@orkastery/cli 0.6.0 → 0.6.1

package/dist/retry.js

@@ -99,6 +99,7 @@ const slug_1 = require("./slug");
 const policies_1 = require("./policies");
 const ratelimit_1 = require("./ratelimit");
 const session_watcher_claude_1 = require("./session-watcher-claude");
+const session_watcher_grok_1 = require("./session-watcher-grok");
 const runtime_profiles_1 = require("./runtime-profiles");
 const modos_1 = require("./modos");
 const thread_1 = require("./thread");
@@ -660,6 +661,7 @@ tomadaPrevia) {
             slug,
             origem: opcoes.origem ?? 'retry',
             evidencia: `prompt sha256 ${promptExecutadoSha} (origem ${sha}; retomada recusada antes de despachar)`,
+            ...(opcoes.perfilPedido ? { perfilPedido: opcoes.perfilPedido } : {}),
         });
         return { ...vazio, ok: false, motivo, detalhe, dryRun: opcoes.dryRun === true };
     }
@@ -749,6 +751,14 @@ tomadaPrevia) {
         }
         catch (e) {
             const erro = e.message;
+            if (!opcoes.dryRun && opcoes.perfilPedido)
+                (0, gates_1.registrarGateBloqueado)((0, thread_1.dirThread)(raiz, thread.id), thread.id, {
+                    gate: 'phase.dispatch', motivo: 'runtime.unavailable', modo: thread.modo,
+                    detalhe: (0, locale_1.textoDoCatalogo)((m) => m.retry.perfilPedidoRecusado(opcoes.perfilPedido.id, opcoes.perfilPedido.runtime, 'runtime.unavailable', erro)),
+                    correcao: (0, locale_1.textoDoCatalogo)((m) => m.retry.correcaoDoPerfilPedido(opcoes.perfilPedido.id, opcoes.perfilPedido.runtime, 'runtime.unavailable', thread.id)),
+                    fase, slug, origem: opcoes.origem ?? 'retry', promptPath: promptExecutadoPath,
+                    promptSha256: promptExecutadoSha, perfilPedido: opcoes.perfilPedido,
+                });
             return { ...vazio, ok: false, motivo: 'runtime.unavailable',
                 detalhe: (0, locale_1.textoDoCatalogo)((m) => m.retry.runtimeIndisponivel(erro)), dryRun: opcoes.dryRun === true };
         }
@@ -766,12 +776,23 @@ tomadaPrevia) {
         if (escolha.erro) {
             const motivo = escolha.motivo ?? 'runtime.unavailable';
             const prazo = motivo === 'runtime.quota-exhausted' ? (0, runtime_profiles_1.prazoDoRuntime)((0, runtime_profiles_1.lerPerfisComContas)(raiz), runtime, (0, runtime_profiles_1.politicaDeRotacao)(manifesto)) : null;
-            return { ...vazio, ok: false, motivo, detalhe: `${motivo}: ${escolha.erro}`, dryRun: opcoes.dryRun === true,
+            const detalhe = opcoes.perfilPedido
+                ? (0, locale_1.textoDoCatalogo)((m) => m.retry.perfilPedidoRecusado(opcoes.perfilPedido.id, opcoes.perfilPedido.runtime, motivo, escolha.erro))
+                : `${motivo}: ${escolha.erro}`;
+            if (!opcoes.dryRun && opcoes.perfilPedido)
+                (0, gates_1.registrarGateBloqueado)((0, thread_1.dirThread)(raiz, thread.id), thread.id, {
+                    gate: 'phase.dispatch', motivo, modo: thread.modo, detalhe,
+                    correcao: (0, locale_1.textoDoCatalogo)((m) => m.retry.correcaoDoPerfilPedido(opcoes.perfilPedido.id, opcoes.perfilPedido.runtime, motivo, thread.id)), fase, slug, origem: opcoes.origem ?? 'retry',
+                    promptPath: promptExecutadoPath, promptSha256: promptExecutadoSha, perfilPedido: opcoes.perfilPedido,
+                });
+            return { ...vazio, ok: false, motivo, detalhe, dryRun: opcoes.dryRun === true,
                 sinal: prazo ? { resetEm: prazo, fonte: 'iso', trecho: `menor esgotadoAte dos perfis ${runtime}` } : null };
         }
         const perfil = escolha.perfil ?? undefined;
-        // I-33 (N1): o HEAD do GO codex sai antes do despacho, como no `ork phase run`.
-        const headNoDespacho = fase === 'GO' && runtime === 'codex' && !opcoes.dryRun ? (0, session_watcher_claude_1.headDaWorktree)(cwd) : undefined;
+        // I-33 (N1): o HEAD do GO codex sai antes do despacho, como no `ork phase run`. RM-067: o grok tambem.
+        const headNoDespacho = fase === 'GO' && (runtime === 'codex' || runtime === 'grok') && !opcoes.dryRun ? (0, session_watcher_claude_1.headDaWorktree)(cwd) : undefined;
+        // RM-067 (D8): a base do artefato do grok tambem sai antes do redespacho, como no `ork phase run`.
+        const artefatoNoDespacho = runtime === 'grok' && !opcoes.dryRun ? (0, session_watcher_grok_1.baseDoArtefato)(raiz, thread.id, fase) : undefined;
         const resultado = rt.despachar({
             prompt,
             nome: slug,
@@ -785,7 +806,8 @@ tomadaPrevia) {
             ...(perfil ? { perfil } : {}),
             // RM-037 (defeito 2): o modo plano segue a mesma regra do `ork phase run`, pelo bloco.
             contextoRuntime,
-            ...(runtime === 'claude-bg' && (0, phase_1.modoDaSessaoDoBloco)(thread, fase).plano ? { colaboracao: 'plan' } : {}),
+            // RM-067 (GO-FIX 1, A3): o grok tambem; no PLAN que fecha o bloco, ele roda em read-only.
+            ...((runtime === 'claude-bg' || runtime === 'grok') && (0, phase_1.modoDaSessaoDoBloco)(thread, fase).plano ? { colaboracao: 'plan' } : {}),
             // I-36 (D4): a sessao retomada herda a identidade do despacho e o canal, como no `ork phase run`.
             ambienteExtra: (0, conducao_1.ambienteDaConducao)(identidade.dispatchId, thread.id, canal),
         });
@@ -812,7 +834,7 @@ tomadaPrevia) {
                 ...(retomada ? { promptOriginalPath: absoluto, promptOriginalSha256: sha } : {}),
                 controlador: resultado.controlador, model, effort,
                 erro: resultado.erro ?? 'runtime.unavailable: sem sessionId', stderr: (resultado.stderr ?? '').slice(0, 500),
-                origem: 'retry', ...(perfil ? { perfil } : {}), ...daSessao });
+                origem: 'retry', ...(perfil ? { perfil } : {}), ...(opcoes.perfilPedido ? { perfilPedido: opcoes.perfilPedido } : {}), ...daSessao });
             const sinal = resultado.rateLimit ?? null;
             // RM-055: o redespacho recusado pelo que so o dono resolve reabre a pausa dele, com o mesmo comando.
             const impedimento = !resultado.falhaDeConta && !sinal
@@ -865,9 +887,13 @@ tomadaPrevia) {
             effort,
             origem: opcoes.origem ?? 'retry',
             ...(perfil ? { perfil } : {}),
+            ...(opcoes.perfilPedido ? { perfilPedido: opcoes.perfilPedido } : {}),
             ...(headNoDespacho !== undefined ? { headNoDespacho } : {}),
+            ...(artefatoNoDespacho !== undefined ? { artefatoNoDespacho } : {}),
         };
-        (0, phase_1.concluirDespacho)(ctx, resultado.sessionId, resultado.verificada, resultado.comando, rt.fonteVerificacao, resultado.controlador);
+        // RM-067 (D14 da ork-grokbuild): o redespacho do grok leva os sensores do supervisor ao registro do watcher; o caminho
+        // do codex e do claude-bg segue sem eles, como antes.
+        (0, phase_1.concluirDespacho)(ctx, resultado.sessionId, resultado.verificada, resultado.comando, rt.fonteVerificacao, resultado.controlador, runtime === 'grok' ? { logPath: resultado.logPath, processoPath: resultado.processoPath, reciboPath: resultado.reciboPath } : undefined);
         return {
             ok: true,
             slug,
@@ -1014,6 +1040,7 @@ function retomarPedido(carregado, pedidoOriginal, opcoes = {}) {
             slug,
             runtime: alvo.runtime,
             perfil: alvo.perfil ?? doPedido.perfil ?? null,
+            ...(doPedido.perfilPedido ? { perfilPedido: doPedido.perfilPedido } : {}),
             model: alvo.model,
             effort: alvo.effort,
             cwd: pedido.cwd,
@@ -1124,6 +1151,9 @@ function retomarPedido(carregado, pedidoOriginal, opcoes = {}) {
 function alvoDaRetomada(carregado, thread, pedido) {
     const { raiz, manifesto } = carregado;
     const original = { runtime: pedido.runtime ?? null, model: pedido.model, effort: pedido.effort };
+    if (pedido.perfilPedido)
+        return { runtime: pedido.perfilPedido.runtime, perfil: pedido.perfilPedido.id,
+            model: pedido.model, effort: pedido.effort, destino: true, runtimes: [pedido.perfilPedido.runtime], contas: false };
     if (pedido.motivo !== 'runtime.quota-exhausted' && pedido.motivo !== 'runtime.auth-missing')
         return { ...original, destino: true, runtimes: original.runtime ? [original.runtime] : [], contas: false };
     const doBloco = (0, setup_1.configDoBloco)((0, setup_1.lerSetup)(raiz), thread.modo, pedido.fase);
@@ -1131,7 +1161,8 @@ function alvoDaRetomada(carregado, thread, pedido) {
     const candidatos = [{ runtime: principal, model: pedido.model, effort: pedido.effort },
         ...alvosDeFallback(doBloco, doBloco?.runtime ?? manifesto.runtime.adapter).filter(f => f.runtime !== principal)
             .map(f => ({ runtime: f.runtime, model: f.model, effort: f.effort ?? pedido.effort }))]
-        .filter(c => (0, runtime_context_1.capacidadeDoRuntimeNoProjeto)(raiz, c.runtime).capaz);
+        // RM-067 (F4): a troca de conta do runtime principal vale tambem para o runtime sem host MCP (o grok).
+        .filter(c => (0, runtime_context_1.capacidadeDaRotacao)(raiz, c.runtime, c.runtime === principal).capaz);
     const runtimes = candidatos.map(c => c.runtime);
     const store = (0, runtime_profiles_1.lerPerfisComContas)(raiz), politica = (0, runtime_profiles_1.politicaDeRotacao)(manifesto);
     for (const c of candidatos) {
@@ -1192,7 +1223,7 @@ function alvosDeFallback(bloco, principal) {
 function proximoAlvo(raiz, atual, fallback, excluir, politica, agoraMs = Date.now()) {
     const store = (0, runtime_profiles_1.lerPerfisComContas)(raiz, agoraMs);
     const perfis = [...excluir.perfis, ...(atual.perfil ? [atual.perfil.id] : [])];
-    const mesmo = (0, runtime_context_1.capacidadeDoRuntimeNoProjeto)(raiz, atual.runtime).capaz
+    const mesmo = (0, runtime_context_1.capacidadeDaRotacao)(raiz, atual.runtime, true).capaz
         ? (0, runtime_profiles_1.proximoPerfilDisponivel)(store, atual.runtime, politica, { excluir: perfis, agoraMs }) : null;
     if (mesmo)
         return { runtime: atual.runtime, perfil: (0, runtime_profiles_1.perfilDeDespacho)(mesmo), model: null, effort: null };
@@ -1268,6 +1299,41 @@ function despachoDaFalha(eventos, gate, fase) {
 function perfilDoEvento(e) {
     return e && e.perfil !== undefined && e.perfil !== null ? (0, runtime_profiles_1.validarPerfilDeDespacho)(e.perfil) : null;
 }
+/** O marcador distinto do destino efetivo: ausente em despacho sem `--perfil` e em rotacao interna. */
+function perfilPedidoDoEvento(e) {
+    if (!e || e.perfilPedido === undefined || e.perfilPedido === null)
+        return null;
+    if (typeof e.perfilPedido !== 'object' || Array.isArray(e.perfilPedido))
+        return null;
+    const p = e.perfilPedido;
+    if (typeof p.runtime !== 'string' || p.runtime.length === 0 || p.runtime.length > 64)
+        return null;
+    try {
+        return { id: (0, runtime_profiles_1.validarIdDePerfil)(p.id), runtime: p.runtime };
+    }
+    catch {
+        return null;
+    }
+}
+/** Recupera o pedido do mesmo prompt; eventos antigos sem o campo preservam o comportamento anterior. */
+function perfilPedidoDoDespacho(eventos, fase, despacho, gate) {
+    for (const e of [gate, despacho]) {
+        const p = perfilPedidoDoEvento(e);
+        if (p)
+            return p;
+    }
+    const sha = typeof despacho?.promptSha256 === 'string' ? despacho.promptSha256
+        : typeof gate?.promptSha256 === 'string' ? gate.promptSha256 : null;
+    for (let i = eventos.length - 1; i >= 0; i--) {
+        const e = eventos[i];
+        if (e.fase !== fase || (sha !== null && e.promptSha256 !== sha))
+            continue;
+        const p = perfilPedidoDoEvento(e);
+        if (p)
+            return p;
+    }
+    return null;
+}
 /** O perfil ja esta fora do rodizio por esta falha (cota com prazo futuro, ou sem login)? */
 function jaMarcado(raiz, perfil, falha, agoraMs = Date.now()) {
     let atual;
@@ -1476,7 +1542,29 @@ function executarRetry(carregado, threadId, opcoes = {}) {
         registrarTentativa(rodada.correcoes.length > 0, detalhe);
         return { ...vazio, executada: rodada.correcoes.length > 0, rodada, reverify, detalhe };
     }
+    const redespacharNoPerfilPedido = (falho, pedido) => {
+        const r = redespachar(carregado, thread, plano.fase, String(falho.promptPath), String(falho.promptSha256), {
+            runtime: pedido.runtime,
+            perfil: pedido.id,
+            perfilPedido: pedido,
+            model: typeof falho.model === 'string' ? falho.model : null,
+            effort: plano.effort ?? (typeof falho.effort === 'string' ? falho.effort : null),
+            origem: 'retry.run',
+            dryRun: opcoes.dryRun,
+        });
+        registrarTentativa(r.ok, r.detalhe, { perfilPedido: pedido, ...(!r.ok ? { conta: false } : {}) });
+        return { ...vazio, executada: r.ok, redespacho: r, detalhe: r.detalhe };
+    };
     if (plano.motivo === 'runtime.quota-exhausted' || plano.motivo === 'runtime.auth-missing') {
+        const eventos = (0, ledger_1.lerLedger)(dir);
+        const gate = ultimaReprovacao(raiz, threadId);
+        const falho = despachoParaRedespachar(eventos, plano.fase, gate);
+        const pedido = perfilPedidoDoDespacho(eventos, plano.fase, falho, gate);
+        // Falha observada na propria conta continua na rotacao I-33 D5/RM-064 T3. A indisponibilidade
+        // detectada antes de abrir a conta preserva o pedido do dono e nunca escolhe outra em silencio.
+        if (pedido && gate?.falhaDeConta === undefined && falho && typeof falho.promptPath === 'string' &&
+            typeof falho.promptSha256 === 'string')
+            return redespacharNoPerfilPedido(falho, pedido);
         return rotacionarConta(carregado, thread, plano, opcoes, vazio, registrarTentativa);
     }
     if (plano.motivo === 'runtime.model-unavailable') {
@@ -1493,6 +1581,7 @@ function executarRetry(carregado, threadId, opcoes = {}) {
         registrarTentativa(false, detalhe);
         return { ...vazio, detalhe };
     }
+    const perfilPedidoDoRetry = perfilPedidoDoDespacho((0, ledger_1.lerLedger)(dir), plano.fase, falho, gateDoPlano);
     // RM-055: o impedimento do dono com prova local (confianca do diretorio) so volta ao runtime depois de
     // resolvido. Sem a prova, nada e despachado e a tentativa nao conta: a pausa do dono continua aberta.
     if (plano.motivo && (0, impedimento_1.ehImpedimentoDoDono)(plano.motivo) && typeof falho.cwd === 'string') {
@@ -1523,6 +1612,7 @@ function executarRetry(carregado, threadId, opcoes = {}) {
         }
         // O destino de origem e o do pedido novo que abriu o episodio; o despacho do gate completa o que faltar.
         const origem = (0, runtime_escada_1.destinoDoEpisodio)((0, ledger_1.lerLedger)(dir), plano.fase);
+        const perfilPedido = perfilPedidoDoDespacho((0, ledger_1.lerLedger)(dir), plano.fase, falho, gateDoPlano);
         const sha = falho.promptSha256;
         // GO-FIX (achado 10): o caminho do ledger e relativo a quem despachou; o absoluto e o que o dono roda de qualquer lugar.
         const promptPath = localizarPromptGravado(raiz, threadId, falho.promptPath, sha) ?? falho.promptPath;
@@ -1552,6 +1642,8 @@ function executarRetry(carregado, threadId, opcoes = {}) {
             }
             return { ...vazio, detalhe };
         }
+        if (perfilPedido)
+            return redespacharNoPerfilPedido(falho, perfilPedido);
         const saida = (0, runtime_escada_1.subirAEscada)({
             carregado, thread, fase: plano.fase, despacho,
             tentativas: plano.tentativas, limite: plano.limite, dryRun: opcoes.dryRun, daemon: opcoes.daemon, daemonJaReerguido,
@@ -1572,8 +1664,9 @@ function executarRetry(carregado, threadId, opcoes = {}) {
     }
     const redespacho = redespachar(carregado, thread, plano.fase, falho.promptPath, falho.promptSha256, {
         effort: plano.effort,
-        runtime: typeof falho.runtime === 'string' ? falho.runtime : null,
+        runtime: perfilPedidoDoRetry?.runtime ?? (typeof falho.runtime === 'string' ? falho.runtime : null),
         model: typeof falho.model === 'string' ? falho.model : null,
+        ...(perfilPedidoDoRetry ? { perfil: perfilPedidoDoRetry.id, perfilPedido: perfilPedidoDoRetry } : {}),
         origem: 'retry.run',
         dryRun: opcoes.dryRun,
     });
@@ -1772,7 +1865,7 @@ function destinosQueRecusaramOModelo(eventos, fase) {
  */
 function proximoDestinoDoModelo(raiz, runtime, model, fallback, recusados) {
     const store = (0, runtime_profiles_1.lerPerfisComContas)(raiz);
-    const mesmo = (0, runtime_context_1.capacidadeDoRuntimeNoProjeto)(raiz, runtime).capaz
+    const mesmo = (0, runtime_context_1.capacidadeDaRotacao)(raiz, runtime, true).capaz
         ? (0, runtime_profiles_1.perfisDisponiveis)(store, runtime).find(p => !recusados.has(chaveDoModelo(runtime, p.id, model))) : null;
     if (mesmo)
         return { runtime, perfil: (0, runtime_profiles_1.perfilDeDespacho)(mesmo), model, effort: null };

package/dist/runtime-context.js

@@ -33,10 +33,13 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS = exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS = exports.MOTIVO_SEM_HOST_MCP = exports.RUNTIMES_SEM_HOST_MCP = void 0;
 exports.novaIdentidadeDeDespacho = novaIdentidadeDeDespacho;
 exports.capacidadeDoRuntimeNoProjeto = capacidadeDoRuntimeNoProjeto;
+exports.capacidadeDaRotacao = capacidadeDaRotacao;
 exports.contextoDoProjeto = contextoDoProjeto;
 exports.validarContextoRuntime = validarContextoRuntime;
+exports.validarContextoDoGrok = validarContextoDoGrok;
 exports.lerDeclaracaoDeMod = lerDeclaracaoDeMod;
 exports.modsDeFaseInstalados = modsDeFaseInstalados;
 /** Contexto interno opt-in: configuracao M4 existente + catalogo instalado, nunca args do modelo. */
@@ -83,48 +86,89 @@ function ler(raiz, file, limite) {
         fs.closeSync(fd);
     }
 }
-function preparado(raiz) {
-    let encontrado;
-    for (const host of ['claude-code', 'codex']) {
-        const file = path.join(raiz, host === 'codex' ? '.codex/config.toml' : '.mcp.json');
-        if (!fs.existsSync(file))
-            continue;
+/** A entrada `orkastery` de um host, conferida contra o perfil ja achado nos hosts anteriores; sem entrada, o perfil fica. */
+function perfilDoHost(raiz, host, encontrado) {
+    const file = (0, mcp_install_1.arquivoDoHostMcp)(raiz, host), toml = host !== 'claude-code';
+    if (!fs.existsSync(file))
+        return encontrado;
+    let config;
+    try {
         const text = ler(raiz, file, 262144).toString('utf8');
-        const config = objeto(host === 'codex' ? (0, smol_toml_1.parse)(text) : JSON.parse(text));
-        const chave = host === 'codex' ? 'mcp_servers' : 'mcpServers';
-        if (config[chave] === undefined)
-            continue;
-        const servidores = objeto(config[chave]);
-        if (!Object.hasOwn(servidores, 'orkastery'))
-            continue;
-        const entrada = objeto(servidores.orkastery), padrao = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host);
-        const legado = padrao.args.slice(0, -2);
-        let transporte = 'github-ssh';
-        let argv = entrada.args;
-        let permissoesFilho = 'interactive';
-        if (Array.isArray(argv) && argv[argv.length - 2] === '--child-permissions') {
-            if (!['interactive', 'worktree'].includes(argv[argv.length - 1]))
-                throw Error('runtime.context.conflict: perfil de filho invalido');
-            permissoesFilho = argv[argv.length - 1];
-            argv = argv.slice(0, -2);
+        config = objeto(toml ? (0, smol_toml_1.parse)(text) : JSON.parse(text));
+    }
+    catch (erro) {
+        // RM-067 (F4b, GO-FIX A4 e N2): o motivo tipado do grok leva o codigo do erro de sistema ou a primeira linha do parser,
+        // sem o trecho do arquivo do time nem o caminho da maquina.
+        if (host !== 'grok')
+            throw erro;
+        const causa = erro.code ?? erro.message.split('\n')[0];
+        throw Error(`runtime.context.conflict: .grok/config.toml do projeto ilegivel (${causa}); conserte o arquivo ou tire dele a entrada orkastery`);
+    }
+    const chave = toml ? 'mcp_servers' : 'mcpServers';
+    if (config[chave] === undefined)
+        return encontrado;
+    const servidores = objeto(config[chave]);
+    if (!Object.hasOwn(servidores, 'orkastery'))
+        return encontrado;
+    const entrada = objeto(servidores.orkastery), padrao = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host);
+    const legado = padrao.args.slice(0, -2);
+    let transporte = 'github-ssh';
+    let argv = entrada.args;
+    let permissoesFilho = 'interactive';
+    if (Array.isArray(argv) && argv[argv.length - 2] === '--child-permissions') {
+        if (!['interactive', 'worktree'].includes(argv[argv.length - 1]))
+            throw Error('runtime.context.conflict: perfil de filho invalido');
+        permissoesFilho = argv[argv.length - 1];
+        argv = argv.slice(0, -2);
+    }
+    if (JSON.stringify(argv) !== JSON.stringify(legado)) {
+        if (!Array.isArray(argv) || argv.length !== padrao.args.length ||
+            argv[argv.length - 2] !== '--ship-transport' || !(0, mcp_transportes_1.ehTransporteShipMcp)(argv[argv.length - 1]))
+            throw Error('runtime.context.conflict: MCP Orkastery divergente; transporte invalido ou argumentos extras');
+        transporte = argv[argv.length - 1];
+    }
+    const esperado = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host, undefined, transporte);
+    if (entrada.command !== esperado.command || (JSON.stringify(argv) !== JSON.stringify(esperado.args) && JSON.stringify(argv) !== JSON.stringify(legado)))
+        throw Error('runtime.context.conflict: MCP Orkastery divergente; repare a instalacao do projeto');
+    if (encontrado !== undefined && encontrado.transporteShip !== transporte)
+        throw Error('runtime.context.conflict: transportes SHIP divergentes entre hosts');
+    if (encontrado !== undefined && encontrado.permissoesFilho !== permissoesFilho)
+        throw Error('runtime.context.conflict: perfis de filho divergentes entre hosts');
+    return { ...encontrado, transporteShip: transporte, permissoesFilho, ...(host === 'codex' ? { politicasCodex: entrada } : {}) };
+}
+/**
+ * O perfil da instalacao MCP do projeto. RM-067 (F4b, GO-FIX A4): o `.grok/config.toml` tambem prepara, em TOML como o do
+ * codex, mas ele e a config do proprio grok, que o time pode manter: para quem nao e o grok (`quem`), a falha de leitura,
+ * de parse ou de conferencia dele nao derruba a preparacao dos outros hosts, e a entrada dele fica de fora. GO-FIX N1: sem
+ * outro host preparado, a entrada `orkastery` do grok e a preparacao do projeto, e engolir a falha dela faria o claude-bg
+ * e o codex despacharem como num projeto legado, sem o MCP; a falha volta, e so a config do time sem a entrada fica de fora.
+ */
+function preparado(raiz, quem) {
+    let encontrado;
+    let falhaDoGrok = null;
+    for (const host of mcp_install_1.HOSTS_MCP) {
+        try {
+            encontrado = perfilDoHost(raiz, host, encontrado);
         }
-        if (JSON.stringify(argv) !== JSON.stringify(legado)) {
-            if (!Array.isArray(argv) || argv.length !== padrao.args.length ||
-                argv[argv.length - 2] !== '--ship-transport' || !(0, mcp_transportes_1.ehTransporteShipMcp)(argv[argv.length - 1]))
-                throw Error('runtime.context.conflict: MCP Orkastery divergente; transporte invalido ou argumentos extras');
-            transporte = argv[argv.length - 1];
+        catch (erro) {
+            if (host !== 'grok' || quem === undefined || quem === 'grok')
+                throw erro;
+            falhaDoGrok = erro;
         }
-        const esperado = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host, undefined, transporte);
-        if (entrada.command !== esperado.command || (JSON.stringify(argv) !== JSON.stringify(esperado.args) && JSON.stringify(argv) !== JSON.stringify(legado)))
-            throw Error('runtime.context.conflict: MCP Orkastery divergente; repare a instalacao do projeto');
-        if (encontrado !== undefined && encontrado.transporteShip !== transporte)
-            throw Error('runtime.context.conflict: transportes SHIP divergentes entre hosts');
-        if (encontrado !== undefined && encontrado.permissoesFilho !== permissoesFilho)
-            throw Error('runtime.context.conflict: perfis de filho divergentes entre hosts');
-        encontrado = { ...encontrado, transporteShip: transporte, permissoesFilho, ...(host === 'codex' ? { politicasCodex: entrada } : {}) };
     }
+    if (falhaDoGrok !== null && encontrado === undefined && podeTerEntradaDoOrk(raiz))
+        throw falhaDoGrok;
     return encontrado;
 }
+/** O `.grok/config.toml` do projeto tem, ou pode ter, a entrada `orkastery`; o que nao se le conta como se tivesse. */
+function podeTerEntradaDoOrk(raiz) {
+    try {
+        return ler(raiz, (0, mcp_install_1.arquivoDoHostMcp)(raiz, 'grok'), 262144).toString('utf8').includes('orkastery');
+    }
+    catch {
+        return true;
+    }
+}
 function raizCanonica(projeto) {
     if (!path.isAbsolute(projeto))
         throw Error('runtime.context.invalid: projeto absoluto obrigatorio');
@@ -140,6 +184,8 @@ function hostDoRuntime(runtime) {
         return 'claude-code';
     if (runtime === 'codex')
         return 'codex';
+    if (runtime === 'grok')
+        return 'grok';
     throw Error('runtime.context.invalid: runtime desconhecido');
 }
 /** Confere o recibo e todos os bytes do adaptador antes de considerar o runtime um destino. */
@@ -186,40 +232,88 @@ function capacidadeDoRuntimeNoProjeto(projeto, runtime) {
     let host = null;
     try {
         const raiz = raizCanonica(projeto);
-        const perfil = preparado(raiz);
+        const perfil = preparado(raiz, runtime);
         if (!perfil)
             return { runtime, host: null, preparado: false, capaz: true, motivo: null };
+        if (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime))
+            return { runtime, host: null, preparado: true, capaz: false, motivo: exports.MOTIVO_SEM_HOST_MCP };
         host = hostDoRuntime(runtime);
-        conferirInstalacaoDoHost(raiz, host);
+        // RM-067 (F4b, G6): o grok nao tem adaptador instalavel (plugin, skills, mods); o contexto dele e so o MCP.
+        if (host !== 'grok')
+            conferirInstalacaoDoHost(raiz, host);
+        if (exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS.includes(runtime))
+            return { runtime, host, preparado: true, capaz: false, motivo: exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS };
         return { runtime, host, preparado: true, capaz: true, motivo: null };
     }
     catch (erro) {
         return { runtime, host, preparado: true, capaz: false, motivo: erro.message };
     }
 }
+/**
+ * RM-067 (D15 da ork-grokbuild): runtimes homologados que ainda nao tem host MCP do Orkastery. A sessao filha deles
+ * despacha sem contexto, como num projeto sem entrada MCP, ate o host existir. A capacidade de rotacao
+ * (`capacidadeDoRuntimeNoProjeto`) nao muda: num projeto preparado, eles seguem fora dos destinos automaticos.
+ * RM-067 (F4b, G6): o grok saiu daqui com o host `grok`; a lista fica para o proximo runtime sem host.
+ */
+exports.RUNTIMES_SEM_HOST_MCP = [];
+/** RM-067 (F4): o motivo tipado de um runtime sem host MCP num projeto preparado. */
+exports.MOTIVO_SEM_HOST_MCP = 'runtime.context.no-host: runtime sem host MCP do Orkastery; a sessao despacha sem o contexto do projeto';
+/**
+ * RM-067 (F4b, GO-FIX A5; F4c, D9): runtimes com o host MCP que, num projeto preparado, ficam fora dos destinos
+ * automaticos (o fallback do retry e a escada), porque o servidor MCP do ork nao grava o estado na sessao deles e a fase
+ * que chega por fallback pararia sem prova. O grok ficou aqui da F4b a F4c: o sandbox dele vale para o processo inteiro e
+ * os filhos (G17 da RM-067), e o servidor stdio era filho dele. Desde a F4c o servidor e um processo do ork, fora do
+ * sandbox (`adapters/grok-mcp.ts`), e a fase do grok no piso `workspace` fecha com prova; a lista fica vazia, para o
+ * proximo runtime cujo MCP nao grave o estado, como `RUNTIMES_SEM_HOST_MCP`.
+ */
+exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS = [];
+exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS = 'runtime.context.sandbox: o sandbox do runtime vale tambem para o servidor MCP do ' +
+    'ork, que nao grava o estado; como destino automatico num projeto preparado, o runtime fica fora';
+/**
+ * RM-067 (F4): a capacidade de um runtime para a rotacao do retry. A troca de perfil DENTRO do runtime em que a thread ja
+ * despachou (`mesmoRuntime`) vale para o runtime sem host MCP e para o que fica fora dos destinos automaticos: a sessao
+ * dele ja roda como rodava, e a outra conta nao muda isso, entao o `ork retry` troca o perfil dele como troca o dos outros
+ * runtimes. Como alvo de fallback num projeto preparado, ele segue incapaz. Desde a F4c, nenhum runtime homologado esta
+ * nas duas listas, e o grok e capaz nos dois papeis.
+ */
+function capacidadeDaRotacao(projeto, runtime, mesmoRuntime) {
+    const capacidade = capacidadeDoRuntimeNoProjeto(projeto, runtime);
+    if (capacidade.capaz || !mesmoRuntime)
+        return capacidade;
+    const soComoDestino = (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime) && capacidade.motivo === exports.MOTIVO_SEM_HOST_MCP) ||
+        (exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS.includes(runtime) && capacidade.motivo === exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS);
+    return soComoDestino ? { ...capacidade, capaz: true } : capacidade;
+}
 /** Projeto sem entrada MCP Orkastery continua com o contrato legado. Nao instala nem altera arquivos. */
 function contextoDoProjeto(projeto, runtime, cwd, threadId) {
     const raiz = raizCanonica(projeto);
-    const perfil = preparado(raiz);
+    const perfil = preparado(raiz, runtime);
     if (!perfil)
         return undefined;
+    if (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime))
+        return undefined;
     const host = hostDoRuntime(runtime);
     if (!threadId)
         throw Error('runtime.context.invalid: thread obrigatoria para sessao filha');
     const contexto = { projeto: raiz, host, threadId, transporteShip: perfil.transporteShip, permissoesFilho: perfil.permissoesFilho };
-    validarContextoRuntime(contexto, cwd);
+    if (host === 'grok')
+        validarContextoDoGrok(contexto, cwd);
+    else
+        validarContextoRuntime(contexto, cwd);
     return contexto;
 }
-/** Revalida no receptor do despacho, incluindo bytes instalados e escopo real do cwd. */
-function validarContextoRuntime(contexto, cwd) {
-    if (!contexto || !['claude-code', 'codex'].includes(contexto.host))
-        throw Error('runtime.context.invalid: host desconhecido');
+/**
+ * A conferencia do vinculo, comum a todo host: projeto preparado, perfil e transporte iguais aos da instalacao, cwd e
+ * thread da sessao filha, identidade do despacho e, no perfil worktree, a worktree propria da thread. RM-067 (F4b, D2):
+ * saiu de `validarContextoRuntime` sem mudar a ordem das conferencias, para o contexto do grok usar a mesma.
+ */
+function conferirVinculo(contexto, cwd) {
     if (contexto.transporteShip !== undefined && !(0, mcp_transportes_1.ehTransporteShipMcp)(contexto.transporteShip))
         throw Error('runtime.context.invalid: transporte desconhecido');
     const raiz = raizCanonica(contexto.projeto);
     if (contexto.permissoesFilho !== undefined && !['interactive', 'worktree'].includes(contexto.permissoesFilho))
         throw Error('runtime.context.invalid: perfil de filho desconhecido');
-    const perfil = preparado(raiz);
+    const perfil = preparado(raiz, contexto.host);
     if (!perfil)
         throw Error('runtime.context.missing: projeto nao preparado pelo instalador MCP');
     const { transporteShip, permissoesFilho } = perfil;
@@ -246,6 +340,13 @@ function validarContextoRuntime(contexto, cwd) {
         if (!(0, worktree_1.worktreesDoGit)(raiz).some(w => w.dir === cwd && w.branch === (0, worktree_1.branchDaWorktree)(thread)))
             throw Error('runtime.context.worktree: worktree nao registrada na branch da thread');
     }
+    return { raiz, perfil, transporteShip, permissoesFilho, thread };
+}
+/** Revalida no receptor do despacho, incluindo bytes instalados e escopo real do cwd. */
+function validarContextoRuntime(contexto, cwd) {
+    if (!contexto || (contexto.host !== 'claude-code' && contexto.host !== 'codex'))
+        throw Error('runtime.context.invalid: host desconhecido');
+    const { raiz, perfil, transporteShip, permissoesFilho, thread } = conferirVinculo(contexto, cwd);
     const { instalacao, arquivos, conferidos, bootstrap } = conferirInstalacaoDoHost(raiz, contexto.host);
     const modsDeFase = contexto.host === 'claude-code' ? modsDeFaseInstalados(raiz, instalacao, arquivos, conferidos) : [];
     // Capacidade derivada do bloco atual, nunca aceita como entrada do modelo.
@@ -265,6 +366,25 @@ function validarContextoRuntime(contexto, cwd) {
         ...(contexto.host === 'codex' && permissoesFilho === 'worktree' ? (0, mcp_install_1.politicasFilhoCodex)(perfil.politicasCodex ?? {}) : {}) };
     return { projeto: raiz, instalacao, bootstrap, permissoesFilho, permiteEditarProduto, grafoMcp, servidor, modsDeFase, agentTeams };
 }
+/**
+ * RM-067 (F4b, D2): o contexto do grok, revalidado no despacho. O vinculo e o mesmo dos outros hosts; nao ha adaptador
+ * instalado a conferir (o grok nao tem plugin, skills nem mods do Orkastery). Devolve o que o comando e o despacho usam:
+ * o perfil filho, a flag do grafo da raiz e, desde a F4c, a especificacao do servidor externo vinculado a thread e ao despacho.
+ */
+function validarContextoDoGrok(contexto, cwd) {
+    if (!contexto || contexto.host !== 'grok')
+        throw Error('runtime.context.invalid: host grok esperado');
+    const { raiz, transporteShip, permissoesFilho, thread } = conferirVinculo(contexto, cwd);
+    // RM-067 (F4b, GO-FIX B1): a config da sessao vai no cwd; na raiz do projeto ela viraria a entrada do host grok.
+    if (!thread.worktree || thread.worktree === raiz || cwd === raiz)
+        throw Error('runtime.context.worktree: o grok com o MCP do ork exige a worktree propria da thread; a config da sessao nunca vai a raiz do projeto');
+    const grafoMcp = (0, mcp_grafo_1.grafoLigado)((0, manifest_1.exigirManifesto)(raiz).manifesto);
+    const publicVerifiers = (0, hitl_public_receipt_1.publicHitlVerifiers)();
+    const servidor = { projeto: raiz, threadId: contexto.threadId,
+        dispatchId: contexto.identidade?.dispatchId ?? null, permissoesFilho, transporteShip,
+        ...(publicVerifiers ? { env: { [hitl_public_receipt_1.ENV_HITL_VERIFIERS]: publicVerifiers } } : {}) };
+    return { projeto: raiz, threadId: contexto.threadId, permissoesFilho, grafoMcp, servidor };
+}
 const DECLARACAO_OU_MANIFESTO_DE_MOD = /^mods\/[^/]+\/(?:orkastery-mod\.json|\.claude-plugin\/plugin\.json)$/;
 const DECLARACAO_DE_MOD = /^mods\/([^/]+)\/orkastery-mod\.json$/;
 const NOME_DE_MOD = /^[a-z0-9](?:[a-z0-9-]{0,62}[a-z0-9])?$/;

package/dist/runtime-escada.js

@@ -44,6 +44,7 @@ const locale_1 = require("./locale");
 const modos_1 = require("./modos");
 const runtime_profiles_1 = require("./runtime-profiles");
 const setup_1 = require("./setup");
+const runtimes_1 = require("./runtimes");
 const runtime_context_1 = require("./runtime-context");
 const thread_1 = require("./thread");
 /** Os degraus, na ordem do pedido do dono de 12/10/2026. */
@@ -163,6 +164,11 @@ function planoDoDegrau(carregado, thread, fase, n, despacho, tentados, agoraMs =
         }
         return { pulo: 'fallback-sem-destino' };
     }
+    // RM-067 (F3, F4): o runtime sem cota esgotada tipada (o grok) fica fora do degrau "outra conta": a escada nunca troca a
+    // conta dele, ate o formato da cota esgotada ser confirmado no ensaio real. Como alvo de fallback (degrau 2) ele vale no
+    // projeto sem o MCP do ork e, desde a F4c (o servidor do ork fora do sandbox dele), tambem no preparado.
+    if (runtimes_1.RUNTIMES_SEM_COTA_TIPADA.includes(despacho.runtime))
+        return { pulo: 'cota-sem-sinal-tipado' };
     // Degrau 3: outra conta do runtime que falhou. O diretorio de cada conta e o que separa um daemon do outro. Os perfis
     // tentados sao os efetivos (o redespacho sem perfil pedido escolhe um, e e ele que falhou); o despacho que nasceu sem
     // perfil (o runtime caiu antes da escolha) tem como conta de origem a que o degrau 1 de fato usou.
@@ -187,7 +193,7 @@ function planoDoDegrau(carregado, thread, fase, n, despacho, tentados, agoraMs =
         if (p.id === contaDeOrigem?.id || jaTentados.has(p.id))
             return false;
         const d = (0, runtime_profiles_1.perfilDeDespacho)(p);
-        return !dirOriginal || (d.configDir ?? d.codexHome) !== dirOriginal;
+        return !dirOriginal || (0, runtime_profiles_1.diretorioDoPerfil)(d) !== dirOriginal;
     });
     return outro ? { destino: { ...original, perfil: outro.id } } : { pulo: 'sem-outro-perfil' };
 }