Waechter sichtbar machen, Wirt-Helfer ehrlich melden, Tunnel-Rettung als
Anfrageart. Alle drei folgen dem Muster, das Agent und Update-Kanal schon
benutzen: der Wirt schreibt Zustand als JSON in den Bind-Mount, die Konsole
liest ihn, und neue Handlungen gehen durch den bestehenden Postkasten.
Beim Wirt-Helfer wird bewusst NICHT automatisiert: sudoers gewaehrt dem
Dienstbenutzer genau drei benannte Befehle, und etwas Root-Eigenes, das
ungeprueft aus dem beschreibbaren Checkout ausfuehrt, gaebe jedem, der je an
diesen Benutzer kommt, Root auf dem Wirt. Gemeldet wird dafuer vollstaendig
und BEVOR jemand einen Knopf drueckt, der daran scheitert.
Nebenbei aufgeloest: die gebrauchte Vertragsversion stand zweimal im Repo.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
6bdab32b94