fail-closed 实测，已有 P0 dead-man trip：管家缺席，自动合并已停（AUTO_MERGE_DISABLED=true） #180 先例，回归一次）。
• AC-4 (api): Given 演习历史，When 检查，Then 演习红率 ≈100% 且样本难度趋势有记录（防"为演习写代码"Goodhart）。

blastRadius（预测）

Cloudbird-Software/.github: .github/workflows/**, governance/**; holdout: canary/**

[randypanding]

/claim

[randypanding]

W2-W5 波次收口（owner 关单）。完成证据：W4-C4 完成。PR .github#244/#245/#246/#247 + agent-registry#81 + archive#5（全合并）：样本库（owner 审批+预期关卡+难度）+ 注入/独立验证/台账引擎 + seed-drill.yml 周演习 + 诱饵联动（dispatch 复用 W1-C4）+ 缺席 fail-closed 真置位回归（3s 窗口+复位复核）。首演：gitleaks 样本注入→org-hygiene 红→红率 100%（1/1）；push 面无 CI 的局限按卡面记录（draft PR 补救面）。ADR-0069（rev1 偏差澄清已归档）。