@ingeniomaps/cauce 0.18.0 → 0.20.0

package/.github/workflows/agent-learning.yml

@@ -16,9 +16,10 @@ on:
         required: false
         default: ""
 
+# Mínimo arriba: cada job eleva sólo lo que necesita. El que corre el agente se queda en `read` —
+# ingiere contenido web que no controlamos y no tiene por qué poder escribir el repositorio.
 permissions:
-  contents: write
-  pull-requests: write
+  contents: read
 
 jobs:
   discover:
@@ -26,8 +27,8 @@ jobs:
     outputs:
       agents: ${{ steps.list.outputs.agents }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
 
@@ -71,14 +72,16 @@ jobs:
     if: github.event.schedule != '17 13 1 * *'
     needs: discover
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
     strategy:
       fail-fast: false
       max-parallel: 3
       matrix:
         agent: ${{ fromJSON(needs.discover.outputs.agents) }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
       - name: Check credential
@@ -118,7 +121,7 @@ jobs:
           AGENT: ${{ matrix.agent }}
           ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
         run: |
-          npm install -g @anthropic-ai/claude-code
+          npm install -g @anthropic-ai/claude-code@2.1.233
           claude -p "Leé el learning/AUTOMATION.md del cargo $AGENT y ejecutá exactamente lo que declara. El informe de esta semana ya está creado y vacío: completalo. Cada afirmación necesita enlace, fecha y versión; lo que no puedas corroborar va a Preguntas abiertas en vez de afirmarse. El único archivo que escribís es ese informe."
       - name: Detect changes
         if: steps.creds.outputs.ready == 'true'
@@ -129,20 +132,102 @@ jobs:
           else
             echo "changed=true" >> "$GITHUB_OUTPUT"
           fi
-      - name: Open research pull request
+      # El informe sale de acá como artifact, no como commit. Lo que el agente escribió fuera de su
+      # informe se queda en este runner y muere con él: no hay credencial con que sacarlo.
+      - name: Collect report
         if: steps.creds.outputs.ready == 'true' && steps.changes.outputs.changed == 'true'
+        id: collect
         env:
           AGENT: ${{ matrix.agent }}
-          GH_TOKEN: ${{ github.token }}
         run: |
           stamp="$(date -u +%Y-%m-%d)"
-          branch="automation/$AGENT-research-$stamp"
           report="$(git diff --name-only -- "agents/*/$AGENT/learning/reports/$stamp.md")"
           if [ -z "$report" ]; then
-            echo "El agente cambió archivos fuera de su informe; no se abre PR." >&2
+            echo "El agente no escribió su informe; lo que haya tocado no sale de acá." >&2
             git diff --name-only >&2
             exit 1
           fi
+          echo "path=$report" >> "$GITHUB_OUTPUT"
+          echo "stamp=$stamp" >> "$GITHUB_OUTPUT"
+      - name: Upload report
+        if: steps.collect.outputs.path != ''
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
+        with:
+          name: research-${{ matrix.agent }}
+          path: ${{ steps.collect.outputs.path }}
+          retention-days: 7
+
+  # Segundo job y no un paso más: acá vive la credencial de escritura, y para llegar hasta acá el
+  # informe tuvo que pasar por un artifact. Este job no habla con ningún modelo ni lee la web —
+  # recibe un archivo, comprueba que caiga donde debe, y lo commitea.
+  research-pr:
+    needs: [discover, research]
+    if: needs.research.result == 'success'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: write
+    strategy:
+      fail-fast: false
+      max-parallel: 3
+      matrix:
+        agent: ${{ fromJSON(needs.discover.outputs.agents) }}
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - name: Download report
+        id: fetch
+        continue-on-error: true
+        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4
+        with:
+          name: research-${{ matrix.agent }}
+          path: ${{ github.workspace }}
+      - name: Resolve CLI
+        if: steps.fetch.outcome == 'success'
+        id: cli
+        run: |
+          for candidate in tools/ops.js engine/cli/ops.js; do
+            if [ -f "$candidate" ]; then
+              echo "path=$candidate" >> "$GITHUB_OUTPUT"
+              exit 0
+            fi
+          done
+          echo "No se encontró el CLI de Cauce." >&2
+          exit 1
+      - name: Open research pull request
+        if: steps.fetch.outcome == 'success'
+        env:
+          AGENT: ${{ matrix.agent }}
+          OPS: ${{ steps.cli.outputs.path }}
+          GH_TOKEN: ${{ github.token }}
+        run: |
+          stamp="$(date -u +%Y-%m-%d)"
+          branch="automation/$AGENT-research-$stamp"
+          # El artifact trae contenido, no destino: `upload-artifact` aplana la ruta de un archivo
+          # suelto, así que llega como `<fecha>.md` a la raíz. Dónde va se resuelve **acá**, con el
+          # mismo CLI que resolvió el catálogo antes, y eso además es la garantía: nada de lo que
+          # venga en el artifact puede redirigir dónde aterriza el archivo.
+          dir="$(node "$OPS" agents list --json | node -e '
+            let s = ""
+            process.stdin.on("data", (d) => { s += d }).on("end", () => {
+              const found = JSON.parse(s).find((role) => role.slug === process.env.AGENT)
+              if (!found) { console.error("agente desconocido"); process.exit(1) }
+              console.log(found.path)
+            })')"
+          dest="$dir/learning/reports/$stamp.md"
+          mkdir -p "$(dirname "$dest")"
+          mv "$stamp.md" "$dest"
+          report="$(git diff --name-only -- "agents/*/$AGENT/learning/reports/$stamp.md")"
+          otros="$(git status --porcelain | awk '{print $2}' | grep -v -F "$dest" || true)"
+          if [ -z "$report" ] && [ ! -f "$dest" ]; then
+            echo "No llegó el informe de $AGENT." >&2
+            exit 1
+          fi
+          if [ -n "$otros" ]; then
+            echo "Se esperaba exactamente el informe de $AGENT y nada más." >&2
+            git status --porcelain >&2
+            exit 1
+          fi
+          report="$dest"
           git config user.name "github-actions[bot]"
           git config user.email "41898282+github-actions[bot]@users.noreply.github.com"
           git switch -c "$branch"
@@ -153,18 +238,23 @@ jobs:
             --title "$AGENT weekly research — $stamp" \
             --body "Investigación semanal de la profesión. No modifica SKILL.md ni propone cambios: alimenta la propuesta mensual."
 
+  # Este job no habla con ningún modelo: consolida informes ya commiteados con el CLI y abre el PR.
+  # Por eso puede escribir sin la separación que exige `research`.
   propose:
     if: github.event.schedule == '17 13 1 * *' || github.event_name == 'workflow_dispatch'
     needs: discover
     runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: write
     strategy:
       fail-fast: false
       max-parallel: 5
       matrix:
         agent: ${{ fromJSON(needs.discover.outputs.agents) }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
 

package/.github/workflows/ci.yml

@@ -17,8 +17,8 @@ jobs:
   ci:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
       # Valida planning, automatización e integraciones y después corre las pruebas

package/CHANGELOG.md

@@ -8,6 +8,113 @@ esa operación sea confiable en vez de sólo cómoda: acá se lee qué cambió a
 un cambio en el protocolo, en las reglas del sistema o en un guard es visible para el usuario y sube
 minor aunque no toque una sola línea de código.
 
+## [0.20.0] - 2026-08-17
+
+Casi todo lo de abajo sale de la primera investigación semanal del cargo `security-engineer` corriendo
+de verdad sobre este repositorio. De sus ocho hallazgos, dos resultaron sobredimensionados al
+verificarlos y quedaron cerrados sin cambio; el resto está acá.
+
+### Cambiado
+
+- **El agente de investigación semanal ya no comparte job con la credencial de escritura.** Ingiere
+  contenido web que nadie controla, y hasta ahora corría con `contents: write` y la API key en el
+  mismo lugar: cualquier instrucción que llegara dentro de una página tenía un repositorio a mano.
+
+  Ahora entrega su informe como artifact y un segundo job lo commitea, sin modelo y sin credencial de
+  API. Ese job resuelve **dónde** aterriza el archivo con el mismo CLI que resolvió el catálogo, así
+  que nada de lo que viaje en el artifact puede redirigirlo. El permiso por defecto del workflow baja
+  a `contents: read`: un job nuevo ya no nace pudiendo escribir por herencia.
+
+- **Las acciones de GitHub quedan fijadas por SHA de commit**, y el CLI del agente por versión. Un tag
+  es mutable: quien controle el repositorio de la acción puede moverlo a otro commit y el workflow
+  ejecuta código nuevo sin que cambie una línea acá.
+
+- **`guard-secrets` reconoce los archivos de credencial que las herramientas escriben solas** —
+  `.npmrc`, `.netrc`, `id_rsa` y compañía—. Correr el guard sobre trece nombres mostró que `.env`
+  bloqueaba y esos pasaban, y `.npmrc` es donde vive el token de publicación. Tapa un caso conocido;
+  no vuelve completo al guard.
+
+### Corregido
+
+- **Los informes de aprendizaje traen escritas las convenciones de las que depende el ciclo.** Cuatro
+  corridas independientes etiquetaron sus hallazgos `H1`, `H2`, … sin que nada se lo pidiera, y esa
+  etiqueta terminó siendo carga: dentro del informe une «Hallazgos» con «Evidencia» y «Recomendación»,
+  y la propuesta mensual la cita para decir de qué hallazgo sale un cambio. Funcionaba porque los
+  modelos convergen, que es exactamente lo que deja de funcionar sin avisar.
+
+  Lo mismo con los títulos: la consolidación busca `## Recomendación` exacto y renombrarlo no da error
+  — deja la propuesta diciendo que no se registró nada.
+
+### Removido
+
+- **Se retiran 94 `_template.md` que el motor nunca leyó.** `learn` arma el andamiaje del informe y de
+  la propuesta desde un molde propio; esos archivos no los leía nadie: ni el motor, ni un workflow, ni
+  un runner, y ningún `SKILL.md` los nombra.
+
+  No eran inertes. **Quince de los cuarenta y siete describían una forma que el motor nunca produce**
+  —viñetas planas, sin sección de hallazgos y sin el título que la consolidación busca—, así que un
+  agente que respetara su molde habría reestructurado el informe y dejado la propuesta vacía sin
+  levantar nada.
+
+  Comprobado antes de retirarlos: sin sus moldes, `qa-engineer` sigue evaluando 7/7 y `learn` arma su
+  andamiaje igual. Adoptar un cargo pasa a copiar trece archivos en vez de quince.
+
+### Notas de seguridad sin cambio
+
+- **El token de npm no requiere acción.** El hallazgo lo describía como secreto de larga vida y sin
+  expiración; verificado, tiene ventana acotada, y la afirmación de que npm revocó los tokens clásicos
+  no se sostiene —el token funciona—. Lo único cierto que queda es que su alcance es de cuenta y no de
+  paquete: al renovarlo conviene acotarlo, y nada más.
+
+- **Los guards no son un límite de seguridad**, y `automatization/hooks/README.md` ahora lo dice con
+  sus dos casos reproducibles. El riesgo real no es el bypass sino la confianza que doce guards
+  puestos inspiran: si algo tiene que ser imposible, va en permisos, alcance de token o revisión
+  humana, no en una coincidencia de texto.
+
+## [0.19.0] - 2026-08-16
+
+Los cuatro arreglos de abajo salieron de correr los tres caminos de punta a punta —un cargo que
+aprende en el toolkit, uno propio de una empresa, y uno del catálogo adoptado y aprendiendo—, no de
+un test. Son cosas que se veían correctas hasta que algo las siguió de verdad.
+
+### Agregado
+
+- **`guard-governance` cubre el contrato de un cargo, su medición y su firma.** `agent-promote` se
+  niega si «Aprobación humana» no está firmada, pero lo único que impedía que la escribiera un agente
+  era una frase en un prompt: una instrucción, no un candado, y el archivo no estaba protegido por
+  nada.
+
+  Alrededor de la firma van las otras piezas del mismo acto. `SKILL.md` y `references/` son lo que la
+  propuesta cambia: sin ellos, editar el contrato directo saltea el ciclo entero. Y
+  `evaluations/cases/` con `expected-behaviors.yaml` son el denominador con que se juzga —el propio
+  recorrido de propuesta ya dice que cambiarlo «es parte de lo que se aprueba»—, así que moverlo en
+  silencio ablanda toda medición pasada sin tocar una regla.
+
+  **Para una empresa esto significa** que tocar su propio cargo pide `OPS_GOVERNANCE_OVERRIDE=1`, la
+  misma puerta explícita que ya rige para `planning/adr/` y `planning/rules/`. Las dos clases de
+  evidencia quedan afuera: `learning/reports/` y `evaluations/results/` registran lo que pasó un día
+  en vez de decidir algo, y un veredicto se escribe en cada corrida.
+
+### Corregido
+
+- **La automatización de un cargo adoptado apuntaba al catálogo.** El `AUTOMATION.md` del sistema dice
+  «mantené `agents/<tipo>/system/<slug>`», que dentro de una empresa es el paquete. Copiado tal cual,
+  el ciclo semanal del cargo adoptado escribía en un directorio que el guard bloquea y que npm borra
+  —y reportaba éxito—. `agents fork` ahora reescribe esas rutas a las de la empresa.
+
+- **Devolver un cargo al catálogo dejaba avisos sobre una copia que no existe.** Borrar un fork
+  resuelve bien —el cargo vuelve a salir del paquete— pero el manifiesto conservaba su registro, así
+  que `check` decía «tu copia no recibe mejoras del catálogo» y mandaba a mirar un directorio
+  borrado. Devolver es tan legítimo como adoptar: ahora la deriva exige que la copia exista antes de
+  comparar, y `upgrade` poda el registro huérfano igual que ya poda los archivos.
+
+- **El puntero que instala el runner no decía a qué se ancla.** Dos agentes que resolvieron un cargo
+  parados en el repo ops construyeron la ruta doblada —`<empresa>-ops/<empresa>-ops/...`— y tuvieron
+  que deducir la raíz. En sidecar el wiring vive en la carpeta de la compañía y el repo ops es uno de
+  sus hijos; ahora el puntero lo dice.
+
+- **`learn` sugería copiar un cargo a mano** en vez de nombrar `agents fork`, que ya existe.
+
 ## [0.18.0] - 2026-08-16
 
 ### Agregado

package/README.md

@@ -80,6 +80,7 @@ Lee [template/planning/PROTOCOL.md](template/planning/PROTOCOL.md) para el contr
 | `ops learn <agent>` | Prepara el informe semanal que completa la automatización de Codex. |
 | `ops learn <agent> --proposal` | Consolida informes mensuales en una propuesta sin aplicar cambios. |
 | `ops evaluate <agent>` | Valida controles, casos y propuestas del agente. |
+| `ops evaluate <agent> --bench` | Arma el banco desechable donde un cargo del catálogo trabaja. |
 | `ops team list` | Lista equipos disponibles. |
 | `ops team check <team>` | Valida manifiesto, agentes, dependencias y gates del equipo. |
 | `ops team show <team>` | Muestra el recorrido y artefactos del equipo; `--json` para consumirlo. |
@@ -184,6 +185,26 @@ todas las empresas: investigarla una vez y bien es mejor que repetirla en cada i
 Por eso `learn` falla si lo corrés sobre un cargo del catálogo dentro de una instancia: escribiría en
 el paquete y se perdería. El ciclo mensual de aprendizaje tampoco se distribuye — vive sólo acá.
 
+#### Evaluar un cargo del catálogo
+
+Los casos adversariales miden a un cargo trabajando, y un cargo cuya entrega es una épica o una entrada
+de INBOX necesita un `planning/` donde escribir sea legítimo. El toolkit no lo tiene ni puede tenerlo:
+el único `planning/` que vive acá es `template/planning`, el molde que se distribuye.
+
+```bash
+node engine/cli/ops.js evaluate product-manager --bench
+```
+
+Devuelve la ruta de una instancia desechable —`check` pasa, el catálogo resuelve desde adentro,
+`planning/` está vacío y escribible— que el recorrido `/agent-eval` usa como lugar de trabajo. Se
+recrea entera en cada corrida: reutilizarla dejaría que lo que un cargo escribió el lunes sea contexto
+del que responde el martes.
+
+El veredicto se escribe **junto al cargo**, no en el banco. El banco se borra; el contrato queda.
+
+Desde una empresa esto no aplica: su instancia ya es el lugar, y lo que se evalúa ahí tiene que ser un
+cargo suyo —propio o adoptado—.
+
 #### Quedarse con una versión propia de un cargo del catálogo
 
 ```bash