@orkastery/cli 0.6.0 → 0.6.1

package/dist/runtime-profiles.js

@@ -33,7 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.COLUNAS_DE_PERFIS = exports.POLITICA_PADRAO = exports.ARQUIVO_CONTAS = exports.CONTRATO_CONTAS = exports.ESTADOS_DE_PERFIL = exports.RUNTIMES_COM_PERFIL = exports.VARIAVEL_DO_PERFIL = exports.ARQUIVO_PERFIS = exports.CONTRATO_PERFIS = void 0;
+exports.COLUNAS_DE_PERFIS = exports.POLITICA_PADRAO = exports.ARQUIVO_CONTAS = exports.CONTRATO_CONTAS = exports.ESTADOS_DE_PERFIL = exports.RUNTIMES_COM_INVENTARIO = exports.CAMPO_DO_PERFIL = exports.RUNTIMES_COM_PERFIL = exports.VARIAVEL_DO_PERFIL = exports.ARQUIVO_PERFIS = exports.CONTRATO_PERFIS = void 0;
 exports.runtimeComPerfil = runtimeComPerfil;
 exports.validarDiretorioDePerfil = validarDiretorioDePerfil;
 exports.validarIdDePerfil = validarIdDePerfil;
@@ -81,7 +81,7 @@ exports.perfisComHorario = perfisComHorario;
  * I-33 (D3): perfis de conta por runtime, contrato `ork.runtime-profiles/v1`.
  *
  * Um perfil aponta o DIRETORIO onde o proprio CLI do runtime guarda configuracao e login
- * (`CLAUDE_CONFIG_DIR` no claude-bg, `CODEX_HOME` no codex). O `ork` nunca le, copia nem
+ * (`CLAUDE_CONFIG_DIR` no claude-bg, `CODEX_HOME` no codex, `GROK_HOME` no grok). O `ork` nunca le, copia nem
  * migra o que o CLI grava la dentro: o login e feito pelo proprio CLI com o env do perfil, e
  * o store guarda so identidade, diretorio e estado de uso. Nenhum segredo entra aqui.
  *
@@ -101,8 +101,19 @@ const locale_1 = require("./locale");
 exports.CONTRATO_PERFIS = 'ork.runtime-profiles/v1';
 exports.ARQUIVO_PERFIS = 'runtime-profiles.json';
 /** Runtimes homologados que aceitam perfil, e a variavel que cada um le. */
-exports.VARIAVEL_DO_PERFIL = { 'claude-bg': 'CLAUDE_CONFIG_DIR', codex: 'CODEX_HOME' };
+exports.VARIAVEL_DO_PERFIL = { 'claude-bg': 'CLAUDE_CONFIG_DIR', codex: 'CODEX_HOME', grok: 'GROK_HOME' };
 exports.RUNTIMES_COM_PERFIL = Object.keys(exports.VARIAVEL_DO_PERFIL);
+/** O campo do perfil que guarda o diretorio de cada runtime (o store e o despacho usam o mesmo nome). */
+exports.CAMPO_DO_PERFIL = { 'claude-bg': 'configDir', codex: 'codexHome', grok: 'grokHome' };
+const CAMPOS_DE_DIRETORIO = Object.values(exports.CAMPO_DO_PERFIL);
+/** O diretorio padrao de cada CLI na HOME, quando o processo nao informa a variavel. */
+const PASTA_PADRAO = { 'claude-bg': '.claude', codex: '.codex', grok: '.grok' };
+/**
+ * RM-067 (F3, F4): runtimes de assinatura que o #Noctum mede e cuja conta do processo o inventario sempre consulta
+ * (`claude agents`, rollouts do codex). Desde a F4, o `ork sessions` e a carga do rodizio leem tambem o `grok`, pela
+ * pasta de sessoes que ele grava (`RUNTIMES_DAS_SESSOES` em `sessoes-contas.ts`); a medicao do #Noctum segue sem ele.
+ */
+exports.RUNTIMES_COM_INVENTARIO = ['claude-bg', 'codex'];
 /**
  * I-33 (D13): `provider-pago` e o perfil cujo proprio CLI diz que o login e por API key,
  * `api_key_helper`, Console ou provider de nuvem, e nao pela assinatura. Nunca recebe despacho;
@@ -135,8 +146,11 @@ function validarIdDePerfil(id) {
 }
 /** Diretorio do perfil, pelo campo do seu runtime. */
 function diretorioDoPerfil(p) {
-    const dir = p.runtime === 'claude-bg' ? p.configDir : p.codexHome;
-    return validarDiretorioDePerfil(dir);
+    return validarDiretorioDePerfil(p[exports.CAMPO_DO_PERFIL[p.runtime]]);
+}
+/** O perfil de despacho com o diretorio no campo do seu runtime. */
+function comDiretorio(id, runtime, dir) {
+    return { id, runtime, [exports.CAMPO_DO_PERFIL[runtime]]: dir };
 }
 /** Valida um perfil de despacho vindo do ledger, do thread.json ou do pedido da fila. */
 function validarPerfilDeDespacho(v) {
@@ -146,16 +160,13 @@ function validarPerfilDeDespacho(v) {
     const runtime = o.runtime;
     if (typeof runtime !== 'string' || !runtimeComPerfil(runtime))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.runtimeDesconhecido);
-    const campo = runtime === 'claude-bg' ? 'configDir' : 'codexHome';
-    const outro = runtime === 'claude-bg' ? 'codexHome' : 'configDir';
-    if (o[outro] !== undefined || Object.keys(o).some(k => !['id', 'runtime', campo].includes(k)))
+    const campo = exports.CAMPO_DO_PERFIL[runtime];
+    if (Object.keys(o).some(k => !['id', 'runtime', campo].includes(k)))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.despachoComCampo);
-    const id = validarIdDePerfil(o.id), dir = validarDiretorioDePerfil(o[campo]);
-    return runtime === 'claude-bg' ? { id, runtime, configDir: dir } : { id, runtime, codexHome: dir };
+    return comDiretorio(validarIdDePerfil(o.id), runtime, validarDiretorioDePerfil(o[campo]));
 }
 function perfilDeDespacho(p) {
-    return p.runtime === 'claude-bg' ? { id: p.id, runtime: p.runtime, configDir: diretorioDoPerfil(p) }
-        : { id: p.id, runtime: p.runtime, codexHome: diretorioDoPerfil(p) };
+    return comDiretorio(p.id, p.runtime, diretorioDoPerfil(p));
 }
 /**
  * Diretorio implicito de quem despacha sem perfil: o do ambiente informado, ou o padrao do
@@ -163,7 +174,7 @@ function perfilDeDespacho(p) {
  */
 function diretorioImplicito(runtime, env = process.env) {
     const valor = (env[exports.VARIAVEL_DO_PERFIL[runtime]] ?? '').trim();
-    return valor !== '' ? valor : path.join(os.homedir(), runtime === 'claude-bg' ? '.claude' : '.codex');
+    return valor !== '' ? valor : path.join(os.homedir(), PASTA_PADRAO[runtime]);
 }
 /** Diretorio efetivo: o do perfil registrado, ou o implicito quando a sessao nao tem perfil. */
 function diretorioEfetivo(runtime, perfil, env = process.env) {
@@ -247,8 +258,8 @@ function validarPerfil(v) {
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.perfilInvalido);
     const o = v;
     const despacho = validarPerfilDeDespacho({ id: o.id, runtime: o.runtime,
-        ...(o.configDir !== undefined ? { configDir: o.configDir } : {}), ...(o.codexHome !== undefined ? { codexHome: o.codexHome } : {}) });
-    const permitidos = ['id', 'runtime', 'configDir', 'codexHome', 'estado', 'esgotadoAte', 'ultimaFalha', 'ultimoUso', 'criadoEm'];
+        ...Object.fromEntries(CAMPOS_DE_DIRETORIO.filter(c => o[c] !== undefined).map(c => [c, o[c]])) });
+    const permitidos = ['id', 'runtime', ...CAMPOS_DE_DIRETORIO, 'estado', 'esgotadoAte', 'ultimaFalha', 'ultimoUso', 'criadoEm'];
     if (Object.keys(o).some(k => !permitidos.includes(k)))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.campoInesperado);
     if (!exports.ESTADOS_DE_PERFIL.includes(o.estado))
@@ -539,8 +550,7 @@ function adicionarPerfil(raiz, novo, agoraIso = new Date().toISOString()) {
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.runtimeSemPerfil(novo.runtime));
     const runtime = novo.runtime;
     const dir = validarDiretorioDePerfil(novo.dir);
-    const perfil = { id: validarIdDePerfil(novo.id), runtime,
-        ...(runtime === 'claude-bg' ? { configDir: dir } : { codexHome: dir }),
+    const perfil = { ...comDiretorio(validarIdDePerfil(novo.id), runtime, dir),
         estado: 'ativo', esgotadoAte: null, ultimaFalha: null, ultimoUso: null, criadoEm: agoraIso };
     return atualizarPerfis(raiz, store => {
         const existente = store.perfis.find(p => p.id === perfil.id);

package/dist/runtimes.js

@@ -10,6 +10,10 @@
  *              `claude agents --json` (homologado em 02/09/2026).
  *   codex      o segundo runtime: `codex exec` headless desanexado, sessao verificada no
  *              rollout que o proprio Codex grava (homologado em 06/09/2026).
+ *   grok       RM-067 (F1 e F2): o Grok Build headless, `grok -p` com `streaming-json`, sessao
+ *              verificada na pasta que o proprio runtime grava. Desde a F4, runtime de bloco e de
+ *              fallback no `ork setup`, sempre com o modelo dado pelo dono; nunca o padrao do projeto
+ *              (`runtime.adapter`), que segue com o claude-bg e o codex.
  *
  * Paridade sem downgrade: o contrato do claude-bg nao muda com a chegada do codex, e todo
  * runtime novo entra por aqui com o MESMO contrato de despacho (dry-run, rate limit
@@ -49,11 +53,14 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.ORDEM_DOS_RUNTIMES = exports.RUNTIMES = exports.RUNTIME_PADRAO = void 0;
+exports.RUNTIMES_SEM_COTA_TIPADA = exports.RUNTIMES_DE_BLOCO = exports.ORDEM_DOS_RUNTIMES = exports.RUNTIMES = exports.RUNTIME_PADRAO = void 0;
 exports.runtimeConhecido = runtimeConhecido;
+exports.runtimeDeBloco = runtimeDeBloco;
+exports.runtimeDoManifesto = runtimeDoManifesto;
 exports.resolverRuntime = resolverRuntime;
 const claudeBg = __importStar(require("./adapters/claude-bg"));
 const codex = __importStar(require("./adapters/codex"));
+const grok = __importStar(require("./adapters/grok"));
 const hitl_ingress_receipt_1 = require("./hitl-ingress-receipt");
 const locale_1 = require("./locale");
 exports.RUNTIME_PADRAO = 'claude-bg';
@@ -87,18 +94,48 @@ exports.RUNTIMES = {
         montarComando: (p) => codex.montarComando(p),
         despachar: (p) => comRecibosPublicos(p, codex.despachar),
     },
+    grok: {
+        nome: grok.NOME_ADAPTER,
+        fonteVerificacao: grok.FONTE_VERIFICACAO,
+        disponivel: () => grok.disponivel(),
+        versao: grok.versao,
+        montarComando: (p) => grok.montarComando(p),
+        despachar: (p) => comRecibosPublicos(p, grok.despachar),
+    },
 };
-/** Os runtimes na ordem de maturidade (o padrao primeiro). */
+/**
+ * Os runtimes que podem ser o padrao do projeto (`runtime.adapter` do manifesto), na ordem de maturidade (o padrao
+ * primeiro). RM-067 (F4): o grok fica fora, porque fazer dele o runtime padrao esta fora do escopo da RM-067 e ele nao tem
+ * modelo padrao.
+ */
 exports.ORDEM_DOS_RUNTIMES = ['claude-bg', 'codex'];
-/** O nome e de um runtime homologado? */
+/**
+ * Os runtimes que o setup aceita como runtime ou fallback de bloco. RM-067 (F4): os do padrao e o grok, este sempre com o
+ * modelo dado pelo dono (o setup exige `--model` ao trocar o runtime, e a entrada de fallback e `runtime:modelo[:esforco]`).
+ */
+exports.RUNTIMES_DE_BLOCO = [...exports.ORDEM_DOS_RUNTIMES, 'grok'];
+/**
+ * RM-067 (F3): runtimes cuja cota esgotada ainda nao vem tipada do proprio runtime. A escada automatica nunca troca a conta
+ * deles: sem o sinal tipado, nada prova que o perfil esgotou. O grok sai daqui quando a F5 ler o formato estruturado.
+ */
+exports.RUNTIMES_SEM_COTA_TIPADA = ['grok'];
+/** O nome e de um runtime homologado (resolve por nome no despacho)? */
 function runtimeConhecido(nome) {
     return Object.prototype.hasOwnProperty.call(exports.RUNTIMES, nome);
 }
+/** O runtime pode ser runtime de bloco ou fallback no setup? */
+function runtimeDeBloco(nome) {
+    return exports.RUNTIMES_DE_BLOCO.includes(nome);
+}
+/** O runtime pode ser o `runtime.adapter` do manifesto? */
+function runtimeDoManifesto(nome) {
+    return exports.ORDEM_DOS_RUNTIMES.includes(nome);
+}
 /** Resolve o adapter pelo nome, com erro tipado quando o runtime nao existe. */
 function resolverRuntime(nome) {
-    const adapter = exports.RUNTIMES[nome];
+    const adapter = runtimeConhecido(nome) ? exports.RUNTIMES[nome] : undefined;
     if (!adapter) {
-        throw new locale_1.ErroDoCatalogo((m) => m.phase.runtimeDesconhecido(nome, exports.ORDEM_DOS_RUNTIMES.join(', ')));
+        throw new locale_1.ErroDoCatalogo((m) => m.phase.runtimeDesconhecido(nome, exports.RUNTIMES_DE_BLOCO.join(', ')));
     }
     return adapter;
 }

package/dist/security-scan/agil.js

@@ -35,6 +35,7 @@ var __importStar = (this && this.__importStar) || (function () {
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.PRAZO_MINIMO_DO_CLASSIC_MS = exports.PRAZO_DO_BUILD_DA_IMAGEM_MS = exports.PRAZO_POR_REGRA_DO_SEMGREP_S = exports.SEMGREP_SEM_CACHE = void 0;
 exports.especificacaoDoAgile = especificacaoDoAgile;
+exports.prazoDoBuildDaImagem = prazoDoBuildDaImagem;
 exports.estourouNoAgile = estourouNoAgile;
 exports.motivoSemCredencial = motivoSemCredencial;
 exports.resultadoDoTrabalhador = resultadoDoTrabalhador;
@@ -69,7 +70,6 @@ const tools_1 = require("./tools");
 const TRABALHADOR = path.join(__dirname, 'trabalhador.js');
 /** Sem prazo da rodada, o trabalhador ganha o maior prazo do catalogo para a HEAD e para a base, com folga. */
 const FOLGA_MS = 60_000;
-const aspas = (s) => `'${s.replace(/'/g, `'\\''`)}'`;
 /**
  * O Semgrep baixa as regras do registro (`p/typescript`, ...) a cada rodada, e nao tem cache delas. Regra lida de arquivo
  * local ganha outro `check_id` (o prefixo do caminho), o que muda a impressao digital de todo achado: o cache de regras
@@ -131,18 +131,24 @@ function eslintDoAgile(t, prazoMs, pecas) {
     if (t.name !== 'eslint' || !t.install?.length)
         return t;
     // A4 do CHECK: o build roda antes dos trabalhadores; com teto curto, um link lento nao consome o prazo da varredura toda.
-    const imagem = (0, imagem_de_lint_1.garantirImagemDeLint)(t, Math.min(prazoMs, exports.PRAZO_DO_BUILD_DA_IMAGEM_MS));
+    const imagem = (0, imagem_de_lint_1.garantirImagemDeLint)(t, prazoDoBuildDaImagem(prazoMs));
     const comImagem = 'tag' in imagem ? (0, imagem_de_lint_1.eslintComImagem)(t, imagem.tag) : null;
     if (comImagem) {
         pecas.push({ peca: 'imagem-de-lint', estado: 'agile' });
         return comImagem;
     }
-    pecas.push({ peca: 'imagem-de-lint', estado: 'fallback', motivo: 'motivo' in imagem ? imagem.motivo : 'script do catalogo sem o npm install esperado',
+    // RM-074 (F4): a ultima linha do `docker build` vem do registro do npm e pode trazer login na URL; vai ao ledger redigida.
+    pecas.push({ peca: 'imagem-de-lint', estado: 'fallback',
+        motivo: 'motivo' in imagem ? motivoSemCredencial(imagem.motivo, 200) : 'script do catalogo sem o npm install esperado',
         fallback: 'eslint do catalogo, com npm install no container' });
     return t;
 }
 /** O teto do build da imagem de lint (A4 do CHECK): estourou, o `eslint` do catalogo, com a peca em fallback. */
 exports.PRAZO_DO_BUILD_DA_IMAGEM_MS = 180_000;
+/** O prazo do build da imagem de lint: o que resta da ferramenta, nunca acima do teto (RM-074 F4: o caso do teto). */
+function prazoDoBuildDaImagem(restanteMs) {
+    return Math.min(restanteMs, exports.PRAZO_DO_BUILD_DA_IMAGEM_MS);
+}
 /** O prazo minimo que sobra para a ferramenta que caiu no Agile rodar pelo caminho do Classic (A5 do CHECK). */
 exports.PRAZO_MINIMO_DO_CLASSIC_MS = 30_000;
 /** Os motivos tipados de estouro que o `scanTool` grava: o prazo da HEAD e o da base. */
@@ -228,8 +234,11 @@ function catalogoDoAgile(catalogo, agile, pecas) {
         pecas.push({ peca: 'oxlint', estado: 'agile', motivo: 'primeiro passe antes do eslint, sem tirar regra dele (check.agile.oxlint)' });
     return lista;
 }
-/** A rodada do Agile: as mesmas regras do `runScan`, com as ferramentas em paralelo e os caches de banco. */
-function runScanAgil(opts) {
+/**
+ * A rodada do Agile: as mesmas regras do `runScan`, com as ferramentas em paralelo e os caches de banco. `rodar` e o
+ * grupo paralelo; os testes o trocam para ler o prazo e o argv de cada trabalhador (RM-074 F4).
+ */
+function runScanAgil(opts, rodar = check_paralelo_1.rodarEmParalelo) {
     const start = path.resolve(opts.root);
     const root = (0, run_1.git)(start, ['rev-parse', '--show-toplevel']) ?? start;
     const generatedAt = (opts.now ?? (() => new Date()))().toISOString();
@@ -306,7 +315,9 @@ function runScanAgil(opts) {
                 ctx: { headTree, mainRoot, base, head, rangeCommits: count === null ? null : Number(count), deadline, ...(baseTree ? { baseTree } : {}) } };
             const arquivo = path.join(dir, `${i}.json`);
             fs.writeFileSync(arquivo, JSON.stringify(trabalho), { mode: 0o600 });
-            return { nome: t.name, comando: `${aspas(process.execPath)} ${aspas(TRABALHADOR)} ${aspas(arquivo)}`, cwd: root };
+            // RM-074 (F4): o trabalhador roda pelo argv, sem string de shell; o `comando` so identifica o item.
+            const argv = [process.execPath, TRABALHADOR, arquivo];
+            return { nome: t.name, comando: argv.join(' '), argv, cwd: root };
         });
         // S-f do CHECK 2: o teto dos trabalhadores e contado depois de todos montados, com o build da imagem de lint ja feito.
         const prazo = deadline === null ? Math.max(...tools.map(t => t.timeoutMs)) * 2 + FOLGA_MS : Math.max(1000, deadline - Date.now() + FOLGA_MS);
@@ -316,7 +327,7 @@ function runScanAgil(opts) {
         const maxParalelo = Number.isInteger(teto) && teto > 0 ? teto : undefined;
         if (maxParalelo)
             pecas[0] = { ...pecas[0], motivo: `ate ${maxParalelo} ferramenta(s) ao mesmo tempo, ao lado das lanes do verify` };
-        const processos = (0, check_paralelo_1.rodarEmParalelo)(trabalhos, process.env, maxParalelo ? { maxParalelo } : {});
+        const processos = rodar(trabalhos, process.env, maxParalelo ? { maxParalelo } : {});
         const excluded = new Set();
         tools.forEach((t, i) => {
             const trabalhador = resultadoDoTrabalhador(t, processos[i], trabalhos[i].prazoMs);

package/dist/security-scan/executor.js

@@ -38,6 +38,7 @@ exports.defaultProbe = defaultProbe;
 exports.chooseExecutor = chooseExecutor;
 exports.nativeVersionOf = nativeVersionOf;
 exports.defaultsDir = defaultsDir;
+exports.argumentosDeCpuDoDocker = argumentosDeCpuDoDocker;
 exports.expand = expand;
 exports.ensureImage = ensureImage;
 exports.runDocker = runDocker;
@@ -52,6 +53,7 @@ const crypto = __importStar(require("node:crypto"));
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const guard_1 = require("./guard");
+const agendador_cpu_1 = require("../agendador-cpu");
 const PROBE_TIMEOUT_MS = 20000;
 /** The probe of this machine, through the PATH. Each answer is computed once per probe. */
 function defaultProbe() {
@@ -107,6 +109,11 @@ function defaultsDir() {
 exports.CONFIG_FILES = { gitleaks: 'gitleaks.toml', eslint: 'eslint.config.mjs', ruff: 'ruff.toml', 'golangci-lint': '.golangci.yml' };
 const CONTAINER = { src: '/src', out: '/out', config: '/config' };
 const MAX_BUFFER = 512 * 1024 * 1024;
+/** A cota so existe no grupo Agile; sem a variavel, o Classic continua com o argv de sempre. */
+function argumentosDeCpuDoDocker(ambiente = process.env) {
+    const limite = Number(ambiente[agendador_cpu_1.ENV_CPUS_DOCKER]);
+    return Number.isFinite(limite) && limite > 0 ? ['--cpus', String(limite)] : [];
+}
 function expand(arg, values) {
     return arg.replace(/\{(src|out|base|config|install|stackDir)\}/g, (_, k) => values[k]);
 }
@@ -141,6 +148,7 @@ function runDocker(inv) {
         fs.chmodSync(inv.outHost, 0o777);
     const values = { src: CONTAINER.src, out: CONTAINER.out, base: inv.base, config: configCtr, install: (tool.install ?? []).join(' '), stackDir: stackDirArg(inv.stackDir) };
     const args = ['run', '--rm', '--name', name, '--pull', 'never', '--user', containerUser(),
+        ...argumentosDeCpuDoDocker(),
         '--cap-drop', 'ALL', '--security-opt', 'no-new-privileges',
         ...(tool.network === 'none' ? ['--network', 'none'] : []),
         '--tmpfs', '/tmp:exec,mode=1777',