Правки после ревью документации

CLAUDE.md

@@ -25,6 +25,18 @@
 - **Минимум компонентов** — в духе umbar, без зоопарка сервисов. Внешние
   базы метаданных (TMDB/TVDB) опциональны, включаются конфигом.
 
+## Инварианты (безопасность данных)
+
+- **Источник неприкосновенен:** только `mkdir` / `link(2)` / `unlink`
+  своих ссылок; никогда не трогаем файлы под `paths.downloads`.
+- **Целевой путь санитизируется** и проверяется, что он строго под
+  `paths.movies`/`series` (защита от traversal); существующее не
+  перезаписываем.
+- **Выход LLM недоверенный** — безопасность на валидации пути, не на
+  промпте. Авто-раскладка только при подтверждённом матче в базе.
+- **Запуск:** контейнер под `1000:1000`, `network_mode: host`, mount
+  `/srv` + data-том для SQLite/конфига.
+
 ## Документация: три раздела
 
 - `docs/specs/` — **живые** спецификации целевого состояния. Меняем по