diff --git a/CHANGELOG.md b/CHANGELOG.md
index 893c72d..6f5bc51 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -10,6 +10,12 @@
   auto-apply config и task выключены. Изолированный PowerShell 5.1 harness для
   bundle-проверки завершился успешно на точном PR SHA; реальная установка,
   регистрация задач, SSH и production не выполнялись и не активировались.
+- Infrastructure: Windows release installer и external receiver читают владельцев
+  и ACL ACE напрямую как SID, без преобразования в имена учётных записей. Это
+  устраняет зависимость проверки от разрешения имён; неизвестные SID остаются
+  видимыми и отклоняются существующими fail-closed guard-политиками. Проверены
+  synthetic unmapped-SID fixtures и read-only ACL preflight; production ACL не
+  менялись.
 - Документация: объединены продуктовый, UI- и deployment-планы; уточнены
   внешняя backup-retention политика и обязательный owner-approved maintenance
   window для cold backup. Передача корпуса требует атомарной публикации