자체 빌드 이미지 레포명을 security-images에서 hardened-containers로 정정한다

실제 레포명은 hardened-containers인데 이관 커밋 이후 문서·워크플로·차트 주석에
잘못된 이름 security-images가 남아 있었다. 텍스트 참조 전체를 정정하고
doc/migrations/의 이관 핸드오프 문서도 파일명까지 리네임했다. env var/secret
이름(SECURITY_IMAGES_REPO, SECURITY_IMAGES_DISPATCH_TOKEN)은 GitHub Secret
재등록이 필요한 별도 운영 작업이라 이번 텍스트 정정 범위에서 제외했다.

덧붙여 scripts/build/patch-catalog-tag.py의 docstring이 삭제된 build-image.yml을
호출자로 여전히 가리키고 있던 것도 실제 호출 경로(check-rebuild-needed.py /
apply-published-tags.py → catalog-tag-update.yml)로 고쳤다.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

CLAUDE.md

@@ -34,7 +34,7 @@ dip-catalog/
 │   ├── pipeline/                  # SBOM 생성 + CVE 스캔 + 게이트 판정 (sbom.yml/cve-edge-post.yml 이 쓴다)
 │   ├── build/                     # 자체 빌드 이미지 축의 카탈로그 쪽 절반 — 드리프트 탐지
 │   │                              # (check-rebuild-needed.py) + 발행 태그 반영
-│   │                              # (apply-published-tags.py). 빌드 자체는 security-images 레포
+│   │                              # (apply-published-tags.py). 빌드 자체는 hardened-containers 레포
 │   └── deploy-test/               # 배포 검증 스크립트 + fixtures (helm/kubectl 실행 전담)
 ├── catalog/
 │   └── image-map/<image>.env      # 자체 빌드 이미지 → 차트·필드 매핑 (목록은 이 디렉토리가 단일 출처)
@@ -45,7 +45,7 @@ dip-catalog/
     ├── catalog-stack-classification.md  # 차트 스택 분류·우선순위(P0~P2)
     ├── define-chart-resources.md  # 차트별 Small/Medium/Large 리소스 프로파일
     ├── decisions/                 # ADR — 재측정으로 복원되지 않는 차트 선택 근거
-    │                              # (이미지 자체 빌드 ADR은 security-images 레포로 이관됨)
+    │                              # (이미지 자체 빌드 ADR은 hardened-containers 레포로 이관됨)
     └── migrations/                # 레포 간 이관 핸드오프 문서
 ```
 
@@ -150,10 +150,10 @@ python3 agent/update_catalog/skills/helm_diff/scripts/run.py \
 |-------|------|
 | [chart-to-cnpg](.claude/skills/chart-to-cnpg/SKILL.md) | 카탈로그 차트의 내장 bitnami postgresql 서브차트를 전용 cnpg-cluster로 전환 |
 | [catalog-update-pipeline](.claude/skills/catalog-update-pipeline/SKILL.md) | 차트 신규 버전 감지 → diff → breaking 판정 → 문서 생성 파이프라인 실행 (`agent/update_catalog`) |
-| [cve-remediation](.claude/skills/cve-remediation/SKILL.md) | 차단 CVE 대응 레버(태그 교체/베이스 OS 교체/자체 빌드/예외) 결정 — `sbom-cve-gate` 실행 또는 별도 레포 `security-images`(자체 빌드)로 위임 |
+| [cve-remediation](.claude/skills/cve-remediation/SKILL.md) | 차단 CVE 대응 레버(태그 교체/베이스 OS 교체/자체 빌드/예외) 결정 — `sbom-cve-gate` 실행 또는 별도 레포 `hardened-containers`(자체 빌드)로 위임 |
 | [sbom-cve-gate](.claude/skills/sbom-cve-gate/SKILL.md) | SBOM 생성·CVE 스캔·게이트 판정 실행 및 결과 해석 (`scripts/pipeline`) |
 
-자체 빌드 하드닝 이미지 추가·변경은 이 레포의 일이 아니다 — 별도 레포 `security-images`
+자체 빌드 하드닝 이미지 추가·변경은 이 레포의 일이 아니다 — 별도 레포 `hardened-containers`
 에서 하고, 그 레포의 `docs/image-authoring.md`가 단일 출처다(이관 배경:
 [doc/migrations/](doc/migrations/)).
 
@@ -175,27 +175,27 @@ python3 agent/update_catalog/skills/helm_diff/scripts/run.py \
 | 축 | 질문 | 실행 위치 | 워크플로(이 레포) | 게이트 | 단일 출처 |
 |----|------|----------|------------------|--------|----------|
 | **차트 카탈로그** | 우리가 배포하는 이미지에 무엇이 있는가 | 이 레포 | `sbom.yml`<br>`cve-edge-post.yml` | warn-only<br>**호출 안 함** | [doc/sbom-pipeline.md](doc/sbom-pipeline.md) |
-| **자체 빌드** | 그 이미지를 어떻게 만드는가 | 별도 레포 `security-images` | `self-build-drift-check.yml`(탐지·트리거)<br>`catalog-tag-update.yml`(반영) | **강제**(그 레포 소유) | 그 레포의 `docs/image-authoring.md` |
+| **자체 빌드** | 그 이미지를 어떻게 만드는가 | 별도 레포 `hardened-containers` | `self-build-drift-check.yml`(탐지·트리거)<br>`catalog-tag-update.yml`(반영) | **강제**(그 레포 소유) | 그 레포의 `docs/image-authoring.md` |
 
 - **차트 축은 warn-only 다** — 게이트가 실패해도 CI/PR 을 막지 않는다. 카탈로그 차트 전체가
   이 게이트로 트리아지된 적이 없다. **자체 빌드 축의 게이트는 이미 강제다**(단, 그 게이트는
-  이 레포가 아니라 `security-images` 레포가 돌린다).
+  이 레포가 아니라 `hardened-containers` 레포가 돌린다).
 - **`cve-edge-post.yml` 은 게이트를 부르지 않는다** — 같은 스캔 데이터에 판정기가 두 벌이라는
   뜻이다(승인 예외·실효 등급 미적용). 외부 엔드포인트로 집계를 POST 하는 용도다.
 - **자체 빌드는 대응 우선순위 3번**(상위 태그 교체 → 베이스 OS 교체 → 자체 빌드 → 예외 승인).
   레버 판단은 [cve-remediation](.claude/skills/cve-remediation/SKILL.md) skill 이 갖는다.
-  실행은 `security-images` 레포에서 `workflow_dispatch` 로만 한다.
+  실행은 `hardened-containers` 레포에서 `workflow_dispatch` 로만 한다.
 - **이 레포는 "무엇을 배포 중인가"만 안다.** 어느 이미지를 자체 빌드하고 있는지는
   `catalog/image-map/` 이 단일 출처다. `scripts/build/check-rebuild-needed.py`(주간
   `self-build-drift-check.yml`)가 배포 중인 이미지를 직접 스캔해 재빌드 대상을 판단하고,
-  필요하면 `security-images` 의 `build-image.yml` 을 트리거만 한다 — 핀을 무엇으로
+  필요하면 `hardened-containers` 의 `build-image.yml` 을 트리거만 한다 — 핀을 무엇으로
   올릴지는 그 레포가 판단한다.
-- **카탈로그 반영은 pull 방식이다.** `security-images` 는 이 카탈로그를 모른다 — 게이트
+- **카탈로그 반영은 pull 방식이다.** `hardened-containers` 는 이 카탈로그를 모른다 — 게이트
   PASS + push 성공 시 자기 레포의 `published.json` 만 갱신한다. `catalog-tag-update.yml`
   이 그 파일을 public raw URL 로 읽어가 `custom-values.yaml`/`dip-values.yaml` 을 패치한다.
-- 커스텀 이미지는 자체 빌드 프레임워크·이미지 정의와 함께 **별도 레포 `security-images`
+- 커스텀 이미지는 자체 빌드 프레임워크·이미지 정의와 함께 **별도 레포 `hardened-containers`
   로 분리됐다.** 이관 배경과 남은 결합점은 [doc/migrations/](doc/migrations/) 참고.
-- 승인 예외: `doc/cve-exceptions.json`(차트 축) — `security-images` 의 `cve-exceptions.json`
+- 승인 예외: `doc/cve-exceptions.json`(차트 축) — `hardened-containers` 의 `cve-exceptions.json`
   (자체 빌드 축)과 별도 관리되며, 같은 이미지를 양쪽이 스캔하므로 필요하면 양쪽에 각각
   등록한다. 현재 미결: [MEMORY.md](MEMORY.md)