@orkastery/cli 0.5.3 → 0.5.6

package/dist/manifest.js

@@ -37,7 +37,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.EMBEDDING_PADRAO = exports.LIMITE_MANIFESTO_BYTES = exports.DIR_ESTADO = exports.NOME_MANIFESTO_LEGADO = exports.NOME_MANIFESTO = void 0;
+exports.EMBEDDING_PADRAO = exports.TETO_MAXIMO_DE_CUSTO_USD = exports.TETO_MAXIMO_DE_TEAMMATES = exports.LIMITE_MANIFESTO_BYTES = exports.DIR_ESTADO = exports.NOME_MANIFESTO_LEGADO = exports.NOME_MANIFESTO = void 0;
 exports.fixarDiretorioDoProjeto = fixarDiretorioDoProjeto;
 exports.diretorioDoProjeto = diretorioDoProjeto;
 exports.acharRaiz = acharRaiz;
@@ -45,6 +45,8 @@ exports.dirEstado = dirEstado;
 exports.validarOptInPlaybook = validarOptInPlaybook;
 exports.configDeEmbedding = configDeEmbedding;
 exports.carregarManifesto = carregarManifesto;
+exports.cliDaMemoriaValido = cliDaMemoriaValido;
+exports.comandosDoTextoDoManifesto = comandosDoTextoDoManifesto;
 exports.exigirManifesto = exigirManifesto;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
@@ -59,6 +61,8 @@ const horario_1 = require("./horario");
 const experiencia_1 = require("./experiencia");
 const runtime_ambiente_1 = require("./runtime-ambiente");
 const orkmind_1 = require("./orkmind");
+const locale_1 = require("./locale");
+const branch_de_estado_1 = require("./branch-de-estado");
 exports.NOME_MANIFESTO = 'orkastery.yaml';
 exports.NOME_MANIFESTO_LEGADO = 'devmaster.yaml';
 exports.DIR_ESTADO = '.orkastery';
@@ -91,7 +95,12 @@ function acharRaiz(dirInicial = diretorioDoProjeto()) {
 }
 /** Caminho do diretorio de estado da raiz informada. */
 function dirEstado(raiz) {
-    return path.join(raiz, exports.DIR_ESTADO);
+    // RM-047 (fronteira de confiança): `.orkastery` versionado como link levaria o estado para fora da raiz.
+    const dir = path.join(raiz, exports.DIR_ESTADO);
+    if (fs.lstatSync(dir, { throwIfNoEntry: false })?.isSymbolicLink()) {
+        throw new Error(`estado.link: ${exports.DIR_ESTADO} é link simbólico; o estado do ork fica numa pasta de verdade dentro da raiz. Remova o link.`);
+    }
+    return dir;
 }
 function texto(v, padrao) {
     return typeof v === 'string' ? v : typeof v === 'number' ? String(v) : padrao;
@@ -99,6 +108,15 @@ function texto(v, padrao) {
 function numero(v, padrao) {
     return typeof v === 'number' ? v : typeof v === 'string' && v.trim() !== '' && !isNaN(Number(v)) ? Number(v) : padrao;
 }
+/**
+ * RM-058 N2: as vagas da fila pesada, inteiras de 0 a 64. So o 0 escrito desliga a fila; fracao positiva sobe para 1 e
+ * valor sem sentido volta ao padrao 1, nunca a "sem fila".
+ */
+function vagasPesadas(v) {
+    if (!Number.isFinite(v) || v < 0)
+        return 1;
+    return v === 0 ? 0 : Math.min(64, Math.max(1, Math.trunc(v)));
+}
 /**
  * I-37 (D2): `verify.timeout_ms` e `verify.timeout_ms_por_comando`. Prazo so vale inteiro
  * positivo em milissegundos, entre 1 s e 24 h; o resto e erro do manifesto, porque um prazo
@@ -187,6 +205,65 @@ function lerGrafo(v, avisos) {
     avisos.push(`grafo.mcp deve ser true ou false; vale false (${mostrar(mcp)} nao reconhecido)`);
     return { mcp: false };
 }
+/** RM-059 (T10.4): os limites dos tetos de agent teams, os mesmos que o Portao de Tarefas aceita do ambiente. */
+exports.TETO_MAXIMO_DE_TEAMMATES = 8;
+exports.TETO_MAXIMO_DE_CUSTO_USD = 500;
+/**
+ * RM-059 (T10.4, D11 da thread ork-rm059portao): agent teams no despacho do GO, so em piloto. `runtime.agent_teams`
+ * liga com `ligado: true` e os dois tetos validos: `teammates` inteiro de 1 a 8 e `custo_usd` maior que 0 e ate 500,
+ * escrito como numero decimal simples. Ausente ou `ligado: false` fica desligado sem aviso; ligado com teto invalido,
+ * outro tipo ou chave desconhecida avisa e fica desligado, nunca erro: a chave e experimental e nao para a fabrica.
+ */
+function lerAgentTeams(v, avisos) {
+    const mostrar = (x) => (x === undefined ? 'ausente' : JSON.stringify(x).slice(0, 80));
+    if (v === undefined || v === null)
+        return undefined;
+    if (typeof v !== 'object' || Array.isArray(v)) {
+        avisos.push(`runtime.agent_teams deve ser um mapa com ligado, teammates e custo_usd; fica desligado (${mostrar(v)} nao reconhecido)`);
+        return undefined;
+    }
+    for (const chave of Object.keys(v)) {
+        if (!['ligado', 'teammates', 'custo_usd'].includes(chave))
+            avisos.push(`runtime.agent_teams.${chave} desconhecida; o bloco so tem ligado, teammates e custo_usd`);
+    }
+    if (v.ligado !== true) {
+        if (v.ligado !== undefined && v.ligado !== null && v.ligado !== false) {
+            avisos.push(`runtime.agent_teams.ligado deve ser true ou false; fica desligado (${mostrar(v.ligado)} nao reconhecido)`);
+        }
+        return undefined;
+    }
+    const teammates = v.teammates;
+    const custo = v.custo_usd;
+    const tetoOk = typeof teammates === 'number' && Number.isInteger(teammates) && teammates >= 1 && teammates <= exports.TETO_MAXIMO_DE_TEAMMATES;
+    const custoOk = typeof custo === 'number' && /^\d+(?:\.\d+)?$/.test(String(custo)) && custo > 0 && custo <= exports.TETO_MAXIMO_DE_CUSTO_USD;
+    if (!tetoOk || !custoOk) {
+        avisos.push(`runtime.agent_teams ligado sem teto valido (teammates inteiro de 1 a ${exports.TETO_MAXIMO_DE_TEAMMATES} e custo_usd maior que 0 ` +
+            `e ate ${exports.TETO_MAXIMO_DE_CUSTO_USD}; recebido teammates ${mostrar(teammates)} e custo_usd ${mostrar(custo)}); fica desligado`);
+        return undefined;
+    }
+    return { teammates: teammates, custo_usd: custo };
+}
+/**
+ * RM-026 K7 (D1): `conhecimento.dir`, a pasta dos documentos `ork.conhecimento/v1`. Sem o bloco, o projeto nao
+ * declarou conhecimento. Bloco que nao e mapa e `dir` vazio avisam e ficam declarados com `dir` vazio, que o
+ * leitor (`conhecimento.ts`) recusa com `conhecimento.dir-invalido`: quem declarou nao ouve que nao declarou.
+ * Chave desconhecida so avisa. Ler a pasta nao executa nada, e a regra do caminho mora no leitor.
+ */
+function lerBlocoConhecimento(v, avisos) {
+    if (v === undefined || v === null)
+        return undefined;
+    if (typeof v !== 'object' || Array.isArray(v)) {
+        avisos.push('conhecimento deve ser um mapa com dir: <pasta dentro da raiz>; o leitor recusa ate corrigir');
+        return { dir: '' };
+    }
+    for (const chave of Object.keys(v))
+        if (chave !== 'dir')
+            avisos.push(`conhecimento.${chave} desconhecida; o bloco conhecimento so tem dir`);
+    const dir = texto(v.dir, '').trim();
+    if (!dir)
+        avisos.push('conhecimento.dir deve ser uma pasta dentro da raiz, como docs/conhecimento; o leitor recusa ate corrigir');
+    return { dir };
+}
 /** Mesmo contrato na leitura do YAML e nos consumidores de manifesto em memoria. */
 function validarOptInPlaybook(valor) {
     if (valor === undefined)
@@ -334,6 +411,12 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
         erros.push('conduction.delegation exige thread, escopo premissas, prazo ISO, evidencia e delegado');
     }
     const worktree = mapa(dados.worktree);
+    // RM-047 (fronteira de confiança): a base vai ao git em rev-parse, log, fetch e worktree add. Nome que o
+    // git não aceita como branch (começa com `-`, tem `..`) viraria opção dele; a regra é a do check-ref-format.
+    if (worktree.base_branch !== undefined && worktree.base_branch !== null && !(0, branch_de_estado_1.branchValida)(texto(worktree.base_branch, ''))) {
+        erros.push(`worktree.base_branch invalido: ${JSON.stringify(texto(worktree.base_branch, '')).slice(0, 60)} ` +
+            '(esperado nome de branch do git, sem "-" no começo e sem "..")');
+    }
     const verify = mapa(dados.verify);
     const ci = mapa(dados.ci);
     const concurrency = mapa(dados.concurrency);
@@ -445,6 +528,8 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
     if (!codex_1.SANDBOXES_DO_CODEX.includes(sandboxDoRuntime)) {
         erros.push(`runtime.sandbox invalido: "${sandboxDoRuntime}" (aceitos: ${codex_1.SANDBOXES_DO_CODEX.join(', ')})`);
     }
+    // RM-059 (T10.4): agent teams no despacho do GO, so no piloto e desligado por padrao.
+    const agentTeams = lerAgentTeams(runtime.agent_teams, avisos);
     // Bloco B6, isolamento por tenant (precedente do incidente memory-orkmind):
     // `database_url_env` recebe o NOME da variavel de ambiente, nunca a string de conexao.
     // Uma DSN colada aqui e exatamente o defeito que fez a memoria de um produto escrever
@@ -461,6 +546,14 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
     else if (variavelDaDsn !== '' && !/^[A-Z][A-Z0-9_]*$/.test(variavelDaDsn)) {
         erros.push(`memory.database_url_env invalido: "${variavelDaDsn}" (esperado nome de variavel de ambiente, [A-Z][A-Z0-9_]*)`);
     }
+    // RM-047 (fronteira de confiança): `memory.cli` escolhe o executável que o `ork doctor`, a memória e o
+    // `ork brain` rodam. Caminho relativo apontaria para um arquivo do próprio clone; só nome procurado no
+    // PATH (o `orkmind` instalado) ou caminho absoluto escolhido por quem instalou.
+    const cliDaMemoria = texto(memory.cli, 'orkmind');
+    if (!cliDaMemoriaValido(cliDaMemoria)) {
+        erros.push(`memory.cli invalido: ${JSON.stringify(cliDaMemoria).slice(0, 60)} ` +
+            '(esperado nome de executável no PATH, como orkmind, ou caminho absoluto; caminho relativo não é aceito)');
+    }
     if (modoDeMemoria === 'orkmind' && variavelDaDsn === '') {
         avisos.push('memory.mode: orkmind sem memory.database_url_env: o regime efetivo cai para files ' +
             '(o `ork` nao adivinha DSN, e base alheia e pior do que base nenhuma)');
@@ -478,6 +571,7 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
     if (achado.legado) {
         avisos.push(`lendo ${exports.NOME_MANIFESTO_LEGADO} como fallback; migre para ${exports.NOME_MANIFESTO}`);
     }
+    const conhecimento = lerBlocoConhecimento(dados.conhecimento, avisos);
     const manifesto = {
         project: {
             name: nomeProjeto,
@@ -496,6 +590,7 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
             effort: texto(runtime.effort, 'high'),
             provider_policy: providerPolicy,
             sandbox: sandboxDoRuntime,
+            ...(agentTeams ? { agent_teams: agentTeams } : {}),
         },
         conduction: {
             default_mode: defaultModo ?? 'classic',
@@ -529,6 +624,8 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
         concurrency: {
             max_parallel_threads: numero(concurrency.max_parallel_threads, 3),
             stale_after_min: Math.max(1, Math.trunc(numero(concurrency.stale_after_min, 240))),
+            // RM-058 N2 (D9): uma operacao pesada por vez nesta raiz, por padrao; 0 desliga a fila.
+            max_parallel_heavy: vagasPesadas(numero(concurrency.max_parallel_heavy, 1)),
         },
         liveness: { silencio_max_min: silencioMaxMin },
         handoff: {
@@ -577,15 +674,44 @@ function carregarManifesto(dirInicial = diretorioDoProjeto()) {
         },
         // RM-031 KG5 (D2): expor as tools do grafo no MCP e opt-in do dono.
         grafo: lerGrafo(dados.grafo, avisos),
+        ...(conhecimento ? { conhecimento } : {}),
         policies: Object.fromEntries(Object.entries(mapa(dados.policies)).map(([k, v]) => [k, texto(v, '')])),
     };
     return { caminho: achado.caminho, raiz, legado: achado.legado, bytes, manifesto, erros, avisos };
 }
+/**
+ * RM-047: `memory.cli` aceito. Nome simples (procurado no PATH, sem barra e sem `-` no começo) ou caminho
+ * absoluto normalizado. Caminho relativo (`./bin/x`, `bin/x`) resolveria dentro do repositório clonado.
+ */
+function cliDaMemoriaValido(cli) {
+    // eslint-disable-next-line no-control-regex
+    if (cli === '' || /[\x00-\x1f\x7f]/.test(cli))
+        return false;
+    if (/^[A-Za-z0-9][A-Za-z0-9._+-]{0,127}$/.test(cli))
+        return true;
+    return path.isAbsolute(cli) && path.normalize(cli) === cli;
+}
+/**
+ * RM-059 (A15 da revisao da ork-rm059pista): os comandos de verify e o do CI de um `orkastery.yaml` lido como texto (o
+ * do HEAD de uma branch, pelo `git show`), com as mesmas regras do `carregarManifesto`. `null` quando o texto nao abre.
+ */
+function comandosDoTextoDoManifesto(bruto) {
+    let dados;
+    try {
+        dados = mapa((0, yaml_1.lerYaml)(bruto));
+    }
+    catch {
+        return null;
+    }
+    const verify = mapa(dados.verify), ci = mapa(dados.ci);
+    const opcional = (v) => (v === null || v === undefined ? undefined : texto(v, ''));
+    return { typecheck: opcional(verify.typecheck), build: opcional(verify.build), test: opcional(verify.test), ciCommand: opcional(ci.command) };
+}
 /** Carrega o manifesto ou encerra com mensagem acionavel (uso nos subcomandos). */
 function exigirManifesto(dirInicial = diretorioDoProjeto()) {
     const carregado = carregarManifesto(dirInicial);
     if (!carregado) {
-        throw new Error(`manifesto ${exports.NOME_MANIFESTO} nao encontrado a partir de ${dirInicial}. Rode: ork init`);
+        throw new locale_1.ErroDoCatalogo((m) => m.cli.manifestoNaoEncontrado(exports.NOME_MANIFESTO, dirInicial));
     }
     if (carregado.erros.length > 0) {
         throw new Error(`manifesto invalido (${carregado.caminho}):\n  - ${carregado.erros.join('\n  - ')}`);

package/dist/maquina.js

@@ -39,6 +39,7 @@ exports.lerConfigDaMaquina = lerConfigDaMaquina;
 exports.gravarConfigDaMaquina = gravarConfigDaMaquina;
 exports.nomeDaMaquina = nomeDaMaquina;
 exports.fabricaCompartilhada = fabricaCompartilhada;
+exports.avisoDaFabricaPedida = avisoDaFabricaPedida;
 /**
  * I-51 (RM-047): esta maquina na fabrica.
  *
@@ -49,8 +50,11 @@ exports.fabricaCompartilhada = fabricaCompartilhada;
  * nao carregam o perfil do shell, e a mesma maquina apareceria com dois nomes.
  *
  * Precedencia do nome: `--maquina`, `ORK_MAQUINA`, o arquivo, o hostname.
- * Precedencia da adesao: `ORK_FABRICA_COMPARTILHADA` (1 liga, 0 desliga), senao o manifesto do
- * projeto (`fabrica.compartilhada`, para o time que quer em todas as maquinas) ou o arquivo.
+ * Precedencia da adesao: `ORK_FABRICA_COMPARTILHADA` (1 liga, 0 desliga), senao o arquivo.
+ *
+ * RM-047 (fronteira de confianca, P5): o `fabrica.compartilhada` do manifesto vem com o repositorio e
+ * nao liga a publicacao desta maquina. Ele so diz que o time pede a fabrica compartilhada; o `ork`
+ * avisa, e quem liga e a maquina, com `ork fabrica entrar` (ou a variavel de ambiente).
  */
 const fs = __importStar(require("node:fs"));
 const os = __importStar(require("node:os"));
@@ -91,12 +95,27 @@ function gravarConfigDaMaquina(mudanca) {
 function nomeDaMaquina(explicito) {
     return (explicito ?? '').trim() || (process.env.ORK_MAQUINA ?? '').trim() || lerConfigDaMaquina()?.nome || os.hostname();
 }
-/** Esta maquina publica o estado da fabrica deste projeto? */
+/**
+ * Esta maquina publica o estado da fabrica deste projeto (e le o das outras)? Decide a maquina: a
+ * variavel de ambiente ou o `~/.orkastery/maquina.json`. O manifesto nao entra (RM-047, P5); o
+ * parametro fica para quem chama dizer de que projeto se trata.
+ */
 function fabricaCompartilhada(manifesto) {
+    void manifesto;
     const env = (process.env.ORK_FABRICA_COMPARTILHADA ?? '').trim();
     if (env === '1')
         return true;
     if (env === '0')
         return false;
-    return manifesto.fabrica?.compartilhada === true || lerConfigDaMaquina()?.fabricaCompartilhada === true;
+    return lerConfigDaMaquina()?.fabricaCompartilhada === true;
+}
+/**
+ * RM-047 (P5): o manifesto pede a fabrica compartilhada e esta maquina nao entrou. Devolve o aviso,
+ * com o comando que liga, ou `null`.
+ */
+function avisoDaFabricaPedida(manifesto) {
+    if (manifesto.fabrica?.compartilhada !== true || fabricaCompartilhada(manifesto))
+        return null;
+    return 'fabrica.nao-confirmada: o orkastery.yaml pede fabrica.compartilhada: true, mas quem liga a publicacao ' +
+        'do retrato desta maquina e a propria maquina, nao o repositorio. Nada foi publicado. Para entrar: ork fabrica entrar';
 }

package/dist/master-digest.js

@@ -46,6 +46,7 @@ const node_crypto_1 = require("node:crypto");
 const master_batch_1 = require("./master-batch");
 const master_1 = require("./master");
 const estado_thread_1 = require("./estado-thread");
+const procedencia_1 = require("./procedencia");
 const hitl_1 = require("./hitl");
 const pulse_delivery_1 = require("./pulse-delivery");
 const util_1 = require("./util");
@@ -125,7 +126,11 @@ function enviarDigest(opcoes) {
         if (job.concluidoEm)
             return { code: 0, detalhe: 'semana já confirmada', enviadas, semana };
         salvar(file, job);
-        const config = opcoes.transporte ?? (!opcoes.enviar ? (0, util_1.lerJson)(path.join(raiz, '.orkastery/monitor/master-host.json')) : undefined);
+        // RM-047 (P2): o executavel do transporte so sai do arquivo local, nunca de um versionado no git.
+        const hostLocal = path.join(raiz, '.orkastery/monitor/master-host.json');
+        if (!opcoes.transporte && !opcoes.enviar)
+            (0, procedencia_1.exigirHostLocal)(raiz, hostLocal);
+        const config = opcoes.transporte ?? (!opcoes.enviar ? (0, util_1.lerJson)(hostLocal) : undefined);
         for (const [indice, p] of job.paginas.entries()) {
             if (job.recibos.some(r => r.pagina === indice && r.sha256 === hash(p)))
                 continue;

package/dist/master-nota.js

@@ -81,6 +81,7 @@ const thread_close_1 = require("./thread-close");
 const conducao_1 = require("./conducao");
 const pulse_consentimento_1 = require("./pulse-consentimento");
 const monitor_lock_1 = require("./monitor-lock");
+const locale_1 = require("./locale");
 exports.CONTRATO_PEDIDO_DE_NOTA = 'ork.master-nota/v1';
 exports.ERRO_PROVA_DE_CANAL = 'master.prova-de-canal';
 const sha = (s) => (0, node_crypto_1.createHash)('sha256').update(s).digest('hex');
@@ -101,7 +102,7 @@ function marcaDeHost(ambiente = process.env) {
     // thread e conduzida do terminal, e o Claude Code e o Codex marcam os proprios processos. Qualquer
     // marca de host ou de despacho conta, mesmo com o canal declarado como terminal.
     return canal !== 'cli' ? canal
-        : ambiente.ORK_DISPATCH_ID ? 'sessão despachada (ORK_DISPATCH_ID)'
+        : ambiente.ORK_DISPATCH_ID ? (0, locale_1.msg)().master.marcaDespachada
             : ambiente.CLAUDECODE === '1' ? 'claude-code (CLAUDECODE)'
                 : ambiente.CODEX_SANDBOX || ambiente.CODEX_SANDBOX_NETWORK_DISABLED ? 'codex (CODEX_SANDBOX)'
                     : (ambiente.HERMES_HOME ?? '').trim() ? 'hermes (HERMES_HOME)' : undefined;
@@ -177,11 +178,8 @@ function pedidoDeNotaDoCodigo(raiz, codigo, estadoDir) {
 function textoDoPedidoDeNota(raiz, p, canal) {
     const t = (0, thread_1.lerThread)(raiz, p.thread);
     const tg = canal === 'telegram';
-    return [
-        `${tg ? '🧾 ' : ''}Nota da entrega ${p.thread} (${t.nome.slice(0, 80)})`,
-        `${tg ? '• ' : '- '}Sem nota, vale a aceita por omissão, com o índice derivado do ledger ao lado.`,
-        `${tg ? '↩️ ' : ''}Responda: ${p.codigo} <0 a 5> <porquê>, por exemplo: ${p.codigo} 4 entregou o que pedi.`,
-    ].join('\n');
+    const m = (0, locale_1.msg)().master;
+    return [m.notaTitulo(tg, p.thread, t.nome.slice(0, 80)), m.notaSemNota(tg), m.notaResponda(tg, p.codigo)].join('\n');
 }
 /** "4 entregou o que pedi" vira nota e justificativa; o resto e devolvido como pergunta. */
 function lerNota(resto) {

package/dist/master.js

@@ -87,6 +87,7 @@ const modos_1 = require("./modos");
 const thread_1 = require("./thread");
 const types_1 = require("./types");
 const util_1 = require("./util");
+const locale_1 = require("./locale");
 const fs = __importStar(require("node:fs"));
 const horario_1 = require("./horario");
 const indice_1 = require("./indice");
@@ -732,6 +733,7 @@ function pendentesDeScore(raiz, todas = false) {
  * inteiro, e a nota humana continua sobrescrevendo o indice quando o dono reclama.
  */
 function tabelaDeEntregas(raiz, todas = false) {
+    const m = (0, locale_1.msg)().master;
     const pendentes = pendentesDeScore(raiz, todas);
     const omissoes = aceitosPorOmissao(raiz);
     // A1: o indice da coluna e o de AGORA; `SCORE GRAVADO` e o que o MASTER log congelou.
@@ -739,23 +741,18 @@ function tabelaDeEntregas(raiz, todas = false) {
     const caiuDepoisDeAceita = omissoes.filter((o) => typeof o.scoreGravado === 'number' && o.indice.valor < o.scoreGravado);
     const secaoOmissao = omissoes.length === 0
         ? []
-        : ['', `Aceitas por omissao (${omissoes.length}): o que passou sem voce olhar.`, '',
-            (0, util_1.tabela)(['ID', 'INDICE', 'SCORE GRAVADO', 'ACEITA EM'], omissoes.map((o) => [o.thread, `${o.indice.valor}/${o.indice.base}`,
+        : ['', m.aceitasTitulo(omissoes.length), '',
+            (0, util_1.tabela)([...m.colunasAceitas], omissoes.map((o) => [o.thread, `${o.indice.valor}/${o.indice.base}`,
                 typeof o.scoreGravado === 'number' ? `${o.scoreGravado}/5` : '-',
                 (0, horario_1.formatarDataHora)(o.aceitoEm)])),
             (0, horario_1.legendaDoFuso)(),
             ...(caiuDepoisDeAceita.length === 0 ? [] : ['',
-                `ATENCAO: ${caiuDepoisDeAceita.length} entrega(s) cairam DEPOIS de aceitas: ` +
-                    caiuDepoisDeAceita.map((o) => o.thread).join(', ') + '.',
-                '  O MASTER log e contrato congelado e nao se reescreve sozinho. Pontue para o',
-                '  registro humano alcancar o fato; o registro da omissao permanece no ledger.']),
-            '', 'Discordou de alguma? A nota humana sobrescreve, e o registro da omissao permanece:',
-            '  ork master <thread-id> --score <0-5> --justificativa "<por que>" --por <humano>'];
+                m.caiuDepois(caiuDepoisDeAceita.length, caiuDepoisDeAceita.map((o) => o.thread).join(', ')),
+                m.caiuDepoisLinha1, m.caiuDepoisLinha2]),
+            '', m.discordouDeAlguma, m.pontuar];
     if (pendentes.length === 0) {
         return [
-            todas
-                ? 'Nenhuma thread aberta sem score.'
-                : 'Nenhuma entrega esperando decisao. Para ver tambem as que ainda nao entregaram: ork master --todas',
+            todas ? m.semEntregaTodas : m.semEntrega,
             ...secaoOmissao,
         ].join('\n');
     }
@@ -766,23 +763,23 @@ function tabelaDeEntregas(raiz, todas = false) {
             p.thread.slug,
             (0, modos_1.tagDoModo)(p.thread.modo),
             p.thread.faseAtual,
-            p.thread.status,
-            p.entregou ? 'sim' : 'nao',
+            (0, locale_1.msg)().thread.status(p.thread.status),
+            m.simNao(p.entregou),
             `${indice.valor}/${indice.base}`,
-            indice.parcelas.length === 0 ? 'sem tropeco' : indice.parcelas.map((x) => `${x.evento} x${x.ocorrencias}`).join(', '),
+            indice.parcelas.length === 0 ? m.semTropeco : indice.parcelas.map((x) => `${x.evento} x${x.ocorrencias}`).join(', '),
         ];
     });
     return [
-        `Entregas (${pendentes.length}) com o indice ja derivado do ledger. O numero nao foi digitado por ninguem.`,
+        m.entregas(pendentes.length),
         '',
-        (0, util_1.tabela)(['ID', 'SLUG', 'MODO', 'FASE', 'STATUS', 'ENTREGOU', 'INDICE', 'DE ONDE VEIO'], linhas),
+        (0, util_1.tabela)([...m.colunas], linhas),
         '',
-        'ENTREGUE E ACEITO, a menos que voce diga o contrario.',
-        '  ork master <id> --aceitar-omissao     aceita so esta entrega, com o indice e os insumos no ledger',
-        '  ork master --aceitar-omissao          aceita TODAS as entregues da lista (--dry-run mostra quais, sem gravar)',
-        '  ork master <id> --score <0-5> --justificativa "<por que>" --por <humano>   se quiser reclamar',
+        m.entregueEAceito,
+        m.aceitarEsta,
+        m.aceitarTodas,
+        m.reclamar,
         '',
-        `Classes fixas: ${exports.ORDEM_DAS_CLASSES.join(', ')}`,
+        m.classesFixas(exports.ORDEM_DAS_CLASSES.join(', ')),
         ...secaoOmissao,
     ].join('\n');
 }
@@ -818,13 +815,13 @@ function entregasParaOmissao(raiz, thread) {
 function motivoForaDaOmissao(raiz, id) {
     const thread = (0, thread_1.lerThread)(raiz, id);
     if (thread.fechamentoAdmin) {
-        return { motivo: 'fechamento-admin', texto: `a thread ${id} foi fechada administrativamente (${thread.fechamentoAdmin.motivo}); nao ha entrega para aceitar.` };
+        return { motivo: 'fechamento-admin', texto: (0, locale_1.msg)().master.foraAdmin(id, thread.fechamentoAdmin.motivo) };
     }
     if (masterRatificado(raiz, id)) {
-        return { motivo: 'ja-fechada', texto: `a thread ${id} ja tem MASTER registrado; nada a aceitar.` };
+        return { motivo: 'ja-fechada', texto: (0, locale_1.msg)().master.foraJaFechada(id) };
     }
     if (!entregou(raiz, id)) {
-        return { motivo: 'sem-entrega', texto: `a thread ${id} ainda nao entregou (sem ship_done no ledger); registre a entrega antes: ork ship registrar-pr ${id}` };
+        return { motivo: 'sem-entrega', texto: (0, locale_1.msg)().master.foraSemEntrega(id) };
     }
     return null;
 }

package/dist/mcp-artifacts.js

@@ -33,6 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.diagnosticoNomeForaDeUtf8 = diagnosticoNomeForaDeUtf8;
 exports.validarArquivosEstadoMcp = validarArquivosEstadoMcp;
 exports.lerArtefatoMcp = lerArtefatoMcp;
 exports.escreverArtefatoMcp = escreverArtefatoMcp;
@@ -49,6 +50,14 @@ const claims_1 = require("./claims");
 const fases = { goal: 'GOAL', plan: 'PLAN', check: 'CHECK' };
 const limite = 128 * 1024;
 const hash = (bytes) => (0, node_crypto_1.createHash)('sha256').update(bytes).digest('hex');
+/** Diagnostico relativo, sem perda de bytes nem controles de terminal; nao e um comando shell. */
+function diagnosticoNomeForaDeUtf8(raiz, pasta, nome) {
+    const pai = path.relative(raiz, pasta);
+    const entrada = Buffer.concat([Buffer.from(pai ? pai + path.sep : ''), nome]);
+    const rotulo = Array.from(entrada, byte => byte >= 0x20 && byte <= 0x7e && byte !== 0x5c
+        ? String.fromCharCode(byte) : '\\x' + byte.toString(16).padStart(2, '0')).join('');
+    return `nome fora de UTF-8 em ${rotulo}\nRenomeie a entrada pelo shell para um nome UTF-8 valido e repita a operacao.`;
+}
 /** Core legado usa nomes de arquivos: este preflight recusa links existentes, nao promete CAS contra writers hostis. */
 function validarArquivosEstadoMcp(raiz, id) {
     validarId(id);
@@ -154,7 +163,7 @@ function comEscrita(raiz, id, executar) {
                 const nome = nomeBytes.toString('utf8');
                 // Antes do lstat: uma decodificacao com perda nao prova que a entrada desapareceu.
                 if (!Buffer.from(nome, 'utf8').equals(nomeBytes))
-                    throw Error('mcp.state.unsafe: nome fora de UTF-8 em leases');
+                    throw Error('mcp.state.unsafe: ' + diagnosticoNomeForaDeUtf8(raiz, pastaLeases, nomeBytes));
                 const entrada = path.join(pastaLeases, nome), s = fs.lstatSync(entrada, { throwIfNoEntry: false });
                 if (!s)
                     continue; // Uma retomada pode ter acabado durante o preflight.
@@ -174,7 +183,7 @@ function comEscrita(raiz, id, executar) {
                     for (const candidatoBytes of candidatos) {
                         const candidato = candidatoBytes.toString('utf8');
                         if (!Buffer.from(candidato, 'utf8').equals(candidatoBytes))
-                            throw Error('mcp.state.unsafe: nome fora de UTF-8 na fila');
+                            throw Error('mcp.state.unsafe: ' + diagnosticoNomeForaDeUtf8(raiz, entrada, candidatoBytes));
                         const c = fs.lstatSync(path.join(entrada, candidato), { throwIfNoEntry: false });
                         if (!c)
                             continue;

package/dist/mcp-git.js

@@ -221,7 +221,7 @@ function arvoreMetadados(root, alvo, opcoes = {}) {
                 const n = bytes.toString('utf8');
                 // Perda de bytes nao e ENOENT transitorio: o nome decodificado pode nem apontar para esta entrada.
                 if (!Buffer.from(n, 'utf8').equals(bytes))
-                    falha(`metadata.unsafe: nome fora de UTF-8 em ${rotulo(f)}`);
+                    falha('metadata.unsafe: ' + (0, mcp_artifacts_1.diagnosticoNomeForaDeUtf8)(opcoes.relativoA ?? path.dirname(root), f, bytes));
                 visitar(path.join(f, n), profundidade + 1);
             }
         }
@@ -354,7 +354,7 @@ function estadoGitMcp(raiz, threadId) {
         scope: 'local-only', observedAt: new Date().toISOString() };
 }
 /** Somente o worker dedicado chama este corpo; não altera env do servidor. */
-function executar(raiz, p) {
+function executar(raiz, p, dispatchId) {
     const proprias = [];
     let commit = null, estadoAuditado = false;
     try {
@@ -364,6 +364,23 @@ function executar(raiz, p) {
         fisico(raiz, (0, thread_1.dirThread)(raiz, p.threadId));
         (0, mcp_artifacts_1.validarArquivosEstadoMcp)(raiz, p.threadId);
         const t = (0, thread_1.lerThread)(raiz, p.threadId), wt = t.worktree;
+        // Identidade vem do startup do servidor, nunca dos argumentos públicos da tool.
+        // Sem vínculo conhecido, o recibo continua sem atribuição de sessão.
+        let vinculo;
+        if (dispatchId !== undefined) {
+            if (!/^[a-f0-9-]{36}$/.test(dispatchId))
+                falha('session.invalid');
+            const despachos = (0, ledger_1.lerLedger)((0, thread_1.dirThread)(raiz, t.id)).filter(e => e.tipo === 'phase_dispatch');
+            const despacho = despachos.filter(e => e.identidade?.dispatchId === dispatchId).at(-1);
+            const proximo = despacho ? despachos[despachos.indexOf(despacho) + 1] : undefined;
+            const sessoes = despacho ? t.sessoes.filter(s => s.sessionId === despacho.sessionId && s.origem !== 'adocao' &&
+                s.fase === despacho.fase && s.promptSha256 === despacho.promptSha256 && typeof s.despachadaEm === 'string' &&
+                Date.parse(s.despachadaEm) >= Date.parse(despacho.ts) &&
+                (!proximo || Date.parse(s.despachadaEm) < Date.parse(proximo.ts))) : [];
+            if (sessoes.length !== 1)
+                falha('session.invalid');
+            vinculo = { sessionId: sessoes[0].sessionId, despachoEm: sessoes[0].despachadaEm };
+        }
         if (!wt || t.status === 'fechada' || !(0, thread_1.blocoDaThread)(t, t.faseAtual).fases.includes('GO') || wt === raiz)
             falha('thread.invalid');
         // I-42 (D7): ciclo sem PLAN nem CHECK nao commita contrato publico; a mudanca vira iniciativa.
@@ -445,7 +462,7 @@ function executar(raiz, p) {
         const alterados = git(wt, ['diff-tree', '--no-commit-id', '--name-only', '-r', '-z', commit]).split('\0').filter(Boolean);
         if (!alterados.length || alterados.some(f => !p.paths.includes(f)))
             falha('commit.paths-invalid');
-        (0, ledger_1.registrar)((0, thread_1.dirThread)(raiz, t.id), t.id, 'mcp_git_committed', { commit, paths: alterados, origem: 'mcp.git', estadoAuditado });
+        (0, ledger_1.registrar)((0, thread_1.dirThread)(raiz, t.id), t.id, 'mcp_git_committed', { commit, paths: alterados, origem: 'mcp.git', estadoAuditado, ...vinculo });
         return { ok: true, commit, erro: null, estadoAuditado };
     }
     catch (e) {
@@ -459,7 +476,7 @@ function executar(raiz, p) {
     }
 }
 /** Entrada do servidor: argumentos nunca escolhem executável/env/cwd/opções Git. */
-async function commitMcp(raiz, pedido, signal) {
+async function commitMcp(raiz, pedido, signal, dispatchId) {
     validar(pedido);
     if (signal?.aborted)
         return { ok: false, commit: null, erro: 'mcp.git.cancelled', estadoAuditado: false };
@@ -483,7 +500,7 @@ async function commitMcp(raiz, pedido, signal) {
             erro = true;
             child.stdin.end();
             return;
-        } child.stdin.end(JSON.stringify({ raiz, pedido })); });
+        } child.stdin.end(JSON.stringify({ raiz, pedido, dispatchId })); });
         child.stdin.on('error', () => { erro = true; });
         child.on('error', () => { erro = true; });
         child.stdout.on('data', (b) => { if (Buffer.byteLength(stdout) + b.length > LIMITE)
@@ -516,7 +533,7 @@ if (require.main === module && process.argv[2] === '--worker') {
         if (Buffer.byteLength(raw) > LIMITE)
             falha('request.invalid');
         const p = JSON.parse(raw);
-        process.stdout.write(JSON.stringify(executar(p.raiz, p.pedido)));
+        process.stdout.write(JSON.stringify(executar(p.raiz, p.pedido, p.dispatchId)));
     }
     catch {
         process.stdout.write(JSON.stringify({ ok: false, commit: null, erro: 'mcp.git.worker.invalid', estadoAuditado: false }));

package/dist/mcp-grafo.js

@@ -45,7 +45,8 @@ exports.registrarConsultasDoGrafo = registrarConsultasDoGrafo;
  * Cinco tools de leitura com o contrato do `ork grafo` (D6): cada uma roda, na worktree da thread, o
  * argv que a CLI receberia (`<consulta> ... --json --teto-bytes N`) e devolve o que ela escreve, sem
  * transformar: a resposta e JSON `ork.code-graph-query/v0` com a evidencia de cada aresta e no maximo
- * `tetoBytes` bytes (D4); contexto usa ork.thread-graph-context/v2. A recusa nao passa pelo teto.
+ * `tetoBytes` bytes (D4); contexto usa ork.thread-graph-context/v2. A recusa nao passa pelo teto. Desde a
+ * fatia 5, a resposta traz as fontes (sha256 e blob) e diz por aresta se elas conferem com a arvore.
  *
  * Desligadas por padrao (D2): so existem com `grafo.mcp: true` no manifesto da raiz, lido no startup, e
  * cada chamada confere a flag de novo. A consulta roda num worker (D3), um processo filho por chamada,
@@ -75,7 +76,7 @@ const TETO_DO_STDOUT = 1024 * 1024;
  * O vocabulario e os limites da consulta do KG3, repetidos aqui porque este modulo nao importa a
  * familia do grafo (D8); o teste confere que sao os mesmos do contrato v1 e da consulta.
  */
-exports.TIPOS_DE_ARESTA_DO_MCP = ['contains', 'declares', 'imports', 'calls', 'references', 'derived_from'];
+exports.TIPOS_DE_ARESTA_DO_MCP = ['contains', 'declares', 'imports', 'calls', 'references', 'derived_from', 'cites'];
 exports.PROFUNDIDADE_MAXIMA_DO_MCP = 5;
 exports.LIMITE_MAXIMO_DO_MCP = 10_000;
 /** D2: so o booleano `true` do manifesto da raiz liga as tools. */
@@ -98,7 +99,8 @@ const tipos = zod_1.z.array(zod_1.z.enum(exports.TIPOS_DE_ARESTA_DO_MCP)).min(1)
 const tetoBytes = zod_1.z.number().int().min(exports.TETO_MINIMO).max(exports.TETO_MAXIMO).optional()
     .describe(`teto da resposta em bytes (padrao ${exports.TETO_PADRAO}); acima, saem as arestas mais longe`);
 const COMUM = 'Leitura do grafo do HEAD da worktree da thread (o do ork grafo): so o que o extrator prova. '
-    + 'Resposta JSON ork.code-graph-query/v0 de ate tetoBytes; sem indice do HEAD, recusa com a correcao ork grafo indexar.';
+    + 'Resposta JSON ork.code-graph-query/v0 de ate tetoBytes; sem indice do HEAD, recusa com a correcao ork grafo indexar. '
+    + 'Cada aresta traz arvore (modificada quando uma fonte dela mudou depois do HEAD) e a resposta traz fontes, com o sha256 e o blob de cada arquivo citado.';
 /** As opcoes da CLI, na ordem dela, com `=`: o valor nunca vira outro argumento. */
 function opcoes(a) {
     const r = [];
@@ -141,7 +143,8 @@ const DEFINICOES = [
     {
         nome: 'ork_grafo_contexto',
         descricao: 'Pacote deterministico da thread: diff da worktree contra base (ignorado sem worktree), GOAL, PLAN e claims; fan-in agregado e evidencias compactas. '
-            + 'JSON ork.thread-graph-context/v2 limitado em bytes, refs locais, prioridade entre arquivos e por proximidade ao diff. Sem indice do HEAD, recusa com ork grafo indexar.',
+            + 'JSON ork.thread-graph-context/v2 limitado em bytes, refs locais, prioridade entre arquivos e por proximidade ao diff. Citacoes literais cites; segundo salto marcado usa a sobra apos ligacoes diretas. '
+            + 'Grupo com fonte que mudou depois do HEAD traz arvore: modificada. Sem indice do HEAD, recusa com ork grafo indexar.',
         schema: zod_1.z.object({ threadId, tetoBytes }).strict(),
         argv: (a) => ['contexto', a.threadId, ...opcoes(a)],
     },

package/dist/mcp-server.js

@@ -57,6 +57,7 @@ const hitl_gates_1 = require("./hitl-gates");
 const hitl_contract_1 = require("./hitl-contract");
 const hitl_presentation_1 = require("./hitl-presentation");
 const roadmap_status_1 = require("./roadmap-status");
+const pulse_1 = require("./pulse");
 const network_roadmap_1 = require("./network-roadmap");
 const rede_status_1 = require("./rede-status");
 const hitl_sessions_1 = require("./hitl-sessions");
@@ -68,6 +69,7 @@ const modos_1 = require("./modos");
 const versao_1 = require("./versao");
 const mcp_verify_1 = require("./mcp-verify");
 const conducao_1 = require("./conducao");
+const fila_pesada_1 = require("./fila-pesada");
 const decisao_autonoma_1 = require("./decisao-autonoma");
 const conducao_texto_1 = require("./conducao-texto");
 const mcp_ship_1 = require("./mcp-ship");
@@ -411,6 +413,9 @@ function criarServidorMcp(opcoes) {
             // I-36 (T18): a mesma recusa tipada do CLI, com o mesmo texto, sem reescrever nada no host.
             if (e instanceof conducao_1.ErroDeConducao)
                 return { ...resposta(e.recusa), isError: true };
+            // RM-058 N2 (A6 do CHECK): a fila pesada que nao deu a vez no prazo responde como a conducao.
+            if (e instanceof fila_pesada_1.ErroDaFilaPesada)
+                return { ...resposta(e.recusa), isError: true };
             throw e;
         }
     });
@@ -420,7 +425,7 @@ function criarServidorMcp(opcoes) {
         annotations: { readOnlyHint: false, destructiveHint: false } }, async (args, extra) => {
         thread(args.threadId);
         livre(args.threadId);
-        const r = await (0, mcp_git_1.commitMcp)(raiz, args, extra.signal);
+        const r = await (0, mcp_git_1.commitMcp)(raiz, args, extra.signal, opcoes.dispatchId);
         return { ...resposta(r), ...(r.ok ? {} : { isError: true }) };
     });
     const documento = daThread.extend({ tipo: zod_1.z.enum(['goal', 'plan', 'check']) }).strict();
@@ -492,7 +497,8 @@ function criarServidorMcp(opcoes) {
         // RM-052: origem `instalacao`; o servidor fixado nao revela os outros projetos da maquina.
         const consulta = (0, projeto_alvo_1.consultaDoProjeto)(c, { origem: 'instalacao', outrosProjetos: false,
             lido: ['roadmap (docs/roadmap)', projeto_alvo_1.FORA_DA_CONSULTA.threadsDaMaquina], naoLido: [projeto_alvo_1.FORA_DA_CONSULTA.reservas, 'threads de outras máquinas (ork network roadmap)'] });
-        const status = (0, roadmap_status_1.montarStatusDoRoadmap)(raiz, { projeto: c.manifesto.project.name, consulta });
+        // RM-063 (F2): a mesma fila do `ork pulse`; a consulta que falha e dita no fecho, nunca "Nada agora".
+        const status = (0, roadmap_status_1.montarStatusDoRoadmap)(raiz, { projeto: c.manifesto.project.name, consulta, fila: (quando) => (0, pulse_1.filaDoDono)(c, { quando }) });
         return resposta({ texto: (0, roadmap_status_1.textoDoStatusDoRoadmap)(status), status });
     });
     /**