用途：为 Helmor 固定并打包的第三方 agent CLI、SDK 和辅助二进制提供标准化升级流程，避免在版本位置、SHA256 来源和完成前需运行的检查上靠猜测。
主要能力：明确三类供应商的改动范围。A 类仅 npm SDK（如 @anthropic-ai/claude-agent-sdk、@cursor/sdk、@opencode-ai/sdk、@earendil-works/pi-*），只改 package.json；B 类 npm 分发的暂存二进制（claude-code、codex、opencode），需改 package.json 与 vendor-platform.ts 的 SHA256 表；C 类 GitHub Release 暂存二进制（kimi、gh、glab、cloudflared、llama.cpp、node），改 _VERSION 常量与 SHA256 表。提供 scripts/npm_vendor_sha.sh 计算 B 类 SHA256，references/vendors.md 记录各供应商的固定位置、SHA 来源与注意事项。
使用方式：先确认要升级的供应商并查阅参考文档；用 npm registry 或 GitHub Releases 实时确认目标版本（不要凭记忆，dist-tags 可能数小时内变化）；编辑固定版本；执行 cd sidecar && bun install；为 B/C 类计算并填入 arm64 与 x64 的 SHA256；依次运行验证门禁：bun run typecheck、bun test、cargo test --test pipeline_scenarios --test pipeline_fixtures --test pipeline_streams、bun run build；通过后调用 /helmor-release 生成 changeset。
关键规则：Claude 的 claude-agent-sdk 与 claude-code 需同步升级到相同补丁号 X；跨架构 SHA 必须同时提供 arm64 与 x64，否则本地通过但 CI 失败；SHA 表保留近期版本键；Codex 升级后需对比 codex-package.json 描述符，布局变化时审查 stage-vendor.ts。
适用场景与限制：适用于 Helmor 仓库内维护打包版本的开发者。资料未提供具体版本号、价格、平台支持范围或效果数据；部分供应商细节需查阅 references/vendors.md，本技能不替代上游变更日志阅读。