capthvnsen/alans-way는 macOS 앱에서 Hermes 봇이 Mac과 클라우드 VPS의 브라우저 탭을 직접 조작하고, Telegram을 함께 붙여 두 환경 사이에서 인계하는 프로젝트다. 2026-10-31 커밋 cfdb8ed는 런타임 코드를 건드리지 않고 문서 하나만 추가했다. docs/qa/security-merge-plan.md가 288줄 늘었고 삭제된 줄은 없다. 커밋 메시지가 밝히는 의도는 설치된 커넥터를 잠가버리지 않으면서 보안 마이그레이션을 미리 준비해 두겠다는 것이다.
이 문서는 실무 병합 기록에 가깝다. 보안 PR 10건(#243, #266, #267, #268, #271, #272, #273, #275, #270, #274)을 현재 main에 리베이스한 뒤 정해진 순서로 스쿼시 병합했고, 각각 검증된 head와 CI 실행 번호를 함께 적었다. 문서가 밝히듯이 나열된 테스트 워크플로는 8개 검사를 모두 통과했고, #270은 별도로 일회용 Linux 네트워크 네임스페이스에서 아홉 번째 커널 필터 검사까지 통과했다. 자격 증명 주체 정리도 담겼다. 레지스트리의 botId는 교체 후에도 유지되는 불변 주체이고, 봇별 bearer token은 그 주체와 격리된 OS UID에 묶이며, Tailscale 신원은 기기 도달성만 뜻한다고 적혀 있다.
다만 이 커밋이 바꾼 것은 문서뿐이다. 같은 문서에 따르면 어떤 설치에서도 strict 플래그를 켜지 않았고, 프로비저닝은 실행되지 않았으며, 실기계의 SSH 키와 방화벽, Tailscale ACL도 건드리지 않았다. 기존 설치는 legacy 경로를 그대로 두고 운영자가 프로비저닝된 대체 경로를 직접 선택할 때까지 기다린다. 문서 스스로 통과한 단위 테스트가 live OS 격리나 프로비저닝된 강제 명령 리스너의 증거가 된다고 적고, Windows hermes-update-ps1.test.cjs의 업데이트 예산 타이밍은 여전히 관측된 flake로 남아 있다. 지금 읽기에 따르면 보안 단계는 정리되어 문서로 남았고 실제 적용은 아직 앞이다.