docs(specs): harden OpenSpec authority lifecycle

AGENTS.md

@@ -2,13 +2,14 @@
 
 ## Назначение
 
-Репозиторий SDD-артефактов и OpenSpec store: `openspec/`. Все функциональные изменения планируются в `openspec/changes/<change>/` до реализации в frontend или backend.
+Репозиторий единственных versioned SDD-артефактов и canonical OpenSpec store: `wealth-ledger-specs` в `specs/openspec` (относительно workspace). Все функциональные изменения планируются в `openspec/changes/<change>/` до реализации в frontend или backend.
 
 ## Проверка
 
 ```bash
 openspec validate <change> --type change --store wealth-ledger-specs
 openspec instructions apply --change <change> --json --store wealth-ledger-specs
+bash scripts/verify-openspec-authority.sh
 ```
 
 ## Границы
@@ -17,3 +18,5 @@ openspec instructions apply --change <change> --json --store wealth-ledger-specs
 - Реализация отмечается в tasks только после выполненной работы. Перед архивированием change проходит `opsx-verify` и получает связанную документацию в `../docs`.
 - Не хранить код приложений и долгоживущие ADR в этом репозитории.
 - Для задачи по Audit ID, продолжения remediation или выбора следующего улучшения сначала прочитать [`../docs/development/audit-remediation.md`](../docs/development/audit-remediation.md); продолжать или создавать change только в store `wealth-ledger-specs`.
+- Все OpenSpec commands, читающие или изменяющие change, обязаны указывать `--store wealth-ledger-specs`; nearest-root и global-default selection не поддерживаются.
+- Не создавать и не коммитить framework-specific planning/spec/task/design artifacts вне `openspec/` (то есть `specs/openspec` от workspace), включая `superpowers/plans`; `../references/**` остаётся read-only исключением.