@orkastery/cli 0.4.3 → 0.5.0

package/adapters/README.md

@@ -31,6 +31,17 @@ ativação em sessão nova. `maestro-parity.test.ts` compara o contrato canônic
 instalações temporárias. Os testes específicos de cada adaptador exercitam o
 transporte fixture; os recibos live são uma etapa posterior e separada.
 
+## Paridade do roadmap da rede
+
+O status do roadmap vem de `ork_network_roadmap` nos quatro hosts (RM-054, fatia 2): tool argv no
+OpenClaw, wrapper no Hermes, tool do MCP no Claude Code e no Codex (o projeto servido, em todas as
+máquinas) e `ork network roadmap` nas entradas `/orkastery:ork` e `$ork`. A descrição manda
+transportar o texto como vem: lacuna e "Não consultado" nunca viram "roadmap vazio". A frase
+`orkastery maestro` sem projeto oferece o mesmo panorama. No OpenClaw, o manifesto declara a tool
+nos perfis `coding` e `messaging` (`toolMetadata`): sem isso, no perfil `coding`, nenhuma tool de
+plugin chega ao modelo. `ork_network_status` espera a RM-053 na `main`. `network-roadmap-hosts.test.ts` prova a rota de cada host e o aceite do incidente de 29/09
+pela extensão do OpenClaw com o `ork` real.
+
 Usabilidade HITL é prioridade máxima: recomendação, opções claras e canal disponível
 associado ao pedido. MCP local conserva elicitation; Telegram segue disponível
 quando configurado. Ingresso nativo Hermes/Discord e OpenClaw depende de callback

package/adapters/claude-code/.claude-plugin/plugin.json

@@ -25,7 +25,9 @@
     "./skills/reviewers/security-auditor",
     "./skills/reviewers/test-engineer",
     "./skills/reviewers/web-performance-auditor",
-    "./skills/core/onboarding"
+    "./skills/core/onboarding",
+    "./skills/core/orchestration-experience",
+    "./skills/core/orchestration-experience-pt-br"
   ],
   "commands": "./commands",
   "keywords": [

package/adapters/claude-code/agents/ork-check.md

@@ -1,6 +1,6 @@
 ---
 name: ork-check
-description: Conduz a fase CHECK: reexecuta a verificacao contra a baseline, percorre os cinco eixos e consolida um veredito unico. Nao corrige o que encontra.
+description: "Conduz a fase CHECK: reexecuta a verificacao contra a baseline, percorre os cinco eixos e consolida um veredito unico. Nao corrige o que encontra."
 tools: Bash(ork:*), Bash(git:*), Read, Glob, Grep
 ---
 

package/adapters/claude-code/agents/ork-go.md

@@ -1,6 +1,6 @@
 ---
 name: ork-go
-description: Conduz a fase GO dentro da worktree da thread: um commit atomico por tarefa, baseline gravada antes de comecar.
+description: "Conduz a fase GO dentro da worktree da thread: um commit atomico por tarefa, baseline gravada antes de comecar."
 tools: Bash, Read, Write, Edit, Glob, Grep
 ---
 
@@ -20,7 +20,7 @@ ork phase list <thread>        # o que ja aconteceu, com evidencia
 
 - Trabalhe SOMENTE na worktree da thread. A arvore principal nao e area de trabalho.
 - Baseline antes da primeira linha: `ork verify <thread> --baseline`.
-- Um commit por tarefa, arquivos nomeados. `git add -A` e bloqueado pelo guard.
+- Um commit por tarefa, arquivos nomeados. Nada de `git add -A`: ele engole arquivo de outra thread, e o guard do adaptador por projeto (`ork adapter install claude-code`) o bloqueia.
 - Toda alegacao vira claim com comando. Passagem relatada nao e passagem.
 
 ## Regras que valem em toda fase

package/adapters/claude-code/agents/ork-goal.md

@@ -1,6 +1,6 @@
 ---
 name: ork-goal
-description: Conduz a fase GOAL de uma thread do Orkastery: exploracao do repositorio real, premissas explicitas e criterios que viram claims verificaveis. Nao implementa.
+description: "Conduz a fase GOAL de uma thread do Orkastery: exploracao do repositorio real, premissas explicitas e criterios que viram claims verificaveis. Nao implementa."
 tools: Bash(ork:*), Read, Glob, Grep
 ---
 

package/adapters/claude-code/agents/ork-master.md

@@ -1,6 +1,6 @@
 ---
 name: ork-master
-description: Conduz a fase MASTER: POSTMORTEM tipado, MASTER log no contrato congelado e coleta do score humano. Nunca inventa nota.
+description: "Conduz a fase MASTER: POSTMORTEM tipado, MASTER log no contrato congelado e coleta do score humano. Nunca inventa nota."
 tools: Bash(ork:*), Read
 ---
 

package/adapters/claude-code/agents/ork-plan.md

@@ -1,6 +1,6 @@
 ---
 name: ork-plan
-description: Conduz a fase PLAN: tarefas fatiadas com touch_paths e verify por tarefa, decisoes com domicilio unico. Nao implementa.
+description: "Conduz a fase PLAN: tarefas fatiadas com touch_paths e verify por tarefa, decisoes com domicilio unico. Nao implementa."
 tools: Bash(ork:*), Read, Glob, Grep
 ---
 

package/adapters/claude-code/agents/ork-ship.md

@@ -1,6 +1,6 @@
 ---
 name: ork-ship
-description: Conduz a fase SHIP pelo `ork ship`: merge serializado por lease e push provado por comando.
+description: "Conduz a fase SHIP pelo `ork ship`: merge serializado por lease e push provado por comando."
 tools: Bash(ork:*), Bash(git status:*), Bash(git log:*), Read
 ---
 

package/adapters/claude-code/commands/master.md

@@ -1,6 +1,6 @@
 ---
 description: Fecha a thread com POSTMORTEM tipado e o score humano de 0 a 5.
-argument-hint: "<thread-id> --score 0-5"
+argument-hint: "<thread-id>"
 allowed-tools: Bash(ork:*), Read, Glob, Grep
 ---
 
@@ -16,22 +16,25 @@ Fase MASTER (F6): POSTMORTEM tipado, MASTER log no contrato congelado e o score
 ork master classes
 ```
 
-2. Pede ao builder o score e a justificativa. **O score e do humano, em todos os modos.** Este
-   comando nunca inventa nota.
-
-3. Fecha a thread:
+2. Pede a nota ao dono pelo canal com prova (RM-048). **O score e do humano, em todos os modos.**
+   Este comando nunca inventa nota e nunca escreve `--por` em nome de ninguem:
 
 ```bash
-ork master <thread> --score <0-5> --justificativa "<texto>" --classe <classe> --por "<quem>"
+ork master pedir <thread> --formato terminal
 ```
 
-4. Nos modos sem pausa de MASTER, a entrega e aceita a menos que o builder diga o contrario. Mostra
-   as entregas com o indice derivado do ledger, inclusive as ja pontuadas:
+   Mostre a linha como vem. O dono responde no Telegram (`<codigo> <0 a 5> <porque>`) e o nucleo
+   grava a nota com o recibo do ingresso. `ork master <thread> --score ... --por` chamado daqui e
+   recusado com `master.prova-de-canal`; do terminal dele, fora do host, o dono pode usa-lo.
+3. Confira que a nota entrou no ledger:
 
 ```bash
 ork master --todas
 ```
 
+4. Nos modos sem pausa de MASTER, a entrega e aceita a menos que o builder diga o contrario; o
+   `ork master --todas` mostra as entregas com o indice derivado do ledger, inclusive as ja pontuadas.
+
 ## Regras do adaptador
 
 - **Zero regra de negocio aqui.** Este comando traduz intencao em chamada de `ork` e nada mais.

package/adapters/claude-code/commands/ork.md

@@ -32,6 +32,12 @@ Os comandos de fase continuam disponiveis como atalhos; o dono nao precisa conhe
 A frase literal `orkastery maestro`, em sessão limpa, pede leitura do panorama.
 Descubra a ferramenta com `ToolSearch` em `select:mcp__orkastery__ork_maestro`,
 então consulte o projeto fixado. Não abre thread nem despacho por consulta.
+Sem projeto nomeado, ofereça também o panorama da rede (RM-054): `ork network roadmap`
+(todos os projetos conhecidos, as threads de todas as máquinas, fontes, frescor e lacunas)
+ou `mcp__orkastery__ork_network_roadmap` (o projeto fixado, em todas as máquinas), mostrado como vem.
+O MCP atende só o projeto fixado; `projeto` em qualquer ferramenta apenas confere esse
+projeto (`projeto.fora-do-servidor` quando é outro). Pedido de outro projeto vai ao CLI com
+`--projeto <nome>` (RM-052). Leia "Projeto consultado" e "Não lido" antes de responder.
 Projeto ausente/ambíguo exige resolver o contexto permitido pelo núcleo.
 Se já recebeu fase/thread/worktree, execute o bloco recebido, sem recursão.
 MCP ausente ou autenticação negada permanece impedimento; não troque runtime,
@@ -46,6 +52,7 @@ UUID interno e cancelamento preservado. A condutora usa
 | Demanda nova | Resolva o modo pelo nucleo, confira o preflight e abra/despache a thread correspondente. |
 | "Continue" ou thread/roadmap existente | Leia o estado e o ultimo resultado; retome o proximo passo autorizado, sem duplicar despacho. |
 | "Como esta?" ou status | Consulte a thread conhecida; apresente progresso comprovado, impedimento e proximo passo. |
+| Status do roadmap | Rode `ork network roadmap` (com `--projeto <nome>` quando o dono nomear o projeto) e mostre o texto como vem: traz as threads de todas as maquinas, as reservas e a fonte e a hora de cada parte; `ork roadmap status` le so esta maquina. Nao escreva relatorio proprio de roadmap nem o deduza do board ou do panorama: zero threads nao e roadmap vazio, e lacuna ou "Nao consultado" nunca e roadmap vazio. |
 | Decisao ou resposta | Correlacione com o pedido/gate apresentado, transporte pelo caminho suportado e confira o resultado. |
 | Onboarding | Use a pauta de `ork onboarding` e retome as etapas existentes. |
 | board, plan, doctor ou modos | Execute a consulta correspondente e interprete o resultado para a intencao do dono. |
@@ -69,6 +76,7 @@ As consultas CLI abaixo continuam uteis quando a ferramenta correspondente nao e
 ```bash
 ork thread status <thread>
 ork phase list <thread>
+ork network roadmap [--projeto <nome>]
 ork pulse --json
 ork board plan
 ork doctor

package/adapters/claude-code/commands/ship.md

@@ -1,12 +1,12 @@
 ---
-description: Entrega a thread pelo `ork ship`: merge serializado e push provado.
+description: "Entrega a thread pelo `ork ship`: merge serializado e push provado."
 argument-hint: "<thread-id> [--para <branch>]"
 allowed-tools: Bash(ork:*), Read, Glob, Grep
 ---
 
 # /ship
 
-Fase SHIP (F5): merge serializado por lease, atualizacao contra a base, push provado por comando e plano de rollback. Nada de `git push` na mao: o guard bloqueia e o motivo e que push na mao nao e provado.
+Fase SHIP (F5): merge serializado por lease, atualizacao contra a base, push provado por comando e plano de rollback. Nada de `git push` na mao: push na mao nao e provado, e o guard do adaptador por projeto (`ork adapter install claude-code`) o bloqueia.
 
 ## O que este comando faz
 

package/adapters/codex/skills/ork/SKILL.md

@@ -6,9 +6,17 @@ license: MIT
 
 # Orkastery no Codex
 
+Consulte `ork experiencia show --json` no projeto da sessão. Quando `experience` for true,
+leia `../core/<skill>/SKILL.md`, usando o nome devolvido em `skill` pelo núcleo:
+`orchestration-experience-pt-br` ou `orchestration-experience`. Idioma, fuso e profundidade
+vêm da mesma consulta. Se false, não ative o pacote. O bloco próprio de AGENTS.md também
+aponta para esse catálogo; instalação não altera permissões nativas.
+
 Ao receber literalmente `orkastery maestro`, descubra `ork_maestro` no namespace
 efetivamente exposto e consulte o projeto fixado pelo MCP. A frase pede panorama,
-sem abrir trabalho. Siga a seleção de contexto e os limites do bootstrap comum.
+sem abrir trabalho. Sem projeto nomeado, ofereça também o panorama da rede
+(`ork_network_roadmap`, ou `ork network roadmap` no CLI), com fontes, frescor e lacunas.
+Siga a seleção de contexto e os limites do bootstrap comum.
 Sem MCP, a consulta `ork maestro --json` continua somente leitura se o CLI estiver
 disponível; mutações sem transporte nativo permanecem pendentes. Nunca use Bash Git
 ou mudança de sandbox como substitutos. Sessão filha continua a fase recebida.
@@ -31,6 +39,9 @@ e `ork_request_decision(threadId, pedidoId)`. Use o namespace efetivamente expos
 - Pedido novo: resolva o modo pelo `ork`, confira preflight e abra/despache a thread.
 - Retomada: leia `ork thread status <thread>` e o ultimo resultado em `ork phase list <thread>`;
   continue o trabalho autorizado sem repetir onboarding, aprovacao ou implementacao.
+- Status do roadmap: use `ork_network_roadmap` (ou `ork network roadmap --projeto <nome>`) e mostre o
+  texto como vem, com as threads de todas as maquinas, as fontes e as lacunas; `ork_roadmap_status` e
+  so desta maquina. Nao escreva relatorio proprio de roadmap: lacuna nunca e roadmap vazio.
 - Status: apresente a evidencia da thread; `ork pulse --json` mostra quem precisa agir.
   As pausas dos blocos do modo sao previstas: so diga "aguardando voce" com pendencia
   humana atual comprovada no estado/ultimo resultado, identificando gate, pedido ou evento.

package/adapters/hermes/README.md

@@ -44,6 +44,9 @@ ork adapter install hermes --dry-run             # lista o que seria escrito
 | `hermes.plugin.json` | Declara a skill, o binario do `ork` e as tags de conducao |
 | `bin/ork-abrir-thread.sh` | Abre a thread com o modo lido do pedido, em um comando |
 | `bin/ork-brain.sh` | Consulta o Company Brain pelo contrato e identidade autenticada do OrkMind |
+| `bin/ork-maestro.sh` | `ork_maestro`: o panorama Maestro do projeto pedido (`ork maestro --json`) |
+| `bin/ork-roadmap-status.sh` | `ork_roadmap_status`: o status report do roadmap so desta maquina (`ork roadmap status`) |
+| `bin/ork-network-roadmap.sh` | `ork_network_roadmap`: o roadmap da rede (`ork network roadmap`), com as threads de todas as maquinas, fonte, hora e lacunas; a fonte do status do roadmap e o panorama da frase `orkastery maestro` sem projeto (RM-054) |
 
 ## Tickets `obj-*` aposentados
 

package/adapters/hermes/bin/ork-abrir-thread.sh

@@ -5,11 +5,14 @@
 # nucleo, e a validacao contra `conduction.allowed_modes` acontece dentro do `ork thread new`.
 # Este script existe para o host nao ser tentado a reimplementar o parse da #TAG.
 #
-# Uso: ork-abrir-thread.sh "<nome curto>" "<pedido inteiro do builder>" [--worktree auto]
+# Uso: ork-abrir-thread.sh "<nome curto>" "<pedido inteiro do builder>" [--worktree auto] [--projeto <nome>]
 
 set -eu
 # I-36 (D6): o adaptador declara o canal de conducao do Hermes; descreve a porta, nao da autoridade.
 export ORK_CANAL="${ORK_CANAL:-hermes}"
+# RM-052 (D3): o cwd do gateway nao escolhe projeto. Sem --projeto <nome> (que passa em "$@"), o
+# nucleo usa o unico projeto conhecido da maquina ou devolve a escolha. ORK_PROJETO_EXPLICITO=0 desliga.
+export ORK_PROJETO_EXPLICITO="${ORK_PROJETO_EXPLICITO:-1}"
 
 if [ "$#" -lt 2 ]; then
   echo "uso: ork-abrir-thread.sh \"<nome curto>\" \"<pedido do builder>\" [argumentos extras]" >&2
@@ -21,7 +24,19 @@ NOME="$1"
 PEDIDO="$2"
 shift 2
 
-MODO="$("$ORK" modos --do-pedido "$PEDIDO")"
+# RM-052: o --projeto dos argumentos extras vale tambem para ler o modo padrao do projeto certo.
+PROJETO=""
+anterior=""
+for a in "$@"; do
+  if [ "$anterior" = "--projeto" ]; then PROJETO="$a"; fi
+  case "$a" in --projeto=*) PROJETO="${a#--projeto=}" ;; esac
+  anterior="$a"
+done
+if [ -n "$PROJETO" ]; then
+  MODO="$("$ORK" --projeto "$PROJETO" modos --do-pedido "$PEDIDO")"
+else
+  MODO="$("$ORK" modos --do-pedido "$PEDIDO")"
+fi
 echo "modo de conducao lido do pedido: $MODO" >&2
 
 exec "$ORK" thread new "$NOME" --mode "$MODO" "$@"

package/adapters/hermes/bin/ork-brain.sh

@@ -1,4 +1,7 @@
 #!/bin/sh
 # Host routing only. Authenticated principal and grants belong to the transport.
 set -eu
+# RM-052 (D3): o cwd do gateway nao escolhe projeto. Sem --projeto <nome> (que passa em "$@"), o
+# nucleo usa o unico projeto conhecido da maquina ou devolve a escolha. ORK_PROJETO_EXPLICITO=0 desliga.
+export ORK_PROJETO_EXPLICITO="${ORK_PROJETO_EXPLICITO:-1}"
 exec "{{ork_bin}}" brain "$@"

package/adapters/hermes/bin/ork-maestro.sh

@@ -1,6 +1,9 @@
 #!/bin/sh
-# Somente leitura; cwd é o projeto do host. Argumentos continuam dados.
+# Somente leitura. Argumentos continuam dados.
 set -eu
+# RM-052 (D3): o cwd do gateway nao escolhe projeto. Sem --projeto <nome> (que passa em "$@"), o
+# nucleo usa o unico projeto conhecido da maquina ou devolve a escolha. ORK_PROJETO_EXPLICITO=0 desliga.
+export ORK_PROJETO_EXPLICITO="${ORK_PROJETO_EXPLICITO:-1}"
 # I-36 (D6): o adaptador declara o canal de conducao do Hermes; descreve a porta, nao da autoridade.
 export ORK_CANAL="${ORK_CANAL:-hermes}"
 exec "${ORK_BIN:-{{ork_bin}}}" maestro --json "$@"

package/adapters/hermes/bin/ork-network-roadmap.sh

@@ -0,0 +1,11 @@
+#!/bin/sh
+# RM-054 (fatia 2): o roadmap da rede, montado pelo nucleo (`ork network roadmap`): o status report
+# com as threads de todas as maquinas, as reservas, a fonte e a hora de cada parte e as lacunas.
+# Somente leitura; o Hermes transporta o texto como vem, sem reescrever. Argumentos continuam dados.
+set -eu
+export ORK_CANAL="${ORK_CANAL:-hermes}"
+# RM-052 (D3): o cwd do gateway nao escolhe projeto. Com ORK_PROJETO_EXPLICITO=1 o nucleo aceita no
+# --projeto (que passa em "$@") so o nome registrado ou a forja (github:dono/repo), e o projeto do
+# diretorio do gateway so entra se estiver no registro. ORK_PROJETO_EXPLICITO=0 desliga.
+export ORK_PROJETO_EXPLICITO="${ORK_PROJETO_EXPLICITO:-1}"
+exec "${ORK_BIN:-{{ork_bin}}}" network roadmap "$@"

package/adapters/hermes/bin/ork-roadmap-status.sh

@@ -0,0 +1,9 @@
+#!/bin/sh
+# RM-048 (item 7): o status report unico do roadmap, montado pelo nucleo. Somente leitura; o Hermes
+# transporta o texto como vem, sem reescrever. Argumentos continuam dados.
+set -eu
+export ORK_CANAL="${ORK_CANAL:-hermes}"
+# RM-052 (D3): o cwd do gateway nao escolhe projeto. Sem --projeto <nome> (que passa em "$@"), o
+# nucleo usa o unico projeto conhecido da maquina ou devolve a escolha. ORK_PROJETO_EXPLICITO=0 desliga.
+export ORK_PROJETO_EXPLICITO="${ORK_PROJETO_EXPLICITO:-1}"
+exec "${ORK_BIN:-{{ork_bin}}}" roadmap status "$@"

package/adapters/hermes/hermes.plugin.json

@@ -10,6 +10,8 @@
   ],
   "bin": {
     "ork_maestro": "./bin/ork-maestro.sh",
+    "ork_roadmap_status": "./bin/ork-roadmap-status.sh",
+    "ork_network_roadmap": "./bin/ork-network-roadmap.sh",
     "ork-abrir-thread": "./bin/ork-abrir-thread.sh",
     "ork_brain": "./bin/ork-brain.sh",
     "ork_gate_answer": "./bin/ork-hitl-answer.py",

package/adapters/hermes/hitl-ingress/__init__.py

@@ -23,11 +23,23 @@ NATIVE_COMMAND = re.compile(r'^/ork (offer|gate|session) ([a-zA-Z0-9][a-zA-Z0-9.
 # (GRAMATICA_DO_PULSE, core/src/pulse-resposta.ts) e um teste do nucleo confere que continuam
 # iguais. O codigo comeca por letra e tem digito: conversa comum nao tem esta forma, e ele
 # nunca se confunde com a resposta ao lote, que comeca pelo numero da pergunta.
-PULSE_CONSENT = re.compile(r'^[ \t]*(?=[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{0,2}[2-9])[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{3}[ \t]+[^\r\n]{1,40}$', re.IGNORECASE)
+PULSE_CONSENT = re.compile(r'^[ \t]*(?=[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{0,2}[2-9])[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{3}[ \t]+[^\r\n]{1,200}$', re.IGNORECASE)
 PULSE_LOTE = re.compile(r'^[ \t]*[0-9]{1,2}[ \t]*[a-zA-Z](?:[ \t,;]*[0-9]{1,2}[ \t]*[a-zA-Z])*[ \t]*[.!]?[ \t]*$')
 # I-50 (RM-039): a tag da cadencia do resumo, sozinha na mensagem. Comeca por '#': nunca se
 # confunde com as outras duas formas, e tag no meio de uma frase continua indo para o assistente.
 PULSE_CADENCIA = re.compile(r'^[ \t]*#OrkPulse(?:On(?:-(?:15|30|60)m)?|Off)[ \t]*[.!]?[ \t]*$', re.IGNORECASE)
+# RM-048 (D2 e D3): as formas do texto livre, geradas no nucleo do vocabulario fechado. `lista`
+# ("1. B, 2. aprovo") e interceptada sempre; `livre` ("sim", "aprovo", "a") so enquanto a janela
+# de escuta do nucleo estiver aberta: fora dela, a palavra vai ao assistente, como sempre foi. A
+# janela e dica de rota, nao prova: a mensagem ainda passa pela assinatura e pela regra do nucleo.
+PULSE_LISTA = re.compile(r'^[ \t]*[0-9]{1,2}(?:[ \t]*[.):-])?[ \t]*(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?)(?:[ \t\r\n,;]*[0-9]{1,2}(?:[ \t]*[.):-])?[ \t]*(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?))*[ \t]*(?:[.!][ \t]*)?$', re.IGNORECASE)
+PULSE_LIVRE = re.compile(r'^[ \t]*(?:[1-4]|(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?))[ \t]*(?:[.!]+[ \t]*)?$', re.IGNORECASE)
+# RM-048 (item 8): a linha do teclado do digest ("ratificar <thread> <assinatura> <classe>") vai ao
+# nucleo pelo mesmo endereco assinado; o agente nao escreve mais `--por` em nome do dono.
+PULSE_RATIFICACAO = re.compile(r'^[ \t]*ratificar(?:-lote)?(?:[ \t]+[A-Za-z0-9._-]{1,80}){2,3}[ \t]*$', re.IGNORECASE)
+# Texto acima disto nunca e testado contra as formas: elas rodam antes da allowlist.
+PULSE_TETO = 300
+ESCUTA_TETO = 4096
 # O endereco do pulse no corpo assinado: nem thread nem pedido. Quem traduz e o nucleo.
 PULSE_ALVO, PULSE_ENDERECO = 'pulse', 'resposta'
 CORE_TIMEOUT = 10
@@ -55,9 +67,30 @@ def _status(entry=None, replay=False):
             'effect': effect, 'confirmation': confirmation, 'replay': replay}
 
 
+def _escuta_aberta(root):
+    """Janela da palavra solta (ork.pulse-escuta/v1), lida com teto de bytes, sem seguir erro."""
+    try:
+        if not os.path.isabs(root):
+            return False
+        with open(os.path.join(root, '.orkastery', 'monitor', 'pulse-escuta.json'), 'rb') as f:
+            raw = f.read(ESCUTA_TETO + 1)
+        if len(raw) > ESCUTA_TETO:
+            return False
+        value = json.loads(raw)
+        until = value.get('livreAte') if isinstance(value, dict) and value.get('contrato') == 'ork.pulse-escuta/v1' else None
+        return (isinstance(until, str)
+                and datetime.fromisoformat(until.replace('Z', '+00:00')) > datetime.now(timezone.utc))
+    except Exception:
+        return False
+
+
 def _is_pulse(text):
-    return '\x00' not in text and bool(PULSE_CONSENT.fullmatch(text) or PULSE_LOTE.fullmatch(text)
-                                         or PULSE_CADENCIA.fullmatch(text))
+    if '\x00' in text or len(text) > PULSE_TETO:
+        return False
+    if (PULSE_CONSENT.fullmatch(text) or PULSE_LOTE.fullmatch(text) or PULSE_CADENCIA.fullmatch(text)
+            or PULSE_LISTA.fullmatch(text) or PULSE_RATIFICACAO.fullmatch(text)):
+        return True
+    return bool(PULSE_LIVRE.fullmatch(text)) and _escuta_aberta(os.environ.get('ORK_HITL_ROOT', ''))
 
 
 def _receipt_ok(receipt, operation, pedido):

package/adapters/hermes/skills/orkastery-devmaster/SKILL.md

@@ -8,9 +8,11 @@ license: MIT
 
 # Orkastery no Hermes
 
-Mensagem literal `orkastery maestro`: use `ork_maestro` (wrapper de `ork maestro --json`)
-para consultar panorama do projeto atual. Não abra thread por essa consulta. Apresente
-fontes/lacunas e próximas ações; ausência/ambiguidade de projeto exige contexto permitido.
+Consulte `ork experiencia show --json --projeto <nome>`. Se `experience` for true, leia `../<skill>/SKILL.md` conforme `skill`: `orchestration-experience-pt-br` ou `orchestration-experience`, ambas instaladas. Use idioma, fuso e profundidade efetivos; se false, não ative o pacote. Preferências não alteram permissões nem HMAC.
+
+Mensagem literal `orkastery maestro`: use `ork_maestro` (wrapper de `ork maestro --json`) para o panorama do projeto pedido; o nome dito pelo dono ("do orkastery") vai como `--projeto <nome>` (RM-052). Sem projeto nomeado, ofereça o panorama da rede: `ork_network_roadmap` (wrapper de `ork network roadmap`), com cada projeto conhecido, as threads de todas as máquinas, fontes, frescor e lacunas, transportado como vem (RM-054).
+Não abra thread por essa consulta. O gateway não tem diretório de projeto: `projeto.escolha` traz os candidatos; apresente-os e pergunte, nunca escolha pelo cwd.
+Apresente fontes/lacunas e próximas ações; ausência/ambiguidade de projeto exige contexto permitido; leia o cabeçalho "Projeto consultado" e o "Não lido" antes de responder.
 Em sessão de fase já despachada, siga o bloco recebido sem abrir outra orquestração.
 Ações usam os comandos tipados do núcleo com precondições e readback.
 
@@ -21,6 +23,7 @@ Sem ingresso no canal escolhido, conserve o pedido pendente e explique o motivo.
 Não altere runtime, provider, perfil filho ou sandbox para contornar falha.
 Horário para o dono sai no fuso dele (`owner.timezone`): use `prazoLocal` e os fatos
 `*Local` do JSON (ex.: `19/09 15:16 (horário de Brasília)`), nunca o ISO em UTC.
+Status do roadmap: `ork_network_roadmap` (`ork network roadmap --projeto <nome>`, ou `--projeto github:dono/repo` sem clone), com as threads de todas as máquinas, reservas, fonte e hora de cada parte e lacunas, texto como vem; `ork_roadmap_status` (`ork roadmap status --projeto <nome>`) é só desta máquina. Nunca relatório próprio nem dedução pelo board ou panorama: zero threads nunca é roadmap vazio, e lacuna ou "Não consultado" nunca vira "roadmap vazio" nem "nenhuma máquina publicou".
 
 ## O que esta skill e
 
@@ -28,10 +31,7 @@ O roteador do Orkastery dentro do Hermes, e **so isso**. Ela nao conduz fase por
 nao escreve codigo e nao guarda metodologia: ela traduz o pedido do builder em chamada de `ork`,
 mostra o que o `ork` respondeu e para nos gates.
 
-Antes desta skill, a skill devmaster do Hermes carregava a metodologia inteira em prosa e era ela
-quem "lembrava" das regras. Isso e exatamente a fragilidade que corroeu o Devmaster original:
-regra que existe so como texto e regra que ninguem verifica. **Agora a metodologia e executavel e
-mora no `ork`; aqui ficou o roteador.**
+A metodologia executável mora no núcleo `ork`; a entrada do host só roteia operações.
 
 ## Quando usar
 
@@ -97,10 +97,10 @@ ork ship <thread> --para main --autorizar-push "<quem>"
 ork master <thread>
 ```
 
-Quando o dono pedir estado do Company Brain, use o binário instalado `ork_brain` para
-`status`, `query` ou `get`. A identidade vem exclusivamente do login autenticado do
-OrkMind; nunca aceite principal, DSN ou raiz vindos da conversa. Consultas devem levar a
-thread explícita e continuar somente leitura.
+Quando o dono pedir estado do Company Brain, use o binário instalado `ork_brain` para `status`,
+`query`, `get`, `context` (pacote citável: fonte, frescor e lacunas; cite o `digest`) ou `dossie`
+(decisão com vínculo, alternativas, quem decidiu e evidência; resposta sem recibo vira lacuna).
+Identidade só do transporte autenticado, nunca principal, DSN ou raiz da conversa; thread explícita, só leitura.
 
 Cada `phase run` grava o prompt exato com sha256 e registra no ledger. O `ork` reverifica no
 runtime que a sessao existe: self-report de despacho nao vale como evidencia.
@@ -124,20 +124,19 @@ O nucleo monta e o Hermes so transporta: (1) UM resumo recorrente com as contage
 (3) com o sim, ate cinco objetivas a–d com uma recomendada, respondidas numa linha (`1a 2c 3b`).
 Decisao obvia chega tomada e informada no resumo (`ork decisao registrar`). Cadencia (I-50): so a tag na mensagem (`#OrkPulseOff` 8h, `#OrkPulseOn` 2h, `#OrkPulseOn-15m`, `-30m`, `-60m`); pedida no meio da frase, devolva a tag exata para o dono mandar sozinha.
 
-O plugin `orkastery-hitl` so registra esses tres formatos e `/ork gate|session <thread> <pedido> <resposta>`,
-em texto puro, da allowlist, com menos de 60 s. "1. Aprovado" em conversa **nao registra nada**:
-devolva na hora a linha exata, com o id atual de `ork gate request <thread>` (o id muda a cada
-renovacao). **Voce nunca responde pelo dono**: `ork gate answer` do terminal falha com
+O plugin `orkastery-hitl` registra essas formas, a resposta numerada em prosa curta (`1. B, 2. A`,
+`1 aprovo`), o codigo curto do gate (`DE6H a`, `DE6H detalhes`) e, so na janela curta depois da
+pergunta, a palavra solta (`aprovo`, `sim`, `a`); ambiguo volta como pergunta (RM-048). Pedido ao dono sai
+de `ork gate request <thread> --formato telegram`, com o codigo estavel; mande como vem. **Voce nunca responde pelo dono**: `ork gate answer` do terminal falha com
 `proveniencia em argv diverge do envelope`, e essa e a defesa funcionando.
 
-Quando o bloco nao pausa (`#Maestro`, `#Auto`, `#Fast`), o `ork` registra a decisao autonoma com quem
-decidiu, com que evidencia e por que. **O modo afrouxa a pausa, NUNCA a verificacao.**
+Quando o bloco nao pausa (`#Maestro`, `#Auto`, `#Fast`), o `ork` registra a decisao autonoma com quem decidiu, com que evidencia e por que. **O modo afrouxa a pausa, NUNCA a verificacao.**
 
 ## Passo 5: a entrega e o MASTER
 
-O MASTER fecha com POSTMORTEM tipado e indice derivado do ledger; ninguem digita nota para a fila
-andar. `ork master` mostra as entregas; `ork master --aceitar-omissao` aceita as pendentes com
-registro; a nota humana sobrescreve. `ork master --batch` saiu na I-43 (`master.fila-aposentada`).
+O MASTER fecha com POSTMORTEM tipado e indice derivado do ledger; `ork master --aceitar-omissao` aceita as
+pendentes com registro. Nota do dono: `ork master pedir <thread>` e mande a linha; ele responde `<codigo> 4 porque`
+e o ingresso prova a origem. Nunca `--por` em nome dele: daqui da `master.prova-de-canal` (RM-048).
 
 Memoria "degradada" tem dois portoes: a variavel da DSN no ambiente do processo
 (`memory_degraded` com `dsn.env-ausente`) e a ativacao de escrita com aceite humano

package/adapters/openclaw/README.md

@@ -2,7 +2,7 @@
 
 O OpenClaw recebe o Orkastery como uma **extensao** no formato 2026.7.1: um pacote com
 `package.json` (`openclaw.extensions: ["./dist/index.js"]`), um entry JS que registra as
-**21 tools `ork_*`** via `defineToolPlugin` do SDK do proprio OpenClaw, e o manifesto
+**27 tools `ork_*`** via `defineToolPlugin` do SDK do proprio OpenClaw, e o manifesto
 `openclaw.plugin.json` gerado (`id`, `activation`, `contracts.tools`). Cada tool e uma
 chamada de CLI do `ork`, sem regra de negocio no host.
 
@@ -58,13 +58,45 @@ fallback: usa `ORK_BIN` do ambiente ou o `ork` do PATH.
 | `ork_verify` / `ork_verify_baseline` | Reexecuta no HEAD real; grava a baseline antes do GO |
 | `ork_worktree_ensure` / `ork_worktree_audit` | Worktree isolada, conferida no proprio git |
 | `ork_portfolio_list` | Lista produtos, projetos e iniciativas canônicos |
+| `ork_brain_dossie` | Dossiê de decisão da thread no Company Brain, com vínculo, alternativas, quem decidiu e evidência (RM-026) |
 | `ork_gate_answer` | Resposta humana correlacionada a um gate |
 | `ork_session_answer` | Resposta humana correlacionada a uma sessão |
 | `ork_ship` | Merge serializado por lease e push provado contra o remoto |
 | `ork_master` | POSTMORTEM tipado e o score HUMANO de 0 a 5 |
-| `ork_board` | Escalonador: quem avanca agora e quem espera |
+| `ork_board` | As threads DESTE projeto e o escalonador; nao le o roadmap (zero threads nao e roadmap vazio) |
+| `ork_roadmap_status` | Status report do roadmap so desta maquina (`ork roadmap status`), transportado como vem |
+| `ork_network_roadmap` | Roadmap da rede (`ork network roadmap`): o status report com as threads de todas as maquinas, reservas, fonte e hora de cada parte e lacunas; a fonte do status do roadmap |
 | `ork_master_batch` | Todas as entregas, com o indice do ledger (`ork master --todas`; a fila de score saiu na I-43) |
 
+### O projeto de cada chamada (RM-052)
+
+Toda tool aceita `projeto`, o **nome** de um projeto registrado nesta maquina (`ork projetos`),
+nunca um caminho. Ele vai ao `ork` como `--projeto <nome>`. O adaptador declara
+`ORK_PROJETO_EXPLICITO=1`: o diretorio do gateway nao escolhe projeto. Sem `projeto` e com mais de
+um projeto conhecido, a resposta e a escolha tipada `projeto.escolha`, com os candidatos; com um
+so, vale ele. Toda resposta de `ork_maestro`, `ork_board` e `ork_roadmap_status` comeca dizendo o
+projeto consultado e o que nao foi lido.
+
+### O roadmap da rede (RM-054, fatia 2)
+
+`ork_network_roadmap` e a fonte de qualquer pergunta sobre o roadmap: uma chamada de
+`ork network roadmap`, com o status report do RM-048 e as threads de todas as maquinas, as
+reservas, a fonte e a hora de cada parte e as lacunas. A descricao manda transportar o texto como
+vem e nunca concluir "roadmap vazio" nem "nenhuma maquina publicou" a partir de lacuna ou de "Nao
+consultado". O `projeto` dela aceita o nome registrado ou a forja (`github:dono/repo`,
+`gitlab:grupo/repo`), para a maquina sem clone; caminho e URL recusam no host e no nucleo, e o
+nucleo so aceita a forja em `github.com`, `gitlab.com` ou no host de um projeto registrado. Sem
+`projeto`, vem o panorama de todos os projetos do registro, e e o que a frase `orkastery maestro`
+sem projeto oferece. O projeto do diretorio do gateway so entra se estiver no registro.
+
+Ela e a unica tool do catalogo declarada nos perfis `coding` e `messaging` do OpenClaw
+(`toolMetadata.ork_network_roadmap.profiles` no manifesto): com o perfil `coding`, o padrao do
+onboarding, as tools de plugin so chegam ao modelo quando o manifesto as declara no perfil ou o
+operador as libera. Sem isso o modelo nao ve tool `ork_*` nenhuma e vai ao `ork` pelo shell, como
+no incidente de 29/09. As outras tools continuam sob escolha do operador:
+`tools.alsoAllow: ["orkastery"]` no `openclaw.json` libera todas; allowlist e deny do operador
+sempre valem.
+
 ## A #TAG de conducao
 
 O manifesto novo do OpenClaw nao tem campo proprio para isso, entao a regra vive aqui e

package/adapters/openclaw/dist/hitl-ingress.js

@@ -2,6 +2,8 @@
 /** D12: this host is the `openclaw` channel, and the channel is signed, not labelled. */
 import { createHash, createHmac } from 'node:crypto';
 import { execFile } from 'node:child_process';
+import { readFileSync } from 'node:fs';
+import { isAbsolute, join } from 'node:path';
 /**
  * I-41 (GO-FIX 1): the two shapes of an answer to the pulse summary, typed with no slash and no
  * identifier: "P4EJ a" answers the summary and "1a 2c" answers the questions. The SAME sources
@@ -9,14 +11,46 @@ import { execFile } from 'node:child_process';
  * stay equal. The code starts with a letter and has a digit: ordinary chat never has this shape,
  * and it never reads as an answer to the batch, which starts with the question number.
  */
-const PULSE_CONSENT = new RegExp("^[ \\t]*(?=[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{0,2}[2-9])[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{3}[ \\t]+[^\\r\\n]{1,40}$", 'i');
+const PULSE_CONSENT = new RegExp("^[ \\t]*(?=[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{0,2}[2-9])[A-HJKMNP-TV-Z][2-9A-HJKMNP-TV-Z]{3}[ \\t]+[^\\r\\n]{1,200}$", 'i');
 const PULSE_LOTE = new RegExp("^[ \\t]*[0-9]{1,2}[ \\t]*[a-zA-Z](?:[ \\t,;]*[0-9]{1,2}[ \\t]*[a-zA-Z])*[ \\t]*[.!]?[ \\t]*$");
 /** I-50 (RM-039): the pulse cadence tag, alone in the message. It starts with '#', so it never reads as the other two. */
 const PULSE_CADENCIA = new RegExp("^[ \\t]*#OrkPulse(?:On(?:-(?:15|30|60)m)?|Off)[ \\t]*[.!]?[ \\t]*$", 'i');
 /** The pulse address inside the signed body: neither a thread nor a request. The core translates. */
 const PULSE_ALVO = 'pulse', PULSE_ENDERECO = 'resposta';
-export function isPulseAnswer(text) {
-    return !text.includes('\0') && (PULSE_CONSENT.test(text) || PULSE_LOTE.test(text) || PULSE_CADENCIA.test(text));
+/**
+ * RM-048 (D2 and D3): the free-text shapes, generated in the core from the closed vocabulary. `lista`
+ * ("1. B, 2. aprovo") is always claimed; `livre` ("sim", "aprovo", "a") only while the core's
+ * listening window is open: outside it, the word goes to the assistant, as it always did. The
+ * window is a routing hint, not proof: the message still goes through the signature and the core rule.
+ */
+const PULSE_LISTA = new RegExp("^[ \\t]*[0-9]{1,2}(?:[ \\t]*[.):-])?[ \\t]*(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?)(?:[ \\t\\r\\n,;]*[0-9]{1,2}(?:[ \\t]*[.):-])?[ \\t]*(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?))*[ \\t]*(?:[.!][ \\t]*)?$", 'i');
+const PULSE_LIVRE = new RegExp("^[ \\t]*(?:[1-4]|(?:[a-d]|pode seguir|pode ir|pode|sim|s|ok|aprovo|aprovado|aprovada|aprovar|aprova|segue|siga|seguir|manda|confirmo|confirmado|de acordo|agora n[aã]o|n[aã]o|n|recuso|recusado|recusar|reprovo|reprovado|revisar|revis[aã]o|refazer|volta|voltar|esperar|espera|aguardar|aguarda|aguarde|depois|mais tarde|detalhes?|evid[eê]ncias?))[ \\t]*(?:[.!]+[ \\t]*)?$", 'i');
+/** RM-048 (item 8): the digest keyboard line goes to the core at the same signed address. */
+const PULSE_RATIFICACAO = new RegExp("^[ \\t]*ratificar(?:-lote)?(?:[ \\t]+[A-Za-z0-9._-]{1,80}){2,3}[ \\t]*$", 'i');
+/** Text above this is never tested against the shapes: they run before the allowlist. */
+const PULSE_TETO = 300, ESCUTA_TETO = 4096;
+/** The bare-word window (ork.pulse-escuta/v1), read with a byte cap; any error closes it. */
+export function listeningOpen(root, now = Date.now()) {
+    try {
+        if (!root || !isAbsolute(root))
+            return false;
+        const raw = readFileSync(join(root, '.orkastery', 'monitor', 'pulse-escuta.json'));
+        if (raw.length > ESCUTA_TETO)
+            return false;
+        const value = JSON.parse(raw.toString('utf8'));
+        return value?.contrato === 'ork.pulse-escuta/v1' && typeof value.livreAte === 'string' && Date.parse(value.livreAte) > now;
+    }
+    catch {
+        return false;
+    }
+}
+export function isPulseAnswer(text, root = process.env.ORK_HITL_ROOT) {
+    if (text.includes('\0') || text.length > PULSE_TETO)
+        return false;
+    if (PULSE_CONSENT.test(text) || PULSE_LOTE.test(text) || PULSE_CADENCIA.test(text) || PULSE_LISTA.test(text) ||
+        PULSE_RATIFICACAO.test(text))
+        return true;
+    return PULSE_LIVRE.test(text) && listeningOpen(root);
 }
 export function registerHitlIngress(api, bin) {
     api.on('inbound_claim', async (event, ctx) => {