[Roadmap] Gooblin 신뢰성·표준화·효과 증명 개선 순서

[jsleemaster]

목표

Gooblin의 차별점인 가벼운 엔지니어링 판단 게이트를 유지하면서, 사용자 파일 안전 → 출처/주장 신뢰 → 표준 실행 구조 → 실제 효과 증거 순으로 개선한다.

실행 원칙

• 아래 순서대로 한 번에 한 구현 이슈만 진행한다.
• 각 이슈는 독립 테스트, 코드 리뷰, CI를 통과한 뒤 다음으로 넘어간다.
• 구조 변경과 역할 의미 변경을 같은 PR에 넣지 않는다.
• 역할 수·런타임·의존성을 늘리는 확장은 하지 않는다.
• claims, benchmark, host 호환성은 실제 증거가 있을 때만 문서화한다.
• safety floor와 사용자 파일 보존은 모든 단계의 상위 제약이다.

실행 순서

P0 — 즉시 신뢰 회복

• [P0-0] npx 데이터 손실 위험을 긴급 차단한다 #57 npx 데이터 손실 위험 긴급 차단
• [P0-2] v1.3.1 릴리스 출처를 복원한다 #50 v1.3.1 릴리스 출처 복원
• [P0-3] 활성화·배포 계약을 고정하고 소비자 지침을 분리한다 #48 활성화·배포 계약 고정 및 소비자 지침 분리
• [P0-4] 공개 주장 정확성 게이트를 강화한다 #59 공개 주장 정확성 게이트

P1 — 표준 구조와 안전한 배포

• [P1-1] Agent Skills 표준 구조로 행동 보존 마이그레이션한다 #52 Agent Skills 표준 구조로 행동 보존 마이그레이션
• [P1-2] 역할별 verification 출력 계약을 통일한다 #51 역할별 verification 출력 계약 통일
• [P1-3] ownership manifest 기반 canonical installer v2를 만든다 #49 ownership manifest 기반 canonical installer v2
• [P1-4] 호스트별 실제 skill 발견을 fresh session에서 검증한다 #60 호스트별 fresh-session discovery 검증
• [P1-5] hook manifest 계약과 반복 노이즈를 검증한다 #61 hook manifest 계약과 반복 노이즈 검증

P2 — 효과 증명

• [P2-1] 라우팅 trigger의 활성화·오활성화를 측정한다 #62 routing trigger 활성화·오활성화 측정
• [P2-2] Benchmark V2 프로토콜을 실행 전에 동결한다 #63 Benchmark V2 프로토콜 사전 동결
• [P2-3] Benchmark V2 harness를 구현하고 smoke run을 통과한다 #64 Benchmark V2 harness 및 smoke run
• [P2-4] Benchmark V2를 실행하고 raw 결과를 공개한다 #53 72+ runs 실행 및 raw 결과 공개

P3 — 채택 판단 개선

• [P3-1] README를 증거 기반 사용 판단 중심으로 재작성한다 #54 증거 기반 README 포지셔닝

P4 — OSS 운영 성숙도

• [P4-1] OSS 운영·공급망 신뢰 기반을 보강한다 #55 보안·기여·공급망 provenance

현재 작업

#57 — source·release 후보·격리 host 검증 완료, npm 인증 대기

• Source guard: PR fix: block destructive npx installer paths #58 merge, main Validate 29233659273 성공
• Release candidate: PR release: prepare gooblin 1.3.2 installer safety patch #65 squash merge, commit 553adf31d48daf6449dd57ca94ac4a1df32e2499
• Host install evidence: PR docs: record v1.3.2 host install verification #66 squash merge, current publish source d3ab29c2b4d7a71bd60268d9eab751e378cfd66b
• Current main: Validate 29237224682 성공
• Final prepublish tarball: gooblin@1.3.2, 88 files, shasum 305b7f4c85c582e38655bbaa7f5b5b420b3e10e0
• 남은 순서: npm OTP 인증 → 1.3.2 publish → live registry/npx 보존 검증 → tag/release/post-publish docs
• 현재 차단: npm 웹 로그인 이메일 OTP가 아직 도착하지 않음
• npm 1.3.2는 아직 publish 완료로 주장하지 않으며 #57은 열린 상태로 유지한다.

#57을 완전히 닫은 뒤에만 #50으로 이동한다.

2026-07-16 비판 감사 반영

새 이슈는 추가하지 않는다. 다음 보강을 기존 이슈의 완료 조건에 포함했다.

• [P0-0] npx 데이터 손실 위험을 긴급 차단한다 #57: OTP 반복 대기 대신 #55의 OIDC trusted-publishing 최소 범위를 앞당김
• [P4-1] OSS 운영·공급망 신뢰 기반을 보강한다 #55: required checks, full-SHA Actions, 관리자 우회 정책, SECURITY/private reporting
• [P1-1] Agent Skills 표준 구조로 행동 보존 마이그레이션한다 #52/[P1-5] hook manifest 계약과 반복 노이즈를 검증한다 #61: stable skill ID와 공식 validator
• [P0-4] 공개 주장 정확성 게이트를 강화한다 #59/[P3-1] README를 증거 기반 사용 판단 중심으로 재작성한다 #54: Pages·npm·plugin metadata를 포함한 전체 claims surface
• [P2-3] Benchmark V2 harness를 구현하고 smoke run을 통과한다 #64: strict result schema, score range, total 재계산
• [P2-4] Benchmark V2를 실행하고 raw 결과를 공개한다 #53: 수동 프롬프트 대비 우위가 없을 때 확장을 멈추는 기준

조정된 실행 순서:

1. #57과 [P4-1] OSS 운영·공급망 신뢰 기반을 보강한다 #55 최소 공급망 범위
2. [P0-2] v1.3.1 릴리스 출처를 복원한다 #50
3. [P0-3] 활성화·배포 계약을 고정하고 소비자 지침을 분리한다 #48
4. [P0-4] 공개 주장 정확성 게이트를 강화한다 #59
5. [P1-1] Agent Skills 표준 구조로 행동 보존 마이그레이션한다 #52 → [P1-2] 역할별 verification 출력 계약을 통일한다 #51 → [P1-3] ownership manifest 기반 canonical installer v2를 만든다 #49
6. [P1-4] 호스트별 실제 skill 발견을 fresh session에서 검증한다 #60 → [P1-5] hook manifest 계약과 반복 노이즈를 검증한다 #61
7. [P2-1] 라우팅 trigger의 활성화·오활성화를 측정한다 #62 → [P2-2] Benchmark V2 프로토콜을 실행 전에 동결한다 #63 → [P2-3] Benchmark V2 harness를 구현하고 smoke run을 통과한다 #64 → [P2-4] Benchmark V2를 실행하고 raw 결과를 공개한다 #53
8. [P3-1] README를 증거 기반 사용 판단 중심으로 재작성한다 #54
9. [P4-1] OSS 운영·공급망 신뢰 기반을 보강한다 #55 잔여 OSS 운영 범위

#57이 외부 npm 계정 설정에 막히더라도 안전한 OIDC workflow와 문서 준비는 진행한다. 다만 registry publish와 그 이후 단계는 실제 성공 전까지 완료 처리하지 않는다.

제품 확장 중단 기준

#62/#53 결과가 10줄 수동 프롬프트보다 의미 있는 이점을 보이지 않거나 오활성화·token/time 비용이 크면 역할, runtime, integration을 늘리지 않고 router와 공개 포지셔닝을 축소한다.