[REL-100] Epic: release readiness を完了し live external validation へ移行する

[ootakazuhiko]

Related publication parent: #3626
Reuses existing issues: #3630, #3631, #3632
Child issues: #3638, #3639, #3640, #3641, #3648, #3650, #3651
Codex lane: planning/release-adoption

背景

ae-framework の deploy-time profile、root assurance action、@ae-framework/core publish workflow、recorded-PR replay、公開用ドキュメントは概ね実装済みである。2026-07-12時点の状態は次のとおり。

• live main branch protectionにはverify-lite, gate, policy-gate, deploy-time-profilesが適用済みである（Configure live branch protection for deploy-time-profiles required check #3630）。
• @ae-framework/core はpublish workflow / preflightまで準備済みだが、npm scope確認・初回publish・provenance・clean install/import検証が未完了である（Publish @ae-framework/core 0.1.x with npm provenance #3631）。
• GitHub Marketplace listingは未公開である（Publish assurance-gate v1 Marketplace listing #3632）。
• 現在のimmutable tag v1.0.1とmoving tag v1は、PR #3644で修正されたpnpm frozen-lockfile runtime fixより前のcommitを指している。QUICKSTARTが通常導入に@v1を案内しているため、Marketplace公開前に修正版patch releaseが必要である（[REL-130] assurance-gate v1.0.2をreleaseしmoving v1を修正版へ更新する #3651）。
• Publication evidence manifest / validatorは実装済みだが、Marketplaceのlive判定はpath resolutionだけでなくexternal runtime smokeを必須にする必要がある（[REL-120] Publication evidence manifest と公開claim guardを追加する #3639、[REL-121] Marketplace live判定にexternal runtime smoke evidenceを必須化する #3650）。
• root package.json の公開意図とproduct positioningには矛盾があり、ownerによるroot npm contractのA/B decision待ちである（[REL-110] Root package の公開境界と product metadata を明確化する #3638）。
• external pilotはrunbook / template / dry-runまでは完了しているが、consent済みlive external PRの収集は未実施である（[REL-200] Consent済み report-only live external pilotを1 repo / 約5 PRで実施する #3640）。
• root actionのexternal-style startup baselineとbounded cache comparisonは完了し、20% target未達のためcache experimentをrollback済みである（[REL-210] External consumerでassurance-gate startup costを計測し改善判断を固定する #3641）。Prebuilt/bundled化はentry criteriaが満たされるまで#3648でdeferredとする。

このEpicは「追加機能を広げる」ためではなく、公開refのcorrectness、公開証跡、owner-controlled publication、外部検証の未完了面を閉じ、fixture-backed readinessからlive report-only validationへ移るための実行計画を束ねる。

目的

1. 公開Action refをruntime-correctなpatch releaseへ更新する。
2. Marketplaceのlive判定へexternal runtime smoke evidenceを組み込む。
3. 既存のrelease-owner / admin blockerを完了する。
4. package publication boundaryとpublication evidenceを明確化する。
5. 1 repository / 約5 PRのconsent済みreport-only live pilotを実施する。
6. npm / Marketplace / pilotの状態を、実際の証跡以上に主張しない。

Codex CLI 実行ルール

このIssueはtracking Epicであり、全子Issueを1つのworktree・1つのPRで実装しない。

Codex CLIは次の順序で処理する。

1. AGENTS.md と docs/integrations/CODEX-ISSUE-RUNBOOK.md を読む。
2. 下記matrixから最も早いunblocked child Issueを1件だけ選ぶ。
3. child Issue本文をscope上限として、専用worktree・専用PRで処理する。
4. human approval / secret / tag mutation / Marketplace UI / external consentが必要なIssueでは、権限境界を迂回しない。必要情報がなければ具体的なblockerをIssue commentに記録して停止する。
5. PR本文には Summary, Acceptance, Verification, Rollback, Context Pack conflict を含める。Release / pilot Issueでは本文指定の追加sectionも含める。
6. child Issueが完了したら、このEpicの該当checkboxとevidence URLを更新する。
7. #3650と#3651はP0である。Release-preparationは並行してよいが、moving v1更新前に#3650をmainへmergeする。
8. #3648はentry criteriaが満たされるまで実装しない。

実行順とdependency matrix

Phase	Issue	Priority	Scope	Human boundary	Completion evidence
1	#3630	P0	live branch protectionへdeploy-time-profilesを適用	admin token / protected environment approval	successful apply run + observed contexts
1	#3650	P0	Marketplace live判定へexternal runtime smoke contractを追加	actual release evidenceのowner verification	schema + validator + negative tests + blocked manifest
1	#3651	P0	v1.0.2 releaseとmoving v1更新	tag / GitHub Release / moving-tag owner operation	candidate + immutable + moving-tag external pass/block smoke
1	#3631	P0	@ae-framework/coreをprovenance付き公開	npm scope / bootstrap token / environment approval	registry + provenance + clean install/import
1	#3632	P0	修正版assurance-gateをMarketplace掲載	repository owner UI publication	live listing URL + release note + runtime smoke evidence
2	#3638	P1	root package publication boundary / metadata	root npm contract A/B owner decision	package metadata + release docs + test
2	#3639	P1	publication evidence manifest / validator	actual live evidenceのowner verification	schema + canonical manifest + fast-lane validation
3	#3640	P1	consent済みlive external pilot	maintainer consent / data handling / publication approval	1 repo / 約5 PR + redacted report
3	#3641	P2	assurance-gate startup baseline / optimization decision	大規模release architecture変更時のみ別承認	cold/warm benchmark + decision record
Conditional	#3648	P2	prebuilt/bundled feasibility	entry criteria + release lifecycle approval	deferred unless adoption evidence changes
Closeout	#3626	P0	publication slice acceptanceを閉じる	release-owner evidence confirmation	all publication URLs, runtime smokes, registry checks recorded

Phase 1 — live release controls

• Configure live branch protection for deploy-time-profiles required check #3630 — live branch protectionにdeploy-time-profiles required checkを適用する。Evidence: https://github.com/itdojp/ae-framework/actions/runs/28815374171
• [REL-121] Marketplace live判定にexternal runtime smoke evidenceを必須化する #3650 — Marketplace live判定にimmutable tag / moving @v1のexternal runtime smoke evidenceを必須化する。Evidence: feat(release): require external Marketplace runtime smoke #3652
• [REL-130] assurance-gate v1.0.2をreleaseしmoving v1を修正版へ更新する #3651 — assurance-gate v1.0.2をreleaseし、external pass/block smoke後にmoving v1を同じcommitへ更新する。Evidence: docs(release): record Assurance Gate v1.0.2 evidence #3654 / https://github.com/itdojp/ae-framework/releases/tag/v1.0.2
• Publish @ae-framework/core 0.1.x with npm provenance #3631 — @ae-framework/core 0.1.xをprovenance付きでnpm公開し、clean install/import smokeを記録する。
• Publish assurance-gate v1 Marketplace listing #3632 — 修正版assurance-gate v1をGitHub Marketplaceへ掲載し、listing URLを記録する。

Phase 2 — release boundary / evidence governance

• [REL-110] Root package の公開境界と product metadata を明確化する #3638 — Root packageの公開意図、private state、description、release pathをowner decisionに基づいて明確化する。
• [REL-120] Publication evidence manifest と公開claim guardを追加する #3639 — npm / Marketplace / branch-protectionのpublication evidence manifestとvalidatorを追加する。Evidence: feat(release): add publication evidence contract #3642

Phase 3 — external validation / adoption performance

• [REL-200] Consent済み report-only live external pilotを1 repo / 約5 PRで実施する #3640 — [ACP-096] Run first report-only external pilot workflow and capture evidence #3531 / #3586の準備成果を使い、consent済みreport-only live external pilotを実施する。Action refは修正版immutable tagへpinする。
• [REL-210] External consumerでassurance-gate startup costを計測し改善判断を固定する #3641 — External-style consumer fixtureでassurance-gate startup costを計測し、改善判断を記録する。Evidence: perf(actions): record cache rollback decision #3649 / https://github.com/itdojp/ae-framework/actions/runs/29172844714
• [REL-211] Prebuilt/bundled assurance-gate release surfaceのfeasibilityを条件付き評価する #3648 — 条件付きarchitecture follow-upを作成し、entry criteria未充足のためdeferredと記録する。現時点ではEpic blockerではない。

Closeout

• Complete #3598 Phase 4 publication and align the issue record with delivered evidence #3626 — publication sliceのacceptance criteria、release note、QUICKSTART、registry/listing/runtime-smoke証跡を実状態と同期して閉じる。

Epic acceptance criteria

• mainのlive required contextsにdeploy-time-profilesが含まれる。Evidence: https://github.com/itdojp/ae-framework/actions/runs/28815374171
• Marketplace state=liveが、listing / release note / path resolutionに加え、immutable tagとmoving @v1のexternal runtime smokeなしではvalidation failureになる。Evidence: feat(release): require external Marketplace runtime smoke #3652
• v1.0.2がimmutable tagとして存在し、moving v1と同じreviewed release commitへ解決する。v1.0.1は書き換えられていない。Evidence: https://github.com/itdojp/ae-framework/releases/tag/v1.0.2
• Candidate SHA、@v1.0.2、@v1についてexternal pass / block runtime smokeとrequired artifact evidenceが記録されている。Evidence: https://github.com/itdojp/ae-framework-impl-test-hub/actions/runs/29185665328 / https://github.com/itdojp/ae-framework-impl-test-hub/actions/runs/29185693898 / https://github.com/itdojp/ae-framework-impl-test-hub/actions/runs/29185737973
• npm view @ae-framework/core version --jsonが公開済み0.1.xを返し、provenanceと非workspace install/import evidenceが記録されている。
• GitHub Marketplace listing URLがliveで、release note / QUICKSTART / #3626から参照できる。
• root packageの公開対象・非公開対象が曖昧でなく、accidental publishを防止または正式release pathを文書化している。
• publication stateを表すmachine-checkable artifactがあり、live stateにはsurface別のpublic evidenceが必須である。Evidence: feat(release): add publication evidence contract #3642
• 1 repository / 約5 live PRのreport-only pilot evidenceが、consent・redaction・retention境界を満たして収集されている。
• assurance-gate startup baselineとoptimization decisionが再現可能なartifactとして残っている。Evidence: perf(actions): record cache rollback decision #3649
• fixture-backed / internal / release runtime smoke / live external / comparative claimの境界がREADME、QUICKSTART、release note、publication manifest、pilot reportで矛盾していない。

Non-goals

• hosted agent service、IDE plugin、agent runtimeを追加しない。
• runtime smokeやlive pilot完了前のdataからreview speed、safety、quality、adoption impactを主張しない。
• agent vendor superiorityを比較しない。
• secret、branch protection、tag mutation、Marketplace、npm ownership、external repository consentのhuman boundaryを自動化で迂回しない。
• routine PRへ新しいmandatory heavy/formal laneやflaky wall-clock gateを追加しない。
• #3648のentry criteriaなしにprebuilt/bundled release architectureを実装しない。

[ootakazuhiko]

Phase 1 progress: #3630 is complete. Protected apply run https://github.com/itdojp/ae-framework/actions/runs/28815374171 succeeded; live main required contexts now include verify-lite, gate, policy-gate, and deploy-time-profiles. #3642 records this state in the new publication evidence contract.