capthvnsen/alans-way は、macOS アプリから Hermes ボットが Mac とクラウド VPS のブラウザタブを直接操作し、Telegram も一緒に接続して2つの環境の間を引き継ぐプロジェクトである。2026-10-31 のコミット cfdb8ed はランタイムコードに触れずに、ドキュメントを1件だけ追加した。docs/qa/security-merge-plan.md は288行増え、削除された行はない。コミットメッセージが示す意図は、インストール済みのコネクタをロックしたままにせず、セキュリティ移行をあらかじめ準備しておくことである。
このドキュメントは実務的なマージ記録に近い。セキュリティ PR 10件（#243、#266、#267、#268、#271、#272、#273、#275、#270、#274）を現在の main にリベースしたうえで定めた順序で squash マージし、それぞれ検証済みの head と CI 実行番号を併記した。ドキュメントが明かすとおり、列挙されたテストワークフローは8件の検査をすべて通過し、#270 はさらに使い捨ての Linux ネットワーク名前空間で9件目のカーネルフィルタ検査も通過した。資格情報の主体整理も含んでいる。レジストリの botId は置き換え後も維持される不変の主体であり、ボットごとの bearer token はその主体および分離された OS UID に紐づけられ、Tailscale のアイデンティティは機器への到達可能性のみを意味すると記されている。
ただし、このコミットが変更したのはドキュメントだけである。同じドキュメントによれば、いずれのインストールでも strict フラグは有効になっておらず、プロビジョニングは実行されず、実機の SSH 鍵・ファイアウォール・Tailscale ACL にも触れていない。既存のインストールは legacy パスをそのまま残し、運用者がプロビジョニング済みの代替パスを自分で選ぶまで待つ。ドキュメント自身が、通過した単体テストは live OS 分離やプロビジョニング済みの強制コマンドリスナーの証拠にはならないと述べており、Windows の hermes-update-ps1.test.cjs における更新バジェットのタイミングは依然として観測された flake のままである。現在の読み方では、セキュリティフェーズは整理されてドキュメントとして残っており、実際の適用はまだ先である。