@orkastery/cli 0.2.0 → 0.4.1

package/eval/fixtures/b0-slug-e-modos/caso.json

@@ -1,7 +1,10 @@
 {
-  "descricao": "Fixture minima do bloco B0: pedido do builder com #TAG produz slug de 3 partes, blocos do modo e numero de pausas humanas.",
+  "descricao": "Fixture minima do bloco B0: pedido do builder com #TAG de modo VIVO produz slug de 3 partes, blocos do modo e numero de pausas humanas. I-43 tirou daqui os casos de #Look e #Ork: eles pararam de ser escritos, e a recusa deles e provada por fx-modo-aposentado-escritor.",
   "manifesto": {
-    "project": { "name": "orkastery", "abbrev": "ork" }
+    "project": {
+      "name": "orkastery",
+      "abbrev": "ork"
+    }
   },
   "casos": [
     {
@@ -9,31 +12,21 @@
       "nome": "core b0",
       "modoEsperado": "auto",
       "slugEsperado": "ork-coreb0-full",
-      "blocosEsperados": ["GOAL-PLAN-GO-CHECK-SHIP-MASTER"],
+      "blocosEsperados": [
+        "GOAL-PLAN-GO-CHECK-SHIP-MASTER"
+      ],
       "pausasEsperadas": 0
     },
-    {
-      "pedido": "Refatorar o checkout do carrinho #Ork",
-      "nome": "checkout",
-      "modoEsperado": "ork",
-      "slugEsperado": "ork-checkout-f12",
-      "blocosEsperados": ["GOAL-PLAN", "GO", "CHECK", "SHIP", "MASTER"],
-      "pausasEsperadas": 5
-    },
-    {
-      "pedido": "Migracao de dados com risco alto #Look",
-      "nome": "migracao",
-      "modoEsperado": "look",
-      "slugEsperado": "ork-migracao-goal",
-      "blocosEsperados": ["GOAL", "PLAN", "GO", "CHECK", "SHIP", "MASTER"],
-      "pausasEsperadas": 6
-    },
     {
       "pedido": "Ajuste simples e claro no rodape #Maestro",
       "nome": "rodape",
       "modoEsperado": "maestro",
       "slugEsperado": "ork-rodape-f12",
-      "blocosEsperados": ["GOAL-PLAN", "GO-CHECK-SHIP", "MASTER"],
+      "blocosEsperados": [
+        "GOAL-PLAN",
+        "GO-CHECK-SHIP",
+        "MASTER"
+      ],
       "pausasEsperadas": 1
     },
     {
@@ -41,15 +34,35 @@
       "nome": "pipeline",
       "modoEsperado": "classic",
       "slugEsperado": "ork-pipeline-goal",
-      "blocosEsperados": ["GOAL", "PLAN", "GO-CHECK", "SHIP-MASTER"],
+      "blocosEsperados": [
+        "GOAL",
+        "PLAN",
+        "GO-CHECK",
+        "SHIP-MASTER"
+      ],
       "pausasEsperadas": 3
     },
+    {
+      "pedido": "Arruma o typo do rodape #Fast",
+      "nome": "typo rodape",
+      "modoEsperado": "fast",
+      "slugEsperado": "ork-typorodape-go",
+      "blocosEsperados": [
+        "GO"
+      ],
+      "pausasEsperadas": 0
+    },
     {
       "pedido": "Pedido sem tag nenhuma",
       "nome": "semtag",
       "modoEsperado": null,
       "slugEsperado": "ork-semtag-goal",
-      "blocosEsperados": ["GOAL", "PLAN", "GO-CHECK", "SHIP-MASTER"],
+      "blocosEsperados": [
+        "GOAL",
+        "PLAN",
+        "GO-CHECK",
+        "SHIP-MASTER"
+      ],
       "pausasEsperadas": 3
     }
   ]

package/eval/fixtures/b2-master-log/caso.json

@@ -42,7 +42,7 @@
     "fases": ["GOAL", "PLAN", "GO", "CHECK", "SHIP", "MASTER"],
     "score": 4,
     "justificativa": "entregou o combinado; a base andou no meio e exigiu ressincronizacao",
-    "avaliadoPor": "julio",
+    "avaliadoPor": "dono-do-projeto",
     "avaliadoEm": "2026-01-15T12:00:00.000Z",
     "classesDeFalha": ["base-avancou"],
     "resumo": "thread ork-checkout fechada com score 4/5",

package/eval/fixtures/fx-adapter-editado-detectado/caso.json

@@ -0,0 +1,19 @@
+{
+  "id": "fx-adapter-editado-detectado",
+  "sobre": "Uma cópia de adapter editada fora do catálogo continua sendo DETECTADA, NOMEADA e classificada como `copia-editada`, e continua barrando; a saída traz o diff e um caminho de UM comando, sem oferecer `--force`.",
+  "porque": "R1 do GOAL chama esta de a remoção com maior risco, e pelo motivo certo: a cerimônia de instalação é o único mecanismo que pega uma cópia instalada editada à mão, e nenhum teste da suíte alcança isso, porque a suíte roda sobre o CATÁLOGO e não sobre a cópia. Trocar uma recusa barulhenta por nada seria trocar investigação de madrugada por defeito que ninguém vê. O que muda é o que BARRA, não o que DETECTA: no adapter real do Hermes, dos 9 divergentes, 7 são `catalogo-andou` e se resolvem sozinhos, e sobram 2 para o operador decidir — incluindo exatamente o `skills/orkastery-devmaster/SKILL.md` que o dono investigou de madrugada. `naoOfereceForce` é a metade que impede o regime antigo de voltar: `--force` ressincronizava tudo sem mostrar o que mudava, e era o único caminho de saída oferecido.",
+  "precisa": [],
+  "esperado": {
+    "semDivergenciaAoInstalar": true,
+    "reciboGravado": true,
+    "reinstalarNaoAcusa": true,
+    "detectouAEdicao": true,
+    "nomeiaOArquivo": true,
+    "classificouComoCopiaEditada": true,
+    "barrouSemDecisao": true,
+    "temDiffNaSaida": true,
+    "temUmComando": true,
+    "naoOfereceForce": true,
+    "umComandoResolve": true
+  }
+}

package/eval/fixtures/fx-auto-quiet/caso.json

@@ -0,0 +1,11 @@
+{
+  "id": "fx-auto-quiet",
+  "sobre": "Prova SIMULADA de silêncio por modo, preservando policy",
+  "esperado": {
+    "simulado": true,
+    "pedidosRecusados": 2,
+    "humanosSemEscalacao": 0,
+    "policyPreservada": true
+  },
+  "porque": "Exercitar guardas HITL reais em sandbox SIMULADO; impedir retorno de aprovação cega ou previsão incompatível com o modo."
+}

package/eval/fixtures/fx-blanket-approve/caso.json

@@ -0,0 +1,10 @@
+{
+  "id": "fx-blanket-approve",
+  "sobre": "Prova SIMULADA de recusa de aprovação cega (I-43: um modo vivo, `#Classic`, o único que abre pedido de gate em GOAL)",
+  "esperado": {
+    "simulado": true,
+    "recusas": 2,
+    "humanos": 0
+  },
+  "porque": "Exercitar guardas HITL reais em sandbox SIMULADO; impedir retorno de aprovação cega ou previsão incompatível com o modo."
+}

package/eval/fixtures/fx-check-runtime-cruzado/caso.json

@@ -0,0 +1,20 @@
+{
+  "id": "fx-check-runtime-cruzado",
+  "sobre": "Uma thread que exige validação cruzada RECUSA o CHECK no mesmo runtime que fez o GO, com motivo tipado que nomeia o runtime e diz o que destrava; aceita em outro runtime; e a thread que não exige despacha normalmente.",
+  "porque": "É a viga (a) do Objective Envelope, a única regra do produto que dizia \"quem valida não pode ser quem executou\", e ela estava presa dentro de um mecanismo que nunca rodou: valia só na criação do envelope, para três threads com zero sessões, e `validationRuntimes` não aparecia em nenhum arquivo além de `objective.ts` e `index.ts`. O regime que ela combate está medido: das 137 threads, 16 registram sessões de GO e de CHECK, e em 11 delas o CHECK rodou apenas em runtime que o GO também usou; as quatro mais recentes (I-32, I-33, I-34, I-35) são todas `claude-bg` conferindo `claude-bg`. Os três lados são exigidos porque só o positivo não provaria nada: uma regra que nunca recusa e uma regra que recusa sempre são igualmente inúteis.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "recusaMesmoRuntime": true,
+    "recusaTipada": true,
+    "recusaNomeiaORuntimeDoGo": true,
+    "recusaDizOQueDestrava": true,
+    "aceitaOutroRuntime": true,
+    "semExigenciaDespacha": true,
+    "naoVazaParaOGo": true,
+    "motivoNoCatalogo": true,
+    "semRetryAutomatico": true,
+    "escalaParaHumano": true
+  }
+}

package/eval/fixtures/fx-codex-dry/caso.json

@@ -0,0 +1,18 @@
+{
+  "id": "fx-codex-dry",
+  "sobre": "O setup do bloco leva o despacho governado ao controller Codex app-server via stdio em dry-run; o default continua claude-bg.",
+  "porque": "Novos despachos governados precisam de entrada bidirecional e controller próprio. O canário exige o comando app-server via stdio, preserva runtime/modelo/esforço e garante que dry-run não despacha. Provas de recepção nativa são separadas.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "padraoRuntime": "claude-bg",
+    "padraoComando": "claude",
+    "codexRuntime": "codex",
+    "codexComando": "codex app-server",
+    "codexModel": "gpt-6-astra",
+    "codexEffort": "xhigh",
+    "codexHeadless": true,
+    "nadaDespachado": true
+  }
+}

package/eval/fixtures/fx-donewhen-executavel/caso.json

@@ -0,0 +1,15 @@
+{
+  "id": "fx-donewhen-executavel",
+  "sobre": "Um critério de pronto cujo comando FALHA reprova o verify, e o veredito nomeia o critério que falhou; o critério sustentado pelo comando passa; e registrar de novo não duplica claim.",
+  "porque": "É a viga (b) do Objective Envelope, e salvá-la não foi mover código: foi criar capacidade. Dentro do envelope, `doneWhen` era PROSA — `objective.ts:205` despejava os itens como lista no `SPEC.md` e nenhum código os executava, e os critérios do envelope real eram frases como \"D1: ork phase run recusa o despacho quando o objective da thread não está approved, com teste que cobre a recusa\": bonito, e impossível de reprovar. As duas metades são exigidas porque critério que só passa não prova nada. A idempotência é condição: `ork verify` roda em toda fase, e uma claim por critério por rodada transformaria a lista num acumulador em vez de uma verificação.",
+  "precisa": ["git"],
+  "esperado": {
+    "criteriosViraramClaim": 2,
+    "naoDuplicaAoRepetir": true,
+    "verifyReprovou": true,
+    "motivoTipado": true,
+    "vereditoNomeiaOCriterio": true,
+    "criterioSustentadoPassa": true,
+    "marcadaComoDoNucleo": true
+  }
+}

package/eval/fixtures/fx-estado-dividido/caso.json

@@ -0,0 +1,15 @@
+{
+  "id": "fx-estado-dividido",
+  "sobre": "fx-estado-dividido da I-01",
+  "porque": "Reproduzir o incidente com estado real em sandbox e comparar observação com contrato versionado.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "eventosMain": 14,
+    "eventosWorktree": 90,
+    "auditOk": false,
+    "syncOk": false,
+    "copiasPreservadas": true
+  }
+}

package/eval/fixtures/fx-fase-orfa/caso.json

@@ -0,0 +1,116 @@
+{
+  "id": "fx-fase-orfa",
+  "sobre": "fx-fase-orfa da I-01",
+  "porque": "Reproduzir o incidente com estado real em sandbox e comparar observação com contrato versionado.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "detectadas": 3,
+    "latenciaMaxMin": 10,
+    "motivos": [
+      "runtime.silencio"
+    ],
+    "automaticas": 0,
+    "precisamDeHumano": 3
+  },
+  "replay": [
+    {
+      "threadOrigem": "ork-elevarqualid",
+      "fonte": ".orkastery/threads/ork-elevarqualid/ledger.jsonl",
+      "sha256": "f3f8b5df8d72eacd3dc66aedf47120d8c69ad34e3263e775ed0c6893628618d7",
+      "linhasDoPrefixo": [
+        6,
+        8
+      ],
+      "consultaEm": "2026-09-07T15:47:18.799Z",
+      "eventos": [
+        {
+          "ts": "2026-09-07T15:37:18.799Z",
+          "tipo": "phase_dispatch",
+          "fase": "GO",
+          "sessionId": "01a07c84-4636-7a40-8485-e5a11a4f6db0",
+          "runtime": "codex",
+          "origem": "phase.run"
+        },
+        {
+          "ts": "2026-09-07T15:37:18.799Z",
+          "tipo": "phase_dispatch_verified",
+          "fase": "GO",
+          "sessionId": "01a07c84-4636-7a40-8485-e5a11a4f6db0"
+        },
+        {
+          "ts": "2026-09-07T15:37:18.799Z",
+          "tipo": "autonomous_decision",
+          "fase": "GO",
+          "sessionId": "01a07c84-4636-7a40-8485-e5a11a4f6db0"
+        }
+      ]
+    },
+    {
+      "threadOrigem": "ork-grandeevoluc",
+      "fonte": ".orkastery/threads/ork-grandeevoluc/ledger.jsonl",
+      "sha256": "a4ad63d61fe746965dd28a9267a7e766149696280bb7ad42ff6a388f34e22559",
+      "linhasDoPrefixo": [
+        10,
+        12
+      ],
+      "consultaEm": "2026-09-07T15:00:43.661Z",
+      "eventos": [
+        {
+          "ts": "2026-09-07T14:50:43.661Z",
+          "tipo": "phase_dispatch",
+          "fase": "GO",
+          "sessionId": "01a07c59-9d9e-7981-885a-7f0634a07169",
+          "runtime": "codex",
+          "origem": "phase.run"
+        },
+        {
+          "ts": "2026-09-07T14:50:43.662Z",
+          "tipo": "phase_dispatch_verified",
+          "fase": "GO",
+          "sessionId": "01a07c59-9d9e-7981-885a-7f0634a07169"
+        },
+        {
+          "ts": "2026-09-07T14:50:43.662Z",
+          "tipo": "autonomous_decision",
+          "fase": "GO",
+          "sessionId": "01a07c59-9d9e-7981-885a-7f0634a07169"
+        }
+      ]
+    },
+    {
+      "threadOrigem": "ork-trocarosdois",
+      "fonte": ".orkastery/threads/ork-trocarosdois/ledger.jsonl",
+      "sha256": "e4c993a13a9e928896dfbd832f1be73b53364a2b343959072bcd5008756d0ad5",
+      "linhasDoPrefixo": [
+        3,
+        5
+      ],
+      "consultaEm": "2026-09-07T12:40:49.654Z",
+      "eventos": [
+        {
+          "ts": "2026-09-07T12:30:49.654Z",
+          "tipo": "phase_dispatch",
+          "fase": "GOAL",
+          "sessionId": "01a07bd9-892a-7280-b0fc-67a472a9f039",
+          "runtime": "codex",
+          "origem": "phase.run"
+        },
+        {
+          "ts": "2026-09-07T12:30:49.654Z",
+          "tipo": "phase_dispatch_verified",
+          "fase": "GOAL",
+          "sessionId": "01a07bd9-892a-7280-b0fc-67a472a9f039"
+        },
+        {
+          "ts": "2026-09-07T12:30:49.654Z",
+          "tipo": "autonomous_decision",
+          "fase": "GOAL",
+          "sessionId": "01a07bd9-892a-7280-b0fc-67a472a9f039"
+        }
+      ]
+    }
+  ],
+  "limiteDaProva": "Replay do primeiro despacho Codex visto pela main em 07/09: prefixo append-only anterior ao próximo redespacho, limitado a dez minutos. Eventos antigos anexados pela reconciliação posterior não estavam visíveis nesse prefixo. Sensores externos de commit/rollout não fazem parte desta captura. GO-FIX I-06: este prefixo nao comprova morte. Tres alertas humanos, sem autorizar retry automatico."
+}

package/eval/fixtures/fx-happy/caso.json

@@ -2,11 +2,13 @@
   "id": "fx-happy",
   "sobre": "O ciclo que funciona: thread aberta no modo do pedido, fase montada com prompt gravado e hash, e claim que passa na reexecucao no HEAD real.",
   "porque": "Um corpus que so tem canario de falha nao percebe quando o caminho feliz para de funcionar. Este e o unico que reprova se o produto deixar de fazer o basico.",
-  "precisa": ["git"],
+  "precisa": [
+    "git"
+  ],
   "esperado": {
-    "slug": "evl-checkout-f12",
-    "modo": "ork",
-    "pausas": 5,
+    "slug": "evl-checkout-goal",
+    "modo": "classic",
+    "pausas": 3,
     "promptGravado": true,
     "promptSha256Hex": true,
     "despachoBloqueado": false,

package/eval/fixtures/fx-hitl-latency/caso.json

@@ -0,0 +1,20 @@
+{
+  "id": "fx-hitl-latency",
+  "sobre": "fx-hitl-latency: preserva alerta I-01 e acrescenta resposta CLI I-03 SIMULADA",
+  "porque": "Reproduzir o incidente com estado real em sandbox e comparar observação com contrato versionado.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "latenciaMin": 4,
+    "enviadas": 1,
+    "repetidas": 0,
+    "sinkRecebeu": true,
+    "simulado": true,
+    "respostaRecebida": true,
+    "respostaAbaixo60s": true,
+    "idempotente": true,
+    "adulteradaRecusada": true,
+    "conteudoAusente": true
+  }
+}

package/eval/fixtures/fx-indice-reversao/caso.json

@@ -0,0 +1,25 @@
+{
+  "id": "fx-indice-reversao",
+  "sobre": "Uma entrega revertida depois do ship se rebaixa SOZINHA no caminho que o produto percorre de verdade: `ork master` mostra a reversão em vez de \"sem tropeço\", e a aceitação por omissão grava score 2, não 5, sem ninguém pontuar nada.",
+  "porque": "É o canário que libera a saída da fila de ratificação de score, e prova a propriedade exata que a fila não entregava: ela tinha 13 entradas esperando nota humana justamente porque lembrete não converte em nota, e nenhuma delas dizia se a entrega havia sido desfeita depois. Na primeira versão ele chamava `registrarReversaoDaEntrega` À MÃO, e o CHECK de 20/09/2026 provou com `git revert` real que isso não provava nada: no produto o único chamador era o começo de um `ork ship` SEGUINTE da mesma thread, que depois do MASTER não acontece, e `ork master --aceitar-omissao` gravava score 5 com a justificativa \"sem reversão\" sobre uma entrega desfeita. Agora o canário roda o que o dono roda: `tabelaDeEntregas` e `aceitarPorOmissao`. A detecção ancora no marcador que o próprio git escreve (\"This reverts commit <sha>\") e não em diff de árvore, porque um arquivo que voltou ao estado anterior pode ser trabalho de outra thread, e chamar isso de reversão rebaixaria entrega alheia por coincidência. A idempotência é condição dura agora que a detecção roda em toda consulta: sem ela, abrir a tabela afundaria a nota da thread a cada vez.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "antesDeTudo": 5,
+    "depoisDoShip": 5,
+    "depoisDaReversao": 2,
+    "tabelaMostraAReversao": true,
+    "tabelaDizSemTropeco": false,
+    "indiceDoAceite": 2,
+    "scoreGravado": 2,
+    "regimeGravado": "omissao",
+    "masterLogScore": 2,
+    "justificativaDizSemReversao": false,
+    "justificativaCitaAReversao": true,
+    "avaliadoPor": "nucleo ork (omissao)",
+    "depoisDeRepetir": 2,
+    "rollbacks": 1,
+    "eventoNoCatalogo": true
+  }
+}

package/eval/fixtures/fx-listagem-abertas/caso.json

@@ -0,0 +1,16 @@
+{
+  "id": "fx-listagem-abertas",
+  "sobre": "O default de `ork thread list` mostra o que ainda pede atenção (aberta e pausada) e omite a fechada, avisando que omitiu; `--todas` abre o resto.",
+  "porque": "O custo medido era o DEFAULT e não a falta de flag: em 20/09/2026 o comando imprimia 137 linhas para as 31 que interessavam, e 71 delas (52 por cento) eram threads `Sessão adotada claude-bg <uuid>`, lixo do mecanismo de adoção de 07 a 14/09. Quem pagava era quem não sabia que existia flag, porque flag nenhuma existia. A thread PAUSADA é a razão de o default ser \"não fechadas\" e não \"só abertas\", que era o texto do GOAL: esconder a pausada seria esconder justamente a que mais pede atenção. O canário roda em sandbox porque `ork thread list` dentro de uma worktree lê o estado da árvore principal (M8): conferir \"no projeto\" seria afirmar contagem de artefato vivo, que reprova sozinha quando a branch cresce.",
+  "precisa": ["git"],
+  "esperado": {
+    "noDefault": ["aberta", "pausada"],
+    "defaultTemAAberta": true,
+    "defaultTemAPausada": true,
+    "defaultEscondeAFechada": true,
+    "comTodas": 3,
+    "todasTemAFechada": true,
+    "somaBate": true,
+    "avisaQueEscondeu": true
+  }
+}

package/eval/fixtures/fx-maestro-bootstrap/caso.json

@@ -0,0 +1,21 @@
+{
+  "id": "fx-maestro-bootstrap",
+  "sobre": "SIMULADO: consulta, ação com readback e policy block no modo Auto",
+  "porque": "Exercitar o núcleo em projeto temporário sem confundir fixture com ativação live dos hosts.",
+  "precisa": [
+    "git"
+  ],
+  "entrada": "orkastery maestro",
+  "esperado": {
+    "simulado": true,
+    "contract": "ork.maestro-snapshot/v1",
+    "queryExit": 0,
+    "createsThread": false,
+    "childRedispatch": false,
+    "actionCalls": 1,
+    "readbackMatches": true,
+    "autoPolicyBlocked": true,
+    "noDispatch": true,
+    "promptNotWritten": true
+  }
+}

package/eval/fixtures/fx-modo-aposentado-escritor/caso.json

@@ -0,0 +1,21 @@
+{
+  "id": "fx-modo-aposentado-escritor",
+  "sobre": "Modo aposentado escrito em qualquer entrada recebe recusa TIPADA `modo.aposentado`, que nomeia o modo pedido e oferece só substitutos que existem hoje.",
+  "porque": "Ignorar em silêncio é o pecado que o produto inteiro combate, e seria o pior resultado possível desta aposentadoria: o builder escreve `#Look` no pedido e recebe uma thread em `#Auto` sem saber que trocou de regime de supervisão. `semModoInexistente` cobra que toda #TAG do texto da recusa é um modo da matriz, e `semCicloParcialNaOferta` cobra que o substituto oferecido é de ciclo completo: com a I-42 o `#Fast` existe, mas só roda a GO e não substitui um modo de vigilância máxima.",
+  "precisa": [
+    "git"
+  ],
+  "esperado": {
+    "recusasNoParse": 2,
+    "recusasNaCriacao": 2,
+    "tagsReconhecidas": 2,
+    "todasTipadas": true,
+    "nomeiaOModoPedido": true,
+    "substitutosVivos": true,
+    "semMaestroNaOferta": true,
+    "semModoInexistente": true,
+    "semCicloParcialNaOferta": true,
+    "initSoComVivos": true,
+    "initTemTodosOsVivos": true
+  }
+}

package/eval/fixtures/fx-modo-aposentado-leitor/caso.json

@@ -0,0 +1,16 @@
+{
+  "id": "fx-modo-aposentado-leitor",
+  "sobre": "Thread e recibo gravados em #Look ou #Ork continuam sendo LIDOS inteiros depois da aposentadoria: a tag certa, a estrutura de blocos do modo e a profundidade do recibo assinado.",
+  "porque": "O jeito conhecido de esta remoção parecer certa e não ser é encolher o LEITOR junto com o ESCRITOR. As três threads reais (ork-smokeb0 em 02/09, ork-b2worktree e ork-b4adapt em 03/09) estão fechadas mas continuam abrindo, e há 276 ocorrências desses modos no estado em disco. Se a matriz encolhesse, `tagDoModo` devolveria `#?look` no board e um pedido `ork.hitl/v1` com `modo: look, profundidade: profunda` deixaria de validar EM SILÊNCIO: o produto passaria a negar o recibo que ele mesmo emitiu e assinou.",
+  "precisa": ["git"],
+  "esperado": {
+    "tags": ["#Look", "#Ork"],
+    "pausas": [6, 5],
+    "recibosValidos": 2,
+    "todoAposentadoTemDefinicao": true,
+    "nenhumAposentadoEscrivel": true,
+    "todoVivoEhLegado": true,
+    "profundidadeDeLook": "profunda",
+    "profundidadeDeOrk": "detalhada"
+  }
+}

package/eval/fixtures/fx-objective-oscillation/caso.json

@@ -0,0 +1,14 @@
+{
+  "id": "fx-objective-oscillation",
+  "sobre": "Um objetivo revisado repetidamente não pode consumir a orquestra em loop.",
+  "porque": "A terceira revisão consecutiva aciona uma pausa tipada e preserva todas as versões do Objective Envelope para diagnóstico humano.",
+  "precisa": ["git"],
+  "esperado": {
+    "threads": 3,
+    "revisions": 3,
+    "state": "paused",
+    "reason": "objective.oscillation",
+    "history": 3,
+    "currentVersion": 4
+  }
+}

package/eval/fixtures/fx-omnicanal/caso.json

@@ -0,0 +1,17 @@
+{
+  "id": "fx-omnicanal",
+  "sobre": "Prova SIMULADA de que os quatro canais homologados respondem e ficam distinguiveis no recibo",
+  "esperado": {
+    "simulado": true,
+    "canaisRegistrados": 4,
+    "transportes": 2,
+    "chavesIndependentes": 2,
+    "aprovados": 4,
+    "canaisDistinguiveis": 4,
+    "canalPorInferencia": 0,
+    "recusas": 5,
+    "humanosSemIngresso": 0,
+    "ofertaDisponivel": 4
+  },
+  "porque": "D12 exige HITL omnicanal nos quatro hosts homologados com identidade, correlacao e recibo equivalentes, e FX1 exige que a chave de ingresso seja de cada canal. O canario impede quatro regressoes: reduzir a lista de canais, voltar a gravar recibo que nao distingue Hermes de OpenClaw, aceitar resposta sem ingresso homologado (aprovacao cega, transcrito de tool ou canal de outro transporte), e voltar a compartilhar uma chave entre os dois canais de telegram."
+}

package/eval/fixtures/fx-sensores-runtime/caso.json

@@ -0,0 +1,17 @@
+{
+  "id": "fx-sensores-runtime",
+  "sobre": "Integração I-04 com hook/CLI, supervisor e watcher em sandbox Git",
+  "porque": "Medir ingestão, classificações, morte e domicílio único sem credenciais ou estado operacional; T9 comprova runtimes reais separadamente.",
+  "precisa": ["git"],
+  "esperado": {
+    "tipoProva": "harness isolado; protocolo Codex sintético",
+    "classificacoes": ["fase_concluida", "human.pending", "gate_blocked"],
+    "subprocessosComRecibo": 3,
+    "hookAbaixo5s": true,
+    "morteAntesDoLimite": false,
+    "morteLatenciaMs": 600000,
+    "mortosSemEvento": 0,
+    "duplicatas": 0,
+    "estadoUnico": true
+  }
+}

package/monitor/company-brain.cjs

@@ -0,0 +1,17 @@
+#!/usr/bin/env node
+// Foreground worker; service manager owns restart. No broad pulse reconciliation.
+const { spawn } = require('node:child_process');
+const args = process.argv.slice(2);
+if (args.length !== 2 || args[0] !== '--thread' || !/^[a-zA-Z0-9][a-zA-Z0-9._-]{0,79}$/.test(args[1])) {
+  console.error('brain.worker.scope-required'); process.exit(2);
+}
+const cli = require('node:path').resolve(__dirname, '../core/dist/index.js');
+let child, timer, stopped=false;
+const stop=()=>{stopped=true;clearTimeout(timer);if(child)child.kill('SIGTERM');};
+process.on('SIGTERM',stop);process.on('SIGINT',stop);
+function tick(){
+  child=spawn(process.execPath,[cli,'brain','sync','--thread',args[1]],{stdio:'inherit',shell:false});
+  child.once('error',()=>{console.error('brain.worker.unavailable');stop();process.exitCode=1;});
+  child.once('exit',code=>{child=null;if(code){stop();process.exitCode=1;}else if(!stopped)timer=setTimeout(tick,5000);});
+}
+tick();

package/monitor/pulse-scope.cjs

@@ -0,0 +1,45 @@
+/** D17: allowlist duravel do projeto; configuracao invalida impede a varredura. */
+const fs = require('node:fs');
+const path = require('node:path');
+
+function lerEscopo(arquivo) {
+  const stat = fs.lstatSync(arquivo);
+  if (!stat.isFile() || stat.isSymbolicLink()) throw Error('pulse.scope.special-file');
+  let config;
+  try { config = JSON.parse(fs.readFileSync(arquivo, 'utf8')); }
+  catch { throw Error('pulse.scope.invalid-json'); }
+  if (![1, 2].includes(config?.versao) || (config.versao === 2 && config.activation !== 'receipt-required') || !Array.isArray(config.threads) || !config.threads.length ||
+      config.threads.some(id => typeof id !== 'string' || !/^[a-z0-9][a-z0-9-]*$/.test(id)) ||
+      new Set(config.threads).size !== config.threads.length) throw Error('pulse.scope.invalid');
+  // O nucleo aplica tambem a policy de threads protegidas antes de qualquer carimbo.
+  return config.threads.join(',');
+}
+
+function escopoAtivo(arquivo) {
+  const candidato = lerEscopo(arquivo);
+  const api = [path.join(__dirname, '../core/dist'), path.join(__dirname, '../dist')]
+    .find(p => fs.existsSync(path.join(p, 'write-activation.js')));
+  if (!api) throw Error('pulse.scope.runtime-unavailable');
+  const { exigirManifesto } = require(path.join(api, 'manifest.js'));
+  const { lerAtivacao } = require(path.join(api, 'write-activation.js'));
+  const c = exigirManifesto(path.dirname(path.dirname(arquivo)));
+  let ativacao;
+  try { ativacao = lerAtivacao(c); }
+  catch (e) {
+    process.stderr.write('pulse.scope.activation-pending: ' + (String(e.message).startsWith('write.activation.') ? e.message : 'invalid receipt') + '\n');
+    return ''; // Observacao/alertas continuam; escrita nao foi autorizada.
+  }
+  if (!ativacao.ativa || !ativacao.plano.alvos.includes('pulse')) return '';
+  const autorizado = ativacao.plano.threads.join(',');
+  if (candidato !== autorizado) throw Error('pulse.scope.activation-conflict');
+  return autorizado;
+}
+module.exports = { lerEscopo, escopoAtivo };
+if (require.main === module) {
+  try { process.stdout.write(escopoAtivo(process.argv[2])); }
+  catch (e) {
+    const mensagem = e.message.startsWith('pulse.scope.') ? e.message : 'pulse.scope.unreadable';
+    process.stderr.write(mensagem + '\n');
+    process.exitCode = 1;
+  }
+}

package/monitor/pulse.cron

@@ -0,0 +1,18 @@
+# Substitua /CAMINHO/orkastery pelo checkout principal e confira o PATH do host.
+# Instale junto das entradas existentes com crontab. Nunca usar cron LLM deliver=origin.
+# A rotina inclui $HOME/.local/bin; outro prefixo usa ORK_PULSE_RUNTIME_BIN.
+# O launcher carrega monitor/pulse-write-scope.json do projeto alvo (D17).
+# Sem arquivo nem ORK_PULSE_WRITE_SCOPE, apenas observa e entrega alertas.
+# Ambiente e arquivo divergentes interrompem a rodada com erro explicito.
+# Novos IDs exigem decisao explicita. Nao carregar credenciais no launcher.
+# SHIP requer rebuild de core/dist na main e prova de escopo antes de concluir.
+# Threads protegidas sao recusadas; nao usar escopo global nem derivado do inventario.
+#
+# A batida e de 15 em 15 minutos e quem decide se ESTA batida entrega e o nucleo (I-50, RM-039):
+# pergunta nova ao dono sai na batida seguinte; o resumo periodico so sai quando a janela da
+# cadencia virou. A cadencia e a tag que o dono manda no canal, sem editar este arquivo:
+# #OrkPulseOff (8h, as 08h, 16h e 00h), #OrkPulseOn (2h), #OrkPulseOn-15m, -30m e -60m (o padrao).
+# A entrega e UM resumo por varredura, nunca uma mensagem por item: entregar por item a cada
+# poucos minutos inunda o canal do dono. Esse teto nao e configuravel, e vive no nucleo.
+PATH=/usr/local/bin:/usr/bin:/bin
+*/15 * * * * /CAMINHO/orkastery/monitor/varredura-pulse.sh