@orkastery/cli 0.5.0 → 0.5.3

package/adapters/openclaw/src/index.ts

@@ -189,6 +189,20 @@ const PROJETO_DA_REDE: ProjetoDaTool = {
   recusa: 'informe o NOME de um projeto de `ork projetos` (ex.: orkastery) ou github:dono/repo, nunca caminho nem URL',
 };
 
+/**
+ * RM-057 (fatia 2): a regra do HITL de conducao, a mesma frase dos adaptadores do Claude Code e do
+ * Codex (fatia 1). No OpenClaw o modelo so le as descricoes das tools: ela vai nas que recebem o
+ * pedido do dono (ork_modo_do_pedido), apresentam o panorama (ork_maestro) e despacham fase. Ensaio
+ * de 03/10: no perfil `coding` o modelo so ve as tools do `toolMetadata` (ork_network_roadmap e
+ * ork_network_status), entao a regra vai tambem nelas, sem ampliar o que o perfil expoe.
+ */
+const REGRA_HITL_DE_CONDUCAO =
+  'HITL de condução é seleção (RM-057): de 3 a 5 alternativas, exatamente uma com o selo "Recomendação". ' +
+  'Nunca peça ao dono um "confirmo" em texto livre nem que ele cole texto; o pedido que ele colou com autorização ' +
+  'explícita vale como instrução dele, dentro dessa autorização. Dúvida dentro da autorização vira `ork decisao registrar` ' +
+  'e a thread segue. Texto só quando a fábrica não consegue seguir sozinha e o dono precisa rodar um comando no terminal: ' +
+  'mostre o comando exato.';
+
 /** Catálogo em paridade nome a nome com o manifesto; aprovação genérica legada aposentada. */
 interface FerramentaOrk {
   name: string;
@@ -198,12 +212,14 @@ interface FerramentaOrk {
   entrada?: (params: Record<string, unknown>) => string;
   /** O `projeto` desta tool, quando nao e o da RM-052 (so nome). */
   projeto?: ProjetoDaTool;
+  /** RM-054 (fatia 3): a tool e da pessoa, nao de um projeto (`ork network status`); sem `projeto`. */
+  semProjeto?: true;
 }
 
 const FERRAMENTAS: FerramentaOrk[] = [
   {
     name: 'ork_maestro',
-    description: 'Ao receber a frase exata orkastery maestro: sem projeto nomeado, chame ork_network_roadmap sem projeto (o panorama da rede, com fontes, frescor e lacunas) e apresente-o como vem; com projeto nomeado, consulte este panorama somente leitura com projeto. Não cria thread. Apresente fontes, lacunas e HITL com recomendação e opções claras; horários para o dono vêm dos campos *Local (fuso do dono), nunca do ISO. O panorama NÃO lê o roadmap, as reservas nem as outras máquinas (veja notConsulted): zero threads nunca é roadmap vazio; para o roadmap use ork_network_roadmap. Ação posterior exige operação autorizada e readback.',
+    description: 'Ao receber a frase exata orkastery maestro: sem projeto nomeado, chame ork_network_roadmap sem projeto (o panorama da rede, com fontes, frescor e lacunas) e apresente-o como vem; com projeto nomeado, consulte este panorama somente leitura com projeto. Não cria thread. Apresente fontes, lacunas e HITL com recomendação e opções claras; horários para o dono vêm dos campos *Local (fuso do dono), nunca do ISO. O panorama NÃO lê o roadmap, as reservas nem as outras máquinas (veja notConsulted): zero threads nunca é roadmap vazio; para o roadmap use ork_network_roadmap. Ação posterior exige operação autorizada e readback. ' + REGRA_HITL_DE_CONDUCAO,
     parameters: { type: 'object', additionalProperties: false, properties: {
       thread: { type: 'string' }, section: { type: 'string', enum: ['portfolio','demands','threads','sessions','blockers','leases','retries','hitl','ship','master','nextActions'] },
       offset: { type: 'integer', minimum: 0, maximum: 100000 },
@@ -220,7 +236,7 @@ const FERRAMENTAS: FerramentaOrk[] = [
   },
   {
     name: 'ork_onboarding',
-    description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam em ~/.hermes/.env. Sync publica opcionalmente e relata degradação.',
+    description: 'Consulta a pauta do núcleo e registra respostas públicas. Credenciais somente como nomes de variáveis; valores ficam no ambiente do processo ou no cofre do host (no Hermes, ~/.hermes/.env). Sync publica opcionalmente e relata degradação.',
     parameters: {
       type: 'object', additionalProperties: false, required: ['acao'],
       properties: {
@@ -245,7 +261,7 @@ const FERRAMENTAS: FerramentaOrk[] = [
   {
     name: 'ork_modo_do_pedido',
     description:
-      'Le a #TAG de conducao do pedido do builder (#Classic, #Maestro, #Auto, #Fast) e devolve o modo. #TAG aposentada (#Look, #Ork) recebe recusa tipada modo.aposentado, com saida != 0, em vez de virar o default em silencio. Sem tag, devolve o conduction.default_mode do manifesto. Use SEMPRE este tool em vez de reconhecer a tag no host.',
+      'Le a #TAG de conducao do pedido do builder (#Classic, #Maestro, #Auto, #Fast) e devolve o modo. #TAG aposentada (#Look, #Ork) recebe recusa tipada modo.aposentado, com saida != 0, em vez de virar o default em silencio. Sem tag, devolve o conduction.default_mode do manifesto. Use SEMPRE este tool em vez de reconhecer a tag no host. ' + REGRA_HITL_DE_CONDUCAO,
     parameters: schema({
       pedido: { type: 'string', description: 'O texto inteiro do pedido do builder' },
     }),
@@ -281,12 +297,18 @@ const FERRAMENTAS: FerramentaOrk[] = [
   {
     name: 'ork_phase_run',
     description:
-      'Despacha uma fase (GOAL PLAN GO CHECK SHIP MASTER) pelo runtime adapter, gravando o prompt exato com sha256 no ledger.',
-    parameters: schema({
-      thread: { type: 'string' },
-      fase: { type: 'string', enum: ['GOAL', 'PLAN', 'GO', 'CHECK', 'SHIP', 'MASTER'] },
-      prompt: { type: 'string', description: 'O pedido do builder para esta fase' },
-    }),
+      'Despacha uma fase (GOAL PLAN GO CHECK SHIP MASTER) pelo runtime adapter, gravando o prompt exato com sha256 no ledger. ' +
+      REGRA_HITL_DE_CONDUCAO,
+    parameters: {
+      type: 'object', additionalProperties: false, required: ['thread', 'fase', 'prompt'],
+      properties: {
+        thread: { type: 'string' },
+        fase: { type: 'string', enum: ['GOAL', 'PLAN', 'GO', 'CHECK', 'SHIP', 'MASTER'] },
+        prompt: { type: 'string', description: 'O pedido do builder para esta fase' },
+        // RM-056: a conta do despacho; o nucleo recusa perfil inexistente, de outro runtime, esgotado ou sem login.
+        perfil: { type: 'string', description: 'id do perfil de conta (ork accounts list); omita para o rodizio do nucleo' },
+      },
+    },
     argv: (p) => [
       'phase',
       'run',
@@ -294,6 +316,7 @@ const FERRAMENTAS: FerramentaOrk[] = [
       texto(p, 'fase'),
       '--prompt',
       texto(p, 'prompt'),
+      ...(p.perfil === undefined ? [] : ['--perfil', texto(p, 'perfil')]),
     ],
   },
   {
@@ -458,12 +481,21 @@ const FERRAMENTAS: FerramentaOrk[] = [
   {
     name: 'ork_network_roadmap',
     description:
-      'Roadmap da rede, somente leitura: para cada projeto, o status report do roadmap (RM-048) com as threads de TODAS as máquinas, as reservas, as threads por máquina com a idade da batida, a fonte e a hora de cada parte e as lacunas. É a fonte para qualquer pergunta sobre o roadmap ou o status report: transporte o texto como vem, sem reescrever nem resumir. Passe projeto com o nome que o dono pediu (ex.: orkastery) ou github:dono/repo; sem projeto, vêm todos os projetos conhecidos, e esse é o panorama da frase orkastery maestro sem projeto. Lacuna, "não lido" e "Não consultado" são fontes que ficaram sem leitura: nunca conclua "roadmap vazio" nem "nenhuma máquina publicou" a partir delas.',
+      'Roadmap da rede, somente leitura: para cada projeto, o status report do roadmap (RM-048) com as threads de TODAS as máquinas, as reservas, as threads por máquina com a idade da batida, a fonte e a hora de cada parte e as lacunas. É a fonte para qualquer pergunta sobre o roadmap ou o status report: transporte o texto como vem, sem reescrever nem resumir. Passe projeto com o nome que o dono pediu (ex.: orkastery) ou github:dono/repo; sem projeto, vêm todos os projetos conhecidos, e esse é o panorama da frase orkastery maestro sem projeto. Lacuna, "não lido" e "Não consultado" são fontes que ficaram sem leitura: nunca conclua "roadmap vazio" nem "nenhuma máquina publicou" a partir delas. ' + REGRA_HITL_DE_CONDUCAO,
     parameters: schema({}),
     projeto: PROJETO_DA_REDE,
     // RM-054 (fatia 2): uma chamada de CLI; o `--projeto` vai no inicio e o nucleo o devolve ao `network`.
     argv: () => ['network', 'roadmap'],
   },
+  {
+    name: 'ork_network_status',
+    description:
+      'Status da Orkastery Network, somente leitura: as máquinas da pessoa (a casa privada na forja), com a batida de cada uma, a forja e o login, os runtimes e hosts com versão e os projetos que cada uma declara, mais a fonte e as lacunas. É a fonte para "quais máquinas eu tenho" e "qual máquina está parada": transporte o texto como vem. Lacuna e "Não consultado" são o que não foi lido: nunca conclua "nenhuma máquina" nem "rede vazia" a partir delas. Não lê roadmap nem threads: para isso, ork_network_roadmap. ' + REGRA_HITL_DE_CONDUCAO,
+    parameters: schema({}),
+    semProjeto: true,
+    // RM-054 (fatia 3): uma chamada de CLI; a rede e da pessoa e nao recebe `--projeto`.
+    argv: () => ['network', 'status'],
+  },
   {
     name: 'ork_master_batch',
     description:
@@ -475,6 +507,7 @@ const FERRAMENTAS: FerramentaOrk[] = [
 
 /** RM-052: toda tool aceita `projeto` opcional, sem mudar o que ela ja exigia. */
 function comProjeto(f: FerramentaOrk): Record<string, unknown> {
+  if (f.semProjeto) return f.parameters;
   const propriedades = (f.parameters.properties ?? {}) as Record<string, unknown>;
   const p = f.projeto;
   const projeto = p ? { type: 'string', pattern: p.padrao.source, description: p.descricao } : PARAMETRO_PROJETO;
@@ -484,6 +517,11 @@ function comProjeto(f: FerramentaOrk): Record<string, unknown> {
 /** `--projeto <nome>` vai no inicio do argv; o resto dos parametros segue para a tool como antes. */
 function argvComProjeto(f: FerramentaOrk, params: Record<string, unknown>): { argv: string[]; resto: Record<string, unknown> } {
   const { projeto, ...resto } = params;
+  if (f.semProjeto) {
+    // A tool sem `projeto` recusa o parametro em vez de ignora-lo: o modelo saberia que a rede veio filtrada.
+    if (projeto !== undefined) throw new Error('projeto.invalido');
+    return { argv: f.argv(resto), resto };
+  }
   if (projeto !== undefined && (typeof projeto !== 'string' || !(f.projeto ?? PROJETO_DA_RM052).padrao.test(projeto))) {
     throw new Error('projeto.invalido');
   }
@@ -494,7 +532,7 @@ const plugin = defineToolPlugin({
   id: 'orkastery',
   name: 'Orkastery',
   description:
-    'Conducao de looping threads em 6 fases pelo nucleo `ork`, exposta ao OpenClaw como tools `ork_*`. Zero regra de negocio no host: cada tool e uma chamada de CLI. Toda tool aceita projeto (nome do projeto pedido); o cwd do gateway nunca escolhe o projeto. O status do roadmap vem de ork_network_roadmap.',
+    'Conducao de looping threads em 6 fases pelo nucleo `ork`, exposta ao OpenClaw como tools `ork_*`. Zero regra de negocio no host: cada tool e uma chamada de CLI. Toda tool de projeto aceita projeto (nome do projeto pedido); o cwd do gateway nunca escolhe o projeto. O status do roadmap vem de ork_network_roadmap; as maquinas da pessoa, de ork_network_status (sem projeto).',
   tools: (tool) =>
     FERRAMENTAS.map((f) =>
       tool({
@@ -506,7 +544,7 @@ const plugin = defineToolPlugin({
           try { chamada = argvComProjeto(f, params); }
           catch (e) {
             if ((e as Error).message === 'projeto.invalido') {
-              return `[ork recusou] projeto.invalido: ${(f.projeto ?? PROJETO_DA_RM052).recusa}`;
+              return `[ork recusou] projeto.invalido: ${f.semProjeto ? 'esta tool é da rede da pessoa e não recebe projeto; chame sem projeto' : (f.projeto ?? PROJETO_DA_RM052).recusa}`;
             }
             return '[ork recusou] resposta humana não confirmada; confira origem e correlação do pedido';
           }

package/assets/orkmind_bridge.py

@@ -10,6 +10,7 @@ import math
 import os
 import re
 import sys
+from datetime import datetime, timezone
 
 
 class LegacyProvenanceCollision(ValueError):
@@ -370,6 +371,102 @@ async def health(store):
 ORK_COLLECTIONS = ('decision', 'handoff', 'rule', 'learning', 'roadmap')
 
 
+def no_universo(entry, tenant, agora=None):
+    """RM-038: o predicado unico do universo da busca (indice, vetor, FTS e status).
+
+    O search_by_tags governado ja tira expiradas e injection_risk; o search_by_text nao tira
+    injection_risk. O mesmo predicado vale nos dois caminhos, com o tenant conferido como item
+    de lista: texto nunca casa por substring. `agora` e o instante de ANTES da leitura: o que a
+    biblioteca devolveu como ativo continua ativo aqui, sem corrida de expiracao.
+    """
+    tags = getattr(entry, 'tags', None)
+    projeto = tags.get('project') if isinstance(tags, dict) else None
+    expira = getattr(entry, 'expires_at', None)
+    if expira is not None and expira.tzinfo is None:
+        expira = expira.replace(tzinfo=timezone.utc)
+    return (getattr(entry, 'collection', None) in ORK_COLLECTIONS
+            and isinstance(projeto, list) and tenant in projeto
+            and not getattr(entry, 'injection_risk', False)
+            and (expira is None or expira > (agora or datetime.now(timezone.utc))))
+
+
+async def ate_o_fim(contar, ler):
+    """RM-038: le com a janela da contagem mais um; janela cheia conta e le de novo uma vez.
+
+    Cheia so acontece com escrita concorrente entre a contagem e a leitura. Uma escrita isolada
+    se resolve na segunda leitura; cheia de novo, a resposta e falhar alto, nunca cortar.
+    """
+    for _ in range(2):
+        limite = await contar() + 1
+        lidas = await ler(limite)
+        if len(lidas) < limite:
+            return lidas
+    raise QueryError('memory.query.window-saturated')
+
+
+def universo_contract(request):
+    valid = isinstance(request, dict) and set(request) == {'op', 'tenant'}
+    tenant = request.get('tenant') if valid else None
+    if (not valid or request['op'] != 'universo' or not isinstance(tenant, str) or not tenant.strip()
+            or len(tenant) > 128 or re.search(r'[\x00-\x1f\x7f]', tenant) is not None):
+        raise QueryError('memory.universo.invalid')
+
+
+# Contagem SO de numeros: nenhuma coluna de conteudo sai da base por aqui. O tenant e o mesmo
+# predicado da leitura governada por tag (`tags @> {"project": [tenant]}`), que usa o indice de tags.
+FORA_DA_BUSCA_SQL = """
+    SELECT
+      count(*) FILTER (WHERE collection = ANY(%s) AND injection_risk
+                         AND (expires_at IS NULL OR expires_at > now())) AS injecao,
+      count(*) FILTER (WHERE collection = ANY(%s) AND expires_at IS NOT NULL AND expires_at <= now()) AS expiradas,
+      count(*) FILTER (WHERE NOT (collection = ANY(%s))) AS outras_colecoes
+    FROM memories
+    WHERE tags @> jsonb_build_object('project', jsonb_build_array(%s::text))
+"""
+
+
+async def contar_fora_da_busca(store, tenant):
+    """RM-038: quantas entradas do tenant ficam fora do universo e por que.
+
+    A API governada nao devolve o que filtra; a contagem le a tabela pela conexao do adapter
+    pgvector (o mesmo acesso do lock de add e handoff), so com count(*). Em outro backend a
+    contagem nao e medida e volta None.
+    """
+    if getattr(getattr(store, 'capabilities', None), 'backend', None) != 'pgvector':
+        return None
+    conn = await store.inner._get_conn()
+    colecoes = list(ORK_COLLECTIONS)
+    cur = await conn.execute(FORA_DA_BUSCA_SQL, (colecoes, colecoes, colecoes, tenant))
+    linha = await cur.fetchone()
+    return {'injecao': int(linha['injecao']), 'expiradas': int(linha['expiradas']),
+            'outrasColecoes': int(linha['outras_colecoes'])}
+
+
+async def universo(request, store):
+    """RM-038: o universo da busca do tenant, lido ate o fim, uma leitura governada por colecao.
+
+    O tenant e filtro na origem: texto de outro tenant nunca sai da base por aqui. A janela e a
+    colecao inteira mais um (ate_o_fim). Entrada fora do predicado e violacao. O vetor gravado na
+    base nao viaja: o ork nao o usa.
+    """
+    tenant = request['tenant']
+    agora = datetime.now(timezone.utc)
+    entradas = []
+    for colecao in ORK_COLLECTIONS:
+        async def contar(colecao=colecao):
+            return await store.count(colecao)
+        async def ler(limite, colecao=colecao):
+            return await store.search_by_tags({'project': [tenant]}, collection=colecao, limit=limite)
+        lidas = await ate_o_fim(contar, ler)
+        if any(e.collection != colecao or not no_universo(e, tenant, agora) for e in lidas):
+            raise QueryError('memory.query.scope-violation')
+        entradas.extend(lidas)
+    if len({e.id for e in entradas}) != len(entradas):
+        raise QueryError('memory.query.scope-violation')
+    return {'entradas': [e.model_dump(mode='json', exclude={'embedding'}) for e in entradas],
+            'foraDaBusca': await contar_fora_da_busca(store, tenant)}
+
+
 def fts_contract(request):
     valid = isinstance(request, dict) and set(request) == {'op', 'tenant', 'texto'}
     def text(value, maximum):
@@ -379,14 +476,16 @@ def fts_contract(request):
 
 
 async def fts(request, store):
-    """FTS da biblioteca (I-38 D9) com fronteira de tenant obrigatoria: devolve so ids, na ordem do ranking."""
+    """FTS da biblioteca (I-38 D9) restrito ao universo da busca (RM-038): so ids, na ordem do ranking."""
     # A janela cobre a base inteira: ausencia so conta quando nada ficou de fora do corte.
-    limit = await store.count() + 1
-    entries = await store.search_by_text(request['texto'], limit=limit)
-    if len(entries) >= limit:
-        raise QueryError('memory.query.window-saturated')
-    return {'ids': [e.id for e in entries if e.collection in ORK_COLLECTIONS
-                    and request['tenant'] in (e.tags or {}).get('project', [])]}
+    agora = datetime.now(timezone.utc)
+    async def contar():
+        return await store.count()
+    async def ler(limite):
+        return await store.search_by_text(request['texto'], limit=limite)
+    entries = await ate_o_fim(contar, ler)
+    # O search_by_text alcanca injection_risk; o universo nao. Mesmo predicado do indice.
+    return {'ids': [e.id for e in entries if no_universo(e, request['tenant'], agora)]}
 
 
 async def execute(request, store):
@@ -403,6 +502,9 @@ async def execute(request, store):
     if op == 'fts':
         fts_contract(request)
         return await fts(request, store)
+    if op == 'universo':
+        universo_contract(request)
+        return await universo(request, store)
     if op == 'query':
         tags, collection, limit = query_contract(request)
         # GovernedStore conserva validade, anti-injection e visibilidade existentes.
@@ -417,8 +519,12 @@ async def execute(request, store):
         return [e.model_dump(mode='json') for e in entries]
     if op == 'export':
         collection = request['collection']
-        count = await store.count(collection)
-        entries = await store.search_by_tags({}, collection=collection, limit=count + 1)
+        async def contar():
+            return await store.count(collection)
+        async def ler(limite):
+            return await store.search_by_tags({}, collection=collection, limit=limite)
+        # RM-038: le ate o fim; janela cheia de novo e falha alta, nunca corte em silencio.
+        entries = await ate_o_fim(contar, ler)
         return [e.model_dump(mode='json') for e in entries]
     if op == 'get':
         entry = await store.retrieve(request['id'])
@@ -538,6 +644,8 @@ async def main(request):
         health_contract(request)
     if isinstance(request, dict) and request.get('op') == 'fts':
         fts_contract(request)
+    if isinstance(request, dict) and request.get('op') == 'universo':
+        universo_contract(request)
     native_schema_fields()
     from orkmind.core.config import OrkMindConfig
     from orkmind.store.factory import create_store

package/dist/adapters/claude-bg.js

@@ -66,11 +66,13 @@ exports.parar = parar;
 exports.pararAchada = pararAchada;
 exports.acharSessaoNasContas = acharSessaoNasContas;
 exports.ocupacaoDeContexto = ocupacaoDeContexto;
+const horario_1 = require("../horario");
 const util_1 = require("../util");
 const runtime_ambiente_1 = require("../runtime-ambiente");
 const path = __importStar(require("node:path"));
 const runtime_context_1 = require("../runtime-context");
 const runtime_profiles_1 = require("../runtime-profiles");
+const mcp_grafo_1 = require("../mcp-grafo");
 function exec(cmd, args, cwd, timeoutMs, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     return (0, util_1.exec)(cmd, args, cwd, timeoutMs, ambiente);
 }
@@ -107,8 +109,14 @@ const MUTACOES_WORKTREE = [
     'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_claim_add', 'mcp__orkastery__ork_decision_record',
     'mcp__orkastery__ork_git_commit', 'mcp__orkastery__ork_verify', 'mcp__orkastery__ork_ship',
 ];
+/**
+ * RM-031 KG5 (D7): as consultas do grafo, de leitura, so com a flag do manifesto da raiz; sem ela, nada muda.
+ * Montada na chamada: o `mcp-grafo` chega a este modulo pelo `mcp-git`, e no ciclo de imports o valor pode
+ * ainda nao existir quando este modulo carrega.
+ */
+const consultasDoGrafoMcp = () => mcp_grafo_1.TOOLS_DO_GRAFO.map((nome) => `mcp__orkastery__${nome}`);
 /** Regras nativas de arquivo, nao sandbox de processos. Edit tambem cobre Write. */
-function permissoesDaWorktree(cwd, permiteEditarProduto) {
+function permissoesDaWorktree(cwd, permiteEditarProduto, consultas) {
     if (!path.isAbsolute(cwd) || cwd === '/' || path.normalize(cwd) !== cwd || !/^[A-Za-z0-9_./-]+$/.test(cwd))
         throw Error('runtime.context.permissions: worktree contem caracteres ambiguos para regras nativas; use caminho sem glob, espacos ou delimitadores');
     const absoluto = '/' + cwd; // Claude exige // para caminho absoluto.
@@ -117,7 +125,7 @@ function permissoesDaWorktree(cwd, permiteEditarProduto) {
         for (const prefixo of [`${absoluto}/${nome}`, `${absoluto}/**/${nome}`])
             deny.push(`Edit(${prefixo})`, `Edit(${prefixo}/**)`);
     }
-    return { allow: [...CONSULTAS_MCP, 'mcp__orkastery__ork_git_status', ...MUTACOES_WORKTREE, ...(permiteEditarProduto ? [`Edit(${absoluto}/**)`] : [])], deny };
+    return { allow: [...consultas, 'mcp__orkastery__ork_git_status', ...MUTACOES_WORKTREE, ...(permiteEditarProduto ? [`Edit(${absoluto}/**)`] : [])], deny };
 }
 /** O runtime esta disponivel nesta maquina? */
 function disponivel() {
@@ -152,13 +160,14 @@ function montarComando(pedido) {
         if (pedido.contextoRuntime.host !== 'claude-code')
             throw Error('runtime.context.invalid: host Claude esperado');
         const contexto = (0, runtime_context_1.validarContextoRuntime)(pedido.contextoRuntime, pedido.cwd);
+        const consultas = [...CONSULTAS_MCP, ...(contexto.grafoMcp ? consultasDoGrafoMcp() : [])];
         // Somente o servidor gerado: nao mesclar MCP de outros escopos nesta sessao filha.
         const permissoes = contexto.permissoesFilho === 'worktree'
-            ? permissoesDaWorktree(pedido.cwd, contexto.permiteEditarProduto && !plano) : null;
+            ? permissoesDaWorktree(pedido.cwd, contexto.permiteEditarProduto && !plano, consultas) : null;
         // PLAN não implementa: nem commit, nem claim, nem verify, nem ship, em nenhum perfil. Decidir não é
         // implementar, e o PLAN é onde as decisões nascem (RM-037, achado S7 do CHECK): a decisão autônoma fica.
-        const allow = plano ? [...CONSULTAS_MCP, 'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_decision_record']
-            : permissoes?.allow ?? [...CONSULTAS_MCP];
+        const allow = plano ? [...consultas, 'mcp__orkastery__ork_artifact_write', 'mcp__orkastery__ork_decision_record']
+            : permissoes?.allow ?? consultas;
         const deny = [...(plano ? ESCRITA_DE_ARQUIVO : []), ...(permissoes?.deny ?? [])];
         args.push('--plugin-dir', contexto.instalacao, '--strict-mcp-config', '--mcp-config', JSON.stringify({ mcpServers: { orkastery: contexto.servidor } }), '--allowedTools', allow.join(','));
         if (deny.length)
@@ -189,12 +198,18 @@ function extrairSessionId(saida) {
 function listarSessoes(cwd, todas = false, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     return consultarSessoes(cwd, todas, ambiente).sessoes;
 }
-/** Falha de consulta não pode ser confundida com uma máquina sem sessões. */
+/**
+ * Falha de consulta não pode ser confundida com uma máquina sem sessões. O binário ausente segue
+ * falha aqui (o observador e o pulse não concluem nada dele); só o inventário o trata como fonte
+ * ausente, com a correção.
+ */
 function consultarSessoes(cwd, todas = false, ambiente = (0, runtime_ambiente_1.ambienteDeAssinatura)()) {
     const args = ['agents', '--json'];
     if (todas)
         args.push('--all');
     const r = exec('claude', args, undefined, 60000, ambiente);
+    if (r.error === 'ENOENT')
+        return { ok: false, ausente: true, sessoes: [], detalhe: 'binário `claude` fora do PATH' };
     if (!r.ok)
         return { ok: false, sessoes: [], detalhe: `claude agents falhou (código ${r.code})` };
     let dados;
@@ -413,12 +428,25 @@ function casarDuracao(texto, agoraMs) {
 }
 const MESES = ['jan', 'feb', 'mar', 'apr', 'may', 'jun', 'jul', 'aug', 'sep', 'oct', 'nov', 'dec'];
 /**
- * N5: data e hora de relogio local nas formas reais. Codex: `or try again at Sep 22nd, 2026 3:05 PM`
+ * RM-037 (fatia 5): o fuso IANA entre parenteses logo depois da hora (`resets 4:40am (<Area>/<Cidade>)`),
+ * quando o Intl o aceita. O nome vem do texto do runtime; nenhum nome literal de fuso mora aqui (I-35).
+ */
+function fusoDito(texto, depois) {
+    const m = /^\s*\(([A-Za-z][A-Za-z0-9_+-]*(?:\/[A-Za-z0-9_+-]+)*)\)/.exec(texto.slice(depois));
+    return m ? (0, horario_1.normalizarFuso)(m[1]) : undefined;
+}
+/** A data do dia seguinte no calendario (mes de 1 a 12), sem passar por fuso nenhum. */
+function diaSeguinte(ano, mes, dia) {
+    const d = new Date(Date.UTC(ano, mes - 1, dia + 1));
+    return [d.getUTCFullYear(), d.getUTCMonth() + 1, d.getUTCDate()];
+}
+/**
+ * N5: data e hora de relogio nas formas reais. Codex: `or try again at Sep 22nd, 2026 3:05 PM`
  * (`%b %-d` com sufixo ordinal, `, %Y %-I:%M %p`). Claude Code, quando o reset passa de 24 h:
  * `resets Sep 22, 3pm (<nome IANA do fuso>)` e, em outro ano, `resets Sep 22, 2027, 3:05pm`. Sem ano,
- * vale o ano corrente, ou o seguinte quando a data ja ficou mais de um dia para tras. O fuso entre
- * parenteses nao entra na regex nem no calculo (a hora e lida no relogio desta maquina), e por isso
- * fica como placeholder: o nome literal de fuso mora so em `core/src/horario.ts` (I-35).
+ * vale o ano corrente, ou o seguinte quando a data ja ficou mais de um dia para tras. RM-037 (fatia 5):
+ * com o fuso entre parenteses, a hora e a desse fuso (`fusoDito`); sem ele, ou com um nome que o Intl
+ * recusa, a hora e lida no relogio desta maquina, como antes. `agoraMs` e a ancora: o instante da mensagem.
  */
 function casarData(texto, agoraMs) {
     const m = texto.match(/(?:try again at|reset[a-z]*(?:\s+at)?)\s+(jan|feb|mar|apr|may|jun|jul|aug|sep|oct|nov|dec)[a-z]*\.?\s+(\d{1,2})(?:st|nd|rd|th)?,?\s*(?:(\d{4}),?\s*)?(?:at\s+)?(\d{1,2})(?::(\d{2}))?\s*([ap]\.?m\.?)?(?![a-z0-9])/i);
@@ -435,6 +463,16 @@ function casarData(texto, agoraMs) {
         hora = 0;
     if (dia < 1 || dia > 31 || hora > 23 || minuto > 59)
         return null;
+    const fuso = fusoDito(texto, (m.index ?? 0) + m[0].length);
+    if (fuso) {
+        const ano = m[3] !== undefined ? Number(m[3]) : Number((0, horario_1.partesLocais)(agoraMs, fuso).ano);
+        let alvo = (0, horario_1.instanteNoFuso)(ano, mes + 1, dia, hora, minuto, fuso);
+        if (!Number.isFinite(alvo))
+            return null;
+        if (m[3] === undefined && alvo < agoraMs - 24 * 3600 * 1000)
+            alvo = (0, horario_1.instanteNoFuso)(ano + 1, mes + 1, dia, hora, minuto, fuso);
+        return Number.isFinite(alvo) ? { resetEm: new Date(alvo).toISOString(), trecho: m[0].trim() } : null;
+    }
     const base = new Date(agoraMs);
     const ano = m[3] !== undefined ? Number(m[3]) : base.getFullYear();
     const alvo = new Date(ano, mes, dia, hora, minuto, 0, 0);
@@ -458,7 +496,17 @@ function casarRelogio(texto, agoraMs) {
         hora = 0;
     if (hora > 23 || minuto > 59)
         return null;
-    // Proxima ocorrencia daquela hora de relogio a partir de agora, no fuso da maquina.
+    // RM-037 (fatia 5): a proxima ocorrencia daquela hora depois da ancora, no fuso dito pelo runtime.
+    const fuso = fusoDito(texto, (m.index ?? 0) + m[0].length);
+    if (fuso) {
+        const p = (0, horario_1.partesLocais)(agoraMs, fuso);
+        let alvo = (0, horario_1.instanteNoFuso)(Number(p.ano), Number(p.mes), Number(p.dia), hora, minuto, fuso);
+        if (alvo <= agoraMs)
+            alvo = (0, horario_1.instanteNoFuso)(...diaSeguinte(Number(p.ano), Number(p.mes), Number(p.dia)), hora, minuto, fuso);
+        if (Number.isFinite(alvo))
+            return { resetEm: new Date(alvo).toISOString(), trecho: m[0].trim() };
+    }
+    // Sem fuso dito: a proxima ocorrencia daquela hora de relogio a partir da ancora, no fuso da maquina.
     const base = new Date(agoraMs);
     const alvo = new Date(base.getFullYear(), base.getMonth(), base.getDate(), hora, minuto, 0, 0);
     if (alvo.getTime() <= agoraMs)

package/dist/adapters/codex.js

@@ -174,9 +174,10 @@ function consultarRollouts(todas = false, casa = casaDoCodex()) {
                     continue;
                 try {
                     const fd = fs.openSync(arquivo, 'r');
-                    let primeira, cauda;
+                    let primeira, cauda, atividadeEm;
                     try {
-                        const tamanho = fs.fstatSync(fd).size;
+                        const st = fs.fstatSync(fd), tamanho = st.size;
+                        atividadeEm = st.mtimeMs;
                         const cab = Buffer.alloc(Math.min(tamanho, 65536));
                         fs.readSync(fd, cab, 0, cab.length, 0);
                         primeira = cab.toString('utf8').split('\n')[0];
@@ -207,7 +208,7 @@ function consultarRollouts(todas = false, casa = casaDoCodex()) {
                         catch { /* primeira/última linha do recorte pode estar parcial */ }
                     }
                     if (todas || state !== 'completed')
-                        sessoes.push({ sessionId: p.id, cwd: p.cwd, state, kind: 'codex-rollout' });
+                        sessoes.push({ sessionId: p.id, cwd: p.cwd, state, kind: 'codex-rollout', atividadeEm });
                 }
                 catch {
                     falhar(arquivo, 'leitura ou metadados inválidos ou duplicados');

package/dist/agents-md.js

@@ -60,6 +60,7 @@ Projeto: **${seguro(manifesto.project.name)}** (${seguro(manifesto.project.abbre
 - Edite produto somente na worktree vinculada; estado em \`.orkastery/\` pertence ao núcleo.
 - PLAN não implementa. GO usa commits atômicos. CHECK não corrige. SHIP acontece por \`ork ship\`.
 - Toda alegação exige claim e comando reproduzível; self-report não é evidência.
+- MASTER por omissão só da sua thread: \`ork master <thread> --aceitar-omissao\`; sem a thread, fecha também as entregas de outras frentes.
 ${comandos.length ? `\nVerificações do manifesto:\n\n${comandos.join('\n')}\n` : ''}
 Este bloco é mantido por \`ork init\`. Edite livremente o restante do arquivo.
 ${exports.FIM_AGENTS_ORK}`;

package/dist/auditrun.js

@@ -798,7 +798,7 @@ function textoDaRodada(raiz, id) {
     L.push('');
     if (r.veredito) {
         L.push(`  Claims do auditor: ${r.veredito.ok ? 'SUSTENTADAS' : 'REPROVADAS'} ` +
-            `(motivos: ${r.veredito.motivos.join(', ') || 'nenhum'}) no HEAD ${r.veredito.commit.slice(0, 8)}`);
+            `(motivos: ${r.veredito.motivos.join(', ') || 'nenhum'}) no HEAD ${(0, util_1.shaCurto)(r.veredito.commit)}`);
     }
     else {
         L.push(`  Claims do auditor: NAO verificadas. Rode: ork audit verify ${r.id}`);
@@ -893,13 +893,14 @@ function abrirThreadDoAchado(carregado, achadoId, opcoes = {}) {
         };
     }
     const modo = opcoes.modo ?? manifesto.conduction.default_mode;
-    const { thread, gravada } = (0, thread_1.novaThread)(carregado, {
+    const { thread, gravada, worktreePor, worktreeFalharia } = (0, thread_1.novaThread)(carregado, {
         nome: opcoes.nome ?? achado.titulo,
         modo,
         slug: opcoes.slug,
         assunto: opcoes.assunto,
         worktree: opcoes.worktree ?? null,
         criarWorktree: opcoes.criarWorktree,
+        origemDaWorktree: opcoes.origemDaWorktree,
         dryRun: opcoes.dryRun,
         variante: opcoes.variante ?? null,
     });
@@ -909,6 +910,8 @@ function abrirThreadDoAchado(carregado, achadoId, opcoes = {}) {
             achado,
             thread,
             pedido,
+            worktreePor,
+            worktreeFalharia,
             motivo: null,
             detalhe: 'simulacao (--dry-run): nenhuma thread e nenhum carimbo no board foram gravados',
             correcao: '',
@@ -968,6 +971,7 @@ function abrirThreadDoAchado(carregado, achadoId, opcoes = {}) {
         achado,
         thread,
         pedido,
+        worktreePor,
         motivo: achado.claim.estado === 'nao-verificavel' ? 'claims.unverifiable' : null,
         detalhe: achado.claim.estado === 'nao-verificavel'
             ? `AVISO: a claim ${achado.claim.id} do achado nao tem comando de verificacao (motivo tipado claims.unverifiable, que avisa e nao bloqueia)`

package/dist/board.js

@@ -60,7 +60,7 @@ exports.textoDoBoard = textoDoBoard;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const adapter = __importStar(require("./adapters/claude-bg"));
-const hitl_1 = require("./hitl");
+const sessoes_contas_1 = require("./sessoes-contas");
 const leases_1 = require("./leases");
 const ledger_1 = require("./ledger");
 const manifest_1 = require("./manifest");
@@ -102,28 +102,30 @@ function threadsDeTodosOsPerfis(carregado, todos = true) {
     const saida = [];
     for (const perfil of perfis) {
         const fila = (0, leases_1.lerFila)(perfil.raiz);
+        // RM-036 (D7): uma listagem por perfil. Por thread, a leitura do legado das worktrees se repetiria.
+        // I-36: a conducao (`exec:`) tem secao propria; o escalonador segue contando so os leases de escrita.
+        const ativos = (0, leases_1.listarLeases)(perfil.raiz).filter((l) => !(0, leases_1.expirado)(l) && (0, leases_1.tipoDoLease)(l.nome) !== 'exec');
         for (const id of (0, thread_1.listarIds)(perfil.raiz)) {
             const thread = (0, thread_1.lerThread)(perfil.raiz, id);
             saida.push({
                 perfil: perfil.nome,
                 raiz: perfil.raiz,
                 thread,
-                // I-36: a conducao (`exec:`) tem secao propria; o escalonador segue contando so os leases de escrita.
-                leases: (0, leases_1.leasesDaThread)(perfil.raiz, id).filter((l) => (0, leases_1.tipoDoLease)(l.nome) !== 'exec').map((l) => l.nome),
+                leases: [...new Set(ativos.filter((l) => l.thread === id).map((l) => l.nome))],
                 naFila: fila.filter((p) => p.thread === id),
             });
         }
     }
     return saida;
 }
-/** Estados de sessao do runtime, ou null quando ele nao pode ser consultado. */
-function estadosDeSessao() {
+/**
+ * Estados de sessao do runtime, ou null quando ele nao pode ser consultado. RM-056 (D7): de todas
+ * as contas (a do processo e cada perfil do store), com o fantasma fora da vaga e o codex vivo.
+ */
+function estadosDeSessao(raiz = null, staleMin) {
     if (!adapter.disponivel())
         return null;
-    return new Map(adapter
-        .listarSessoes()
-        .filter((s) => !!s.sessionId)
-        .map((s) => [s.sessionId, (0, hitl_1.estadoBruto)(s)]));
+    return (0, sessoes_contas_1.estadosNasContas)(raiz, { staleMin });
 }
 /**
  * RM-037 (rm037defeito, defeito 3): o portao de vaga do `ork phase run`. Com `max_parallel_threads: 5`,
@@ -210,7 +212,7 @@ function planejar(carregado, opcoes = {}) {
     const max = Math.max(1, manifesto.concurrency.max_parallel_threads);
     const staleMin = manifesto.concurrency.stale_after_min;
     const quando = opcoes.agora ?? (0, util_1.agora)();
-    const estados = opcoes.estados === undefined ? estadosDeSessao() : opcoes.estados;
+    const estados = opcoes.estados === undefined ? estadosDeSessao(raiz, staleMin) : opcoes.estados;
     const fila = (0, leases_1.lerFila)(raiz);
     // I-36: a conducao (`exec:`) nao entra na conta de vagas: a ocupacao da sessao ja sai do ledger
     // e do runtime (`avaliarOcupacao`), e conta-la de novo mudaria o escalonador.
@@ -231,7 +233,7 @@ function planejar(carregado, opcoes = {}) {
         if (t.status === 'fechada' || (0, sessoes_adopt_1.ehRegistroDeAdocao)(t))
             continue;
         const oc = ocupacoes.get(t.id);
-        const meus = ativos.filter((l) => l.thread === t.id).map((l) => l.nome);
+        const meus = [...new Set(ativos.filter((l) => l.thread === t.id).map((l) => l.nome))];
         const ocupa = oc.ocupaVaga || (meus.length > 0 && oc.classe === 'ociosa');
         if (!ocupa)
             continue;
@@ -254,7 +256,7 @@ function planejar(carregado, opcoes = {}) {
     for (const t of threads) {
         if (emAndamento.has(t.id))
             continue;
-        const meus = ativos.filter((l) => l.thread === t.id).map((l) => l.nome);
+        const meus = [...new Set(ativos.filter((l) => l.thread === t.id).map((l) => l.nome))];
         if (t.status === 'fechada') {
             vagas.push({
                 thread: t.id,
@@ -286,7 +288,7 @@ function planejar(carregado, opcoes = {}) {
                 situacao: 'pausada',
                 motivo: 'human.pending',
                 detalhe: oc.detalhe,
-                correcao: `ork gate request ${t.id}`,
+                correcao: oc.correcao ?? `ork gate request ${t.id}`,
                 leases: meus,
             });
             continue;
@@ -385,7 +387,7 @@ function devolverVagas(carregado, opcoes = {}) {
     const { raiz, manifesto } = carregado;
     const staleMin = manifesto.concurrency.stale_after_min;
     const quando = opcoes.agora ?? (0, util_1.agora)();
-    const estados = opcoes.estados === undefined ? estadosDeSessao() : opcoes.estados;
+    const estados = opcoes.estados === undefined ? estadosDeSessao(raiz, staleMin) : opcoes.estados;
     const quem = opcoes.por ?? 'escalonador (ork board reap)';
     const devolvidas = [];
     for (const id of (0, thread_1.listarIds)(raiz)) {