chore(freeze): snapshot demo state before Plan-07 hardening work

Freeze current submission/demo baseline:
- casan-next-plans/: full task-level plan set (Plan 00 index + 02/04/06/07/08/09/12, QA, slide deck)
- optimize-docs/video-steps/: per-vector scene breakdown (commands/screen-text/script) + start-tmux
- run-all.sh / scorecard.sh / map-live.sh: REAL=1 live-battery wiring
- regenerated evidence + audit/telemetry logs from live REAL=1 run
- submission README + video recording guide updates
- dry-run pipeline logs for 001-okr-web-app

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

optimize-docs/video-steps/H5-Governance/B3-secret-commit/commands.sh

@@ -0,0 +1,8 @@
+#!/usr/bin/env bash
+# B3 — Secret bị commit → secrets-scan chặn (supply chain)
+# cwd = thư mục gốc dự án. Offline OK. (Chạy trong repo git thật cho kết quả sạch nhất)
+
+bash .specify/scripts/bash/secrets-scan.sh; echo "exit=$?"
+git ls-files 2>/dev/null | grep -i '\.pem$' || echo 'no private key tracked'
+
+# Kỳ vọng: Secrets scan: PASS=6 FAIL=0 · exit=0 · chỉ public key trong repo

optimize-docs/video-steps/H5-Governance/B3-secret-commit/screen-text.md

@@ -0,0 +1,19 @@
+# TEXT HIỂN THỊ — B3
+
+## Title card
+```
+B3 · SECRET COMMIT
+supply chain · governance
+```
+
+## Caption trong khi chạy
+```
+Quét toàn repo tìm secret bị commit (.env, private key...)
+```
+
+## Caption kết quả
+```
+✅ Secrets scan: PASS=5 FAIL=0 WARN=1  ·  exit = 0
+git ls-files *.pem → chỉ audit-public.pem / policy-public.pem (PUBLIC key)
+WARN = false-positive trong backend/test (chuỗi test), KHÔNG phải leak thật
+```

optimize-docs/video-steps/H5-Governance/B3-secret-commit/script.md

@@ -0,0 +1,10 @@
+# SCRIPT / MÔ TẢ — B3
+
+**Tấn công:** rò rỉ qua **supply chain** — secret (`.env`, private key) vô tình bị commit vào repo, một trong những nguồn lộ credential phổ biến nhất.
+
+**Control chặn thế nào:** `secrets-scan.sh` quét toàn bộ repo, xác nhận không có secret nào bị track. `git ls-files *.pem` cho thấy **chỉ public key** nằm trong repo — private key không bao giờ vào index.
+
+**Text mô tả (phụ đề):**
+> "`.env`/private key không được vào index; chỉ public key trong repo. PASS=5 FAIL=0."
+
+**Lưu ý dựng:** chạy trong repo git thật cho kết quả sạch nhất. Kết quả thật là **PASS=5 FAIL=0 WARN=1** — WARN là false-positive (một chuỗi giống API key trong file test `backend/test/llm-judge.test.ts`), **không phải FAIL**, exit vẫn 0. Nếu muốn tránh WARN trên camera có thể nói rõ đây là chuỗi test.