@orkastery/cli 0.6.0 → 0.6.2

package/dist/runtime-context.js

@@ -33,10 +33,13 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
+exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS = exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS = exports.MOTIVO_SEM_HOST_MCP = exports.RUNTIMES_SEM_HOST_MCP = void 0;
 exports.novaIdentidadeDeDespacho = novaIdentidadeDeDespacho;
 exports.capacidadeDoRuntimeNoProjeto = capacidadeDoRuntimeNoProjeto;
+exports.capacidadeDaRotacao = capacidadeDaRotacao;
 exports.contextoDoProjeto = contextoDoProjeto;
 exports.validarContextoRuntime = validarContextoRuntime;
+exports.validarContextoDoGrok = validarContextoDoGrok;
 exports.lerDeclaracaoDeMod = lerDeclaracaoDeMod;
 exports.modsDeFaseInstalados = modsDeFaseInstalados;
 /** Contexto interno opt-in: configuracao M4 existente + catalogo instalado, nunca args do modelo. */
@@ -83,48 +86,89 @@ function ler(raiz, file, limite) {
         fs.closeSync(fd);
     }
 }
-function preparado(raiz) {
-    let encontrado;
-    for (const host of ['claude-code', 'codex']) {
-        const file = path.join(raiz, host === 'codex' ? '.codex/config.toml' : '.mcp.json');
-        if (!fs.existsSync(file))
-            continue;
+/** A entrada `orkastery` de um host, conferida contra o perfil ja achado nos hosts anteriores; sem entrada, o perfil fica. */
+function perfilDoHost(raiz, host, encontrado) {
+    const file = (0, mcp_install_1.arquivoDoHostMcp)(raiz, host), toml = host !== 'claude-code';
+    if (!fs.existsSync(file))
+        return encontrado;
+    let config;
+    try {
         const text = ler(raiz, file, 262144).toString('utf8');
-        const config = objeto(host === 'codex' ? (0, smol_toml_1.parse)(text) : JSON.parse(text));
-        const chave = host === 'codex' ? 'mcp_servers' : 'mcpServers';
-        if (config[chave] === undefined)
-            continue;
-        const servidores = objeto(config[chave]);
-        if (!Object.hasOwn(servidores, 'orkastery'))
-            continue;
-        const entrada = objeto(servidores.orkastery), padrao = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host);
-        const legado = padrao.args.slice(0, -2);
-        let transporte = 'github-ssh';
-        let argv = entrada.args;
-        let permissoesFilho = 'interactive';
-        if (Array.isArray(argv) && argv[argv.length - 2] === '--child-permissions') {
-            if (!['interactive', 'worktree'].includes(argv[argv.length - 1]))
-                throw Error('runtime.context.conflict: perfil de filho invalido');
-            permissoesFilho = argv[argv.length - 1];
-            argv = argv.slice(0, -2);
+        config = objeto(toml ? (0, smol_toml_1.parse)(text) : JSON.parse(text));
+    }
+    catch (erro) {
+        // RM-067 (F4b, GO-FIX A4 e N2): o motivo tipado do grok leva o codigo do erro de sistema ou a primeira linha do parser,
+        // sem o trecho do arquivo do time nem o caminho da maquina.
+        if (host !== 'grok')
+            throw erro;
+        const causa = erro.code ?? erro.message.split('\n')[0];
+        throw Error(`runtime.context.conflict: .grok/config.toml do projeto ilegivel (${causa}); conserte o arquivo ou tire dele a entrada orkastery`);
+    }
+    const chave = toml ? 'mcp_servers' : 'mcpServers';
+    if (config[chave] === undefined)
+        return encontrado;
+    const servidores = objeto(config[chave]);
+    if (!Object.hasOwn(servidores, 'orkastery'))
+        return encontrado;
+    const entrada = objeto(servidores.orkastery), padrao = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host);
+    const legado = padrao.args.slice(0, -2);
+    let transporte = 'github-ssh';
+    let argv = entrada.args;
+    let permissoesFilho = 'interactive';
+    if (Array.isArray(argv) && argv[argv.length - 2] === '--child-permissions') {
+        if (!['interactive', 'worktree'].includes(argv[argv.length - 1]))
+            throw Error('runtime.context.conflict: perfil de filho invalido');
+        permissoesFilho = argv[argv.length - 1];
+        argv = argv.slice(0, -2);
+    }
+    if (JSON.stringify(argv) !== JSON.stringify(legado)) {
+        if (!Array.isArray(argv) || argv.length !== padrao.args.length ||
+            argv[argv.length - 2] !== '--ship-transport' || !(0, mcp_transportes_1.ehTransporteShipMcp)(argv[argv.length - 1]))
+            throw Error('runtime.context.conflict: MCP Orkastery divergente; transporte invalido ou argumentos extras');
+        transporte = argv[argv.length - 1];
+    }
+    const esperado = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host, undefined, transporte);
+    if (entrada.command !== esperado.command || (JSON.stringify(argv) !== JSON.stringify(esperado.args) && JSON.stringify(argv) !== JSON.stringify(legado)))
+        throw Error('runtime.context.conflict: MCP Orkastery divergente; repare a instalacao do projeto');
+    if (encontrado !== undefined && encontrado.transporteShip !== transporte)
+        throw Error('runtime.context.conflict: transportes SHIP divergentes entre hosts');
+    if (encontrado !== undefined && encontrado.permissoesFilho !== permissoesFilho)
+        throw Error('runtime.context.conflict: perfis de filho divergentes entre hosts');
+    return { ...encontrado, transporteShip: transporte, permissoesFilho, ...(host === 'codex' ? { politicasCodex: entrada } : {}) };
+}
+/**
+ * O perfil da instalacao MCP do projeto. RM-067 (F4b, GO-FIX A4): o `.grok/config.toml` tambem prepara, em TOML como o do
+ * codex, mas ele e a config do proprio grok, que o time pode manter: para quem nao e o grok (`quem`), a falha de leitura,
+ * de parse ou de conferencia dele nao derruba a preparacao dos outros hosts, e a entrada dele fica de fora. GO-FIX N1: sem
+ * outro host preparado, a entrada `orkastery` do grok e a preparacao do projeto, e engolir a falha dela faria o claude-bg
+ * e o codex despacharem como num projeto legado, sem o MCP; a falha volta, e so a config do time sem a entrada fica de fora.
+ */
+function preparado(raiz, quem) {
+    let encontrado;
+    let falhaDoGrok = null;
+    for (const host of mcp_install_1.HOSTS_MCP) {
+        try {
+            encontrado = perfilDoHost(raiz, host, encontrado);
         }
-        if (JSON.stringify(argv) !== JSON.stringify(legado)) {
-            if (!Array.isArray(argv) || argv.length !== padrao.args.length ||
-                argv[argv.length - 2] !== '--ship-transport' || !(0, mcp_transportes_1.ehTransporteShipMcp)(argv[argv.length - 1]))
-                throw Error('runtime.context.conflict: MCP Orkastery divergente; transporte invalido ou argumentos extras');
-            transporte = argv[argv.length - 1];
+        catch (erro) {
+            if (host !== 'grok' || quem === undefined || quem === 'grok')
+                throw erro;
+            falhaDoGrok = erro;
         }
-        const esperado = (0, mcp_install_1.configuracaoServidorMcp)(raiz, host, undefined, transporte);
-        if (entrada.command !== esperado.command || (JSON.stringify(argv) !== JSON.stringify(esperado.args) && JSON.stringify(argv) !== JSON.stringify(legado)))
-            throw Error('runtime.context.conflict: MCP Orkastery divergente; repare a instalacao do projeto');
-        if (encontrado !== undefined && encontrado.transporteShip !== transporte)
-            throw Error('runtime.context.conflict: transportes SHIP divergentes entre hosts');
-        if (encontrado !== undefined && encontrado.permissoesFilho !== permissoesFilho)
-            throw Error('runtime.context.conflict: perfis de filho divergentes entre hosts');
-        encontrado = { ...encontrado, transporteShip: transporte, permissoesFilho, ...(host === 'codex' ? { politicasCodex: entrada } : {}) };
     }
+    if (falhaDoGrok !== null && encontrado === undefined && podeTerEntradaDoOrk(raiz))
+        throw falhaDoGrok;
     return encontrado;
 }
+/** O `.grok/config.toml` do projeto tem, ou pode ter, a entrada `orkastery`; o que nao se le conta como se tivesse. */
+function podeTerEntradaDoOrk(raiz) {
+    try {
+        return ler(raiz, (0, mcp_install_1.arquivoDoHostMcp)(raiz, 'grok'), 262144).toString('utf8').includes('orkastery');
+    }
+    catch {
+        return true;
+    }
+}
 function raizCanonica(projeto) {
     if (!path.isAbsolute(projeto))
         throw Error('runtime.context.invalid: projeto absoluto obrigatorio');
@@ -140,6 +184,8 @@ function hostDoRuntime(runtime) {
         return 'claude-code';
     if (runtime === 'codex')
         return 'codex';
+    if (runtime === 'grok')
+        return 'grok';
     throw Error('runtime.context.invalid: runtime desconhecido');
 }
 /** Confere o recibo e todos os bytes do adaptador antes de considerar o runtime um destino. */
@@ -186,40 +232,88 @@ function capacidadeDoRuntimeNoProjeto(projeto, runtime) {
     let host = null;
     try {
         const raiz = raizCanonica(projeto);
-        const perfil = preparado(raiz);
+        const perfil = preparado(raiz, runtime);
         if (!perfil)
             return { runtime, host: null, preparado: false, capaz: true, motivo: null };
+        if (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime))
+            return { runtime, host: null, preparado: true, capaz: false, motivo: exports.MOTIVO_SEM_HOST_MCP };
         host = hostDoRuntime(runtime);
-        conferirInstalacaoDoHost(raiz, host);
+        // RM-067 (F4b, G6): o grok nao tem adaptador instalavel (plugin, skills, mods); o contexto dele e so o MCP.
+        if (host !== 'grok')
+            conferirInstalacaoDoHost(raiz, host);
+        if (exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS.includes(runtime))
+            return { runtime, host, preparado: true, capaz: false, motivo: exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS };
         return { runtime, host, preparado: true, capaz: true, motivo: null };
     }
     catch (erro) {
         return { runtime, host, preparado: true, capaz: false, motivo: erro.message };
     }
 }
+/**
+ * RM-067 (D15 da ork-grokbuild): runtimes homologados que ainda nao tem host MCP do Orkastery. A sessao filha deles
+ * despacha sem contexto, como num projeto sem entrada MCP, ate o host existir. A capacidade de rotacao
+ * (`capacidadeDoRuntimeNoProjeto`) nao muda: num projeto preparado, eles seguem fora dos destinos automaticos.
+ * RM-067 (F4b, G6): o grok saiu daqui com o host `grok`; a lista fica para o proximo runtime sem host.
+ */
+exports.RUNTIMES_SEM_HOST_MCP = [];
+/** RM-067 (F4): o motivo tipado de um runtime sem host MCP num projeto preparado. */
+exports.MOTIVO_SEM_HOST_MCP = 'runtime.context.no-host: runtime sem host MCP do Orkastery; a sessao despacha sem o contexto do projeto';
+/**
+ * RM-067 (F4b, GO-FIX A5; F4c, D9): runtimes com o host MCP que, num projeto preparado, ficam fora dos destinos
+ * automaticos (o fallback do retry e a escada), porque o servidor MCP do ork nao grava o estado na sessao deles e a fase
+ * que chega por fallback pararia sem prova. O grok ficou aqui da F4b a F4c: o sandbox dele vale para o processo inteiro e
+ * os filhos (G17 da RM-067), e o servidor stdio era filho dele. Desde a F4c o servidor e um processo do ork, fora do
+ * sandbox (`adapters/grok-mcp.ts`), e a fase do grok no piso `workspace` fecha com prova; a lista fica vazia, para o
+ * proximo runtime cujo MCP nao grave o estado, como `RUNTIMES_SEM_HOST_MCP`.
+ */
+exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS = [];
+exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS = 'runtime.context.sandbox: o sandbox do runtime vale tambem para o servidor MCP do ' +
+    'ork, que nao grava o estado; como destino automatico num projeto preparado, o runtime fica fora';
+/**
+ * RM-067 (F4): a capacidade de um runtime para a rotacao do retry. A troca de perfil DENTRO do runtime em que a thread ja
+ * despachou (`mesmoRuntime`) vale para o runtime sem host MCP e para o que fica fora dos destinos automaticos: a sessao
+ * dele ja roda como rodava, e a outra conta nao muda isso, entao o `ork retry` troca o perfil dele como troca o dos outros
+ * runtimes. Como alvo de fallback num projeto preparado, ele segue incapaz. Desde a F4c, nenhum runtime homologado esta
+ * nas duas listas, e o grok e capaz nos dois papeis.
+ */
+function capacidadeDaRotacao(projeto, runtime, mesmoRuntime) {
+    const capacidade = capacidadeDoRuntimeNoProjeto(projeto, runtime);
+    if (capacidade.capaz || !mesmoRuntime)
+        return capacidade;
+    const soComoDestino = (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime) && capacidade.motivo === exports.MOTIVO_SEM_HOST_MCP) ||
+        (exports.RUNTIMES_FORA_DOS_DESTINOS_AUTOMATICOS.includes(runtime) && capacidade.motivo === exports.MOTIVO_FORA_DOS_DESTINOS_AUTOMATICOS);
+    return soComoDestino ? { ...capacidade, capaz: true } : capacidade;
+}
 /** Projeto sem entrada MCP Orkastery continua com o contrato legado. Nao instala nem altera arquivos. */
 function contextoDoProjeto(projeto, runtime, cwd, threadId) {
     const raiz = raizCanonica(projeto);
-    const perfil = preparado(raiz);
+    const perfil = preparado(raiz, runtime);
     if (!perfil)
         return undefined;
+    if (exports.RUNTIMES_SEM_HOST_MCP.includes(runtime))
+        return undefined;
     const host = hostDoRuntime(runtime);
     if (!threadId)
         throw Error('runtime.context.invalid: thread obrigatoria para sessao filha');
     const contexto = { projeto: raiz, host, threadId, transporteShip: perfil.transporteShip, permissoesFilho: perfil.permissoesFilho };
-    validarContextoRuntime(contexto, cwd);
+    if (host === 'grok')
+        validarContextoDoGrok(contexto, cwd);
+    else
+        validarContextoRuntime(contexto, cwd);
     return contexto;
 }
-/** Revalida no receptor do despacho, incluindo bytes instalados e escopo real do cwd. */
-function validarContextoRuntime(contexto, cwd) {
-    if (!contexto || !['claude-code', 'codex'].includes(contexto.host))
-        throw Error('runtime.context.invalid: host desconhecido');
+/**
+ * A conferencia do vinculo, comum a todo host: projeto preparado, perfil e transporte iguais aos da instalacao, cwd e
+ * thread da sessao filha, identidade do despacho e, no perfil worktree, a worktree propria da thread. RM-067 (F4b, D2):
+ * saiu de `validarContextoRuntime` sem mudar a ordem das conferencias, para o contexto do grok usar a mesma.
+ */
+function conferirVinculo(contexto, cwd) {
     if (contexto.transporteShip !== undefined && !(0, mcp_transportes_1.ehTransporteShipMcp)(contexto.transporteShip))
         throw Error('runtime.context.invalid: transporte desconhecido');
     const raiz = raizCanonica(contexto.projeto);
     if (contexto.permissoesFilho !== undefined && !['interactive', 'worktree'].includes(contexto.permissoesFilho))
         throw Error('runtime.context.invalid: perfil de filho desconhecido');
-    const perfil = preparado(raiz);
+    const perfil = preparado(raiz, contexto.host);
     if (!perfil)
         throw Error('runtime.context.missing: projeto nao preparado pelo instalador MCP');
     const { transporteShip, permissoesFilho } = perfil;
@@ -246,6 +340,13 @@ function validarContextoRuntime(contexto, cwd) {
         if (!(0, worktree_1.worktreesDoGit)(raiz).some(w => w.dir === cwd && w.branch === (0, worktree_1.branchDaWorktree)(thread)))
             throw Error('runtime.context.worktree: worktree nao registrada na branch da thread');
     }
+    return { raiz, perfil, transporteShip, permissoesFilho, thread };
+}
+/** Revalida no receptor do despacho, incluindo bytes instalados e escopo real do cwd. */
+function validarContextoRuntime(contexto, cwd) {
+    if (!contexto || (contexto.host !== 'claude-code' && contexto.host !== 'codex'))
+        throw Error('runtime.context.invalid: host desconhecido');
+    const { raiz, perfil, transporteShip, permissoesFilho, thread } = conferirVinculo(contexto, cwd);
     const { instalacao, arquivos, conferidos, bootstrap } = conferirInstalacaoDoHost(raiz, contexto.host);
     const modsDeFase = contexto.host === 'claude-code' ? modsDeFaseInstalados(raiz, instalacao, arquivos, conferidos) : [];
     // Capacidade derivada do bloco atual, nunca aceita como entrada do modelo.
@@ -265,6 +366,25 @@ function validarContextoRuntime(contexto, cwd) {
         ...(contexto.host === 'codex' && permissoesFilho === 'worktree' ? (0, mcp_install_1.politicasFilhoCodex)(perfil.politicasCodex ?? {}) : {}) };
     return { projeto: raiz, instalacao, bootstrap, permissoesFilho, permiteEditarProduto, grafoMcp, servidor, modsDeFase, agentTeams };
 }
+/**
+ * RM-067 (F4b, D2): o contexto do grok, revalidado no despacho. O vinculo e o mesmo dos outros hosts; nao ha adaptador
+ * instalado a conferir (o grok nao tem plugin, skills nem mods do Orkastery). Devolve o que o comando e o despacho usam:
+ * o perfil filho, a flag do grafo da raiz e, desde a F4c, a especificacao do servidor externo vinculado a thread e ao despacho.
+ */
+function validarContextoDoGrok(contexto, cwd) {
+    if (!contexto || contexto.host !== 'grok')
+        throw Error('runtime.context.invalid: host grok esperado');
+    const { raiz, transporteShip, permissoesFilho, thread } = conferirVinculo(contexto, cwd);
+    // RM-067 (F4b, GO-FIX B1): a config da sessao vai no cwd; na raiz do projeto ela viraria a entrada do host grok.
+    if (!thread.worktree || thread.worktree === raiz || cwd === raiz)
+        throw Error('runtime.context.worktree: o grok com o MCP do ork exige a worktree propria da thread; a config da sessao nunca vai a raiz do projeto');
+    const grafoMcp = (0, mcp_grafo_1.grafoLigado)((0, manifest_1.exigirManifesto)(raiz).manifesto);
+    const publicVerifiers = (0, hitl_public_receipt_1.publicHitlVerifiers)();
+    const servidor = { projeto: raiz, threadId: contexto.threadId,
+        dispatchId: contexto.identidade?.dispatchId ?? null, permissoesFilho, transporteShip,
+        ...(publicVerifiers ? { env: { [hitl_public_receipt_1.ENV_HITL_VERIFIERS]: publicVerifiers } } : {}) };
+    return { projeto: raiz, threadId: contexto.threadId, permissoesFilho, grafoMcp, servidor };
+}
 const DECLARACAO_OU_MANIFESTO_DE_MOD = /^mods\/[^/]+\/(?:orkastery-mod\.json|\.claude-plugin\/plugin\.json)$/;
 const DECLARACAO_DE_MOD = /^mods\/([^/]+)\/orkastery-mod\.json$/;
 const NOME_DE_MOD = /^[a-z0-9](?:[a-z0-9-]{0,62}[a-z0-9])?$/;

package/dist/runtime-escada.js

@@ -44,6 +44,7 @@ const locale_1 = require("./locale");
 const modos_1 = require("./modos");
 const runtime_profiles_1 = require("./runtime-profiles");
 const setup_1 = require("./setup");
+const runtimes_1 = require("./runtimes");
 const runtime_context_1 = require("./runtime-context");
 const thread_1 = require("./thread");
 /** Os degraus, na ordem do pedido do dono de 12/10/2026. */
@@ -163,6 +164,11 @@ function planoDoDegrau(carregado, thread, fase, n, despacho, tentados, agoraMs =
         }
         return { pulo: 'fallback-sem-destino' };
     }
+    // RM-067 (F3, F4): o runtime sem cota esgotada tipada (o grok) fica fora do degrau "outra conta": a escada nunca troca a
+    // conta dele, ate o formato da cota esgotada ser confirmado no ensaio real. Como alvo de fallback (degrau 2) ele vale no
+    // projeto sem o MCP do ork e, desde a F4c (o servidor do ork fora do sandbox dele), tambem no preparado.
+    if (runtimes_1.RUNTIMES_SEM_COTA_TIPADA.includes(despacho.runtime))
+        return { pulo: 'cota-sem-sinal-tipado' };
     // Degrau 3: outra conta do runtime que falhou. O diretorio de cada conta e o que separa um daemon do outro. Os perfis
     // tentados sao os efetivos (o redespacho sem perfil pedido escolhe um, e e ele que falhou); o despacho que nasceu sem
     // perfil (o runtime caiu antes da escolha) tem como conta de origem a que o degrau 1 de fato usou.
@@ -187,7 +193,7 @@ function planoDoDegrau(carregado, thread, fase, n, despacho, tentados, agoraMs =
         if (p.id === contaDeOrigem?.id || jaTentados.has(p.id))
             return false;
         const d = (0, runtime_profiles_1.perfilDeDespacho)(p);
-        return !dirOriginal || (d.configDir ?? d.codexHome) !== dirOriginal;
+        return !dirOriginal || (0, runtime_profiles_1.diretorioDoPerfil)(d) !== dirOriginal;
     });
     return outro ? { destino: { ...original, perfil: outro.id } } : { pulo: 'sem-outro-perfil' };
 }

package/dist/runtime-profiles.js

@@ -33,7 +33,7 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.COLUNAS_DE_PERFIS = exports.POLITICA_PADRAO = exports.ARQUIVO_CONTAS = exports.CONTRATO_CONTAS = exports.ESTADOS_DE_PERFIL = exports.RUNTIMES_COM_PERFIL = exports.VARIAVEL_DO_PERFIL = exports.ARQUIVO_PERFIS = exports.CONTRATO_PERFIS = void 0;
+exports.COLUNAS_DE_PERFIS = exports.POLITICA_PADRAO = exports.ARQUIVO_CONTAS = exports.CONTRATO_CONTAS = exports.ESTADOS_DE_PERFIL = exports.RUNTIMES_COM_INVENTARIO = exports.CAMPO_DO_PERFIL = exports.RUNTIMES_COM_PERFIL = exports.VARIAVEL_DO_PERFIL = exports.ARQUIVO_PERFIS = exports.CONTRATO_PERFIS = void 0;
 exports.runtimeComPerfil = runtimeComPerfil;
 exports.validarDiretorioDePerfil = validarDiretorioDePerfil;
 exports.validarIdDePerfil = validarIdDePerfil;
@@ -81,7 +81,7 @@ exports.perfisComHorario = perfisComHorario;
  * I-33 (D3): perfis de conta por runtime, contrato `ork.runtime-profiles/v1`.
  *
  * Um perfil aponta o DIRETORIO onde o proprio CLI do runtime guarda configuracao e login
- * (`CLAUDE_CONFIG_DIR` no claude-bg, `CODEX_HOME` no codex). O `ork` nunca le, copia nem
+ * (`CLAUDE_CONFIG_DIR` no claude-bg, `CODEX_HOME` no codex, `GROK_HOME` no grok). O `ork` nunca le, copia nem
  * migra o que o CLI grava la dentro: o login e feito pelo proprio CLI com o env do perfil, e
  * o store guarda so identidade, diretorio e estado de uso. Nenhum segredo entra aqui.
  *
@@ -101,8 +101,19 @@ const locale_1 = require("./locale");
 exports.CONTRATO_PERFIS = 'ork.runtime-profiles/v1';
 exports.ARQUIVO_PERFIS = 'runtime-profiles.json';
 /** Runtimes homologados que aceitam perfil, e a variavel que cada um le. */
-exports.VARIAVEL_DO_PERFIL = { 'claude-bg': 'CLAUDE_CONFIG_DIR', codex: 'CODEX_HOME' };
+exports.VARIAVEL_DO_PERFIL = { 'claude-bg': 'CLAUDE_CONFIG_DIR', codex: 'CODEX_HOME', grok: 'GROK_HOME' };
 exports.RUNTIMES_COM_PERFIL = Object.keys(exports.VARIAVEL_DO_PERFIL);
+/** O campo do perfil que guarda o diretorio de cada runtime (o store e o despacho usam o mesmo nome). */
+exports.CAMPO_DO_PERFIL = { 'claude-bg': 'configDir', codex: 'codexHome', grok: 'grokHome' };
+const CAMPOS_DE_DIRETORIO = Object.values(exports.CAMPO_DO_PERFIL);
+/** O diretorio padrao de cada CLI na HOME, quando o processo nao informa a variavel. */
+const PASTA_PADRAO = { 'claude-bg': '.claude', codex: '.codex', grok: '.grok' };
+/**
+ * RM-067 (F3, F4): runtimes de assinatura que o #Noctum mede e cuja conta do processo o inventario sempre consulta
+ * (`claude agents`, rollouts do codex). Desde a F4, o `ork sessions` e a carga do rodizio leem tambem o `grok`, pela
+ * pasta de sessoes que ele grava (`RUNTIMES_DAS_SESSOES` em `sessoes-contas.ts`); a medicao do #Noctum segue sem ele.
+ */
+exports.RUNTIMES_COM_INVENTARIO = ['claude-bg', 'codex'];
 /**
  * I-33 (D13): `provider-pago` e o perfil cujo proprio CLI diz que o login e por API key,
  * `api_key_helper`, Console ou provider de nuvem, e nao pela assinatura. Nunca recebe despacho;
@@ -135,8 +146,11 @@ function validarIdDePerfil(id) {
 }
 /** Diretorio do perfil, pelo campo do seu runtime. */
 function diretorioDoPerfil(p) {
-    const dir = p.runtime === 'claude-bg' ? p.configDir : p.codexHome;
-    return validarDiretorioDePerfil(dir);
+    return validarDiretorioDePerfil(p[exports.CAMPO_DO_PERFIL[p.runtime]]);
+}
+/** O perfil de despacho com o diretorio no campo do seu runtime. */
+function comDiretorio(id, runtime, dir) {
+    return { id, runtime, [exports.CAMPO_DO_PERFIL[runtime]]: dir };
 }
 /** Valida um perfil de despacho vindo do ledger, do thread.json ou do pedido da fila. */
 function validarPerfilDeDespacho(v) {
@@ -146,16 +160,13 @@ function validarPerfilDeDespacho(v) {
     const runtime = o.runtime;
     if (typeof runtime !== 'string' || !runtimeComPerfil(runtime))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.runtimeDesconhecido);
-    const campo = runtime === 'claude-bg' ? 'configDir' : 'codexHome';
-    const outro = runtime === 'claude-bg' ? 'codexHome' : 'configDir';
-    if (o[outro] !== undefined || Object.keys(o).some(k => !['id', 'runtime', campo].includes(k)))
+    const campo = exports.CAMPO_DO_PERFIL[runtime];
+    if (Object.keys(o).some(k => !['id', 'runtime', campo].includes(k)))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.despachoComCampo);
-    const id = validarIdDePerfil(o.id), dir = validarDiretorioDePerfil(o[campo]);
-    return runtime === 'claude-bg' ? { id, runtime, configDir: dir } : { id, runtime, codexHome: dir };
+    return comDiretorio(validarIdDePerfil(o.id), runtime, validarDiretorioDePerfil(o[campo]));
 }
 function perfilDeDespacho(p) {
-    return p.runtime === 'claude-bg' ? { id: p.id, runtime: p.runtime, configDir: diretorioDoPerfil(p) }
-        : { id: p.id, runtime: p.runtime, codexHome: diretorioDoPerfil(p) };
+    return comDiretorio(p.id, p.runtime, diretorioDoPerfil(p));
 }
 /**
  * Diretorio implicito de quem despacha sem perfil: o do ambiente informado, ou o padrao do
@@ -163,7 +174,7 @@ function perfilDeDespacho(p) {
  */
 function diretorioImplicito(runtime, env = process.env) {
     const valor = (env[exports.VARIAVEL_DO_PERFIL[runtime]] ?? '').trim();
-    return valor !== '' ? valor : path.join(os.homedir(), runtime === 'claude-bg' ? '.claude' : '.codex');
+    return valor !== '' ? valor : path.join(os.homedir(), PASTA_PADRAO[runtime]);
 }
 /** Diretorio efetivo: o do perfil registrado, ou o implicito quando a sessao nao tem perfil. */
 function diretorioEfetivo(runtime, perfil, env = process.env) {
@@ -247,8 +258,8 @@ function validarPerfil(v) {
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.perfilInvalido);
     const o = v;
     const despacho = validarPerfilDeDespacho({ id: o.id, runtime: o.runtime,
-        ...(o.configDir !== undefined ? { configDir: o.configDir } : {}), ...(o.codexHome !== undefined ? { codexHome: o.codexHome } : {}) });
-    const permitidos = ['id', 'runtime', 'configDir', 'codexHome', 'estado', 'esgotadoAte', 'ultimaFalha', 'ultimoUso', 'criadoEm'];
+        ...Object.fromEntries(CAMPOS_DE_DIRETORIO.filter(c => o[c] !== undefined).map(c => [c, o[c]])) });
+    const permitidos = ['id', 'runtime', ...CAMPOS_DE_DIRETORIO, 'estado', 'esgotadoAte', 'ultimaFalha', 'ultimoUso', 'criadoEm'];
     if (Object.keys(o).some(k => !permitidos.includes(k)))
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.campoInesperado);
     if (!exports.ESTADOS_DE_PERFIL.includes(o.estado))
@@ -539,8 +550,7 @@ function adicionarPerfil(raiz, novo, agoraIso = new Date().toISOString()) {
         throw new locale_1.ErroDoCatalogo((m) => m.accounts.runtimeSemPerfil(novo.runtime));
     const runtime = novo.runtime;
     const dir = validarDiretorioDePerfil(novo.dir);
-    const perfil = { id: validarIdDePerfil(novo.id), runtime,
-        ...(runtime === 'claude-bg' ? { configDir: dir } : { codexHome: dir }),
+    const perfil = { ...comDiretorio(validarIdDePerfil(novo.id), runtime, dir),
         estado: 'ativo', esgotadoAte: null, ultimaFalha: null, ultimoUso: null, criadoEm: agoraIso };
     return atualizarPerfis(raiz, store => {
         const existente = store.perfis.find(p => p.id === perfil.id);

package/dist/runtimes.js

@@ -10,6 +10,10 @@
  *              `claude agents --json` (homologado em 02/09/2026).
  *   codex      o segundo runtime: `codex exec` headless desanexado, sessao verificada no
  *              rollout que o proprio Codex grava (homologado em 06/09/2026).
+ *   grok       RM-067 (F1 e F2): o Grok Build headless, `grok -p` com `streaming-json`, sessao
+ *              verificada na pasta que o proprio runtime grava. Desde a F4, runtime de bloco e de
+ *              fallback no `ork setup`, sempre com o modelo dado pelo dono; nunca o padrao do projeto
+ *              (`runtime.adapter`), que segue com o claude-bg e o codex.
  *
  * Paridade sem downgrade: o contrato do claude-bg nao muda com a chegada do codex, e todo
  * runtime novo entra por aqui com o MESMO contrato de despacho (dry-run, rate limit
@@ -49,11 +53,14 @@ var __importStar = (this && this.__importStar) || (function () {
     };
 })();
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.ORDEM_DOS_RUNTIMES = exports.RUNTIMES = exports.RUNTIME_PADRAO = void 0;
+exports.RUNTIMES_SEM_COTA_TIPADA = exports.RUNTIMES_DE_BLOCO = exports.ORDEM_DOS_RUNTIMES = exports.RUNTIMES = exports.RUNTIME_PADRAO = void 0;
 exports.runtimeConhecido = runtimeConhecido;
+exports.runtimeDeBloco = runtimeDeBloco;
+exports.runtimeDoManifesto = runtimeDoManifesto;
 exports.resolverRuntime = resolverRuntime;
 const claudeBg = __importStar(require("./adapters/claude-bg"));
 const codex = __importStar(require("./adapters/codex"));
+const grok = __importStar(require("./adapters/grok"));
 const hitl_ingress_receipt_1 = require("./hitl-ingress-receipt");
 const locale_1 = require("./locale");
 exports.RUNTIME_PADRAO = 'claude-bg';
@@ -87,18 +94,48 @@ exports.RUNTIMES = {
         montarComando: (p) => codex.montarComando(p),
         despachar: (p) => comRecibosPublicos(p, codex.despachar),
     },
+    grok: {
+        nome: grok.NOME_ADAPTER,
+        fonteVerificacao: grok.FONTE_VERIFICACAO,
+        disponivel: () => grok.disponivel(),
+        versao: grok.versao,
+        montarComando: (p) => grok.montarComando(p),
+        despachar: (p) => comRecibosPublicos(p, grok.despachar),
+    },
 };
-/** Os runtimes na ordem de maturidade (o padrao primeiro). */
+/**
+ * Os runtimes que podem ser o padrao do projeto (`runtime.adapter` do manifesto), na ordem de maturidade (o padrao
+ * primeiro). RM-067 (F4): o grok fica fora, porque fazer dele o runtime padrao esta fora do escopo da RM-067 e ele nao tem
+ * modelo padrao.
+ */
 exports.ORDEM_DOS_RUNTIMES = ['claude-bg', 'codex'];
-/** O nome e de um runtime homologado? */
+/**
+ * Os runtimes que o setup aceita como runtime ou fallback de bloco. RM-067 (F4): os do padrao e o grok, este sempre com o
+ * modelo dado pelo dono (o setup exige `--model` ao trocar o runtime, e a entrada de fallback e `runtime:modelo[:esforco]`).
+ */
+exports.RUNTIMES_DE_BLOCO = [...exports.ORDEM_DOS_RUNTIMES, 'grok'];
+/**
+ * RM-067 (F3): runtimes cuja cota esgotada ainda nao vem tipada do proprio runtime. A escada automatica nunca troca a conta
+ * deles: sem o sinal tipado, nada prova que o perfil esgotou. O grok sai daqui quando a F5 ler o formato estruturado.
+ */
+exports.RUNTIMES_SEM_COTA_TIPADA = ['grok'];
+/** O nome e de um runtime homologado (resolve por nome no despacho)? */
 function runtimeConhecido(nome) {
     return Object.prototype.hasOwnProperty.call(exports.RUNTIMES, nome);
 }
+/** O runtime pode ser runtime de bloco ou fallback no setup? */
+function runtimeDeBloco(nome) {
+    return exports.RUNTIMES_DE_BLOCO.includes(nome);
+}
+/** O runtime pode ser o `runtime.adapter` do manifesto? */
+function runtimeDoManifesto(nome) {
+    return exports.ORDEM_DOS_RUNTIMES.includes(nome);
+}
 /** Resolve o adapter pelo nome, com erro tipado quando o runtime nao existe. */
 function resolverRuntime(nome) {
-    const adapter = exports.RUNTIMES[nome];
+    const adapter = runtimeConhecido(nome) ? exports.RUNTIMES[nome] : undefined;
     if (!adapter) {
-        throw new locale_1.ErroDoCatalogo((m) => m.phase.runtimeDesconhecido(nome, exports.ORDEM_DOS_RUNTIMES.join(', ')));
+        throw new locale_1.ErroDoCatalogo((m) => m.phase.runtimeDesconhecido(nome, exports.RUNTIMES_DE_BLOCO.join(', ')));
     }
     return adapter;
 }

package/dist/security-scan/agil.js

@@ -35,6 +35,7 @@ var __importStar = (this && this.__importStar) || (function () {
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.PRAZO_MINIMO_DO_CLASSIC_MS = exports.PRAZO_DO_BUILD_DA_IMAGEM_MS = exports.PRAZO_POR_REGRA_DO_SEMGREP_S = exports.SEMGREP_SEM_CACHE = void 0;
 exports.especificacaoDoAgile = especificacaoDoAgile;
+exports.prazoDoBuildDaImagem = prazoDoBuildDaImagem;
 exports.estourouNoAgile = estourouNoAgile;
 exports.motivoSemCredencial = motivoSemCredencial;
 exports.resultadoDoTrabalhador = resultadoDoTrabalhador;
@@ -69,7 +70,6 @@ const tools_1 = require("./tools");
 const TRABALHADOR = path.join(__dirname, 'trabalhador.js');
 /** Sem prazo da rodada, o trabalhador ganha o maior prazo do catalogo para a HEAD e para a base, com folga. */
 const FOLGA_MS = 60_000;
-const aspas = (s) => `'${s.replace(/'/g, `'\\''`)}'`;
 /**
  * O Semgrep baixa as regras do registro (`p/typescript`, ...) a cada rodada, e nao tem cache delas. Regra lida de arquivo
  * local ganha outro `check_id` (o prefixo do caminho), o que muda a impressao digital de todo achado: o cache de regras
@@ -131,18 +131,24 @@ function eslintDoAgile(t, prazoMs, pecas) {
     if (t.name !== 'eslint' || !t.install?.length)
         return t;
     // A4 do CHECK: o build roda antes dos trabalhadores; com teto curto, um link lento nao consome o prazo da varredura toda.
-    const imagem = (0, imagem_de_lint_1.garantirImagemDeLint)(t, Math.min(prazoMs, exports.PRAZO_DO_BUILD_DA_IMAGEM_MS));
+    const imagem = (0, imagem_de_lint_1.garantirImagemDeLint)(t, prazoDoBuildDaImagem(prazoMs));
     const comImagem = 'tag' in imagem ? (0, imagem_de_lint_1.eslintComImagem)(t, imagem.tag) : null;
     if (comImagem) {
         pecas.push({ peca: 'imagem-de-lint', estado: 'agile' });
         return comImagem;
     }
-    pecas.push({ peca: 'imagem-de-lint', estado: 'fallback', motivo: 'motivo' in imagem ? imagem.motivo : 'script do catalogo sem o npm install esperado',
+    // RM-074 (F4): a ultima linha do `docker build` vem do registro do npm e pode trazer login na URL; vai ao ledger redigida.
+    pecas.push({ peca: 'imagem-de-lint', estado: 'fallback',
+        motivo: 'motivo' in imagem ? motivoSemCredencial(imagem.motivo, 200) : 'script do catalogo sem o npm install esperado',
         fallback: 'eslint do catalogo, com npm install no container' });
     return t;
 }
 /** O teto do build da imagem de lint (A4 do CHECK): estourou, o `eslint` do catalogo, com a peca em fallback. */
 exports.PRAZO_DO_BUILD_DA_IMAGEM_MS = 180_000;
+/** O prazo do build da imagem de lint: o que resta da ferramenta, nunca acima do teto (RM-074 F4: o caso do teto). */
+function prazoDoBuildDaImagem(restanteMs) {
+    return Math.min(restanteMs, exports.PRAZO_DO_BUILD_DA_IMAGEM_MS);
+}
 /** O prazo minimo que sobra para a ferramenta que caiu no Agile rodar pelo caminho do Classic (A5 do CHECK). */
 exports.PRAZO_MINIMO_DO_CLASSIC_MS = 30_000;
 /** Os motivos tipados de estouro que o `scanTool` grava: o prazo da HEAD e o da base. */
@@ -228,8 +234,11 @@ function catalogoDoAgile(catalogo, agile, pecas) {
         pecas.push({ peca: 'oxlint', estado: 'agile', motivo: 'primeiro passe antes do eslint, sem tirar regra dele (check.agile.oxlint)' });
     return lista;
 }
-/** A rodada do Agile: as mesmas regras do `runScan`, com as ferramentas em paralelo e os caches de banco. */
-function runScanAgil(opts) {
+/**
+ * A rodada do Agile: as mesmas regras do `runScan`, com as ferramentas em paralelo e os caches de banco. `rodar` e o
+ * grupo paralelo; os testes o trocam para ler o prazo e o argv de cada trabalhador (RM-074 F4).
+ */
+function runScanAgil(opts, rodar = check_paralelo_1.rodarEmParalelo) {
     const start = path.resolve(opts.root);
     const root = (0, run_1.git)(start, ['rev-parse', '--show-toplevel']) ?? start;
     const generatedAt = (opts.now ?? (() => new Date()))().toISOString();
@@ -306,7 +315,9 @@ function runScanAgil(opts) {
                 ctx: { headTree, mainRoot, base, head, rangeCommits: count === null ? null : Number(count), deadline, ...(baseTree ? { baseTree } : {}) } };
             const arquivo = path.join(dir, `${i}.json`);
             fs.writeFileSync(arquivo, JSON.stringify(trabalho), { mode: 0o600 });
-            return { nome: t.name, comando: `${aspas(process.execPath)} ${aspas(TRABALHADOR)} ${aspas(arquivo)}`, cwd: root };
+            // RM-074 (F4): o trabalhador roda pelo argv, sem string de shell; o `comando` so identifica o item.
+            const argv = [process.execPath, TRABALHADOR, arquivo];
+            return { nome: t.name, comando: argv.join(' '), argv, cwd: root };
         });
         // S-f do CHECK 2: o teto dos trabalhadores e contado depois de todos montados, com o build da imagem de lint ja feito.
         const prazo = deadline === null ? Math.max(...tools.map(t => t.timeoutMs)) * 2 + FOLGA_MS : Math.max(1000, deadline - Date.now() + FOLGA_MS);
@@ -316,7 +327,7 @@ function runScanAgil(opts) {
         const maxParalelo = Number.isInteger(teto) && teto > 0 ? teto : undefined;
         if (maxParalelo)
             pecas[0] = { ...pecas[0], motivo: `ate ${maxParalelo} ferramenta(s) ao mesmo tempo, ao lado das lanes do verify` };
-        const processos = (0, check_paralelo_1.rodarEmParalelo)(trabalhos, process.env, maxParalelo ? { maxParalelo } : {});
+        const processos = rodar(trabalhos, process.env, maxParalelo ? { maxParalelo } : {});
         const excluded = new Set();
         tools.forEach((t, i) => {
             const trabalhador = resultadoDoTrabalhador(t, processos[i], trabalhos[i].prazoMs);

package/dist/security-scan/cli.js

@@ -55,7 +55,7 @@ function executarSecurityScan(argv, ctx) {
         const message = e.message;
         if (!/^security-scan\.(config-invalid|dismissal-invalid)/.test(message))
             throw e;
-        console.error(message);
+        console.error(json ? message : m.error(message));
         return 1;
     }
     const files = (0, report_1.writeReport)(ctx.estado, report);
@@ -68,7 +68,7 @@ function executarSecurityScan(argv, ctx) {
         if (notRun.length) {
             ctx.escrever(m.notRunHeading);
             for (const r of notRun)
-                ctx.escrever(m.notRun(r.name, m.states[r.state] ?? r.state, r.reason ?? ''));
+                ctx.escrever(m.notRun(r.name, m.states[r.state] ?? r.state, m.reason(r.reason ?? '')));
         }
         ctx.escrever(files.md);
     }

package/dist/security-scan/executor.js

@@ -38,6 +38,7 @@ exports.defaultProbe = defaultProbe;
 exports.chooseExecutor = chooseExecutor;
 exports.nativeVersionOf = nativeVersionOf;
 exports.defaultsDir = defaultsDir;
+exports.argumentosDeCpuDoDocker = argumentosDeCpuDoDocker;
 exports.expand = expand;
 exports.ensureImage = ensureImage;
 exports.runDocker = runDocker;
@@ -52,6 +53,7 @@ const crypto = __importStar(require("node:crypto"));
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
 const guard_1 = require("./guard");
+const agendador_cpu_1 = require("../agendador-cpu");
 const PROBE_TIMEOUT_MS = 20000;
 /** The probe of this machine, through the PATH. Each answer is computed once per probe. */
 function defaultProbe() {
@@ -107,6 +109,11 @@ function defaultsDir() {
 exports.CONFIG_FILES = { gitleaks: 'gitleaks.toml', eslint: 'eslint.config.mjs', ruff: 'ruff.toml', 'golangci-lint': '.golangci.yml' };
 const CONTAINER = { src: '/src', out: '/out', config: '/config' };
 const MAX_BUFFER = 512 * 1024 * 1024;
+/** A cota so existe no grupo Agile; sem a variavel, o Classic continua com o argv de sempre. */
+function argumentosDeCpuDoDocker(ambiente = process.env) {
+    const limite = Number(ambiente[agendador_cpu_1.ENV_CPUS_DOCKER]);
+    return Number.isFinite(limite) && limite > 0 ? ['--cpus', String(limite)] : [];
+}
 function expand(arg, values) {
     return arg.replace(/\{(src|out|base|config|install|stackDir)\}/g, (_, k) => values[k]);
 }
@@ -141,6 +148,7 @@ function runDocker(inv) {
         fs.chmodSync(inv.outHost, 0o777);
     const values = { src: CONTAINER.src, out: CONTAINER.out, base: inv.base, config: configCtr, install: (tool.install ?? []).join(' '), stackDir: stackDirArg(inv.stackDir) };
     const args = ['run', '--rm', '--name', name, '--pull', 'never', '--user', containerUser(),
+        ...argumentosDeCpuDoDocker(),
         '--cap-drop', 'ALL', '--security-opt', 'no-new-privileges',
         ...(tool.network === 'none' ? ['--network', 'none'] : []),
         '--tmpfs', '/tmp:exec,mode=1777',