docs: honest hardening status + claim boundary (Plan-07 A/C-MVP, Plan-09)

- CASAN_HARDENING_STATUS.md: canonical implemented/scaffold/planned record with
  per-control test mapping and test inventory (baseline 79 + 61 new = 140 checks).
- README claim boundary: separate implemented+tested controls from planned;
  explicitly does NOT claim full production-readiness (Track B, C-Gov/Ops, true
  sandbox isolation, IdP/WORM still planned).
- INDEX status table: Plan-07 Track A + C-MVP done, Plan-09 MVP done.
- video guide: core demo battery counts unchanged (hardening lives in separate
  suites); added deep-dive commands + 3 Q&A rows + sandbox honesty note.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

00_SUBMISSION_PACKAGE/video/01_video_recording_guide.md

@@ -95,6 +95,28 @@ CASAN_ROOT="$PWD" bash ../../optimize-docs/video-steps/scorecard.sh
 | "Recall 0.85 của 9B ở đâu ra?" | "Chạy `phase3-redteam-metrics.sh` LIVE trên camera → số thật của 9B. 0.85 là số dự án tự báo; regex = 0.00 trên paraphrase mới (tự chạy)." |
 | "Đây có phải Level 5?" | "Không — tôi tuyên bố Level 4 chứng minh được. Level 5 cần IdP/WORM/telemetry API/dashboard hosted — đó là roadmap." |
 | "Chạy được không cần Ollama?" | "Có — hầu hết vector offline. Model chỉ chạm H4 recall + H6 nguồn telemetry. H5 hoàn toàn không cần model. Cloud (OpenAI/Anthropic) đã hiện thực, chỉ cần key (chưa test key thật)." |
+| "Production hardening tới đâu rồi?" | "Đã hiện thực + test: Plan-07 **Track A** (strict fail-closed, unicode/base64, tool-output scan, telemetry-integrity, cost cap, FP budget) và **Track C-MVP** (tool-authz, supply-chain, data-exfil, sandbox scaffold), cùng **Evidence Pack** (Plan-09). Còn Track B + C-Governance/Ops + sandbox isolation thật là roadmap — nói rõ trong `CASAN_HARDENING_STATUS.md`." |
+| "Sandbox có phải cô lập thật không?" | "Chưa — C6 là static-policy + ulimit scaffold (chặn ~/.ssh, net egress, fork bomb, ghi ngoài workspace, huge-file). Cô lập thật cần container --network=none/--read-only/--pids-limit hoặc nsjail; đã ghi TODO(C6-prod)." |
+
+---
+
+## 5b. Production hardening (deep-dive tuỳ chọn — KHÔNG thay đổi battery chính)
+
+Bộ hardening Plan-07/Plan-09 nằm ở **các suite RIÊNG**, nên số liệu battery demo ở trên **không đổi**. Nếu giám khảo muốn xem sâu:
+
+```bash
+# Track A (25 checks): strict/unicode/tool-output/telemetry/cost/FP-budget
+bash .specify/tests/phase1-track-a-tests.sh
+# Track C-MVP (29 checks): tool-authz/supply-chain/data-exfil/sandbox
+bash .specify/tests/phase2-track-c-tests.sh
+# Evidence Pack MVP (7 checks): casan pack / verify-pack + tamper-evident
+bash .specify/tests/phase3-evidence-pack-tests.sh
+# Sinh 1 proof pack cho run bất kỳ:
+bash .specify/scripts/bash/evidence-pack.sh pack <run-id>
+bash .specify/scripts/bash/evidence-pack.sh verify-pack <run-id>
+```
+
+Tổng: baseline 79 (giữ nguyên) + 61 hardening = **140 checks**. Trạng thái trung thực (implemented / scaffold / planned): `casan-next-plans/CASAN_HARDENING_STATUS.md`.
 
 ---