fluncle-maintenance は何をしますか？
Fluncleの固定/ベイクされたサプライチェーンを最新に保つ — Hermesイメージのピン（ベースイメージ、bun、fluncle CLI、Claude Code CLI）、box.ascii render-box CLI、およびGitHub Actionsタグのバージョンドリフトを一掃します。明確に安全なバンプをエンドツーエンドで出荷します（ピンの編集 → PR → CIグリーン → マージ）。ベイクされたDockerfileのピンは、オンボックスのfluncle-pin-watchタイマー（rave-02）を介して自己デプロイされます：リビルド → 事前スモーク → スワップ → 自動ロールバック。リスクのある変更（メジャーバンプ、ベースイメージ、または認証/ランタイム/モデル）にはブレーキをかけます（報告のみで出荷しません）。さらに、依存関係の脆弱性態勢も担当します：2つのアドバイザリフィード（Dependabot + ブロッキングbun-audit CIワークフロー）、深刻度ポリシー、正当化された--ignore許可リスト、到達可能性に基づく脆弱性ドリブンバンプ。バージョンドリフトの確認、固定されたHermes依存関係のバンプ、ベースイメージ/CLI/Actionsタグのバンプの安全性判断、ワークフローアクションのSHAピン留め、安全なバンプのマージ、セキュリティアドバイザリやbun-auditの調査結果のトリアージを行う際に使用してください。