[REQ-128][VERIFY][cap:extension-package-ingestion] 本地导入矩阵：真实语料 + 敌意夹具 + 每道闸的绕过记录 + 真机 L2

[jinjunnn]

大白话

把方案里那些数字变成能跑的回归夹具，把每一道闸都亲手绕一遍确认它变红，
最后在打包后的真机上跑一遍完整用户路径。

方案基线（已批）

Phase 3 方案基线 —— 本票 = §10 的 T5-verify。

范围

真实语料回归夹具（test-component/ 下，与 package-admission.wiring.cases.ts 同形）

• 七份负向夹具 + 打包真机 L2。

Acceptance and named gates

1. G1–G20 每道闸都有一条「故意改坏 X ⇒ 它变红」的实施记录。
   写不出绕过配方的闸判为假闸并退回。
2. 真实语料闸与合成负向闸分开断言，禁止用「全合法」的退化夹具。
   已知三处只能靠合成夹具（真实语料里 0 例）：G11 的 65 项、G16 的 symlink 臂、G18 的根级 SKILL.md 臂
   —— 这三处的真实语料半场是恒真式，不得单独作为该闸的证据。
3. 七份负向夹具：合成 65 item、含字面 NUL 与 symlink 的敌意目录、坏 frontmatter、
   同名碰撞、0-skill 插件、manifestless 插件（receipts 结构）、
   带控制字段的技能（块式与标量式各一）。
4. 一切检索带 -a（字面 NUL 会让 grep 给出假的「没有」，本仓已实证四次，见 #760）。
5. 真机 L2 按裁决 B 的完整路径：装 tide-plugin（10 skills）
   → 列表显示未启用 → 用户拨开关 → 下一条消息里技能真被引擎注入（不是查账本）
   → 整包卸载 → 无残留且引擎当场不再暴露。
   Phase 2 的三条遗留边界之一就是零真机证据；packaged 环境已有两次栽记录（打包才暴露）。
6. 真实语料的三个合成数字作为回归断言：可装 135/162、40 个带技能插件里 10 个全灭、
   18 个不自包含被拒。
7. .bak 目录（claude-for-financial-services.bak，另含 118 份 SKILL.md）是真实可选输入，
   夹具**不许依赖「排除 .bak」**这个前提。

依赖

与 #781（T2）/ #782（T3）并行起草，随 T4 合并前收口。