fluncle-maintenance 是做什么的？
保持 Fluncle 锁定/烘焙供应链的及时更新——对 Hermes 镜像的锁定项（基础镜像、bun、fluncle CLI、Claude Code CLI）、box.ascii render-box CLI 以及 GitHub Actions 标签进行版本漂移扫描。对于明显安全的更新，端到端地发布（编辑锁定 → PR → CI 通过 → 合并）；烘焙的 Dockerfile 锁定项随后通过 on-box fluncle-pin-watch 定时器（rave-02）自动部署：重建 → 预测试 → 切换 → 自动回滚。对任何有风险的操作（主要版本更新、基础镜像、或 认证/运行时/模型变更）则刹车（报告问题，但绝不发布）。此外，还负责管理依赖关系的漏洞状态：两个咨询源（Dependabot + 阻塞的 bun-audit CI 工作流）、严重性策略、经过验证的 --ignore 允许列表，以及基于可达性排序的漏洞驱动更新。在检查版本漂移、更新 Hermes 的锁定依赖项、判断基础镜像/ CLI / Actions 标签更新是否安全、对工作流 Actions 进行 SHA 锁定、合并安全更新、以及分类安全公告或 bun-audit 发现时都可以使用此技能。