GitHub 기능 유기적 도입 로드맵 (관례→플랫폼강제 / 손작업→무인화 / 미검증→실측)

[pdw96]

출처: 2026-06-21 다중 에이전트 갭 감사(워크플로 17 에이전트 · 1.08M 토큰 · 적대 검증). GitHub 기능 전체 표면 ↔ Fleet 현재 사용 현황 대조.
메인테이너 결정으로 #27 백로그와 완전 분리된 독립 트랙 — #27 sub-issue 아님. GitHub 플랫폼 인프라/위생 전용.

한 줄 결론

Fleet 루프(#27 → sub-issue → feat 브랜치 → PR(Closes #N) → Codex 리뷰 → CI 4게이트 → squash → 보드 Done → tag → Release)의 모든 관문이 "AGENTS.md 관례"일 뿐 플랫폼이 강제하지 않는다. 본 로드맵은 그것을 관례→플랫폼강제 / 손작업→무인화 / 미검증→실측 으로 전환한다.

검증 하이라이트(적대 검증이 잡은 것): required status check는 잡 id(quality)가 아니라 잡 표시명으로 등록해야 영구 pending 함정 회피 · 네이티브 이슈 타입은 ORG 전용(GET /orgs/pdw96/issue-types → 404)이라 USER 계정 불가 · #27 본문 실측 ~10K자(140K 과장 정정) · gh CLI v2.94(2026-06-10) --parent/--blocked-by 네이티브 플래그 신설.

---

🔑 키스톤 — master ruleset 1개

현재 master: branch protection 404, rulesets [] → 멀티 에이전트 직접 커밋에 무방비. ruleset 하나로 4관문 동시 폐쇄:

• Require a pull request before merging (Require approvals=0 — 솔로 자가승인 불가) ← AGENTS.md "master 직접 작업 금지"
• Require status checks to pass: typecheck · lint · test · build + windows vitest (win32 보안 회귀) ← 잡 표시명(잡 id 아님), release 매트릭스 잡 절대 금지 ← "4게이트 green"을 진짜 머지 게이트로
• Require conversation resolution (Codex 봇 인라인 스레드) ← MEMORY "merge-requires-confirmation"
• Block force pushes + Restrict deletions ← 멀티 에이전트 커밋 무결성
• 설정: bypass actors에 repo admin(본인) 추가 · Require branches up to date=OFF · ⚠️ paths 필터와 동시 도입 금지(skip된 required check는 영구 pending)
• UI(Settings>Rules) 권장 — PR 실제 체크목록에서 골라 오타 회피

---

🟢 Quick wins (지금 · 거의 0비용)

• repo description + topics: gh repo edit pdw96/fleet --description "Multi-LLM orchestration desktop app — claude/codex/gemini CLIs + anthropic/openai/google APIs behind a unified LlmSession, role-based DAG collaboration. Pure, electron-free, vitest-verifiable core." --add-topic electron,typescript,react,llm,multi-agent,ai-agents,mcp,model-context-protocol,desktop-app,orchestration
• Secret scanning + Push protection ON (Settings→Code security) — provider 키 3종, PUBLIC 누출 초단위 스크랩
• Dependabot alerts + security updates ON (Settings→Code security) — Electron 42·Vite 7 churn 최고조
• CodeQL default setup (Settings→Code scanning→Default setup, javascript-typescript) — child_process/spawn/safe-regex command-injection·ReDoS 매핑
• squash-only + 브랜치 자동삭제: gh api -X PATCH repos/pdw96/fleet -f allow_merge_commit=false -f allow_rebase_merge=false -f delete_branch_on_merge=true
• 보드 feat: capability-scored·manual 역할 배정 배선 완성 #1 내장 워크플로: Auto-add(area:/tier: AND 조건) / Item added→Status=Todo / Reopened→In Progress (커스텀 필드 자동채움은 미지원)
• .github/PULL_REQUEST_TEMPLATE.md: Closes # + 4게이트 체크박스(typecheck/lint/format/test/build) + Codex 리뷰 반영 체크 + context7 교차검증 여부
• README CI 배지: [![CI](https://github.com/pdw96/fleet/actions/workflows/ci.yml/badge.svg)](https://github.com/pdw96/fleet/actions/workflows/ci.yml)
• AGENTS.md sub-issue 절차 → gh --parent 네이티브 플래그(DB id 보일러플레이트 제거) — ✅ docs(agents): #98 AGENTS.md 플랫폼-강제 동기화 + 보드/sub-issue 절차 갱신 #108 머지(303b6d8)로 적용 + 보드 절차 축소 + 플랫폼-강제 주석 동기화

🟡 Foundational (백본)

• master ruleset (위 키스톤) — 카테고리 최고 ROI · ✅ id 17940177 active
• .github/dependabot.yml: npm(grouped dev/minor·patch, open-pull-requests-limit:3) + github-actions weekly · 메이저(electron/vite/vitest)는 개별 PR로 분리 → 메타: 백로그 우선순위 / 로드맵 (코드 검증 기반) #27 수동 트랙 · commit-message.prefix: 'chore(deps)'
• .github/workflows/dependency-review.yml: dependency-review-action@v4 · fail-on-severity: high · fail-on-scopes: runtime, development, unknown(Codex P2 반영 — devDep 26/29 커버) (PR diff 신규 의존성 CVE 가시화)
• v0.1.0 첫 릴리스 컷 — ✅ 출하 완료(2026-06-21, tag v0.1.0 @ 0408ac0, github-actions[bot] published). 3-job 파이프라인 완주(prepare 07:26→release 07:39). 인프라 chore(release): #98 v0.1.0 릴리스 인프라 — notes 분류 + build provenance attestation #109 0408ac0. 검증 전량 통과: 단일 릴리스(중복 race 없음) · attestation verify ✅(exe·AppImage 둘 다 exit 0) · latest.yml/latest-linux.yml feed 정상(sha512 일치, 공백 없는 URL → %20 회귀 회피 입증) · .github/release.yml 노트 분류 작동. 잔여 실측(미차단): 설치본 autoUpdater 실동작은 v0.1.1 update 1회 필요.
• 얇은 .github/CONTRIBUTING.md (AGENTS.md 포인터 — 본문 복제 금지)
• LICENSE = MIT ✅결정 + package.json license 필드 동기화

🔵 Advanced (나중)

• E2E(playwright) 분리 워크플로 (workflow_dispatch 출발 → reporter html/trace 추가 → 1~2주 안정화 후 nightly cron) — ✅ PR chore(ci): #98 E2E 분리 워크플로(workflow_dispatch) + html/trace reporter #111(a84b728)+fix(ci): #98 e2e 워크플로 electron 바이너리 명시 설치 #112(b57810c): 첫 dispatch 실검 9 passed (28.4s) green → nightly cron ✅ 승격(PR ci(#98): E2E nightly cron 승격 + #144 개편으로 stale 된 e2e 테스트 정정 #189 bacc903, 2026-07-02 — 03:23 KST 일간; 승격 전 dispatch 실검이 feat(#143): 세션 등록 인증 picker — 구독(CLI 위임) / API 키 가이드 흐름 #144 picker 개편으로 stale 된 e2e 테스트를 실측 적발·정정해 cron 의 존재가치 실증). 카테고리 잔여 없음.
• electron-updater 안정/베타 채널 분리 (allowPrerelease=true 하드코딩 → 사용자 설정)
• 멀티-PR 트랙 native issue dependencies (gh issue edit --add-blocked-by, 🔓 gh 2.95 unblocked + preview 버그 인지) — ✅ PR docs(agents): #98 멀티-PR 트랙 native issue dependencies 절차화 #119(036be45): AGENTS.md 「백로그 착수 절차」 절차화 + gh@2.95.0 라운드트립 실측(후속(보안): Electron 33→41/42 메이저 업그레이드 (EOL/CVE) #76←후속(배포): Electron 패키징 파이프라인 (builder/forge·autoUpdater·코드서명) #74 add→read→remove)
• 보드 커스텀 필드(Value·Effort·Risk·Verdict) + 1회 백필 — 규율 약속 시에만 (아래 결정 대기)
• 메타: 백로그 우선순위 / 로드맵 (코드 검증 기반) #27 본문 다이어트 (손-체크박스 트래커·changelog 제거, sub-issue/부모 progress로 위임) — ✅ 2026-06-21 적용 (22,374→3,666 bytes, 83%↓ · 완료 백로그는 PR·커밋·편집이력·메모리에 보존)
• SECURITY.md + Private vulnerability reporting (첫 릴리스와 묶어서)

⛔ Skip (도입 안 함 — 사유 명확)

CODEOWNERS/Required reviewers(솔로 → 머지 영구 락아웃) · Auto-merge(Codex 대기 규율 충돌) · Merge queue · Signed commits(에이전트 커밋 서명 비용↑·자동화 중단 위험) · OIDC · npm audit 게이트(노이즈) · GitHub Packages · Pages · Discussions · Wiki · CODE_OF_CONDUCT/FUNDING/SUPPORT/프로필 README · stale bot(트래커 파괴) · release-drafter(--generate-notes 중복) · github-script · auto-assign/labeler · org rulesets/custom properties · reusable workflow/composite/job summaries(과설계). (릴리스 0·외부 0·솔로 단계에선 빈 신호 역효과)

---

🙋 결정 현황

• LICENSE = MIT (결정 완료)
• v0.1.0 첫 릴리스 지금 컷? — 권장: 지금(미검증 파이프라인 실측 + topics/notes/attestation 묶어 1회 검증, 0.x breaking 자유 명시)
• 백로그 정량화 보드 필드 이관? — 규율 약속(매 sub-issue 필드 입력) 가능할 때만; 아니면 라벨/prose 유지가 정직

---

_{전체 감사 원본(카테고리별 verdict·reason·organicLinks)은 워크플로 산출물 보관. 필요 시 항목을 이 트래커의 sub-issue로 분해 가능.}

[pdw96]

🟢 Quick wins 배치 1 — 진행

즉시 적용(설정, live):

• ✅ repo description + topics 10종 (electron·typescript·react·llm·multi-agent·ai-agents·mcp·model-context-protocol·desktop-app·orchestration)
• ✅ squash-only 강제 + 브랜치 자동삭제 (merge_commit=false·rebase=false·delete_branch_on_merge=true)

PR #99 (리뷰 대기 → 머지 시 반영):

• LICENSE = MIT + package.json license 필드
• .github/PULL_REQUEST_TEMPLATE.md
• .github/CONTRIBUTING.md (AGENTS.md 포인터)
• README CI 배지

로컬 5종 게이트 green (typecheck·lint·format:check·test 893p/1s·build).

잔여(이 트래커): AGENTS.md sub-issue 절차 gh --parent 갱신은 로컬 gh 2.93(<2.94)이라 보류. UI 토글(secret scanning·Dependabot·CodeQL·master ruleset·보드 자동화)과 CI 인프라(dependabot.yml·dependency-review.yml)는 후속.

[pdw96]

✅ PR #99 머지 (squash 28fb29f) — LICENSE(MIT)·package.json license·PR 템플릿·CONTRIBUTING·README CI 배지 완료. description/topics·squash-only는 설정으로 이미 live. 체크박스 갱신함. 잔여: UI 토글(secret scanning·Dependabot·CodeQL·ruleset·보드 자동화) + CI 인프라 PR(dependabot.yml·dependency-review.yml) + gh 업그레이드 후 sub-issue 절차.

[pdw96]

🔒 보안·게이트 배치 적용 완료 (gh api 검증)

• ✅ Secret scanning + Push protection: enabled
• ✅ Dependabot alerts: 204 / security updates: enabled·not paused
• ✅ CodeQL default setup: state: configured (languages: javascript-typescript 포함)
• ✅ master ruleset master protection (id 17940177, active): PR 필수(승인 0)·required checks 2종(typecheck · lint · test · build·windows vitest (win32 보안 회귀))·conversation resolution·force-push/삭제 차단·admin bypass

→ AGENTS.md 관례(4게이트·master 직접금지·Codex 대기)가 이제 플랫폼 강제.
잔여: 보드 #1 내장 워크플로(④ 확인 대기) · dependabot.yml/dependency-review.yml(후속 PR) · v0.1.0 컷(결정) · gh 2.94 업글 후 sub-issue 절차.

[pdw96]

✅ PR #101 머지 (squash 231aa5b) — dependabot.yml + dependency-review.yml. Codex P2 2건(fail-on-scopes·라이선스 주장) 반영 후 재리뷰 clean(f6bc192). dependency-review·CodeQL 게이트 PR에서 실증 green. Foundational 체크오프. 다음: AGENTS.md 정리 PR(주석+보드축소+sub-issue --parent).