# task-2781 완료 보고 — merge_group Evidence Auditor 구현 (코드+테스트, ACTIVE=false)

- 작업 ID: task-2781 | 팀: dev2-team | 레벨: Lv3 | 작성: 오딘(개발2팀장) | 2026-07-02 KST
- 설계 단일소스: `memory/reports/merge_group_evidence_auditor_design_260701.md` (sha256 `98144f10...` 일치 확인)
- 브랜치: `task/task-2781-dev2` | 워크트리: `/home/jay/workspace/.worktrees/task-2781-dev2`

## SCQA 요약

**S (상황)**: Merge Queue 활성 시 `gemini-review-gate` job이 merge_group 이벤트에서 skipped=success로 보고되어 Gemini 검증축이 조용히 우회되는 false-pass 위험이 설계서로 확정됐다(GPT 단계판정 3회 승인).

**C (문제)**: 기존 `evaluate_gate`는 PR 이벤트 기준(300초 wall-clock)이라 merge queue 환경(PR rebase→새 SHA, 큐 장기 대기)에 그대로 쓰면 함정1(merge_group_sha 오투입 시 evidence 0) / 함정2(wall-clock 오적용)로 오판한다.

**Q (질문)**: `evaluate_gate` 본체를 건드리지 않고, merge_group 단계에서 evidence를 직접 재판정하는 fail-closed auditor를 코드+테스트까지 무결하게 구현할 수 있는가?

**A (답변)**: 신규 auditor 레이어 2스크립트 + 회귀 테스트 13개로 구현 완료. 5개 강제조건 전수 준수, 로컬 pytest 13/13 PASS(0.13s), CLI 실동작 fail-closed 실증. CI/ruleset/PR 변경 0 유지. **PR 생성은 ANU 확인 후 진행(본 run 미실행).**

## 생성 파일 (expected_files와 정확히 일치, 3개)

- `scripts/merge_group_pr_resolver.py` (326줄) — 3계층 PR 역추적(API→event context→ref/trailer), fail-closed. 커밋 40693d1e / 정리 커밋 추가.
- `scripts/merge_group_evidence_auditor.py` (363줄) — 얇은 오케스트레이션. 역추적 → PR별 `evaluate_gate(pr, pr_head_sha)` → hold→fail 재해석/admission drift/집계 → check publish + exit. 커밋 40693d1e.
- `tests/regression/test_merge_group_evidence_auditor_2781.py` (258줄, 13 테스트) — 설계서 §10 12케이스 전수(케이스9 = 9a/9b 분리). 커밋 8106c81f.

base(faac8d11) 대비 변경 파일 = 위 3개뿐. 그 외 0.

## 5개 강제조건 준수 증거

1. **SHA 3종 분리** — `audit_pr`이 `evaluate_gate(pr_number, pr_head_sha, repo)` 호출. merge_group_sha 미투입. 케이스5(함정1)로 회귀 방지 검증(auditor가 pr_head_sha를 쓰는지 assert).
2. **freshness = SHA 일치** — auditor는 elapsed(wall-clock) 미사용. `state=="hold"`(evidence 없음)를 즉시 `GEMINI_EVIDENCE_SKIPPED_OR_MISSING`로 fail. 케이스11(함정2, elapsed 500초·evidence fresh → PASS)로 회귀 방지.
3. **PR 역추적 fail-closed** — 3계층 모두 실패 또는 resolved 0건 시 `MERGE_GROUP_PRS_UNRESOLVED`. 부분 수용 금지(`_accept`: 모든 entry가 pr_number+pr_head_sha 완비해야 accept).
4. **skipped=success 뒤집기** — check conclusion 미신뢰, evidence 직접 판정. 케이스3(check success인데 primary evidence 0 → fail)로 검증.
5. **evaluate_gate 무수정** — `git diff faac8d11 HEAD -- scripts/gemini_evidence_verify.py scripts/gemini_review_gate.py` 결과 0줄 확인.

## 테스트 결과 (직접 재실행 검증)

- `pytest tests/regression/test_merge_group_evidence_auditor_2781.py -v` → **13 passed, 0 failed (0.13s)**
- 팀장이 서브에이전트 보고와 별개로 직접 재실행하여 동일 결과 확인.
- 케이스 매핑: 1 PASS / 2 MISSING / 3 skip=success 무시 / 4 STALE / 5 함정1 / 6 HEAD_ADVANCED / 7 HIGH / 8 batch 부분 fail→전체 fail / 9a·9b UNRESOLVED / 10 API 우선 / 11 함정2 / 12 INTERNAL_ERROR fail-closed.

## L1 스모크테스트 결과 (필수 기록)

- **서버 재시작**: 해당없음 (CLI 스크립트, 상주 서버 아님)
- **API 응답 확인**: 실동작 CLI 실행 (mock 없음) —
  - `python3 scripts/merge_group_evidence_auditor.py --merge-group-sha deadbeef --repo fake/nonexistent-repo-2781` → `{"status":"MERGE_GROUP_PRS_UNRESOLVED",...}`, **exit 1** (fail-closed 실증).
  - `python3 scripts/merge_group_pr_resolver.py --merge-group-sha deadbeef --repo fake/...` → `MERGE_GROUP_PRS_UNRESOLVED`, **exit 3**.
  - → "어떤 미결정도 통과로 보지 않는다" 불변식이 실제 프로세스 실행으로 확인됨. pytest PASS를 넘어선 실동작 검증.
- **스크린샷**: 해당없음 (프론트 작업 아님)

## ACTIVE=false 불변식 유지 증거

- CI job 추가/등록 0, required check 등록 0, ruleset 변경 0, Merge Queue 활성화 0, real fire 0.
- `.github/` diff 0줄 확인. 산출물 = 스크립트 2 + 테스트 + 로컬 pytest 통과까지.

## 발견 이슈 및 해결

- **Pyright reportMissingImports (auditor/test)**: `sys.path` 동적 삽입 방식(기존 `gemini_review_gate.py`와 동일 관례)이라 정적 분석기가 미해결로 표기. 런타임 `import ok` 확인. 기존 코드베이스 관례를 따른 것으로 수정 불필요.
- **미사용 `Optional` import**: resolver에서 제거(정리 커밋). 그 외 미사용 표기는 tier 시그니처 파라미터 통일/방어 코드로 의도적 유지.

## 모델 사용 기록

- 토르(백엔드): sonnet — resolver/auditor 로직 구현.
- 헤임달(테스터): sonnet — 13케이스 회귀 테스트.
- haiku 미사용(로직·테스트 정합성 중요 작업). 팀장(opus)은 설계/검토/L1검증/보고만 수행, 직접 코딩 없음(미사용 import 1줄 정리 예외).

## 머지 판단

- **머지 필요**: 보류 (task 지시: 구현 후보 PR은 ANU 확인 후에만 생성). 본 run은 PR 미생성.
- **브랜치**: `task/task-2781-dev2` (커밋 보존)
- **워크트리 경로**: `/home/jay/workspace/.worktrees/task-2781-dev2`
- **머지 의견**: 코드+테스트 무결(13/13 PASS), 강제조건 5종·forbidden_paths 무접촉 확인 완료. ANU 선보고 후 승인 시 PR 생성 → Gemini 리뷰 → 머지 진행 권장.

## G3 독립 검증 / 후속

- 산출물 3파일 존재·핵심 grep·pytest 재실행 확인 완료.
- 다음 단계(별도 승인): ci.yml merge_group job 추가 + `merge-group-evidence-audit` required 등록 + Merge Queue 활성화. 전부 회장 승인 필요(본 task 범위 외).

## 세션 통계
- 총 도구 호출: 0회