Hermes-Runtime-Patch-Traeger + Fan-out-/Kontext-Fixes

Neuer update-fester Patch-Traeger (deploy/hermes-patches/apply.py) haelt
MC2-eigene Fixes im Hermes-Quellcode, idempotent, in deploy.sh + postcheck
verdrahtet (Exit 10 = Gateway-Neustart, Exit 1 = rot):
 0001 needs_input/capability warten auf Commander (keine triage-Eskalation
      -> keine Muenz-Schleife)
 0002 Decompose erst bei Startreife (Parents done)
 0003 Orphan-Guard: Reaper killt Worker, deren Task nicht mehr running
      (mc2_kanban_reaper.py) -> max_in_progress leckt nicht
 0004 Projekt-/Repo-Kontext vererbt sich auf Kind-Karten
 0005 Etappen-Auto-Kette: Bulk-Root-triage-Karten einer Session verketten
Steckbrief: 'Repo fehlt -> selbst anlegen' + verschaerfte Kontext-Regel.

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>

deploy/deploy.sh

@@ -191,6 +191,18 @@ done
 for _prof in "$HOME"/.hermes/profiles/*/config.yaml; do
   [ -f "$_prof" ] && python3 "$SRC/deploy/ensure-profile-hooks.py" "$_prof" || true
 done
+# Hermes-Runtime-Patch-Traeger (20.07.2026): MC2-eigene Fixes im Hermes-Quellcode
+# (needs_input-wartet-auf-Commander, Decompose-erst-bei-Startreife, Orphan-Guard,
+# Projekt-Kontext-Vererbung, Etappen-Auto-Kette) idempotent (re-)eintragen — so
+# ueberleben sie ein `hermes update`, das den Quellbaum sonst zuruecksetzt.
+python3 "$SRC/deploy/hermes-patches/apply.py"; _patch_rc=$?
+if [ "$_patch_rc" -eq 10 ]; then
+  # Patches haben den Quellcode geaendert → Gateway muss die neue Laufzeit laden.
+  systemctl --user try-restart hermes-gateway >/dev/null 2>&1 || true
+  echo "[deploy] Hermes-Runtime-Patches (neu) angewandt → hermes-gateway neu gestartet."
+elif [ "$_patch_rc" -ne 0 ]; then
+  echo "[deploy] ‼ WARNUNG: hermes-patches/apply.py meldete Fehler — ein Patch passt nicht mehr (Update hat den Kontext geaendert?). Fixes pruefen!"
+fi
 # Eingebaute Hermes-Web-GUI (`hermes serve`) für die Einbettung in MC2 (routers/hermes_ui.py →
 # same-origin /hermes-ui/) vorbereiten: das SPA-Bundle mit Vite-base=/hermes-ui/ (neu) bauen, sonst
 # kollidieren seine absoluten Pfade (/assets, /api) mit MC2s eigenen. Läuft auch nach jedem