@orkastery/cli 0.5.6 → 0.6.1

package/dist/phase.js

@@ -33,12 +33,13 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.REGRAS_DE_EVIDENCIA = exports.CONTRATO_DAS_FASES = void 0;
+exports.REGRAS_DE_EVIDENCIA = exports.REGRA_DAS_ESPERAS = exports.CONTRATO_DAS_FASES = void 0;
 exports.escolherPerfil = escolherPerfil;
 exports.perfilPedido = perfilPedido;
 exports.perfilParaDespacho = perfilParaDespacho;
 exports.runtimeCruzadoParaDespacho = runtimeCruzadoParaDespacho;
 exports.estadoParaDespacho = estadoParaDespacho;
+exports.fechoDoGo = fechoDoGo;
 exports.fasesDoCicloNoPrompt = fasesDoCicloNoPrompt;
 exports.valoresDoPrompt = valoresDoPrompt;
 exports.montarPrompt = montarPrompt;
@@ -72,6 +73,7 @@ const board_1 = require("./board");
 const verify_1 = require("./verify");
 const session_watcher_1 = require("./session-watcher");
 const session_watcher_claude_1 = require("./session-watcher-claude");
+const session_watcher_grok_1 = require("./session-watcher-grok");
 const manifest_1 = require("./manifest");
 const mcp_grafo_1 = require("./mcp-grafo");
 const runtimes_1 = require("./runtimes");
@@ -83,10 +85,12 @@ const ratelimit_1 = require("./ratelimit");
 const impedimento_1 = require("./impedimento");
 const claude_bg_1 = require("./adapters/claude-bg");
 const codex_1 = require("./adapters/codex");
+const grok_1 = require("./adapters/grok");
 const memoria_1 = require("./memoria");
 const prompts_1 = require("./prompts");
 const slug_1 = require("./slug");
 const locale_1 = require("./locale");
+const locale_prompts_1 = require("./locale-prompts");
 const thread_1 = require("./thread");
 const types_1 = require("./types");
 const util_1 = require("./util");
@@ -96,6 +100,7 @@ const horario_1 = require("./horario");
 const runtime_profiles_1 = require("./runtime-profiles");
 const sessoes_contas_1 = require("./sessoes-contas");
 const maquina_1 = require("./maquina");
+const trabalho_thread_1 = require("./trabalho-thread");
 const procedencia_1 = require("./procedencia");
 const postura_local_1 = require("./postura-local");
 const fabrica_publicar_1 = require("./fabrica-publicar");
@@ -180,8 +185,9 @@ function perfilParaDespacho(carregado, thread, fase, runtime, opcoes) {
         const escolha = escolherPerfil(raiz, runtime, { perfil: opcoes.perfil, excluir, politica, carga });
         if (escolha.erro || !escolha.perfil || opcoes.dryRun)
             return escolha;
+        // RM-067 (F3): o grok nao tem conferencia de login sem ler a credencial; o despacho prova o login (semConferencia).
         const auth = runtime === 'claude-bg' ? (0, claude_bg_1.conferirAuth)(escolha.perfil) : runtime === 'codex' ? (0, codex_1.conferirAuth)(escolha.perfil)
-            : { ok: false, detalhe: `runtime ${runtime} sem conferencia de login` };
+            : runtime === 'grok' ? (0, grok_1.conferirAuth)(escolha.perfil) : { ok: false, detalhe: `runtime ${runtime} sem conferencia de login` };
         if (auth.ok)
             return escolha;
         let motivo, razao;
@@ -269,23 +275,31 @@ function estadoParaDespacho(raiz, thread, dryRun = false) {
 }
 /** O que cada fase canonica entrega. Vai no cabecalho do prompt de toda sessao. */
 exports.CONTRATO_DAS_FASES = {
-    GOAL: 'GOAL (F1): objetivo verificavel, impact map, criterios de sucesso e claims com comando de verificacao. Nao implementa.',
-    PLAN: 'PLAN (F2): plano com tarefas, touch_paths, decisoes D1..Dn com domicilio unico e verify executavel por tarefa. Nao implementa.',
-    GO: 'GO (F3): implementacao slice por slice, um commit atomico por tarefa, dentro da worktree da thread.',
-    CHECK: 'CHECK (F4): verificacao contra a baseline (regressao versus divida pre-existente), review de codigo, testes, seguranca e performance.',
-    SHIP: 'SHIP (F5): merge serializado, push provado por comando, roadmap atualizado e plano de rollback.',
-    MASTER: 'MASTER (F6): MASTER log com postmortem tipado, licoes e o score humano de 0 a 5. Uma entrega sem MASTER log nao aconteceu.',
+    ...locale_prompts_1.PROMPTS_PT_BR.contratoDasFases,
 };
+/**
+ * RM-037 (ork-rm037esperas, D3): a regra das esperas, uma linha so, a mesma no prompt de toda fase e na skill e nos
+ * guias que o adaptador instala (`core/test/rm037-esperas.test.ts` confere os arquivos). Em 12/10/2026, sessoes de
+ * fase esperaram para sempre por verify ou suite mandados para segundo plano com `&`, cujo processo morreu com a
+ * chamada, e por lacos de espera com `pgrep -f` que acham a si mesmos, porque o proprio laco traz o texto procurado.
+ */
+exports.REGRA_DAS_ESPERAS = locale_prompts_1.PROMPTS_PT_BR.regraDasEsperas;
 /** As regras de evidencia que valem em toda fase, em todo modo. */
 exports.REGRAS_DE_EVIDENCIA = [
-    'Nada de self-report: toda alegacao vem com o comando que a comprova e a saida real.',
-    'Trabalhe apenas no diretorio de trabalho indicado acima.',
-    'Passos irreversiveis (push, merge, delecao) so acontecem quando o modo autoriza.',
+    ...locale_prompts_1.PROMPTS_PT_BR.regrasDeEvidencia,
     // RM-058 N2 (D13 da ork-rm058n2): tres sessoes de 12/10/2026 mandaram verify ou suite para segundo plano com `&`,
-    // perderam o processo e esperaram para sempre.
-    'Verify, build e suite rodam em primeiro plano, com timeout, nunca com `&` no comando: o processo em segundo plano ' +
-        'se perde e a sessao espera para sempre. O `ork verify` espera a vez na fila de recursos pesados.',
+    // perderam o processo e esperaram para sempre. RM-037 (ork-rm037esperas, D3): a linha da N2 virou a regra das
+    // esperas, que tambem traz a execucao em segundo plano do host e a espera por `pgrep -f`.
+    exports.REGRA_DAS_ESPERAS,
 ];
+/**
+ * RM-016: o rito de saída do GO pertence ao prompt canônico, não a um adaptador. Assim Claude Code
+ * e Codex recebem os mesmos artefatos obrigatórios antes de a sessão encerrar. RM-061 F3c: o texto
+ * vem do catálogo dos prompts, e o prompt inglês leva o mesmo rito.
+ */
+function fechoDoGo(threadId, locale = (0, locale_1.localeAtivo)()) {
+    return (locale === 'en' ? locale_prompts_1.PROMPTS_EN : locale_prompts_1.PROMPTS_PT_BR).fechoDoGo(threadId);
+}
 /**
  * I-42 (D11): as fases que o cabecalho do prompt descreve.
  *
@@ -308,7 +322,8 @@ function fasesDoCicloNoPrompt(thread) {
  * decisao e codigo. E o que permite um projeto reescrever o texto do prompt em
  * `prompts/fase-padrao.md` sem poder mudar o que o `ork` considera verdade.
  */
-function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
+function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '', locale = (0, locale_1.localeAtivo)()) {
+    const mp = locale === 'en' ? locale_prompts_1.PROMPTS_EN : locale_prompts_1.PROMPTS_PT_BR;
     const def = (0, modos_1.definicaoDoModo)(thread.modo);
     const bloco = (0, thread_1.blocoDaThread)(thread, fase);
     const pausa = (0, thread_1.pausaNaThread)(thread, fase);
@@ -317,27 +332,29 @@ function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
         thread: thread.id,
         bloco: bloco.fases.join('-'),
         nome: thread.nome,
-        ciclo_canonico: fasesDoCicloNoPrompt(thread).map((f) => `${bloco.fases.includes(f) ? '>' : ' '} ${exports.CONTRATO_DAS_FASES[f]}`).join('\n'),
+        ciclo_canonico: fasesDoCicloNoPrompt(thread).map((f) => `${bloco.fases.includes(f) ? '>' : ' '} ${mp.contratoDasFases[f]}`).join('\n'),
         tag: def.tag,
         blocos: thread.blocos.map((b) => b.fases.join('-')).join(' / '),
         pausas: String(thread.blocos.filter((b) => b.pausa).length),
-        linha_variante: thread.variante ? `Variante de ciclo: ${thread.variante}` : '',
+        linha_variante: thread.variante ? mp.variante(thread.variante) : '',
         regra_de_pausa: pausa
-            ? `Ao fim deste bloco HA PAUSA humana sobre: ${bloco.pausaSobre}. Pare, apresente a evidencia e espere o veredito.`
-            : 'Ao fim deste bloco NAO ha pausa humana: siga com decisao autonoma e registre no ledger quem decidiu, com que evidencia e por que.',
-        invariantes: modos_1.INVARIANTES.map((i) => `- ${i}`).join('\n'),
+            ? mp.pausa(mp.pausaSobre(bloco.pausaSobre))
+            : mp.semPausa,
+        invariantes: mp.invariantes.map((i) => `- ${i}`).join('\n'),
         slug: thread.slug,
         projeto_nome: thread.projeto.name,
         projeto_abbrev: thread.projeto.abbrev,
         base_branch: thread.base.branch,
         base_commit: thread.base.commit,
-        diretorio: thread.worktree ?? '(raiz do projeto)',
+        diretorio: thread.worktree ?? mp.raizDoProjeto,
+        trabalho: (0, trabalho_thread_1.caminhoDoTrabalho)(thread.id),
         pedido: pedido.trim(),
+        fecho_go: bloco.fases.includes('GO') ? mp.fechoDoGo(thread.id) : '',
         // Bloco B6: o bloco de memoria injetada deterministicamente. Vazio em toda thread sem
         // decisao fechada e sem OrkMind, e ai a linha da variavel some do prompt: o texto fica
         // byte a byte igual ao que o B4 ja despachava.
         memoria_injetada: memoriaInjetada,
-        regras_de_evidencia: exports.REGRAS_DE_EVIDENCIA.map((r) => `- ${r}`).join('\n'),
+        regras_de_evidencia: [...mp.regrasDeEvidencia, mp.regraDasEsperas].map((r) => `- ${r}`).join('\n'),
     };
 }
 /**
@@ -347,8 +364,10 @@ function valoresDoPrompt(thread, fase, pedido, memoriaInjetada = '') {
  * `prompts/fase-padrao.md` (ou `prompts/fase-goal.md` e companhia) versionado no repositorio,
  * vale o do projeto, e `ork prompt lint` e quem garante que ele nao perdeu o contrato.
  */
-function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '') {
-    return (0, prompts_1.renderizar)((0, prompts_1.templateDaFase)(fase, raiz), valoresDoPrompt(thread, fase, pedido, memoriaInjetada));
+function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '', locale = (0, locale_1.localeAtivo)()) {
+    // RM-061 F3c: os valores falam a lingua do template escolhido; o do projeto sem par `.en` sai inteiro em pt-BR.
+    const template = (0, prompts_1.templateDaFase)(fase, raiz, locale);
+    return (0, prompts_1.renderizar)(template, valoresDoPrompt(thread, fase, pedido, memoriaInjetada, (0, prompts_1.idiomaDoTemplate)(template)));
 }
 /**
  * Monta o prompt da fase JA com a memoria injetada (bloco B6).
@@ -359,11 +378,15 @@ function montarPrompt(thread, fase, pedido, raiz, memoriaInjetada = '') {
  * com as decisoes fechadas lidas do `thread.json`: a garantia nao depende do OrkMind.
  */
 function montarPromptComMemoria(carregado, thread, fase, pedido, memoria) {
-    const injecao = (0, memoria_1.injecaoDaFase)(carregado, memoria, thread, fase);
+    // RM-061 F3c: o prompt despachado e dado (arquivo com sha256 no ledger). Segue a lingua declarada do dono
+    // (`owner.language`), nunca o locale de quem despacha: sem ela, pt-BR, com qualquer LANG (contrato da F2a). A
+    // dica do grafo fala a lingua do template que conduz a fase, como os valores.
+    const locale = (0, prompts_1.idiomaDoTemplate)((0, prompts_1.templateDaFase)(fase, carregado.raiz, (0, locale_1.linguaDeclaradaDoDono)(carregado.manifesto.owner?.language)));
+    const injecao = (0, memoria_1.injecaoDaFase)(carregado, memoria, thread, fase, locale);
     // Mesma raiz usada pelo MCP e runtime-context; o manifesto da WT nao habilita a dica.
     const ligado = (0, mcp_grafo_1.grafoLigado)((0, manifest_1.exigirManifesto)((0, estado_thread_1.raizDoEstado)(carregado.raiz)).manifesto);
     return {
-        prompt: montarPrompt(thread, fase, (0, prompts_1.pedidoComDicaDoGrafo)(pedido, thread.id, ligado), carregado.raiz, injecao.texto),
+        prompt: montarPrompt(thread, fase, (0, prompts_1.pedidoComDicaDoGrafo)(pedido, thread.id, ligado, locale), carregado.raiz, injecao.texto, locale),
         injecao,
     };
 }
@@ -448,6 +471,8 @@ function dadosDoDespacho(ctx, comando) {
         cwd: ctx.cwd,
         promptPath: path.relative(ctx.raiz, ctx.promptPath),
         promptSha256: ctx.promptSha256,
+        ...(ctx.promptOriginal ? { promptOriginalPath: path.relative(ctx.raiz, ctx.promptOriginal.path),
+            promptOriginalSha256: ctx.promptOriginal.sha256 } : {}),
         origem: ctx.origem,
         // I-36 (T10): a porta por onde o dono chegou. `runtime` e o motor; `canal` e a porta.
         ...(ctx.canal ? { canal: ctx.canal } : {}),
@@ -455,6 +480,7 @@ function dadosDoDespacho(ctx, comando) {
         ...(ctx.identidade ? { identidade: ctx.identidade } : {}),
         // I-33 (D4): so identidade e diretorio do perfil; o store guarda o resto e nada e segredo.
         ...(ctx.perfil ? { perfil: ctx.perfil } : {}),
+        ...(ctx.perfilPedido ? { perfilPedido: ctx.perfilPedido } : {}),
         comando: comandoMascarado(comando, ctx.promptSha256),
     };
 }
@@ -532,7 +558,7 @@ sensores) {
     vincularConducaoDaSessao(ctx, sessionId);
     // I-51 (RM-047): as outras maquinas veem a fase nova; so com a fabrica compartilhada.
     (0, fabrica_publicar_1.publicarEmSegundoPlano)(ctx.raiz);
-    if (ctx.runtime === 'codex' || ctx.runtime === 'claude-bg')
+    if (ctx.runtime === 'codex' || ctx.runtime === 'claude-bg' || ctx.runtime === 'grok')
         registrarObservacao(ctx, sessao, dir, controlador, sensores);
     return sessao;
 }
@@ -566,14 +592,19 @@ function registrarObservacao(ctx, sessao, dir, controlador, sensores) {
     const mesmoDespacho = (e) => e.sessionId === sessao.sessionId && e.despachoEm === sessao.despachadaEm;
     try {
         // I-34: claude-bg observa pela fonte nativa; no PLAN o registro guarda o sha de base do artefato.
-        // I-33 (N1): o GO codex registra o HEAD do despacho, como a fonte claude-bg; sem ele a D11c nao ve commit pelo shell.
+        // I-33 (N1): o GO codex registra o HEAD do despacho, como a fonte claude-bg; ele revela commit pelo shell no checkpoint.
         const head = ctx.runtime === 'codex' && ctx.fase === 'GO' ? { head: ctx.headNoDespacho ?? null } : {};
-        const fonte = ctx.runtime === 'claude-bg' ? (0, session_watcher_claude_1.fonteClaudeDoDespacho)(ctx.raiz, ctx.thread.id, ctx.fase, ctx.cwd)
-            : sensores?.logPath ? { logPath: sensores.logPath, processoPath: sensores.processoPath, reciboPath: sensores.reciboPath, ...head }
-                : controlador ? { controlador, cwd: ctx.cwd, ...head } : null;
+        // RM-067 (F2, D8): o grok observa o stream e os recibos do supervisor; o HEAD do GO vem de antes do despacho.
+        // RM-067 (F3): a pasta da sessao mora na casa do perfil do despacho; sem perfil, na do processo.
+        const fonte = ctx.runtime === 'grok' ? (sensores?.logPath && sensores.processoPath && sensores.reciboPath
+            ? (0, session_watcher_grok_1.fonteGrokDoDespacho)(ctx.raiz, ctx.thread.id, ctx.fase, ctx.cwd, { logPath: sensores.logPath, processoPath: sensores.processoPath, reciboPath: sensores.reciboPath }, ctx.perfil ? (0, runtime_profiles_1.diretorioDoPerfil)(ctx.perfil) : (0, grok_1.casaDoGrok)(), { head: ctx.headNoDespacho, ...(ctx.artefatoNoDespacho !== undefined ? { artefato: ctx.artefatoNoDespacho } : {}) })
+            : null)
+            : ctx.runtime === 'claude-bg' ? (0, session_watcher_claude_1.fonteClaudeDoDespacho)(ctx.raiz, ctx.thread.id, ctx.fase, ctx.cwd)
+                : sensores?.logPath ? { logPath: sensores.logPath, processoPath: sensores.processoPath, reciboPath: sensores.reciboPath, ...head }
+                    : controlador ? { controlador, cwd: ctx.cwd, ...head } : null;
         if (!fonte)
             return;
-        (0, session_watcher_1.validarFonteWatcher)(ctx.raiz, sessao.sessionId, fonte);
+        (0, session_watcher_1.prepararFonteWatcher)(ctx.raiz, sessao.sessionId, fonte);
         const eventos = (0, ledger_1.lerLedger)(dir);
         if (!eventos.some(e => e.tipo === 'session_sensor_registered' && mesmoDespacho(e))) {
             (0, ledger_1.registrar)(dir, ctx.thread.id, 'session_sensor_registered', { fase: ctx.fase,
@@ -687,6 +718,8 @@ tomadaPrevia) {
     const thread = (0, thread_1.lerThread)(raiz, threadId);
     const fase = opcoes.fase;
     const dir = (0, thread_1.dirThread)(raiz, thread.id);
+    if (!opcoes.dryRun)
+        (0, trabalho_thread_1.garantirDiretorioDoTrabalho)(raiz, thread.id);
     const slug = slugDaSessao(thread, fase);
     // Resolve UMA vez o trio runtime/modelo/esforco: o mesmo objeto vai ao runtime adapter,
     // ao ledger e a resposta do CLI. Resolver duas vezes e o caminho curto para o ledger
@@ -880,6 +913,9 @@ tomadaPrevia) {
             }
         }
         const cwd = (0, procedencia_1.diretorioDaThread)(raiz, thread);
+        // O pedido explicito precisa sobreviver mesmo quando o despacho para antes de escolher ou abrir a conta.
+        // `perfil` continua sendo o destino efetivo; misturar os dois quebraria a rotacao por falha da propria conta.
+        const perfilPedido = opcoes.perfil !== undefined ? { id: opcoes.perfil, runtime } : undefined;
         // RM-063 (F3): o prompt vai ao disco e ao ledger, com o sha256, ANTES do contexto do runtime e do adaptador. No
         // incidente de 12/10/2026 a fase morreu no despacho e o `ork retry run` saiu com "nao ha despacho falho registrado
         // em GO com prompt gravado"; daqui em diante, toda tentativa deixa o prompt que o retry redespacha sem pedir o texto.
@@ -887,7 +923,8 @@ tomadaPrevia) {
         const promptNoLedger = { promptPath: path.relative(raiz, promptPath), promptSha256: sha };
         if (!opcoes.dryRun) {
             (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.promptGravado, { fase, slug, modo: thread.modo, runtime, model, effort, cwd,
-                ...promptNoLedger, origem: 'phase.run', canal, ...(opcoes.correlacao ? { correlacao: opcoes.correlacao } : {}), identidade });
+                ...promptNoLedger, origem: 'phase.run', canal, ...(opcoes.correlacao ? { correlacao: opcoes.correlacao } : {}), identidade,
+                ...(perfilPedido ? { perfilPedido } : {}) });
         }
         const correcaoDoRetry = `ork retry run ${thread.id} redespacha o mesmo prompt (sha256 ${sha.slice(0, 12)})`;
         let contextoRuntime;
@@ -897,7 +934,8 @@ tomadaPrevia) {
         catch (e) {
             const erro = `runtime.unavailable: ${e.message}`;
             (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable',
-                modo: thread.modo, detalhe: erro, fase, slug, ...(opcoes.dryRun ? {} : { ...promptNoLedger, correcao: correcaoDoRetry }) });
+                modo: thread.modo, detalhe: erro, fase, slug, ...(opcoes.dryRun ? {} : { ...promptNoLedger, correcao: correcaoDoRetry }),
+                ...(perfilPedido ? { perfilPedido } : {}) });
             return { thread, slug, promptPath, promptSha256: sha, comando: [], sessionId: null,
                 verificada: false, pausaAoFim: (0, thread_1.pausaNaThread)(thread, fase), dryRun: opcoes.dryRun === true,
                 runtime, model, effort, bloqueado: true, motivo: 'runtime.unavailable', violacoes, erro };
@@ -916,16 +954,20 @@ tomadaPrevia) {
         }
         if (escolha.erro) {
             const motivo = escolha.motivo ?? 'runtime.unavailable';
-            const erro = `${motivo}: ${escolha.erro}`;
+            const erro = perfilPedido
+                ? (0, locale_1.textoDoCatalogo)((m) => m.retry.perfilPedidoRecusado(perfilPedido.id, perfilPedido.runtime, motivo, escolha.erro))
+                : `${motivo}: ${escolha.erro}`;
             if (!opcoes.dryRun) {
                 const semPerfil = { identidade, raiz, thread, fase, slug, promptPath, promptSha256: sha, runtime, cwd, model, effort,
-                    origem: 'phase.run', canal, correlacao: opcoes.correlacao ?? null };
+                    origem: 'phase.run', canal, correlacao: opcoes.correlacao ?? null, ...(perfilPedido ? { perfilPedido } : {}) };
                 (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.despachoFalhou, { ...dadosDoDespacho(semPerfil, []), erro });
                 (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo, modo: thread.modo, detalhe: erro,
-                    correcao: motivo === 'cost.violation'
-                        ? 'refaca o login do perfil pela assinatura (claude auth login --claudeai ou codex login com ChatGPT) e rode ork accounts check; perfil de provider pago nunca despacha'
-                        : 'ork accounts list mostra o estado de cada perfil; ork retry run segue pela ordem de fallback ou pela fila',
-                    fase, slug, runtime, origem: 'phase.run' });
+                    correcao: perfilPedido
+                        ? (0, locale_1.textoDoCatalogo)((m) => m.retry.correcaoDoPerfilPedido(perfilPedido.id, perfilPedido.runtime, motivo, thread.id))
+                        : motivo === 'cost.violation'
+                            ? 'refaca o login do perfil pela assinatura (claude auth login --claudeai ou codex login com ChatGPT) e rode ork accounts check; perfil de provider pago nunca despacha'
+                            : 'ork accounts list mostra o estado de cada perfil; ork retry run segue pela ordem de fallback ou pela fila',
+                    fase, slug, runtime, origem: 'phase.run', ...promptNoLedger, ...(perfilPedido ? { perfilPedido } : {}) });
             }
             return { thread, slug, promptPath, promptSha256: sha, comando: [], sessionId: null,
                 verificada: false, pausaAoFim: (0, thread_1.pausaNaThread)(thread, fase), dryRun: opcoes.dryRun === true,
@@ -962,8 +1004,10 @@ tomadaPrevia) {
         const claimsSchema = fase === 'GO' && runtime === 'codex'
             ? schemaDeClaimsDoPacote()
             : undefined;
-        // I-33 (N1): lido antes de a sessao existir; depois dela, um commit rapido ja estaria no HEAD.
-        const headNoDespacho = fase === 'GO' && runtime === 'codex' && !opcoes.dryRun ? (0, session_watcher_claude_1.headDaWorktree)(cwd) : undefined;
+        // I-33 (N1): lido antes de a sessao existir; depois dela, um commit rapido ja estaria no HEAD. RM-067: o grok tambem.
+        const headNoDespacho = fase === 'GO' && (runtime === 'codex' || runtime === 'grok') && !opcoes.dryRun ? (0, session_watcher_claude_1.headDaWorktree)(cwd) : undefined;
+        // RM-067 (D8): a base do artefato do grok tambem sai antes do despacho, que espera a pasta da sessao.
+        const artefatoNoDespacho = runtime === 'grok' && !opcoes.dryRun ? (0, session_watcher_grok_1.baseDoArtefato)(raiz, thread.id, fase) : undefined;
         const pedidoAoRuntime = {
             prompt,
             nome: slug,
@@ -1004,7 +1048,9 @@ tomadaPrevia) {
             effort,
             origem: 'phase.run',
             ...(perfil ? { perfil } : {}),
+            ...(perfilPedido ? { perfilPedido } : {}),
             ...(headNoDespacho !== undefined ? { headNoDespacho } : {}),
+            ...(artefatoNoDespacho !== undefined ? { artefatoNoDespacho } : {}),
         };
         let resultado;
         try {
@@ -1018,6 +1064,7 @@ tomadaPrevia) {
                 (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.despachoFalhou, { ...dadosDoDespacho(ctx, []), erro });
                 (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable', modo: thread.modo,
                     detalhe: erro, correcao: correcaoDoRetry, fase, slug, runtime, origem: 'phase.run', ...promptNoLedger,
+                    ...(perfilPedido ? { perfilPedido } : {}),
                     evidencia: 'excecao real do runtime adapter no despacho, nao relato do agente' });
             }
             throw e;
@@ -1067,6 +1114,7 @@ tomadaPrevia) {
                 (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: falha.motivo, modo: thread.modo, detalhe: erro,
                     correcao: 'ork retry run rotaciona para o proximo perfil, para o runtime de fallback ou para a fila', fase, slug,
                     runtime, origem: 'phase.run', falhaDeConta: falha, ...(perfil ? { perfil } : {}),
+                    ...(perfilPedido ? { perfilPedido } : {}),
                     evidencia: 'saida real do runtime adapter no despacho, nao relato do agente' });
                 return { thread, slug, promptPath, promptSha256: sha, comando: resultado.comando, controlador: resultado.controlador,
                     sessionId: null, verificada: false, pausaAoFim, dryRun: false, runtime, model, effort, bloqueado: false,
@@ -1096,6 +1144,11 @@ tomadaPrevia) {
                     effort,
                     sinal,
                     detalhe: erro,
+                    // RM-058 N4 (D17 da ork-rm058n4): o pedido do despacho do arco é do vigia do arco, e o `ork retry resume` não o retoma.
+                    ...(opcoes.correlacao ? { correlacao: opcoes.correlacao } : {}),
+                    // RM-067 (GO-FIX 1, A1): o pedido do grok volta pelo grok, com o modelo dele; o dos outros runtimes segue como antes.
+                    ...(runtime === 'grok' ? { runtime } : {}),
+                    ...(perfilPedido ? { runtime, perfil: perfilPedido.id, perfilPedido } : {}),
                 });
                 (0, ledger_1.registrar)(dir, thread.id, ledger_1.TIPOS_DE_EVENTO.rateLimitEnfileirado, {
                     fase,
@@ -1141,6 +1194,7 @@ tomadaPrevia) {
             // a registrava: o `ork retry plan` nao a via e a fase ficava parada sem ninguem saber.
             (0, gates_1.registrarGateBloqueado)(dir, thread.id, { gate: 'phase.dispatch', motivo: 'runtime.unavailable', modo: thread.modo,
                 detalhe: erro, correcao: correcaoDoRetry, fase, slug, runtime, origem: 'phase.run', ...promptNoLedger, ...daSessao,
+                ...(perfilPedido ? { perfilPedido } : {}),
                 evidencia: 'saida real do runtime adapter no despacho, nao relato do agente' });
             return {
                 thread,

package/dist/policies.js

@@ -14,6 +14,7 @@ Object.defineProperty(exports, "__esModule", { value: true });
 exports.POLICIES_DE_PROVA_LOCAL = exports.POLICIES_CONHECIDAS = void 0;
 exports.procurarSegredos = procurarSegredos;
 exports.policyDeProvaLocal = policyDeProvaLocal;
+exports.severidadeDeclarada = severidadeDeclarada;
 exports.policiesDesconhecidas = policiesDesconhecidas;
 exports.avaliarPolicies = avaliarPolicies;
 exports.avisos = avisos;
@@ -107,6 +108,13 @@ exports.POLICIES_CONHECIDAS = {
         quando: ['claims.add'],
         descricao: 'a mesma conferencia de claim_sem_prova_local, com o nome que o ork licoes propoe',
     },
+    // RM-062 (F2): a barreira de dado privado. Declarada, o `ork verify` varre o diff da thread e o `ork ci prepare`, o
+    // diff e o bundle; fora do manifesto, nenhum dos dois varre nada (projeto privado nao paga pelo que nao pediu).
+    dado_privado: {
+        quando: ['verify', 'ci.prepare'],
+        descricao: 'reprova (ou avisa) quando o diff da thread ou o bundle de CI leva caminho de home, e-mail fora da lista, ' +
+            'hostname de maquina ou termo da lista local',
+    },
 };
 /** RM-008 (B8): as policies que conferem a claim no registro (um aviso so, como verify_regression e verify_failed). */
 exports.POLICIES_DE_PROVA_LOCAL = ['claim_sem_prova_local', 'claims_failed'];
@@ -135,6 +143,11 @@ function severidade(bruta) {
         return bruta;
     return 'warn';
 }
+/** RM-062 (F2): a severidade da policy como o manifesto a declara, ou `null` quando ele nao a declara. */
+function severidadeDeclarada(manifesto, nome) {
+    const bruta = manifesto.policies?.[nome];
+    return bruta === undefined ? null : severidade(bruta);
+}
 /** Policies declaradas no manifesto que o `ork` nao sabe executar. */
 function policiesDesconhecidas(manifesto) {
     return Object.keys(manifesto.policies ?? {}).filter((p) => !(p in exports.POLICIES_CONHECIDAS));
@@ -276,6 +289,26 @@ function avaliarPolicies(manifesto, ctx) {
             }
             continue;
         }
+        if (nome === 'dado_privado') {
+            const f = ctx.dadoPrivado;
+            if (!f || (f.achados === 0 && !f.erro))
+                continue;
+            const lista = f.listaLocal ? 'com a lista local' : 'lista local ausente: so os padroes genericos';
+            violacoes.push({
+                policy: nome,
+                severidade: sev,
+                motivo: 'policy.violation',
+                detalhe: f.erro
+                    ? `a varredura de dado privado nao rodou: ${f.erro}`
+                    : `${f.achados} achado(s) de dado privado (${f.padroes.join(', ')}) no ${f.escopo}, ${lista}: ` +
+                        `${f.onde.join(', ')}${f.achados > f.onde.length ? ', ...' : ''} (o valor casado nunca e impresso)`,
+                correcao: f.erro
+                    ? 'corrija o orkastery.privado.json (ou tire a lista local do git) e rode de novo'
+                    : 'troque o dado pelo generico (maquina-a, /home/usuario, pessoa@exemplo.invalid) ou, se for exemplo inventado, ' +
+                        'ponha a excecao com motivo em orkastery.privado.json, revisada em PR; confira com ork privado varrer --base <base>',
+            });
+            continue;
+        }
         if (nome === 'tree_blocked') {
             if (ctx.branchAtrasDaBase === true) {
                 violacoes.push({

package/dist/postura-local.js

@@ -33,7 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.POSTURAS_QUE_AFROUXAM = exports.ARQUIVO_POSTURA_LOCAL = exports.CONTRATO_POSTURA_LOCAL = void 0;
+exports.RUNTIMES_COM_POSTURA = exports.POSTURAS_QUE_AFROUXAM = exports.ARQUIVO_POSTURA_LOCAL = exports.CONTRATO_POSTURA_LOCAL = void 0;
 exports.pastaPrivadaDaPostura = pastaPrivadaDaPostura;
 exports.caminhoDaPosturaLocal = caminhoDaPosturaLocal;
 exports.posturaAfrouxada = posturaAfrouxada;
@@ -66,6 +66,7 @@ const node_crypto_1 = require("node:crypto");
 const codex_1 = require("./adapters/codex");
 const estado_thread_1 = require("./estado-thread");
 const procedencia_1 = require("./procedencia");
+const locale_1 = require("./locale");
 const util_1 = require("./util");
 exports.CONTRATO_POSTURA_LOCAL = 'ork.postura-local/v1';
 exports.ARQUIVO_POSTURA_LOCAL = 'postura-local.json';
@@ -153,13 +154,17 @@ function lerPosturaLocal(raiz) {
         return { postura: null, motivo: 'a confirmação local é de outro checkout' };
     return { postura: o, motivo: null };
 }
+/**
+ * Os runtimes que recebem a postura de sandbox do manifesto: o Codex e, desde a F4 da RM-067, o `grok`, em que a postura
+ * mais frouxa vira o perfil `off` (sem sandbox). O `claude-bg` não recebe a postura.
+ */
+exports.RUNTIMES_COM_POSTURA = ['codex', 'grok'];
 /**
  * A recusa do despacho: `null` quando a postura do manifesto vale nesta máquina (não afrouxa, ou
  * foi confirmada localmente com o mesmo valor); senão o erro tipado com o comando que confirma.
- * Só o Codex recebe a postura de sandbox do manifesto.
  */
 function recusaDePostura(raiz, manifesto, runtime) {
-    if (runtime !== 'codex')
+    if (!exports.RUNTIMES_COM_POSTURA.includes(runtime))
         return null;
     const postura = posturaAfrouxada(manifesto);
     if (!postura)
@@ -182,7 +187,7 @@ function gravarArquivoPrivado(raiz, nome, objeto) {
     const estado = path.dirname(pasta);
     const stEstado = fs.lstatSync(estado, { throwIfNoEntry: false });
     if (stEstado && (!stEstado.isDirectory() || stEstado.isSymbolicLink()))
-        throw new Error('estado.link: .orkastery precisa ser pasta de verdade');
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.posturaEstadoLink);
     fs.mkdirSync(estado, { recursive: true });
     try {
         fs.mkdirSync(pasta, { mode: 0o700 });
@@ -193,10 +198,10 @@ function gravarArquivoPrivado(raiz, nome, objeto) {
     }
     const stPasta = fs.lstatSync(pasta);
     if (!stPasta.isDirectory() || stPasta.isSymbolicLink())
-        throw new Error('estado.link: .orkastery/private precisa ser pasta de verdade');
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.posturaPrivadaLink);
     fs.chmodSync(pasta, 0o700);
     if ((0, procedencia_1.rastreadoPeloGit)(raiz, arquivo)) {
-        throw new Error(`estado.rastreado: ${nome} está versionado no git; tire-o do índice (git rm --cached) antes de confirmar`);
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.posturaRastreada(nome));
     }
     const temp = path.join(pasta, `.${nome}.${(0, node_crypto_1.randomUUID)()}.tmp`);
     const fd = fs.openSync(temp, fs.constants.O_WRONLY | fs.constants.O_CREAT | fs.constants.O_EXCL | fs.constants.O_NOFOLLOW, 0o600);

package/dist/preflight.js

@@ -46,6 +46,7 @@ const manifest_1 = require("./manifest");
 const estado_thread_1 = require("./estado-thread");
 const claude_bg_1 = require("./adapters/claude-bg");
 const codex_1 = require("./adapters/codex");
+const grok_1 = require("./adapters/grok");
 const runtime_profiles_1 = require("./runtime-profiles");
 const modos_1 = require("./modos");
 const setup_1 = require("./setup");
@@ -57,7 +58,7 @@ const runtime_ambiente_1 = require("./runtime-ambiente");
 const slug_1 = require("./slug");
 const util_1 = require("./util");
 const horario_1 = require("./horario");
-const authPadrao = (p) => p.runtime === 'claude-bg' ? (0, claude_bg_1.conferirAuth)(p) : (0, codex_1.conferirAuth)(p);
+const authPadrao = (p) => p.runtime === 'claude-bg' ? (0, claude_bg_1.conferirAuth)(p) : p.runtime === 'grok' ? (0, grok_1.conferirAuth)(p) : (0, codex_1.conferirAuth)(p);
 const sensoresPadrao = {
     runtime: nome => !!(0, runtimes_1.resolverRuntime)(nome).disponivel(),
     sandboxCodex: () => (0, codex_2.sondarSandbox)().ok,

package/dist/procedencia.js

@@ -60,6 +60,7 @@ exports.exigirCaminhoContido = exigirCaminhoContido;
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const estado_thread_1 = require("./estado-thread");
+const locale_1 = require("./locale");
 const util_1 = require("./util");
 /** Caminho relativo à árvore principal, com `/` (o formato do `git ls-files`). */
 function relativoAoRepositorio(principal, arquivo) {
@@ -134,14 +135,12 @@ function exigirCwdLocal(raiz, threadId, dir, origem) {
         return dir;
     const arquivo = path.join(principal, ARQUIVO_DA_ORIGEM[origem](threadId));
     if (rastreadoPeloGit(principal, arquivo)) {
-        throw new Error(`estado.rastreado: ${path.relative(principal, arquivo)} está versionado no git, e estado versionado ` +
-            'não escolhe onde o ork roda (ele pode ter vindo de outro repositório). Tire o estado do índice ' +
-            '(git rm -r --cached .orkastery e .orkastery/ no .gitignore) e rode o comando de novo.');
+        const rel = path.relative(principal, arquivo);
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.rastreado(rel));
     }
     if (!path.isAbsolute(dir) || !fs.existsSync(dir) || !worktreesRegistradas(principal).includes(alvo)) {
-        throw new Error(`estado.worktree-nao-registrada: ${JSON.stringify(String(dir)).slice(0, 200)} não aparece em ` +
-            `git worktree list deste repositório, e o ork só roda git e agente na raiz do projeto ou numa worktree ` +
-            `registrada. Recrie a worktree da thread com ork worktree ensure ${threadId}.`);
+        const citado = JSON.stringify(String(dir)).slice(0, 200);
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.worktreeNaoRegistrada(citado, threadId));
     }
     return dir;
 }
@@ -167,14 +166,11 @@ function diretorioDaThread(raiz, thread) {
  */
 function exigirHostLocal(raiz, arquivo) {
     if (rastreadoPeloGit(raiz, arquivo)) {
-        throw new Error(`transporte.rastreado: ${path.basename(arquivo)} está versionado no git, e o transporte do ` +
-            'pulse e do digest só vale do arquivo local desta máquina. Tire-o do índice (git rm --cached) e grave-o ' +
-            'de novo nesta máquina.');
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.transporteRastreado(path.basename(arquivo)));
     }
     const st = fs.lstatSync(arquivo, { throwIfNoEntry: false });
     if (st && !st.isFile()) {
-        throw new Error(`transporte.rastreado: ${path.basename(arquivo)} precisa ser um arquivo comum desta máquina, ` +
-            'não link nem diretório.');
+        throw new locale_1.ErroDoCatalogo((m) => m.estado.transporteNaoComum(path.basename(arquivo)));
     }
 }
 /** `filho` está dentro de `pai` (ou é o próprio `pai`), pelos caminhos reais? */
@@ -219,7 +215,6 @@ function exigirCaminhoContido(raiz, thread, caminho, origem) {
     const contido = caminhoContidoOuNulo(raiz, thread, caminho);
     if (contido)
         return contido;
-    throw new Error(`ponteiro.fora-da-raiz: ${JSON.stringify(String(origem)).slice(0, 200)} aponta para fora da raiz do ` +
-        'projeto e da worktree registrada da thread (também por link simbólico). Um ponteiro guardado no estado só lê ' +
-        'arquivo de dentro do projeto. Exporte o handoff de novo (ork handoff export) ou copie o arquivo para dentro do projeto.');
+    const citado = JSON.stringify(String(origem)).slice(0, 200);
+    throw new locale_1.ErroDoCatalogo((m) => m.estado.ponteiroForaDaRaiz(citado));
 }