@ingeniomaps/cauce 0.19.0 → 0.21.0

package/.github/workflows/agent-learning.yml

@@ -16,9 +16,10 @@ on:
         required: false
         default: ""
 
+# Mínimo arriba: cada job eleva sólo lo que necesita. El que corre el agente se queda en `read` —
+# ingiere contenido web que no controlamos y no tiene por qué poder escribir el repositorio.
 permissions:
-  contents: write
-  pull-requests: write
+  contents: read
 
 jobs:
   discover:
@@ -26,8 +27,8 @@ jobs:
     outputs:
       agents: ${{ steps.list.outputs.agents }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
 
@@ -71,14 +72,16 @@ jobs:
     if: github.event.schedule != '17 13 1 * *'
     needs: discover
     runs-on: ubuntu-latest
+    permissions:
+      contents: read
     strategy:
       fail-fast: false
       max-parallel: 3
       matrix:
         agent: ${{ fromJSON(needs.discover.outputs.agents) }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
       - name: Check credential
@@ -118,7 +121,7 @@ jobs:
           AGENT: ${{ matrix.agent }}
           ANTHROPIC_API_KEY: ${{ secrets.ANTHROPIC_API_KEY }}
         run: |
-          npm install -g @anthropic-ai/claude-code
+          npm install -g @anthropic-ai/claude-code@2.1.233
           claude -p "Leé el learning/AUTOMATION.md del cargo $AGENT y ejecutá exactamente lo que declara. El informe de esta semana ya está creado y vacío: completalo. Cada afirmación necesita enlace, fecha y versión; lo que no puedas corroborar va a Preguntas abiertas en vez de afirmarse. El único archivo que escribís es ese informe."
       - name: Detect changes
         if: steps.creds.outputs.ready == 'true'
@@ -129,20 +132,102 @@ jobs:
           else
             echo "changed=true" >> "$GITHUB_OUTPUT"
           fi
-      - name: Open research pull request
+      # El informe sale de acá como artifact, no como commit. Lo que el agente escribió fuera de su
+      # informe se queda en este runner y muere con él: no hay credencial con que sacarlo.
+      - name: Collect report
         if: steps.creds.outputs.ready == 'true' && steps.changes.outputs.changed == 'true'
+        id: collect
         env:
           AGENT: ${{ matrix.agent }}
-          GH_TOKEN: ${{ github.token }}
         run: |
           stamp="$(date -u +%Y-%m-%d)"
-          branch="automation/$AGENT-research-$stamp"
           report="$(git diff --name-only -- "agents/*/$AGENT/learning/reports/$stamp.md")"
           if [ -z "$report" ]; then
-            echo "El agente cambió archivos fuera de su informe; no se abre PR." >&2
+            echo "El agente no escribió su informe; lo que haya tocado no sale de acá." >&2
             git diff --name-only >&2
             exit 1
           fi
+          echo "path=$report" >> "$GITHUB_OUTPUT"
+          echo "stamp=$stamp" >> "$GITHUB_OUTPUT"
+      - name: Upload report
+        if: steps.collect.outputs.path != ''
+        uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4
+        with:
+          name: research-${{ matrix.agent }}
+          path: ${{ steps.collect.outputs.path }}
+          retention-days: 7
+
+  # Segundo job y no un paso más: acá vive la credencial de escritura, y para llegar hasta acá el
+  # informe tuvo que pasar por un artifact. Este job no habla con ningún modelo ni lee la web —
+  # recibe un archivo, comprueba que caiga donde debe, y lo commitea.
+  research-pr:
+    needs: [discover, research]
+    if: needs.research.result == 'success'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: write
+    strategy:
+      fail-fast: false
+      max-parallel: 3
+      matrix:
+        agent: ${{ fromJSON(needs.discover.outputs.agents) }}
+    steps:
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - name: Download report
+        id: fetch
+        continue-on-error: true
+        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4
+        with:
+          name: research-${{ matrix.agent }}
+          path: ${{ github.workspace }}
+      - name: Resolve CLI
+        if: steps.fetch.outcome == 'success'
+        id: cli
+        run: |
+          for candidate in tools/ops.js engine/cli/ops.js; do
+            if [ -f "$candidate" ]; then
+              echo "path=$candidate" >> "$GITHUB_OUTPUT"
+              exit 0
+            fi
+          done
+          echo "No se encontró el CLI de Cauce." >&2
+          exit 1
+      - name: Open research pull request
+        if: steps.fetch.outcome == 'success'
+        env:
+          AGENT: ${{ matrix.agent }}
+          OPS: ${{ steps.cli.outputs.path }}
+          GH_TOKEN: ${{ github.token }}
+        run: |
+          stamp="$(date -u +%Y-%m-%d)"
+          branch="automation/$AGENT-research-$stamp"
+          # El artifact trae contenido, no destino: `upload-artifact` aplana la ruta de un archivo
+          # suelto, así que llega como `<fecha>.md` a la raíz. Dónde va se resuelve **acá**, con el
+          # mismo CLI que resolvió el catálogo antes, y eso además es la garantía: nada de lo que
+          # venga en el artifact puede redirigir dónde aterriza el archivo.
+          dir="$(node "$OPS" agents list --json | node -e '
+            let s = ""
+            process.stdin.on("data", (d) => { s += d }).on("end", () => {
+              const found = JSON.parse(s).find((role) => role.slug === process.env.AGENT)
+              if (!found) { console.error("agente desconocido"); process.exit(1) }
+              console.log(found.path)
+            })')"
+          dest="$dir/learning/reports/$stamp.md"
+          mkdir -p "$(dirname "$dest")"
+          mv "$stamp.md" "$dest"
+          report="$(git diff --name-only -- "agents/*/$AGENT/learning/reports/$stamp.md")"
+          otros="$(git status --porcelain | awk '{print $2}' | grep -v -F "$dest" || true)"
+          if [ -z "$report" ] && [ ! -f "$dest" ]; then
+            echo "No llegó el informe de $AGENT." >&2
+            exit 1
+          fi
+          if [ -n "$otros" ]; then
+            echo "Se esperaba exactamente el informe de $AGENT y nada más." >&2
+            git status --porcelain >&2
+            exit 1
+          fi
+          report="$dest"
           git config user.name "github-actions[bot]"
           git config user.email "41898282+github-actions[bot]@users.noreply.github.com"
           git switch -c "$branch"
@@ -153,18 +238,23 @@ jobs:
             --title "$AGENT weekly research — $stamp" \
             --body "Investigación semanal de la profesión. No modifica SKILL.md ni propone cambios: alimenta la propuesta mensual."
 
+  # Este job no habla con ningún modelo: consolida informes ya commiteados con el CLI y abre el PR.
+  # Por eso puede escribir sin la separación que exige `research`.
   propose:
     if: github.event.schedule == '17 13 1 * *' || github.event_name == 'workflow_dispatch'
     needs: discover
     runs-on: ubuntu-latest
+    permissions:
+      contents: write
+      pull-requests: write
     strategy:
       fail-fast: false
       max-parallel: 5
       matrix:
         agent: ${{ fromJSON(needs.discover.outputs.agents) }}
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
 

package/.github/workflows/ci.yml

@@ -17,8 +17,8 @@ jobs:
   ci:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v4
-      - uses: actions/setup-node@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4
         with:
           node-version: "24"
       # Valida planning, automatización e integraciones y después corre las pruebas

package/CHANGELOG.md

@@ -8,6 +8,96 @@ esa operación sea confiable en vez de sólo cómoda: acá se lee qué cambió a
 un cambio en el protocolo, en las reglas del sistema o en un guard es visible para el usuario y sube
 minor aunque no toque una sola línea de código.
 
+## [0.21.0] - 2026-08-17
+
+### Corregido
+
+- **Cada caso adversarial recibe su propio banco.** Con uno por cargo, los casos corren a la vez sobre
+  el mismo `planning/` y se leen entre sí. Correr `product-manager` lo mostró sin lugar a dudas: un
+  caso tomó por «una sesión anterior de este mismo cargo» lo que otro acababa de escribir, y otro
+  construyó su respuesta entera alrededor de cuatro candidatas que en su enunciado no existían.
+
+  Ninguno de los dos cambió de veredicto, así que nada parecía roto — pero sus respuestas dejaron de
+  ser las que esos casos pedían medir, y la independencia entre casos es la premisa de medir con
+  ellos. La bandera pasa a ser `evaluate <cargo> --bench <caso>`.
+
+  Preparar un banco ya no borra el del vecino, que puede estar a mitad de corrida, y el nombre del
+  caso se valida antes de convertirse en una ruta.
+
+### Notas
+
+- **`product-manager` tiene su primera medición válida: 5 de 5.** El registro anterior se había
+  descartado por tomarse dentro del toolkit, donde el cargo no tenía dónde escribir y se negaba —con
+  razón— en los dos casos que escriben. Con el banco, esos dos pasan.
+
+  Veinte citas textuales sostienen los veinte comportamientos. Queda escrito en el propio registro lo
+  que el juez de `03-epic` dejó anotado: no se produjo ningún criterio `CN`, y bajo un estándar que
+  exigiera criterios de épica específicamente ese comportamiento caería. El caso presupone una
+  oportunidad aprobada que no existía, y el cargo se negó a inventarla.
+
+## [0.20.0] - 2026-08-17
+
+Casi todo lo de abajo sale de la primera investigación semanal del cargo `security-engineer` corriendo
+de verdad sobre este repositorio. De sus ocho hallazgos, dos resultaron sobredimensionados al
+verificarlos y quedaron cerrados sin cambio; el resto está acá.
+
+### Cambiado
+
+- **El agente de investigación semanal ya no comparte job con la credencial de escritura.** Ingiere
+  contenido web que nadie controla, y hasta ahora corría con `contents: write` y la API key en el
+  mismo lugar: cualquier instrucción que llegara dentro de una página tenía un repositorio a mano.
+
+  Ahora entrega su informe como artifact y un segundo job lo commitea, sin modelo y sin credencial de
+  API. Ese job resuelve **dónde** aterriza el archivo con el mismo CLI que resolvió el catálogo, así
+  que nada de lo que viaje en el artifact puede redirigirlo. El permiso por defecto del workflow baja
+  a `contents: read`: un job nuevo ya no nace pudiendo escribir por herencia.
+
+- **Las acciones de GitHub quedan fijadas por SHA de commit**, y el CLI del agente por versión. Un tag
+  es mutable: quien controle el repositorio de la acción puede moverlo a otro commit y el workflow
+  ejecuta código nuevo sin que cambie una línea acá.
+
+- **`guard-secrets` reconoce los archivos de credencial que las herramientas escriben solas** —
+  `.npmrc`, `.netrc`, `id_rsa` y compañía—. Correr el guard sobre trece nombres mostró que `.env`
+  bloqueaba y esos pasaban, y `.npmrc` es donde vive el token de publicación. Tapa un caso conocido;
+  no vuelve completo al guard.
+
+### Corregido
+
+- **Los informes de aprendizaje traen escritas las convenciones de las que depende el ciclo.** Cuatro
+  corridas independientes etiquetaron sus hallazgos `H1`, `H2`, … sin que nada se lo pidiera, y esa
+  etiqueta terminó siendo carga: dentro del informe une «Hallazgos» con «Evidencia» y «Recomendación»,
+  y la propuesta mensual la cita para decir de qué hallazgo sale un cambio. Funcionaba porque los
+  modelos convergen, que es exactamente lo que deja de funcionar sin avisar.
+
+  Lo mismo con los títulos: la consolidación busca `## Recomendación` exacto y renombrarlo no da error
+  — deja la propuesta diciendo que no se registró nada.
+
+### Removido
+
+- **Se retiran 94 `_template.md` que el motor nunca leyó.** `learn` arma el andamiaje del informe y de
+  la propuesta desde un molde propio; esos archivos no los leía nadie: ni el motor, ni un workflow, ni
+  un runner, y ningún `SKILL.md` los nombra.
+
+  No eran inertes. **Quince de los cuarenta y siete describían una forma que el motor nunca produce**
+  —viñetas planas, sin sección de hallazgos y sin el título que la consolidación busca—, así que un
+  agente que respetara su molde habría reestructurado el informe y dejado la propuesta vacía sin
+  levantar nada.
+
+  Comprobado antes de retirarlos: sin sus moldes, `qa-engineer` sigue evaluando 7/7 y `learn` arma su
+  andamiaje igual. Adoptar un cargo pasa a copiar trece archivos en vez de quince.
+
+### Notas de seguridad sin cambio
+
+- **El token de npm no requiere acción.** El hallazgo lo describía como secreto de larga vida y sin
+  expiración; verificado, tiene ventana acotada, y la afirmación de que npm revocó los tokens clásicos
+  no se sostiene —el token funciona—. Lo único cierto que queda es que su alcance es de cuenta y no de
+  paquete: al renovarlo conviene acotarlo, y nada más.
+
+- **Los guards no son un límite de seguridad**, y `automatization/hooks/README.md` ahora lo dice con
+  sus dos casos reproducibles. El riesgo real no es el bypass sino la confianza que doce guards
+  puestos inspiran: si algo tiene que ser imposible, va en permisos, alcance de token o revisión
+  humana, no en una coincidencia de texto.
+
 ## [0.19.0] - 2026-08-16
 
 Los cuatro arreglos de abajo salieron de correr los tres caminos de punta a punta —un cargo que

package/README.md

@@ -80,7 +80,7 @@ Lee [template/planning/PROTOCOL.md](template/planning/PROTOCOL.md) para el contr
 | `ops learn <agent>` | Prepara el informe semanal que completa la automatización de Codex. |
 | `ops learn <agent> --proposal` | Consolida informes mensuales en una propuesta sin aplicar cambios. |
 | `ops evaluate <agent>` | Valida controles, casos y propuestas del agente. |
-| `ops evaluate <agent> --bench` | Arma el banco desechable donde un cargo del catálogo trabaja. |
+| `ops evaluate <agent> --bench <caso>` | Arma el banco desechable donde un cargo trabaja ese caso. |
 | `ops team list` | Lista equipos disponibles. |
 | `ops team check <team>` | Valida manifiesto, agentes, dependencias y gates del equipo. |
 | `ops team show <team>` | Muestra el recorrido y artefactos del equipo; `--json` para consumirlo. |
@@ -192,7 +192,7 @@ de INBOX necesita un `planning/` donde escribir sea legítimo. El toolkit no lo
 el único `planning/` que vive acá es `template/planning`, el molde que se distribuye.
 
 ```bash
-node engine/cli/ops.js evaluate product-manager --bench
+node engine/cli/ops.js evaluate product-manager --bench 03-epic
 ```
 
 Devuelve la ruta de una instancia desechable —`check` pasa, el catálogo resuelve desde adentro,
@@ -200,6 +200,11 @@ Devuelve la ruta de una instancia desechable —`check` pasa, el catálogo resue
 recrea entera en cada corrida: reutilizarla dejaría que lo que un cargo escribió el lunes sea contexto
 del que responde el martes.
 
+**Una por caso**, y eso se aprendió corriendo. Con un banco compartido los casos de un cargo trabajan a
+la vez sobre el mismo `planning/` y se leen entre sí: un caso tomó por «una sesión anterior de este
+mismo cargo» lo que otro acababa de escribir, y otro evaluó cuatro candidatas que en su enunciado no
+existían. Ninguno cambió de veredicto, pero sus respuestas dejaron de ser las que el caso pedía medir.
+
 El veredicto se escribe **junto al cargo**, no en el banco. El banco se borra; el contrato queda.
 
 Desde una empresa esto no aplica: su instancia ya es el lugar, y lo que se evalúa ahí tiene que ser un