canary（agent-registry governance-tests）main 连续红：C4/C5/C6 预期与本波次后的现实脱靶——需裁决修正方向

[randypanding]

现象

agent-registry governance-tests 的 canary（四仓公开治理面不变量）在 main 上连续失败（近 15 次全红，至少自 2026-08-21T05:15Z 起——早于 IR-0003 W2-W5 波次，非该波次引入）。

逐项分析（2026-08-21T22:20 run 32532563650）

1. C4：要求 template-service ci.yml 含 …workflows/hygiene.yml@v 字面量（@vn 浮动指针形态），但该仓自 PR [P0] apply.sh 无 pre-apply 校验：恶意 expected-state 可直接写入生产 #22（f89dccc，ADR-0036）起改用 40-hex SHA 钉扎+ciw-ref 透传——C4 的形态断言未随之更新（C6 已承认双合法形态，C4 落后）。
2. C5：期望 main-protection required == ['gate']，但声明文件自 governance: org-required-workflows 钉点落盘 + 双轨 required + §15 对账（P3-1，ADR-0046，#95） #124（ADR-0046 双轨 required）起即含 ['gate','org-gate'] 且 drift §15 对账绿（线上=声明）。需要裁决：是 canary 预期过期（应更新为双轨），还是 repo 级 main-protection 应去重（org 级 org-required-workflows 已 required，repo 级双轨是否冗余）——这是治理设计裁决，不宜由 agent 单方面改。
3. C6-a：.github gate.yml 的 hygiene.yml 钉扎 9c20d43（v1 旧指向）在 v1 tag 移至 61191f87 后脱靶。template-service 侧同款已由 PR [总结] 2026-08-19 红队演练：治理体系全栈问题报告 #39 刷新；.github 侧待同样刷新（9c20d43 → 当前 v1 指向）。
4. C6-b：CI-Workflows check.yml 存在非 40-hex 的外部 action 引用（ADR-0011 钉扎立场）——需逐个钉 SHA。

建议处置

• C6-a/C6-b：机械修复（刷新钉点/补 SHA），任意 agent 可做。
• C4：canary 断言改为与 C6 一致的双合法形态（或明确选型 SHA-only），小 ADR 勘误。
• C5：owner 裁决双轨 vs 单轨后，改 canary 或改 ruleset（+apply）。

关联

• IR-0003 W2-W5 波次（IR-0003: 重订宪法（治理体系 v2） #161）收口时发现并登记；该波次自身的全部 PR 关卡（gate/org-gate/regression/snapshot-diff）均绿。

[randypanding]

处置已派卡：#259（C6 机械修复 + C4/C5 预期勘误，state:ready）。owner 裁决记录：C5 保留双轨、更新 canary 预期（BP-2 观察期设计，2026-08-22）。

[randypanding]

关闭（修复落地 + 体系退役）：

• 派卡 治理修复：canary 连续红（C6 钉点刷新 + C4/C5 预期勘误，#257） #259 的全部修复已于 2026-08-22 合并：C6-a=.github PR#265、C6-b/CIW#65、C4/C5 勘误=ADR-0075，owner 裁决 C5 保留双轨。
• 2026-08-24 main 上 canary 再度变红（run 32703373832 等），根因未及复盘；但 2026-08-25 ADR-0085 落地后 agent-registry 已退役归档（REPOS.yaml status: retired，Actions 不再运行），canary 作为活体信号已随之退役。治理面钉扎/指针检查由 .github governance-drift（小时级）承担。
  系统清洁关单。