Review-Haertung R1/R2/R4 + Repo-Waechter (Vorfall verlorener Merge 12.07.)

R1: Steckbrief-Hook erinnert Worker an kanban_complete/kanban_block-Pflicht
    (Nacht-Karte 14.07. blockierte trotz fertiger Arbeit am fehlenden Aufruf).
R2: tabu-pfade-guard sperrt ~/.config/systemd/user fuer Worker — Unit-/
    Override-Dateien nur noch ueber angenommene Karte.
R4: Orchestrator-/Wartungs-Worktrees von /tmp nach ~/.hermes/worktrees
    (ueberleben Reboot, keine kaputten Registrierungen).
Neu: self-smoke Check 4 'Repo-Waechter' — Box-main mit Commits, die origin
    fehlen, loest Alarm aus (so ging die angenommene Karte
    wartung/lucy-annahme-fixes am 12.07. still verloren; am 15.07. als
    rescue/-Branch gerettet und wieder gemergt).

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

deploy/self-smoke.sh

@@ -83,6 +83,25 @@ else
   FAILED+=("Voice (Lucys Sprech-Pfad)")
 fi
 
+# ── 4) Repo-Wächter: verlorene Merges (Vorfall 12.–15.07.2026) ──────────────
+# Der Annahme-Runner merged+pusht nach origin/main; klemmt der Push (Gitea-Auth
+# flattert) oder überschreibt eine fremde Session origin/main, trägt Box-main
+# Commits, die origin fehlen — der nächste deploy-Reset VERNICHTET sie still
+# (so verlor die Box die angenommene Karte 'wartung/lucy-annahme-fixes' vom
+# 12.07., bemerkt erst beim Review am 15.07.). Hier täglich gegenprüfen.
+LIVE_CO="$HOME/mission-control-v2"
+if git -C "$LIVE_CO" fetch -q origin 2>/dev/null; then
+  LOST=$(git -C "$LIVE_CO" log --oneline origin/main..main 2>/dev/null | head -3 | tr '\n' ' ')
+  if [ -n "$LOST" ]; then
+    say "FAIL · Box-main trägt ungepushte Commits (Deploy würde sie vernichten): $LOST"
+    FAILED+=("Repo (ungepushte Commits auf Box-main: $LOST— vor dem nächsten Deploy nach origin retten)")
+  else
+    say "PASS · Repo-Wächter (Box-main == origin/main)"
+  fi
+else
+  say "SKIP · Repo-Wächter (git fetch fehlgeschlagen)"
+fi
+
 # ── Meldung nur bei Rot ──────────────────────────────────────────────────────
 if [ "${#FAILED[@]}" -eq 0 ]; then
   say "Alle Selbst-Tests grün ($(date '+%F %H:%M'))."