@orkastery/cli 0.5.3 → 0.6.0

package/dist/phase.js

@@ -33,12 +33,13 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.REGRAS_DE_EVIDENCIA = exports.CONTRATO_DAS_FASES = void 0;
+exports.REGRAS_DE_EVIDENCIA = exports.REGRA_DAS_ESPERAS = exports.CONTRATO_DAS_FASES = void 0;
 exports.escolherPerfil = escolherPerfil;
 exports.perfilPedido = perfilPedido;
 exports.perfilParaDespacho = perfilParaDespacho;
 exports.runtimeCruzadoParaDespacho = runtimeCruzadoParaDespacho;
 exports.estadoParaDespacho = estadoParaDespacho;
+exports.fechoDoGo = fechoDoGo;
 exports.fasesDoCicloNoPrompt = fasesDoCicloNoPrompt;
 exports.valoresDoPrompt = valoresDoPrompt;
 exports.montarPrompt = montarPrompt;
@@ -86,6 +87,8 @@ const codex_1 = require("./adapters/codex");
 const memoria_1 = require("./memoria");
 const prompts_1 = require("./prompts");
 const slug_1 = require("./slug");
+const locale_1 = require("./locale");
+const locale_prompts_1 = require("./locale-prompts");
 const thread_1 = require("./thread");
 const types_1 = require("./types");
 const util_1 = require("./util");
@@ -95,6 +98,9 @@ const horario_1 = require("./horario");
 const runtime_profiles_1 = require("./runtime-profiles");
 const sessoes_contas_1 = require("./sessoes-contas");
 const maquina_1 = require("./maquina");
+const trabalho_thread_1 = require("./trabalho-thread");
+const procedencia_1 = require("./procedencia");
+const postura_local_1 = require("./postura-local");
 const fabrica_publicar_1 = require("./fabrica-publicar");
 const conducao_1 = require("./conducao");
 /**
@@ -255,6 +261,8 @@ function estadoParaDespacho(raiz, thread, dryRun = false) {
     if (!thread.worktree)
         return null;
     try {
+        // RM-047 (P2): a worktree do thread.json so vale registrada no git e com o estado local.
+        (0, procedencia_1.diretorioDaThread)(raiz, thread);
         (0, estado_thread_1.vincularEstado)(raiz, thread.id, thread.worktree, dryRun);
         return null;
     }
@@ -264,19 +272,31 @@ function estadoParaDespacho(raiz, thread, dryRun = false) {
 }
 /** O que cada fase canonica entrega. Vai no cabecalho do prompt de toda sessao. */
 exports.CONTRATO_DAS_FASES = {
-    GOAL: 'GOAL (F1): objetivo verificavel, impact map, criterios de sucesso e claims com comando de verificacao. Nao implementa.',
-    PLAN: 'PLAN (F2): plano com tarefas, touch_paths, decisoes D1..Dn com domicilio unico e verify executavel por tarefa. Nao implementa.',
-    GO: 'GO (F3): implementacao slice por slice, um commit atomico por tarefa, dentro da worktree da thread.',
-    CHECK: 'CHECK (F4): verificacao contra a baseline (regressao versus divida pre-existente), review de codigo, testes, seguranca e performance.',
-    SHIP: 'SHIP (F5): merge serializado, push provado por comando, roadmap atualizado e plano de rollback.',
-    MASTER: 'MASTER (F6): MASTER log com postmortem tipado, licoes e o score humano de 0 a 5. Uma entrega sem MASTER log nao aconteceu.',
+    ...locale_prompts_1.PROMPTS_PT_BR.contratoDasFases,
 };
+/**
+ * RM-037 (ork-rm037esperas, D3): a regra das esperas, uma linha so, a mesma no prompt de toda fase e na skill e nos
+ * guias que o adaptador instala (`core/test/rm037-esperas.test.ts` confere os arquivos). Em 12/10/2026, sessoes de
+ * fase esperaram para sempre por verify ou suite mandados para segundo plano com `&`, cujo processo morreu com a
+ * chamada, e por lacos de espera com `pgrep -f` que acham a si mesmos, porque o proprio laco traz o texto procurado.
+ */
+exports.REGRA_DAS_ESPERAS = locale_prompts_1.PROMPTS_PT_BR.regraDasEsperas;
 /** As regras de evidencia que valem em toda fase, em todo modo. */
 exports.REGRAS_DE_EVIDENCIA = [
-    'Nada de self-report: toda alegacao vem com o comando que a comprova e a saida real.',
-    'Trabalhe apenas no diretorio de trabalho indicado acima.',
-    'Passos irreversiveis (push, merge, delecao) so acontecem quando o modo autoriza.',
+    ...locale_prompts_1.PROMPTS_PT_BR.regrasDeEvidencia,
+    // RM-058 N2 (D13 da ork-rm058n2): tres sessoes de 12/10/2026 mandaram verify ou suite para segundo plano com `&`,
+    // perderam o processo e esperaram para sempre. RM-037 (ork-rm037esperas, D3): a linha da N2 virou a regra das
+    // esperas, que tambem traz a execucao em segundo plano do host e a espera por `pgrep -f`.
+    exports.REGRA_DAS_ESPERAS,
 ];
+/**
+ * RM-016: o rito de saída do GO pertence ao prompt canônico, não a um adaptador. Assim Claude Code
+ * e Codex recebem os mesmos artefatos obrigatórios antes de a sessão encerrar. RM-061 F3c: o texto
+ * vem do catálogo dos prompts, e o prompt inglês leva o mesmo rito.
+ */
+function fechoDoGo(threadId, locale = (0, locale_1.localeAtivo)()) {
+    return (locale === 'en' ? locale_prompts_1.PROMPTS_EN : locale_prompts_1.PROMPTS_PT_BR).fechoDoGo(threadId);
+}
 /**
  * I-42 (D11): as fases que o cabecalho do prompt descreve.
  *
@@ -299,7 +319,8 @@ function fasesDoCicloNoPrompt(thread) {
  * decisao e codigo. E o que permite um projeto reescrever o texto do prompt em
  * `prompts/fase-padrao.md` sem poder mudar o que o `ork` considera verdade.
  */
-function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
+function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '', locale = (0, locale_1.localeAtivo)()) {
+    const mp = locale === 'en' ? locale_prompts_1.PROMPTS_EN : locale_prompts_1.PROMPTS_PT_BR;
     const def = (0, modos_1.definicaoDoModo)(thread.modo);
     const bloco = (0, thread_1.blocoDaThread)(thread, fase);
     const pausa = (0, thread_1.pausaNaThread)(thread, fase);
@@ -308,27 +329,29 @@ function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
         thread: thread.id,
         bloco: bloco.fases.join('-'),
         nome: thread.nome,
-        ciclo_canonico: fasesDoCicloNoPrompt(thread).map((f) => `${bloco.fases.includes(f) ? '>' : ' '} ${exports.CONTRATO_DAS_FASES[f]}`).join('\n'),
+        ciclo_canonico: fasesDoCicloNoPrompt(thread).map((f) => `${bloco.fases.includes(f) ? '>' : ' '} ${mp.contratoDasFases[f]}`).join('\n'),
         tag: def.tag,
         blocos: thread.blocos.map((b) => b.fases.join('-')).join(' / '),
         pausas: String(thread.blocos.filter((b) => b.pausa).length),
-        linha_variante: thread.variante ? `Variante de ciclo: ${thread.variante}` : '',
+        linha_variante: thread.variante ? mp.variante(thread.variante) : '',
         regra_de_pausa: pausa
-            ? `Ao fim deste bloco HA PAUSA humana sobre: ${bloco.pausaSobre}. Pare, apresente a evidencia e espere o veredito.`
-            : 'Ao fim deste bloco NAO ha pausa humana: siga com decisao autonoma e registre no ledger quem decidiu, com que evidencia e por que.',
-        invariantes: modos_1.INVARIANTES.map((i) => `- ${i}`).join('\n'),
+            ? mp.pausa(mp.pausaSobre(bloco.pausaSobre))
+            : mp.semPausa,
+        invariantes: mp.invariantes.map((i) => `- ${i}`).join('\n'),
         slug: thread.slug,
         projeto_nome: thread.projeto.name,
         projeto_abbrev: thread.projeto.abbrev,
         base_branch: thread.base.branch,
         base_commit: thread.base.commit,
-        diretorio: thread.worktree ?? '(raiz do projeto)',
+        diretorio: thread.worktree ?? mp.raizDoProjeto,
+        trabalho: (0, trabalho_thread_1.caminhoDoTrabalho)(thread.id),
         pedido: pedido.trim(),
+        fecho_go: bloco.fases.includes('GO') ? mp.fechoDoGo(thread.id) : '',
         // Bloco B6: o bloco de memoria injetada deterministicamente. Vazio em toda thread sem
         // decisao fechada e sem OrkMind, e ai a linha da variavel some do prompt: o texto fica
         // byte a byte igual ao que o B4 ja despachava.
         memoria_injetada: memoriaInjetada,
-        regras_de_evidencia: exports.REGRAS_DE_EVIDENCIA.map((r) => `- ${r}`).join('\n'),
+        regras_de_evidencia: [...mp.regrasDeEvidencia, mp.regraDasEsperas].map((r) => `- ${r}`).join('\n'),
     };
 }
 /**
@@ -338,8 +361,10 @@ function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
  * `prompts/fase-padrao.md` (ou `prompts/fase-goal.md` e companhia) versionado no repositorio,
  * vale o do projeto, e `ork prompt lint` e quem garante que ele nao perdeu o contrato.
  */
-function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '') {
-    return (0, prompts_1.renderizar)((0, prompts_1.templateDaFase)(fase, raiz), valoresDoPrompt(thread, fase, pedido, memoriaInjetada));
+function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '', locale = (0, locale_1.localeAtivo)()) {
+    // RM-061 F3c: os valores falam a lingua do template escolhido; o do projeto sem par `.en` sai inteiro em pt-BR.
+    const template = (0, prompts_1.templateDaFase)(fase, raiz, locale);
+    return (0, prompts_1.renderizar)(template, valoresDoPrompt(thread, fase, pedido, memoriaInjetada, (0, prompts_1.idiomaDoTemplate)(template)));
 }
 /**
  * Monta o prompt da fase JA com a memoria injetada (bloco B6).
@@ -350,11 +375,15 @@ function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '') {
  * com as decisoes fechadas lidas do `thread.json`: a garantia nao depende do OrkMind.
  */
 function montarPromptComMemoria(carregado, thread, fase, pedido, memoria) {
-    const injecao = (0, memoria_1.injecaoDaFase)(carregado, memoria, thread, fase);
+    // RM-061 F3c: o prompt despachado e dado (arquivo com sha256 no ledger). Segue a lingua declarada do dono
+    // (`owner.language`), nunca o locale de quem despacha: sem ela, pt-BR, com qualquer LANG (contrato da F2a). A
+    // dica do grafo fala a lingua do template que conduz a fase, como os valores.
+    const locale = (0, prompts_1.idiomaDoTemplate)((0, prompts_1.templateDaFase)(fase, carregado.raiz, (0, locale_1.linguaDeclaradaDoDono)(carregado.manifesto.owner?.language)));
+    const injecao = (0, memoria_1.injecaoDaFase)(carregado, memoria, thread, fase, locale);
     // Mesma raiz usada pelo MCP e runtime-context; o manifesto da WT nao habilita a dica.
     const ligado = (0, mcp_grafo_1.grafoLigado)((0, manifest_1.exigirManifesto)((0, estado_thread_1.raizDoEstado)(carregado.raiz)).manifesto);
     return {
-        prompt: montarPrompt(thread, fase, (0, prompts_1.pedidoComDicaDoGrafo)(pedido, thread.id, ligado), carregado.raiz, injecao.texto),
+        prompt: montarPrompt(thread, fase, (0, prompts_1.pedidoComDicaDoGrafo)(pedido, thread.id, ligado, locale), carregado.raiz, injecao.texto, locale),
         injecao,
     };
 }
@@ -411,10 +440,10 @@ function resolverDespacho(manifesto, opcoes, doBloco) {
     const origem = doBloco?.runtime ?? manifesto.runtime.adapter;
     const runtime = opcoes.runtime ?? origem;
     if ((0, runtimes_1.runtimeConhecido)(runtime) && runtime !== origem && !opcoes.model?.trim())
-        throw new Error(`setup.model.required: ao trocar runtime de ${origem} para ${runtime}, informe --runtime ${runtime} --model <modelo> para este despacho; o setup do projeto permanece intacto.`);
+        throw new locale_1.ErroDoCatalogo((m) => m.phase.modeloAoTrocarRuntime(origem, runtime));
     const model = opcoes.model ?? doBloco?.model ?? manifesto.runtime.model;
     if (!model.trim())
-        throw new Error(`setup.model.required: modelo pendente para ${runtime}; informe --model <modelo> neste despacho ou complete o bloco em ork setup.`);
+        throw new locale_1.ErroDoCatalogo((m) => m.phase.modeloPendente(runtime));
     const effort = opcoes.effort ??
         (opcoes.model !== undefined ? 'high' : doBloco?.effort ?? manifesto.runtime.effort);
     return { runtime, model, effort };
@@ -439,6 +468,8 @@ function dadosDoDespacho(ctx, comando) {
         cwd: ctx.cwd,
         promptPath: path.relative(ctx.raiz, ctx.promptPath),
         promptSha256: ctx.promptSha256,
+        ...(ctx.promptOriginal ? { promptOriginalPath: path.relative(ctx.raiz, ctx.promptOriginal.path),
+            promptOriginalSha256: ctx.promptOriginal.sha256 } : {}),
         origem: ctx.origem,
         // I-36 (T10): a porta por onde o dono chegou. `runtime` e o motor; `canal` e a porta.
         ...(ctx.canal ? { canal: ctx.canal } : {}),
@@ -557,14 +588,14 @@ function registrarObservacao(ctx, sessao, dir, controlador, sensores) {
     const mesmoDespacho = (e) => e.sessionId === sessao.sessionId && e.despachoEm === sessao.despachadaEm;
     try {
         // I-34: claude-bg observa pela fonte nativa; no PLAN o registro guarda o sha de base do artefato.
-        // I-33 (N1): o GO codex registra o HEAD do despacho, como a fonte claude-bg; sem ele a D11c nao ve commit pelo shell.
+        // I-33 (N1): o GO codex registra o HEAD do despacho, como a fonte claude-bg; ele revela commit pelo shell no checkpoint.
         const head = ctx.runtime === 'codex' && ctx.fase === 'GO' ? { head: ctx.headNoDespacho ?? null } : {};
         const fonte = ctx.runtime === 'claude-bg' ? (0, session_watcher_claude_1.fonteClaudeDoDespacho)(ctx.raiz, ctx.thread.id, ctx.fase, ctx.cwd)
             : sensores?.logPath ? { logPath: sensores.logPath, processoPath: sensores.processoPath, reciboPath: sensores.reciboPath, ...head }
                 : controlador ? { controlador, cwd: ctx.cwd, ...head } : null;
         if (!fonte)
             return;
-        (0, session_watcher_1.validarFonteWatcher)(ctx.raiz, sessao.sessionId, fonte);
+        (0, session_watcher_1.prepararFonteWatcher)(ctx.raiz, sessao.sessionId, fonte);
         const eventos = (0, ledger_1.lerLedger)(dir);
         if (!eventos.some(e => e.tipo === 'session_sensor_registered' && mesmoDespacho(e))) {
             (0, ledger_1.registrar)(dir, ctx.thread.id, 'session_sensor_registered', { fase: ctx.fase,
@@ -619,7 +650,8 @@ function garantirBaselineDoDespacho(carregado, threadId, opcoes, identidade) {
     if (!baselineDoDespachoNecessaria(carregado, threadId, opcoes))
         return;
     try {
-        (0, verify_1.gravarBaseline)(carregado, threadId, undefined, { canal: opcoes.canal ?? (0, conducao_1.canalDoProcesso)(), correlacao: opcoes.correlacao ?? null, ...(identidade ? { identidade } : {}) }, 'phase.run');
+        (0, verify_1.gravarBaseline)(carregado, threadId, undefined, { canal: opcoes.canal ?? (0, conducao_1.canalDoProcesso)(), correlacao: opcoes.correlacao ?? null, ...(identidade ? { identidade } : {}),
+            filaPesada: { esperarMs: opcoes.esperarMs, ...opcoes.filaPesada } }, 'phase.run');
     }
     catch (e) {
         if (!(e instanceof conducao_1.ErroDeConducao))
@@ -677,6 +709,8 @@ tomadaPrevia) {
     const thread = (0, thread_1.lerThread)(raiz, threadId);
     const fase = opcoes.fase;
     const dir = (0, thread_1.dirThread)(raiz, thread.id);
+    if (!opcoes.dryRun)
+        (0, trabalho_thread_1.garantirDiretorioDoTrabalho)(raiz, thread.id);
     const slug = slugDaSessao(thread, fase);
     // Resolve UMA vez o trio runtime/modelo/esforco: o mesmo objeto vai ao runtime adapter,
     // ao ledger e a resposta do CLI. Resolver duas vezes e o caminho curto para o ledger
@@ -762,6 +796,17 @@ tomadaPrevia) {
             verificada: false, pausaAoFim: (0, thread_1.pausaNaThread)(thread, fase), dryRun: opcoes.dryRun === true,
             runtime, model, effort, bloqueado: true, motivo: 'runtime.autoconferencia', violacoes, erro: erroDeRuntime };
     }
+    // RM-047 (P1): sandbox afrouxado pelo manifesto so despacha com a confirmacao local desta maquina.
+    const erroDePostura = (0, postura_local_1.recusaDePostura)(raiz, manifesto, runtime);
+    if (erroDePostura) {
+        const postura = (0, postura_local_1.posturaAfrouxada)(manifesto) ?? '';
+        if (!opcoes.dryRun)
+            (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'policy.violation',
+                modo: thread.modo, detalhe: erroDePostura, correcao: (0, postura_local_1.comandoDeConfirmacao)(postura), fase, slug });
+        return { thread, slug, promptPath, promptSha256: sha, comando: [], sessionId: null,
+            verificada: false, pausaAoFim: (0, thread_1.pausaNaThread)(thread, fase), dryRun: opcoes.dryRun === true,
+            runtime, model, effort, bloqueado: true, motivo: 'policy.violation', violacoes, erro: erroDePostura };
+    }
     const erroDeEstado = estadoParaDespacho(raiz, thread, opcoes.dryRun);
     if (erroDeEstado) {
         (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'tree.blocked',
@@ -858,7 +903,17 @@ tomadaPrevia) {
                 return pendente;
             }
         }
-        const cwd = thread.worktree ?? raiz;
+        const cwd = (0, procedencia_1.diretorioDaThread)(raiz, thread);
+        // RM-063 (F3): o prompt vai ao disco e ao ledger, com o sha256, ANTES do contexto do runtime e do adaptador. No
+        // incidente de 12/10/2026 a fase morreu no despacho e o `ork retry run` saiu com "nao ha despacho falho registrado
+        // em GO com prompt gravado"; daqui em diante, toda tentativa deixa o prompt que o retry redespacha sem pedir o texto.
+        (0, util_1.gravar)(promptPath, prompt);
+        const promptNoLedger = { promptPath: path.relative(raiz, promptPath), promptSha256: sha };
+        if (!opcoes.dryRun) {
+            (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.promptGravado, { fase, slug, modo: thread.modo, runtime, model, effort, cwd,
+                ...promptNoLedger, origem: 'phase.run', canal, ...(opcoes.correlacao ? { correlacao: opcoes.correlacao } : {}), identidade });
+        }
+        const correcaoDoRetry = `ork retry run ${thread.id} redespacha o mesmo prompt (sha256 ${sha.slice(0, 12)})`;
         let contextoRuntime;
         try {
             contextoRuntime = (0, runtime_context_1.contextoDoProjeto)(raiz, runtime, cwd, thread.id);
@@ -866,14 +921,13 @@ tomadaPrevia) {
         catch (e) {
             const erro = `runtime.unavailable: ${e.message}`;
             (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable',
-                modo: thread.modo, detalhe: erro, fase, slug });
+                modo: thread.modo, detalhe: erro, fase, slug, ...(opcoes.dryRun ? {} : { ...promptNoLedger, correcao: correcaoDoRetry }) });
             return { thread, slug, promptPath, promptSha256: sha, comando: [], sessionId: null,
                 verificada: false, pausaAoFim: (0, thread_1.pausaNaThread)(thread, fase), dryRun: opcoes.dryRun === true,
                 runtime, model, effort, bloqueado: true, motivo: 'runtime.unavailable', violacoes, erro };
         }
         if (contextoRuntime)
             contextoRuntime.identidade = identidade;
-        (0, util_1.gravar)(promptPath, prompt);
         // I-33 (D2, D4, D7): o perfil sai do store com o login conferido. Sem perfil disponivel, o
         // despacho nao sai pela conta errada: o prompt ja gravado fica registrado para a rotacao do
         // retry (outro runtime da ordem de fallback, ou a fila), com o motivo tipado.
@@ -934,7 +988,7 @@ tomadaPrevia) {
             : undefined;
         // I-33 (N1): lido antes de a sessao existir; depois dela, um commit rapido ja estaria no HEAD.
         const headNoDespacho = fase === 'GO' && runtime === 'codex' && !opcoes.dryRun ? (0, session_watcher_claude_1.headDaWorktree)(cwd) : undefined;
-        const resultado = rt.despachar({
+        const pedidoAoRuntime = {
             prompt,
             nome: slug,
             cwd,
@@ -955,7 +1009,7 @@ tomadaPrevia) {
             ...(limites ? { duracaoMaximaMs: limites.duracaoMs } : {}),
             // I-36 (D4): a sessao filha herda a identidade do despacho e o canal; e assim que ela reentra.
             ambienteExtra: (0, conducao_1.ambienteDaConducao)(identidade.dispatchId, thread.id, canal),
-        });
+        };
         const ctx = {
             identidade,
             canal,
@@ -976,6 +1030,22 @@ tomadaPrevia) {
             ...(perfil ? { perfil } : {}),
             ...(headNoDespacho !== undefined ? { headNoDespacho } : {}),
         };
+        let resultado;
+        try {
+            resultado = rt.despachar(pedidoAoRuntime);
+        }
+        catch (e) {
+            // RM-063 (F3): o adaptador que lanca (o daemon do runtime fora do ar) deixa no ledger a falha do despacho com o
+            // prompt e o sha256, e o gate tipado que o `ork retry run` le; o erro segue para quem chamou, como antes.
+            if (!opcoes.dryRun) {
+                const erro = `runtime.unavailable: o runtime adapter lancou no despacho: ${e.message}`;
+                (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.despachoFalhou, { ...dadosDoDespacho(ctx, []), erro });
+                (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable', modo: thread.modo,
+                    detalhe: erro, correcao: correcaoDoRetry, fase, slug, runtime, origem: 'phase.run', ...promptNoLedger,
+                    evidencia: 'excecao real do runtime adapter no despacho, nao relato do agente' });
+            }
+            throw e;
+        }
         const comum = dadosDoDespacho(ctx, resultado.comando);
         if (opcoes.dryRun) {
             return {
@@ -1000,11 +1070,15 @@ tomadaPrevia) {
         }
         if (!resultado.ok || !resultado.sessionId) {
             const erro = resultado.erro ?? 'sem sessionId na saida do runtime';
+            // RM-063 (F3, GO-FIX): o `claude --bg` que sai com erro, ou estoura o prazo, depois de dizer o id deixa a sessao
+            // aberta; o id vai a falha e ao gate, para o retry conferir que ela morreu antes de redespachar.
+            const daSessao = resultado.sessionId ? { sessionId: resultado.sessionId } : {};
             (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.despachoFalhou, {
                 ...comum,
                 controlador: resultado.controlador,
                 erro,
                 stderr: resultado.stderr.slice(0, 500),
+                ...daSessao,
             });
             // I-33 (D1, D5): a CONTA recusou o despacho. Nada rodou, entao nada foi produzido: o perfil
             // sai do rodizio e o gate tipado fica para a rotacao do retry, que redespacha o mesmo prompt.
@@ -1046,6 +1120,8 @@ tomadaPrevia) {
                     effort,
                     sinal,
                     detalhe: erro,
+                    // RM-058 N4 (D17 da ork-rm058n4): o pedido do despacho do arco é do vigia do arco, e o `ork retry resume` não o retoma.
+                    ...(opcoes.correlacao ? { correlacao: opcoes.correlacao } : {}),
                 });
                 (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.rateLimitEnfileirado, {
                     fase,
@@ -1087,6 +1163,11 @@ tomadaPrevia) {
                     sessionId: null, verificada: false, pausaAoFim, dryRun: false, runtime, model, effort, bloqueado: false,
                     motivo: impedimento.motivo, violacoes, naFila: null, erro: `${impedimento.motivo}: ${impedimento.trecho}` };
             }
+            // RM-063 (F3): a falha seca do adaptador vira gate tipado, com o prompt e o sha256. Antes so o `phase_dispatch_failed`
+            // a registrava: o `ork retry plan` nao a via e a fase ficava parada sem ninguem saber.
+            (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable', modo: thread.modo,
+                detalhe: erro, correcao: correcaoDoRetry, fase, slug, runtime, origem: 'phase.run', ...promptNoLedger, ...daSessao,
+                evidencia: 'saida real do runtime adapter no despacho, nao relato do agente' });
             return {
                 thread,
                 slug,
@@ -1139,8 +1220,11 @@ function tabelaDoLedger(raiz, threadId) {
     // Thread inexistente e erro, nao ledger vazio: o CLI precisa reprovar o id errado.
     (0, thread_1.lerThread)(raiz, threadId);
     const eventos = (0, ledger_1.lerLedger)((0, thread_1.dirThread)(raiz, threadId));
+    // RM-061 (F2a): a moldura e os rotulos vem do catalogo; o valor de cada evento (decisao, estado,
+    // erro, detalhe) e dado do ledger e sai como foi gravado.
+    const m = (0, locale_1.msg)().phase;
     if (eventos.length === 0) {
-        return `Ledger vazio para a thread ${threadId}.`;
+        return m.ledgerVazio(threadId);
     }
     const linhas = eventos.map((e) => {
         const detalhe = [];
@@ -1149,91 +1233,88 @@ function tabelaDoLedger(raiz, threadId) {
         if (e.slug)
             detalhe.push(String(e.slug));
         if (e.sessionId)
-            detalhe.push(`sessao ${String(e.sessionId).slice(0, 8)}`);
+            detalhe.push(m.sessao(String(e.sessionId).slice(0, 8)));
         if (e.decisao)
             detalhe.push(String(e.decisao));
         if (e.previstaSobre)
-            detalhe.push(`pausa sobre ${String(e.previstaSobre)}`);
+            detalhe.push(m.pausaSobre((0, locale_1.msg)().thread.pausaSobre(String(e.previstaSobre))));
         if (e.encontrada !== undefined)
-            detalhe.push(`no runtime: ${e.encontrada ? 'sim' : 'nao'}`);
+            detalhe.push(m.noRuntime(!!e.encontrada));
         // Fato verificavel do despacho: o par modelo/esforco real, lido do proprio evento.
         if (e.model)
-            detalhe.push(`modelo ${String(e.model)}/${String(e.effort ?? '-')}`);
+            detalhe.push(m.modelo(String(e.model), String(e.effort ?? '-')));
         // Eventos do bloco B1: motivo tipado, veredito e as provas do ship.
         if (e.motivo)
-            detalhe.push(`motivo ${String(e.motivo)}`);
+            detalhe.push(m.motivo(String(e.motivo)));
         if (e.claim)
             detalhe.push(`claim ${String(e.claim)}`);
         if (e.veredito)
-            detalhe.push(`veredito: ${String(e.veredito)}`);
+            detalhe.push(m.veredito(String(e.veredito)));
         if (e.fonte && e.ocupacao !== undefined) {
-            detalhe.push(`ocupacao ${e.ocupacao === null ? 'nao medivel' : String(e.ocupacao)} (${String(e.fonte)})`);
+            detalhe.push(m.ocupacao(e.ocupacao === null ? null : String(e.ocupacao), String(e.fonte)));
         }
         if (e.slugSugerido)
-            detalhe.push(`proximo slug ${String(e.slugSugerido)}`);
+            detalhe.push(m.proximoSlug(String(e.slugSugerido)));
         if (e.lease)
             detalhe.push(`lease ${String(e.lease)}`);
         // Eventos do bloco B3: acao de retry, playbook da retomada e rodada de GO-FIX.
         if (e.acao)
-            detalhe.push(`acao ${String(e.acao)}`);
+            detalhe.push(m.acao(String(e.acao)));
         if (e.playbook)
             detalhe.push(`playbook ${String(e.playbook)}`);
         // Ensaio de 03/10/2026 (RM-049): na decisao autonoma o pedido e o objeto `ork.hitl/v2`, e a tabela
         // mostrava "pedido [object Object]"; do objeto sai o id curto.
         if (typeof e.pedido === 'string' && e.pedido !== '')
-            detalhe.push(`pedido ${e.pedido}`);
+            detalhe.push(m.pedido(e.pedido));
         else if (e.pedido && typeof e.pedido === 'object' && typeof e.pedido.id === 'string') {
-            detalhe.push(`pedido ${e.pedido.id.slice(0, 8)}`);
+            detalhe.push(m.pedido(e.pedido.id.slice(0, 8)));
         }
         if (e.rodada !== undefined)
-            detalhe.push(`rodada ${String(e.rodada)}`);
+            detalhe.push(m.rodada(String(e.rodada)));
         if (e.cobertura)
-            detalhe.push(`cobertura ${String(e.cobertura)}`);
+            detalhe.push(m.cobertura(String(e.cobertura)));
         if (e.liberaEm)
-            detalhe.push(`libera em ${(0, horario_1.formatarDataHora)(String(e.liberaEm))}`);
+            detalhe.push(m.liberaEm((0, horario_1.formatarDataHora)(String(e.liberaEm))));
         if (e.tentativa !== undefined && e.limite !== undefined) {
-            detalhe.push(`tentativa ${String(e.tentativa)}/${String(e.limite)}`);
+            detalhe.push(m.tentativa(String(e.tentativa), String(e.limite)));
         }
         if (e.mergeSha)
             detalhe.push(`merge ${String(e.mergeSha).slice(0, 8)}`);
         if (e.shaRemoto)
-            detalhe.push(`remoto ${String(e.shaRemoto).slice(0, 8)}`);
+            detalhe.push(m.remoto(String(e.shaRemoto).slice(0, 8)));
         if (e.pushVerificado !== undefined)
-            detalhe.push(`push provado: ${e.pushVerificado ? 'sim' : 'nao'}`);
+            detalhe.push(m.pushProvado(!!e.pushVerificado));
         if (e.autorizadoPor)
-            detalhe.push(`autorizado por ${String(e.autorizadoPor)}`);
+            detalhe.push(m.autorizadoPor(String(e.autorizadoPor)));
         if (e.sobre)
-            detalhe.push(`sobre ${String(e.sobre)}`);
+            detalhe.push(m.sobre(String(e.sobre)));
         if (e.estado)
             detalhe.push(String(e.estado));
         if (typeof e.de === 'string' && typeof e.para === 'string') {
             detalhe.push(`${e.de} -> ${e.para}`);
         }
         if (e.dryRun === true)
-            detalhe.push('ensaio (--dry-run)');
+            detalhe.push(m.ensaio);
         if (e.tipo === ledger_1.TIPOS_DE_EVENTO.worktreeCriada && e.dir) {
-            detalhe.push(`${String(e.branch)} em ${String(e.dir)}`);
+            detalhe.push(m.worktreeEm(String(e.branch), String(e.dir)));
         }
         if (e.inline !== undefined) {
-            detalhe.push(`triagem ${String(e.inline)} inline / ${String(e.pointers)} ponteiros / ${String(e.summaries)} resumos`);
+            detalhe.push(m.triagem(String(e.inline), String(e.pointers), String(e.summaries)));
         }
         if (e.location)
-            detalhe.push(`ponteiro ${String(e.location)}`);
+            detalhe.push(m.ponteiro(String(e.location)));
         if (e.erro)
-            detalhe.push(`erro: ${String(e.erro)}`);
+            detalhe.push(m.erro(String(e.erro)));
         if (e.detalhe && !e.decisao)
             detalhe.push((0, horario_1.localizarTexto)(String(e.detalhe)).slice(0, 90));
         if (e.modo && !e.fase)
-            detalhe.push(`modo ${String(e.modo)}`);
+            detalhe.push(m.modo(String(e.modo)));
         return [(0, horario_1.formatarDataHora)(e.ts, { segundos: true }), e.tipo, detalhe.join(' | ')];
     });
-    return `${(0, util_1.tabela)(['QUANDO', 'EVENTO', 'DETALHE'], linhas)}\n${(0, horario_1.legendaDoFuso)()}`;
+    return `${(0, util_1.tabela)([...m.colunas], linhas)}\n${(0, horario_1.legendaDoFuso)()}`;
 }
 /** Slug legivel por humano de uma sessao (usado nas mensagens do CLI). */
 function descreverSlug(slug) {
     const p = (0, slug_1.parseSlug)(slug);
-    if (!p)
-        return slug;
-    const rot = p.rotacao ? `, rotacao ${p.rotacao}` : '';
-    return `produto "${p.produto}", assunto "${p.assunto}", fases "${p.fases}"${rot}`;
+    return p ? (0, locale_1.msg)().thread.slug(p.produto, p.assunto, p.fases, p.rotacao) : slug;
 }

package/dist/policies.js

@@ -14,6 +14,7 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.POLICIES_DE_PROVA_LOCAL = exports.POLICIES_CONHECIDAS = void 0;
 exports.procurarSegredos = procurarSegredos;
 exports.policyDeProvaLocal = policyDeProvaLocal;
+exports.severidadeDeclarada = severidadeDeclarada;
 exports.policiesDesconhecidas = policiesDesconhecidas;
 exports.avaliarPolicies = avaliarPolicies;
 exports.avisos = avisos;
@@ -21,6 +22,7 @@ exports.bloqueantes = bloqueantes;
 exports.motivoDominante = motivoDominante;
 exports.linhasDeAviso = linhasDeAviso;
 exports.textoDeViolacoes = textoDeViolacoes;
+const locale_1 = require("./locale");
 /**
  * Variaveis que REDIRECIONAM o despacho do `claude` para um provider pago.
  * Mesma lista do `ork doctor`: presenca delas com `subscription-only` e bloqueante.
@@ -106,6 +108,13 @@ exports.POLICIES_CONHECIDAS = {
         quando: ['claims.add'],
         descricao: 'a mesma conferencia de claim_sem_prova_local, com o nome que o ork licoes propoe',
     },
+    // RM-062 (F2): a barreira de dado privado. Declarada, o `ork verify` varre o diff da thread e o `ork ci prepare`, o
+    // diff e o bundle; fora do manifesto, nenhum dos dois varre nada (projeto privado nao paga pelo que nao pediu).
+    dado_privado: {
+        quando: ['verify', 'ci.prepare'],
+        descricao: 'reprova (ou avisa) quando o diff da thread ou o bundle de CI leva caminho de home, e-mail fora da lista, ' +
+            'hostname de maquina ou termo da lista local',
+    },
 };
 /** RM-008 (B8): as policies que conferem a claim no registro (um aviso so, como verify_regression e verify_failed). */
 exports.POLICIES_DE_PROVA_LOCAL = ['claim_sem_prova_local', 'claims_failed'];
@@ -134,6 +143,11 @@ function severidade(bruta) {
         return bruta;
     return 'warn';
 }
+/** RM-062 (F2): a severidade da policy como o manifesto a declara, ou `null` quando ele nao a declara. */
+function severidadeDeclarada(manifesto, nome) {
+    const bruta = manifesto.policies?.[nome];
+    return bruta === undefined ? null : severidade(bruta);
+}
 /** Policies declaradas no manifesto que o `ork` nao sabe executar. */
 function policiesDesconhecidas(manifesto) {
     return Object.keys(manifesto.policies ?? {}).filter((p) => !(p in exports.POLICIES_CONHECIDAS));
@@ -275,6 +289,26 @@ function avaliarPolicies(manifesto, ctx) {
             }
             continue;
         }
+        if (nome === 'dado_privado') {
+            const f = ctx.dadoPrivado;
+            if (!f || (f.achados === 0 && !f.erro))
+                continue;
+            const lista = f.listaLocal ? 'com a lista local' : 'lista local ausente: so os padroes genericos';
+            violacoes.push({
+                policy: nome,
+                severidade: sev,
+                motivo: 'policy.violation',
+                detalhe: f.erro
+                    ? `a varredura de dado privado nao rodou: ${f.erro}`
+                    : `${f.achados} achado(s) de dado privado (${f.padroes.join(', ')}) no ${f.escopo}, ${lista}: ` +
+                        `${f.onde.join(', ')}${f.achados > f.onde.length ? ', ...' : ''} (o valor casado nunca e impresso)`,
+                correcao: f.erro
+                    ? 'corrija o orkastery.privado.json (ou tire a lista local do git) e rode de novo'
+                    : 'troque o dado pelo generico (maquina-a, /home/usuario, pessoa@exemplo.invalid) ou, se for exemplo inventado, ' +
+                        'ponha a excecao com motivo em orkastery.privado.json, revisada em PR; confira com ork privado varrer --base <base>',
+            });
+            continue;
+        }
         if (nome === 'tree_blocked') {
             if (ctx.branchAtrasDaBase === true) {
                 violacoes.push({
@@ -313,10 +347,9 @@ function motivoDominante(violacoes) {
 }
 /** RM-008 (fatia 3): as linhas de aviso (policies em warn) para a saida do CLI. Nada quando nao ha aviso. */
 function linhasDeAviso(violacoes, recuo = '  ') {
-    return avisos(violacoes).flatMap((v) => [
-        `${recuo}aviso da policy ${v.policy}: ${v.detalhe}`,
-        `${recuo}  correcao: ${v.correcao}`,
-    ]);
+    // RM-061 (F2a): a moldura segue o locale do comando; detalhe e correcao sao dado da policy avaliada.
+    const m = (0, locale_1.msg)().phase;
+    return avisos(violacoes).flatMap((v) => [m.avisoDaPolicy(recuo, v.policy, v.detalhe), m.avisoCorrecao(recuo, v.correcao)]);
 }
 /** Texto das violacoes para a saida do CLI. */
 function textoDeViolacoes(violacoes) {

package/dist/portfolio.js

@@ -33,6 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.ID_DE_ENTIDADE = void 0;
 exports.readPortfolio = readPortfolio;
 exports.findEntity = findEntity;
 exports.createProduct = createProduct;
@@ -48,7 +49,8 @@ const estado_thread_1 = require("./estado-thread");
 const company_brain_journal_1 = require("./company-brain-journal");
 const util_1 = require("./util");
 const creation_operation_store_1 = require("./creation-operation-store");
-const ID = /^(prod|proj|init)-[a-z0-9][a-z0-9-]{2,47}$/;
+/** Id de produto, projeto ou iniciativa: o mesmo que o Brain recebe e o conhecimento cita (RM-026 K7, D3). */
+exports.ID_DE_ENTIDADE = /^(prod|proj|init)-[a-z0-9][a-z0-9-]{2,47}$/;
 const PREFIX = { product: 'prod-', project: 'proj-', initiative: 'init-' };
 const statuses = ['idea', 'planned', 'ready', 'in_progress', 'validating', 'delivered', 'blocked', 'cancelled'];
 const unique = (values = []) => [...new Set(values.map((v) => v.trim()).filter(Boolean))];
@@ -71,7 +73,7 @@ function mutatePortfolio(root, run) {
     return (0, creation_operation_store_1.withCreationLock)((0, estado_thread_1.raizDoEstado)(root), 'portfolio', () => (0, company_brain_journal_1.portfolioMutation)(file(root), run));
 }
 function validateBase(kind, input) {
-    if (!ID.test(input.id) || !input.id.startsWith(PREFIX[kind]))
+    if (!exports.ID_DE_ENTIDADE.test(input.id) || !input.id.startsWith(PREFIX[kind]))
         throw new Error(`${kind} exige id ${PREFIX[kind]}...`);
     if (!input.title.trim() || input.title.length > 160)
         throw new Error('título deve ter entre 1 e 160 caracteres');