来源: #257 （agent-registry governance-tests canary 连续红）| 类型: 治理修复卡 | 预算: BUDGET-01
任务
修复 agent-registry canary（四仓公开治理面不变量）main 连续红，三项：
C6-a（机械） ：.github 仓 gate.yml 的 hygiene.yml 钉扎 9c20d43 脱靶 → 刷新为当前 v1 tag 实际指向的 commit（参照 template-service PR [总结] 2026-08-19 红队演练：治理体系全栈问题报告 #39 C6-b（机械） ：CI-Workflows check.yml 中非 40-hex 的外部 action 引用 → 逐个钉 SHA（ADR-0011 钉扎立场）。C4（勘误） ：canary 对 template-service ci.yml 的形态断言改为承认双合法形态（@vN 浮动指针 | 40-hex SHA+ciw-ref 透传），与 C6 一致——写明选型倾向 SHA-only。C5（owner 已裁） ：canary 对 main-protection required 的预期更新为 ['gate','org-gate'] 双轨（依据 BP-2 观察期设计；退役本地轨需未来新 ADR，不在本卡范围）。
AC（Given-When-Then）
AC-1 (api): Given 修复合并，When agent-registry governance-tests 在 main 运行，Then 连续 3 次绿（canary 恢复活体证明）。
AC-2 (api): Given C6 修复，When 检查 .github/gate.yml 与 CI-Workflows/check.yml，Then 全部外部引用为 40-hex SHA 且与 v1 指针实际指向一致（drift §15 对账绿）。
AC-3 (api): Given C4/C5 勘误，When 检查，Then canary 断言与现行声明文件一致；勘误 ADR 落 decisions/ 且过墓碑索引校验。
AC-4 (api，防回潮): Given 未来 v1 tag 移动，When drift §15/§12 运行，Then 钉点脱靶能在 1h 内被报出（本卡不新增机制，验证现有即可）。
blastRadius（预测）
.github: .github/workflows/gate.yml; CI-Workflows: .github/workflows/check.yml; agent-registry: tests/**, decisions/**
任务
修复 agent-registry canary（四仓公开治理面不变量）main 连续红，三项：
@vN浮动指针 | 40-hex SHA+ciw-ref 透传），与 C6 一致——写明选型倾向 SHA-only。AC（Given-When-Then）
blastRadius（预测）
.github: .github/workflows/gate.yml;CI-Workflows: .github/workflows/check.yml;agent-registry: tests/**, decisions/**