@orkastery/cli 0.6.0 → 0.6.2

package/dist/index.js

@@ -146,6 +146,7 @@ const setup_1 = require("./setup");
 const runtime_profiles_1 = require("./runtime-profiles");
 const claude_bg_1 = require("./adapters/claude-bg");
 const codex_1 = require("./adapters/codex");
+const grok_1 = require("./adapters/grok");
 const conducao_1 = require("./conducao");
 const conducao_sentinela_1 = require("./conducao-sentinela");
 const autorizacao_duravel_1 = require("./autorizacao-duravel");
@@ -632,11 +633,12 @@ function comandoOnboarding(args) {
     if (sub === 'reset' && (args.posicionais.length > 3 || 'conteudo' in args.opcoes))
         invalido();
     if (sub === 'sync' && 'por' in args.opcoes)
-        throw new Error('onboarding.input.invalid: sync não aceita --por; informe autoria em set ou reset.');
+        throw new Error((0, locale_1.msg)().onboarding.syncPor);
     const carregado = (0, manifest_1.exigirManifesto)(), raiz = carregado.raiz, por = texto(args.opcoes.por) ?? 'owner';
     if (sub === 'sync') {
-        const r = (0, memoria_1.sincronizarOnboarding)(carregado);
-        console.log(args.opcoes.json === true ? JSON.stringify(r, null, 2) : `${r.regime}${r.motivo ? ` (${r.motivo})` : ''}: ${r.detalhe}`);
+        const r = (0, locale_1.comLocale)('pt-BR', () => (0, memoria_1.sincronizarOnboarding)(carregado));
+        console.log(args.opcoes.json === true ? JSON.stringify(r, null, 2)
+            : (0, locale_1.msg)().onboarding.syncResultado(r.regime, r.motivo, r.respondidas, r.gravadas, r.duplicadas, r.falhas));
         return 0;
     }
     let estado;
@@ -663,8 +665,9 @@ function comandoOnboarding(args) {
 }
 /**
  * I-33 (D8): `ork accounts list|add|remove|check`. O login e sempre do proprio CLI com o env do
- * perfil (`claude auth login`, `codex login`); o `ork` so guarda identidade, diretorio e estado,
- * nunca le, copia ou migra o que o CLI grava. A lista nao tem segredo porque o store nao tem.
+ * perfil (`claude auth login`, `codex login`, `grok login [--device-auth]`); o `ork` so guarda identidade,
+ * diretorio e estado, nunca le, copia ou migra o que o CLI grava (o `auth.json` do grok inclusive). A lista
+ * nao tem segredo porque o store nao tem.
  */
 /** A8: valor citado para colar no shell: aspas simples, e a aspa simples do proprio valor fechada e reaberta. */
 function aspasDeShell(valor) {
@@ -685,7 +688,8 @@ function comandoAccounts(args) {
     const raiz = carregado.raiz;
     const sub = args.posicionais[1] ?? 'list';
     // RM-061 (F3b, GO-FIX 1): a conferencia roda no escopo pt-BR (o detalhe vai ao store), e a impressao o traduz.
-    const conferir = (p) => (0, locale_1.comLocale)('pt-BR', () => p.runtime === 'claude-bg' ? (0, claude_bg_1.conferirAuth)(p) : (0, codex_1.conferirAuth)(p));
+    const conferir = (p) => (0, locale_1.comLocale)('pt-BR', () => p.runtime === 'claude-bg' ? (0, claude_bg_1.conferirAuth)(p)
+        : p.runtime === 'grok' ? (0, grok_1.conferirAuth)(p) : (0, codex_1.conferirAuth)(p));
     const detalhe = (auth) => ma.detalheDoLogin((0, locale_1.remontar)(auth.detalhe));
     // RM-061 (F3b, D3): o texto pelo catalogo; o que se grava (store de perfis, registro de contas) roda no escopo pt-BR,
     // e o id, o runtime, o diretorio, o motivo tipado e o detalhe que o CLI do runtime devolve saem como vieram.
@@ -709,7 +713,9 @@ function comandoAccounts(args) {
     }
     if (sub === 'add') {
         const id = args.posicionais[2], runtime = texto(args.opcoes.runtime), dirBruto = texto(args.opcoes.dir);
-        if (!id || !runtime || !dirBruto) {
+        // RM-067 (F3): o codigo de dispositivo e do login do grok; nos outros runtimes, a opcao e recusada.
+        const dispositivo = args.opcoes['device-auth'] === true;
+        if (!id || !runtime || !dirBruto || (dispositivo && runtime !== 'grok')) {
             console.error(ma.usoAdd);
             return 2;
         }
@@ -730,10 +736,13 @@ function comandoAccounts(args) {
         const despacho = (0, runtime_profiles_1.perfilDeDespacho)(perfil);
         const variavel = runtime_profiles_1.VARIAVEL_DO_PERFIL[perfil.runtime];
         // D13: o login do claude e fixado na assinatura (`--claudeai`), nunca no Console de API.
-        const comando = perfil.runtime === 'claude-bg' ? ['claude', 'auth', 'login', '--claudeai'] : ['codex', 'login'];
+        // RM-067 (F3, D1 b): o grok entra pela assinatura, no login do proprio CLI (navegador ou codigo de dispositivo).
+        const comando = perfil.runtime === 'claude-bg' ? ['claude', 'auth', 'login', '--claudeai']
+            : perfil.runtime === 'grok' ? (0, grok_1.comandoDeLogin)(dispositivo) : ['codex', 'login'];
         if (args.opcoes['sem-login'] !== true && process.stdin.isTTY && process.stdout.isTTY) {
             // Login interativo do proprio CLI, com o env do perfil sobre a assinatura higienizada.
-            const env = perfil.runtime === 'claude-bg' ? (0, claude_bg_1.ambienteDoPerfil)(despacho) : (0, codex_1.ambienteDoDespacho)(process.env, despacho);
+            const env = perfil.runtime === 'claude-bg' ? (0, claude_bg_1.ambienteDoPerfil)(despacho)
+                : perfil.runtime === 'grok' ? (0, grok_1.ambienteDoFilho)({ perfil: despacho }) : (0, codex_1.ambienteDoDespacho)(process.env, despacho);
             (0, node_child_process_1.spawnSync)(comando[0], comando.slice(1), { stdio: 'inherit', env });
         }
         else {
@@ -745,7 +754,7 @@ function comandoAccounts(args) {
             (0, locale_1.comLocale)('pt-BR', () => (0, runtime_profiles_1.marcarFalhaDePerfil)(raiz, id, auth.pago
                 ? { estado: 'provider-pago', esgotadoAte: null, motivo: 'cost.violation', detalhe: auth.detalhe }
                 : { estado: 'sem-auth', esgotadoAte: null, motivo: 'runtime.auth-missing', detalhe: auth.detalhe }));
-        console.log(ma.resultadoAdd(id, perfil.runtime, dir, auth.ok ? ma.conferido
+        console.log(ma.resultadoAdd(id, perfil.runtime, dir, auth.semConferencia ? ma.semConferenciaAdd(detalhe(auth)) : auth.ok ? ma.conferido
             : auth.transitorio ? ma.inconclusivaAdd(detalhe(auth))
                 : auth.pago ? ma.pagoAdd(detalhe(auth)) : ma.semLoginAdd(detalhe(auth))));
         return 0;
@@ -779,7 +788,8 @@ function comandoAccounts(args) {
         for (const p of perfis) {
             const auth = conferir((0, runtime_profiles_1.perfilDeDespacho)(p));
             (0, locale_1.comLocale)('pt-BR', () => {
-                if (auth.ok && (p.estado === 'sem-auth' || p.estado === 'provider-pago'))
+                // RM-067 (F3): sem conferencia (grok), o estado fica: so o login que o proprio CLI confere devolve o perfil.
+                if (auth.ok && !auth.semConferencia && (p.estado === 'sem-auth' || p.estado === 'provider-pago'))
                     (0, runtime_profiles_1.reativarPerfil)(raiz, p.id);
                 if (!auth.ok && auth.transitorio)
                     (0, runtime_profiles_1.registrarConferenciaInconclusiva)(raiz, p.id, auth.detalhe);
@@ -804,7 +814,7 @@ function comandoAccounts(args) {
                 volta ? ma.voltaEm((0, horario_1.formatarDataHoraRotulada)(volta)) : ma.voltaSemMedida,
                 ...(expirados.has(p.id) ? [ma.marcaExpirada] : []),
             ].join('; ');
-            console.log(`${ma.resultadoCheck(p.id, p.runtime, auth.ok ? ma.conferido
+            console.log(`${ma.resultadoCheck(p.id, p.runtime, auth.semConferencia ? ma.semConferenciaCheck(detalhe(auth)) : auth.ok ? ma.conferido
                 : auth.transitorio ? ma.inconclusivaCheck(detalhe(auth))
                     : auth.pago ? ma.pagoCheck(detalhe(auth)) : ma.semLoginCheck(detalhe(auth)))}; ${operacional}`);
         }
@@ -3033,7 +3043,7 @@ function comandoMaster(args) {
             return 0;
         }
         if (sub !== 'enviar')
-            throw new Error('uso: ork master digest <enviar|preview|responder>');
+            throw new Error((0, locale_1.msg)().cli.masterDigestUso);
         const r = (0, master_digest_1.enviarDigest)({ raiz: carregado.raiz });
         console.log(JSON.stringify(r, null, 2));
         return r.code;
@@ -3053,14 +3063,14 @@ function comandoMaster(args) {
             const partes = (texto(args.opcoes.resposta) ?? '').trim().split(/\s+/);
             const classe = (0, master_2.parseClasse)(partes[3]);
             if (partes.length !== 4 || partes[0] !== 'ratificar' || !classe)
-                throw new Error('resposta deve ser ratificar <thread> <assinatura> <classe>');
+                throw new Error((0, locale_1.msg)().cli.masterRatificarUso);
             selecao = [{ thread: partes[1], assinatura: partes[2], classe }];
         }
         else {
             selecao = (texto(args.opcoes.aceitar) ?? '').split(',').map(v => {
                 const partes = v.trim().split(':');
                 if (partes.length !== 2 || !/^[a-f0-9]{64}$/.test(partes[1]))
-                    throw new Error('seleção deve ser thread:assinatura');
+                    throw new Error((0, locale_1.msg)().cli.masterSelecaoUso);
                 return { thread: partes[0], assinatura: partes[1] };
             });
         }
@@ -3402,7 +3412,9 @@ function comandoDocs(args) {
     if (sub === 'verificar') {
         // RM-037 (fatia 3, GO-FIX 2): o CI passa --pr no pull_request; no push da main as duas regras novas reprovam.
         // RM-061 (F3b, G4): verifica no escopo pt-BR, como o `--json` leva os achados; o texto os remonta no locale do comando.
-        const { docs, achados } = (0, locale_1.comLocale)('pt-BR', () => (0, docs_1.verificarDocs)(raiz, { baseBranch, ajudaDoCli: AJUDA, pr: args.opcoes.pr === true }));
+        const threadDaWorktree = (0, docs_1.escopoPadraoDoSync)(raiz).thread;
+        const baseCarimbada = threadDaWorktree ? (0, thread_1.lerThread)(raiz, threadDaWorktree).base?.commit : undefined;
+        const { docs, achados } = (0, locale_1.comLocale)('pt-BR', () => (0, docs_1.verificarDocs)(raiz, { baseBranch, baseCarimbada, ajudaDoCli: AJUDA, pr: args.opcoes.pr === true }));
         if (args.opcoes.json === true) {
             console.log(JSON.stringify({ paginas: docs.length, erros: achados.filter((a) => a.gravidade === 'erro').length,
                 achados }, null, 2));
@@ -4426,8 +4438,10 @@ function executarComando(argvBruto) {
     const projeto = proprio ? undefined : extraida.projeto;
     // Helper fixo do host confiável: o projeto vem da instalação, nunca de toolargs.
     if (argv[0] === 'receipt-verifiers') {
-        if (argv.length !== 2 || argv[1] !== '--json' || projeto !== undefined)
-            throw Error('uso: ork receipt-verifiers --json');
+        if (argv.length !== 2 || argv[1] !== '--json' || projeto !== undefined) {
+            (0, locale_1.ativarLocale)(localeDaAjuda());
+            throw new locale_1.ErroDoCatalogo((m) => m.cli.receiptVerifiersUso);
+        }
         const root = process.env.ORK_HITL_ROOT;
         const privateKey = Object.keys(process.env).some(name => /^ORK_HITL_(?:INGRESS_KEY|NATIVE_KEY)/.test(name));
         if (root !== undefined || privateKey) {
@@ -4443,13 +4457,14 @@ function executarComando(argvBruto) {
         return 0;
     }
     if (argv[0] === 'maestro') {
+        const textos = (0, locale_1.msg)(localeDaAjuda(projeto)).maestro;
         if (argv.length === 2 && argv[1] === '--help')
-            return (0, maestro_cli_1.runMaestroCli)(argv.slice(1));
+            return (0, maestro_cli_1.runMaestroCli)(argv.slice(1), process.cwd(), {}, undefined, textos);
         // RM-052: o alvo explicito vira SELECAO entre as raizes permitidas; sem ele, o cwd de sempre. O
         // snapshot ja declara o projeto consultado (project.root, notConsulted): sem a linha da fatia 2.
         const alvo = fixarAlvoDoProcesso(projeto, false);
-        return alvo ? (0, maestro_cli_1.runMaestroCli)(argv.slice(1), alvo.raiz, { allowedRoots: [alvo.raiz], selected: alvo.raiz })
-            : (0, maestro_cli_1.runMaestroCli)(argv.slice(1));
+        return alvo ? (0, maestro_cli_1.runMaestroCli)(argv.slice(1), alvo.raiz, { allowedRoots: [alvo.raiz], selected: alvo.raiz }, undefined, textos)
+            : (0, maestro_cli_1.runMaestroCli)(argv.slice(1), process.cwd(), {}, undefined, textos);
     }
     const args = parseArgs(argv);
     const comando = args.posicionais[0];
@@ -4463,14 +4478,21 @@ function executarComando(argvBruto) {
         console.log((0, locale_1.msg)().ajuda.texto(dadosDaAjuda()));
         return 0;
     }
+    // F3e (D2): a recusa do projeto-alvo e os usos das rotas cobertas acontecem antes do manifesto efetivo.
+    // Resolva a lingua aqui; `--json` continua fora e um `mcp serve` valido desliga o locale antes de servir.
+    if ((0, locale_1.cobreLocale)(args.posicionais, args.opcoes)) {
+        (0, locale_1.ativarLocale)(localeDaAjuda(projeto));
+        (0, locale_1.ligarRemontagem)(true);
+    }
     if (!COMANDOS_SEM_PROJETO.has(comando) && !proprio) {
         fixarAlvoDoProcesso(projeto, !SEM_DECLARACAO_DO_PROJETO.has(`${comando} ${args.posicionais[1] ?? ''}`.trim()));
     }
     else if (projeto !== undefined && comando !== 'projetos') {
+        const mp = (0, locale_1.msg)().projetos;
         throw new Error(comando === 'init'
-            ? 'uso: ork init cria o projeto no diretório atual; entre nele e rode ork init, sem --projeto'
-            : comando === 'mcp' ? 'uso: o servidor MCP recebe a raiz por --project <raiz absoluta>, não por --projeto'
-                : `uso: ork ${comando} não lê projeto; tire --projeto`);
+            ? mp.initNaoLeProjeto
+            : comando === 'mcp' ? mp.mcpNaoLeProjeto
+                : mp.comandoNaoLeProjeto(comando));
     }
     const nomesHerdados = (0, runtime_ambiente_1.nomesDeProviderAtivos)();
     const ambienteManifesto = (0, manifest_1.carregarManifesto)();
@@ -4486,10 +4508,6 @@ function executarComando(argvBruto) {
     // CLI por locale (RM-061, EN1 e EN7): a escolha do onboarding (owner.language) ou o LC_ALL/LC_MESSAGES/LANG
     // decidem a lingua do TEXTO dos comandos cobertos (`cobreLocale`); `--json` e contrato, e os recortes ainda
     // fora do catalogo (`doctor --modo` e os subcomandos fora da lista) ficam em pt-BR.
-    if ((0, locale_1.cobreLocale)(args.posicionais, args.opcoes)) {
-        (0, locale_1.ativarLocale)((0, locale_1.resolverLocale)(ambienteManifesto?.manifesto.owner?.language).locale);
-        (0, locale_1.ligarRemontagem)(true);
-    }
     switch (comando) {
         case 'mcp': {
             const projeto = texto(args.opcoes.project), host = texto(args.opcoes.host), threadId = texto(args.opcoes.thread);
@@ -4501,8 +4519,9 @@ function executarComando(argvBruto) {
             const permissoesFilho = texto(args.opcoes['child-permissions']) ?? 'interactive';
             const permissoesDono = texto(args.opcoes['owner-permissions']);
             const acao = args.posicionais[1];
+            // RM-067 (F4b): o grok e host do install e do serve; o servidor dele recusa sem --thread (so a sessao filha).
             if (args.posicionais.length !== 2 || !['serve', 'install'].includes(acao) || !projeto ||
-                (host !== 'codex' && host !== 'claude-code') ||
+                (host !== 'codex' && host !== 'claude-code' && host !== 'grok') ||
                 Object.keys(args.opcoes).some(k => !['project', 'host', 'ship-transport', 'child-permissions', ...(acao === 'install' ? ['dry-run', 'owner-permissions', 'ssh-fingerprint'] : ['thread', 'dispatch'])].includes(k)) ||
                 (args.opcoes.dispatch !== undefined && (!threadId || !dispatchId || !/^[a-f0-9-]{36}$/.test(dispatchId))) ||
                 argv.filter(a => a === '--ship-transport' || a.startsWith('--ship-transport=')).length > 1 ||
@@ -4525,6 +4544,9 @@ function executarComando(argvBruto) {
                     .catch(e => { console.error((0, locale_1.msg)().operacao.restante.mcp.erro(e.message)); process.exitCode = 1; });
                 return 0;
             }
+            // O servidor e contrato com hosts e nao ganha uma moldura inglesa por herdar o locale do erro de uso.
+            (0, locale_1.ativarLocale)(undefined);
+            (0, locale_1.ligarRemontagem)(false);
             void Promise.resolve().then(() => __importStar(require('./mcp-server'))).then(({ servirMcp }) => servirMcp({ projeto, host, threadId, dispatchId, nomesProviderHerdados: nomesHerdados, transporteShip: transporteShip, permissoesFilho: permissoesFilho })).catch(e => { console.error(`mcp: ${e.message}`); process.exitCode = 1; });
             return 0;
         }
@@ -4533,7 +4555,7 @@ function executarComando(argvBruto) {
                 const bruto = texto(args.opcoes.modo);
                 if (args.posicionais.length !== 1 || !bruto ||
                     Object.keys(args.opcoes).some(k => k !== 'modo') || argv.filter(a => a === '--modo' || a.startsWith('--modo=')).length !== 1)
-                    throw Error(`uso: ork doctor --modo ${modos_1.ORDEM_DOS_MODOS.join('|')}`);
+                    throw Error((0, locale_1.msg)().doctor.modoUso(modos_1.ORDEM_DOS_MODOS.join('|')));
                 const r = (0, preflight_1.preflight)((0, manifest_1.diretorioDoProjeto)(), (0, modos_1.exigirModoVivo)(bruto), nomesHerdados);
                 console.log((0, preflight_1.textoPreflight)(r));
                 return r.prontoPrimeiroBloco ? 0 : 1;
@@ -4669,10 +4691,9 @@ function executarComando(argvBruto) {
                 if (!host || !['claude-code', 'codex'].includes(host) || args.posicionais.length !== 3 ||
                     Object.keys(args.opcoes).some(k => !['dry-run', 'json'].includes(k)) ||
                     Object.values(args.opcoes).some(v => v !== true))
-                    throw Error('uso: ork experiencia uninstall claude-code|codex [--dry-run] [--json]');
+                    throw Error((0, locale_1.msg)().onboarding.experienciaUninstallUso);
                 const r = (0, hosts_2.desinstalarExperiencia)((0, manifest_1.exigirManifesto)().raiz, host, args.opcoes['dry-run'] === true);
-                console.log(args.opcoes.json ? JSON.stringify(r, null, 2) :
-                    `${r.dryRun ? 'Simulação de remoção' : 'Remoção concluída'}: ${r.arquivos.length} arquivo(s). O adaptador permanece instalado. Para manter o pacote desativado, configure owner.experience:false no onboarding.`);
+                console.log(args.opcoes.json ? JSON.stringify(r, null, 2) : (0, locale_1.msg)().onboarding.experienciaUninstall(r.dryRun, r.arquivos.length));
                 return 0;
             }
             if ((args.posicionais[1] ?? 'show') !== 'show' || args.posicionais.length > 2 ||
@@ -4763,7 +4784,7 @@ function executarComando(argvBruto) {
         case 'recall':
             return comandoRecall(args);
         case 'brain': {
-            const result = (0, company_brain_cli_1.runBrain)((0, manifest_1.exigirManifesto)(), args.posicionais[1] ?? 'status', args.opcoes, args.posicionais.slice(2));
+            const result = (0, locale_1.comLocale)('pt-BR', () => (0, company_brain_cli_1.runBrain)((0, manifest_1.exigirManifesto)(), args.posicionais[1] ?? 'status', args.opcoes, args.posicionais.slice(2)));
             console.log(JSON.stringify(result, null, 2));
             return ['ok', 'empty', 'unknown', 'withheld', 'applied', 'rolled-back'].includes(result.state) ? 0 : 1;
         }
@@ -4791,7 +4812,14 @@ function executarComando(argvBruto) {
         case 'ship':
             return comandoShip(args);
         case 'activation':
-            return (0, write_activation_1.comandoAtivacao)((0, manifest_1.exigirManifesto)(), args);
+            try {
+                return (0, locale_1.comLocale)('pt-BR', () => (0, write_activation_1.comandoAtivacao)((0, manifest_1.exigirManifesto)(), args));
+            }
+            catch (e) {
+                if (e.message === 'uso: ork activation plan|status|enable|disable')
+                    throw new locale_1.ErroDoCatalogo((m) => m.cli.activationUso);
+                throw e;
+            }
         case 'lease':
             return comandoLease(args);
         case 'conducao':

package/dist/integracoes-locais.js

@@ -22,4 +22,6 @@ exports.TESTES_DE_INTEGRACAO_LOCAL = new Set([
     'claims-conferir-sandbox.test.js',
     // Security scan (Task 13a): o scanner com o Docker real e as imagens do catalogo.
     'security-scan-integracao.test.js',
+    // RM-067 (F4c, D11): o grok falso confinado pelo Landlock do kernel, com o lancador em python3.
+    'rm067-grok-landlock.test.js',
 ]);

package/dist/intelligence-graph-cli.js

@@ -38,6 +38,7 @@ exports.descreverVersoes = descreverVersoes;
 exports.correcaoDosAnalisadores = correcaoDosAnalisadores;
 exports.checarAnalisadoresDoGrafo = checarAnalisadoresDoGrafo;
 exports.lerPedido = lerPedido;
+exports.linhasDaExtracao = linhasDaExtracao;
 exports.situacaoNaArvore = situacaoNaArvore;
 exports.executarGrafo = executarGrafo;
 /**
@@ -128,6 +129,7 @@ exports.USO_DO_GRAFO = [
 exports.TEXTOS_DO_GRAFO = {
     uso: exports.USO_DO_GRAFO.split('\n'),
     erroUso: (motivo) => `grafo.uso: ${motivo}`,
+    erroTipado: (mensagem) => mensagem,
     motivos: {
         semSub: 'falta o subcomando', desconhecido: (sub) => `subcomando desconhecido: ${sub}`,
         repetida: (nome) => `--${nome} repetida`, semValor: (nome) => `--${nome} nao leva valor`,
@@ -149,6 +151,15 @@ exports.TEXTOS_DO_GRAFO = {
         naoConferido: (motivo) => `  incremental  nao conferido: ${motivo}`,
         aprovado: 'aprovado',
         semBase: 'sem base',
+        extracao: {
+            lista: (itens) => itens.length ? ` (${itens.slice(0, 5).join(', ')}${itens.length > 5 ? ` e mais ${itens.length - 5}` : ''})` : '',
+            incremental: (base, alterados, novos, removidos) => `  extracao     incremental a partir do indice de ${base}: ${alterados} alterado(s), ${novos} novo(s), ${removidos} removido(s)`,
+            tsInteiro: (motivo) => `TypeScript inteiro (${motivo ?? ''})`,
+            tsParcial: (reextraidos, lista, programa, reaproveitados) => `TypeScript parcial, ${reextraidos} reextraido(s)${lista} num programa de ${programa}, ${reaproveitados} da base`,
+            tsBase: (reaproveitados) => `TypeScript todo da base (${reaproveitados})`,
+            markdown: (reextraidos, lista, reaproveitados) => `               Markdown: ${reextraidos} reextraido(s)${lista}, ${reaproveitados} da base`,
+            completa: (motivo) => `  extracao     completa${motivo ? `: ${motivo}` : ''}`,
+        },
     },
     status: {
         titulo: (head, arvore) => `grafo: HEAD ${head}, arvore ${arvore}`,
@@ -282,23 +293,24 @@ const contagem = (o) => Object.entries(o).map(([k, v]) => `${k}=${v}`).join(' ')
 /** Ate cinco caminhos e quantos ficaram de fora. */
 const alguns = (lista) => (lista.length ? ` (${lista.slice(0, 5).join(', ')}${lista.length > 5 ? ` e mais ${lista.length - 5}` : ''})` : '');
 /** KG4: como a extracao rodou, a base e o que veio dela, ou por que foi completa. */
-function linhasDaExtracao(r) {
+function linhasDaExtracao(r, mi) {
     if (r.modo === null)
         return [];
     const a = r.reaproveitamento;
+    const me = mi.extracao;
     if (r.modo === 'incremental' && r.base && a) {
         // Desestruturado: o lint de horario le o campo de nome curto do TypeScript como instante.
         const { ts: doTs, md: doMd, mudanca } = a;
-        const ts = doTs.modo === 'inteiro' ? `TypeScript inteiro (${doTs.motivo})`
-            : doTs.modo === 'parcial' ? `TypeScript parcial, ${doTs.reextraidos.length} reextraido(s)${alguns(doTs.reextraidos)} num programa de ${doTs.programa}, ${doTs.reaproveitados} da base`
-                : `TypeScript todo da base (${doTs.reaproveitados})`;
+        const ts = doTs.modo === 'inteiro' ? me.tsInteiro(doTs.motivo)
+            : doTs.modo === 'parcial' ? me.tsParcial(doTs.reextraidos.length, me.lista(doTs.reextraidos), doTs.programa, doTs.reaproveitados)
+                : me.tsBase(doTs.reaproveitados);
         return [
-            `  extracao     incremental a partir do indice de ${r.base.revision.slice(0, 12)}: ${mudanca.alterados} alterado(s), ${mudanca.novos} novo(s), ${mudanca.removidos} removido(s)`,
+            me.incremental(r.base.revision.slice(0, 12), mudanca.alterados, mudanca.novos, mudanca.removidos),
             `               ${ts}`,
-            `               Markdown: ${doMd.reextraidos.length} reextraido(s)${alguns(doMd.reextraidos)}, ${doMd.reaproveitados} da base`,
+            me.markdown(doMd.reextraidos.length, me.lista(doMd.reextraidos), doMd.reaproveitados),
         ];
     }
-    return [`  extracao     completa${r.motivo_completo ? `: ${r.motivo_completo}` : ''}`];
+    return [me.completa(r.motivo_completo)];
 }
 function indexar(ctx, p) {
     const r = (0, intelligence_graph_index_1.construirIndice)(ctx, { verificar: p.bandeiras.has('verificar'), forcar: p.bandeiras.has('forcar') });
@@ -314,7 +326,7 @@ function indexar(ctx, p) {
         mi.campo(mi.campos.conferencia, mi.conferencia(m.conferencia.fontes, m.conferencia.evidencias)),
         mi.campo(mi.campos.nos, contagem(m.contagens.nos)), mi.campo(mi.campos.arestas, contagem(m.contagens.arestas)),
         mi.campo(mi.campos.lugar, `${r.dir} (${mb(m.graph_bytes + m.report_bytes + m.units_bytes)})`),
-        ...linhasDaExtracao(r),
+        ...linhasDaExtracao(r, mi),
     ];
     if (r.motivo)
         linhas.push(mi.campo(mi.campos.motivo, r.motivo));
@@ -757,6 +769,12 @@ const erroEmJson = (ctx, e, compacto, schema = intelligence_graph_query_1.CONSUL
     ctx.escrever(compacto ? JSON.stringify(r) : JSON.stringify(r, null, 2));
     return 1;
 };
+/** Traduz a mensagem sem apagar a classe, os candidatos ou o stack do erro tipado. */
+const erroHumano = (ctx, e) => {
+    const erro = e instanceof Error ? e : new Error(String(e));
+    erro.message = textosDe(ctx).erroTipado(erro.message);
+    return erro;
+};
 /** `ork grafo <subcomando> ...`: devolve o codigo de saida; sem `--json`, o erro de uso ou tipado e lancado. */
 function executarGrafo(argv, ctx) {
     const schema = argv[0] === 'contexto' ? intelligence_graph_contexto_1.CONTEXTO_SCHEMA : intelligence_graph_query_1.CONSULTA_SCHEMA;
@@ -786,7 +804,7 @@ function executarGrafo(argv, ctx) {
     }
     catch (e) {
         if (!p.bandeiras.has('json'))
-            throw e;
+            throw erroHumano(ctx, e);
         return erroEmJson(ctx, e, compacto, schema);
     }
 }

package/dist/locale-accounts.js

@@ -12,7 +12,7 @@
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.ACCOUNTS_EN = exports.ACCOUNTS_PT_BR = void 0;
 /**
- * O detalhe da conferencia de login que o proprio ork escreve (`conferirAuth` do claude e do codex) e dado: vai ao store
+ * O detalhe da conferencia de login que o proprio ork escreve (`conferirAuth` do claude, do codex e do grok) e dado: vai ao store
  * em pt-BR e so a impressao o traduz, pela frase exata. A saida do CLI que vem dentro dele (o trecho do `codex`) segue
  * como veio.
  */
@@ -29,6 +29,10 @@ const DETALHES_DO_LOGIN_EN = [
     [/^codex login status: login por API key \(provider pago\)$/, () => 'codex login status: API key login (paid provider)'],
     [/^codex login status: login sem assinatura ChatGPT comprovada \(tratado como provider pago\)$/,
         () => 'codex login status: login without a proven ChatGPT subscription (treated as a paid provider)'],
+    [/^o grok nao documenta conferencia de login; o despacho prova o login \(erro de login do runtime vira runtime\.auth-missing\)$/,
+        () => 'grok documents no login check; the dispatch proves the login (a runtime login error becomes runtime.auth-missing)'],
+    [/^runtime\.profiles\.invalid: perfil sem grokHome no despacho grok$/,
+        () => 'runtime.profiles.invalid: profile without grokHome in the grok dispatch'],
 ];
 const ESTADOS_EN = {
     ativo: 'active', esgotado: 'exhausted', 'sem-auth': 'no-auth', 'provider-pago': 'paid-provider', desativado: 'disabled',
@@ -39,7 +43,7 @@ exports.ACCOUNTS_PT_BR = {
     /** O estado gravado no store, como o texto o mostra. */
     estado: (estado) => estado,
     falhaEm: (motivo, quando) => `${motivo} em ${quando}`,
-    usoAdd: 'uso: ork accounts add <id> --runtime claude-bg|codex --dir <diretorio> [--sem-login]',
+    usoAdd: 'uso: ork accounts add <id> --runtime claude-bg|codex|grok --dir <diretorio> [--sem-login] [--device-auth (so grok)]',
     reativado: (id) => `Perfil ${id} reativado: mesmo id, runtime e diretorio do perfil desativado.`,
     recusado: (erro) => `perfil recusado: ${erro}`,
     loginPendente: (variavel, dir, comando, id) => `Login pendente: rode ${variavel}=${dir} ${comando} e depois ork accounts check ${id}`,
@@ -48,6 +52,7 @@ exports.ACCOUNTS_PT_BR = {
     /** O detalhe da conferencia de login (dado do store), como a impressao o mostra. */
     detalheDoLogin: (detalhe) => detalhe,
     inconclusivaAdd: (detalhe) => `conferencia de login inconclusiva (${detalhe}); o proximo despacho confere de novo`,
+    semConferenciaAdd: (detalhe) => `login sem conferencia previa (${detalhe}); o perfil entra no rodizio`,
     pagoAdd: (detalhe) => `provider pago (${detalhe}); nunca recebe despacho`,
     semLoginAdd: (detalhe) => `sem login (${detalhe}); fora do rodizio`,
     usoRemove: 'uso: ork accounts remove <id>',
@@ -55,6 +60,7 @@ exports.ACCOUNTS_PT_BR = {
     perfilAtivoNaoExiste: (alvo) => `perfil ativo "${alvo}" nao existe (veja: ork accounts list)`,
     resultadoCheck: (id, runtime, situacao) => `${id} (${runtime}): ${situacao}`,
     inconclusivaCheck: (detalhe) => `conferencia de login inconclusiva, estado mantido (${detalhe})`,
+    semConferenciaCheck: (detalhe) => `login sem conferencia previa, estado mantido (${detalhe})`,
     pagoCheck: (detalhe) => `provider pago, nunca despacha (${detalhe})`,
     semLoginCheck: (detalhe) => `sem login (${detalhe})`,
     tipoDeLimite: (tipo) => ({ sessao: 'sessao', semanal: 'semanal', 'gasto-admin': 'gasto definido pelo admin',
@@ -132,7 +138,7 @@ exports.ACCOUNTS_EN = {
     colunas: ['PROFILE', 'RUNTIME', 'DIRECTORY', 'STATE', 'EXHAUSTED UNTIL', 'LAST USE', 'LAST FAILURE'],
     estado: (estado) => ESTADOS_EN[estado] ?? estado,
     falhaEm: (motivo, quando) => `${motivo} at ${quando}`,
-    usoAdd: 'usage: ork accounts add <id> --runtime claude-bg|codex --dir <directory> [--sem-login]',
+    usoAdd: 'usage: ork accounts add <id> --runtime claude-bg|codex|grok --dir <directory> [--sem-login] [--device-auth (grok only)]',
     reativado: (id) => `Profile ${id} reactivated: same id, runtime and directory as the disabled profile.`,
     recusado: (erro) => `profile refused: ${erro}`,
     loginPendente: (variavel, dir, comando, id) => `Login pending: run \`${variavel}=${dir} ${comando}\`, then \`ork accounts check ${id}\``,
@@ -143,6 +149,7 @@ exports.ACCOUNTS_EN = {
         return regra ? regra[1](...(regra[0].exec(detalhe) ?? []).slice(1)) : detalhe;
     },
     inconclusivaAdd: (detalhe) => `login check inconclusive (${detalhe}); the next dispatch checks again`,
+    semConferenciaAdd: (detalhe) => `login without a prior check (${detalhe}); the profile joins the rotation`,
     pagoAdd: (detalhe) => `paid provider (${detalhe}); never receives a dispatch`,
     semLoginAdd: (detalhe) => `no login (${detalhe}); out of the rotation`,
     usoRemove: 'usage: ork accounts remove <id>',
@@ -150,6 +157,7 @@ exports.ACCOUNTS_EN = {
     perfilAtivoNaoExiste: (alvo) => `active profile "${alvo}" does not exist (see: \`ork accounts list\`)`,
     resultadoCheck: (id, runtime, situacao) => `${id} (${runtime}): ${situacao}`,
     inconclusivaCheck: (detalhe) => `login check inconclusive, state kept (${detalhe})`,
+    semConferenciaCheck: (detalhe) => `login without a prior check, state kept (${detalhe})`,
     pagoCheck: (detalhe) => `paid provider, never dispatches (${detalhe})`,
     semLoginCheck: (detalhe) => `no login (${detalhe})`,
     tipoDeLimite: (tipo) => ({ sessao: 'session', semanal: 'weekly', 'gasto-admin': 'admin-defined spend',

package/dist/locale-ajuda.js

@@ -33,12 +33,12 @@ Uso: ork [--projeto <nome|caminho>] <comando> [argumentos]
   experiencia uninstall <host> [--dry-run] [--json]
                                             Remove o bloco de Claude Code/Codex; sem --dry-run aplica a remoção
   setup <modo>                              Config atual de cada bloco do modo
-  setup <modo> --bloco N [--runtime R]      Edita o bloco (runtimes: claude-bg, codex);
+  setup <modo> --bloco N [--runtime R]      Edita o bloco (runtimes: claude-bg, codex, grok);
         [--model M] [--effort E] [--por Q]       evento setup_configured no ledger do projeto
         [--fallback R:M[:E],...]                  ordem de fallback de runtime do bloco (I-33)
   accounts list [--json]                    Perfis de conta por runtime, sem segredo (I-33)
   accounts add <id> --runtime R --dir D     Cria o perfil e roda o login do proprio CLI com o env
-        [--sem-login]                            do perfil (nunca copia credencial)
+        [--sem-login] [--device-auth]            do perfil (nunca copia credencial; codigo de dispositivo so no grok)
   accounts remove <id>                      Desativa o perfil (diretorio e login ficam onde estao)
   accounts check [<id>]                     Confere o login de cada perfil e marca o store
   accounts esgotamentos [--desde 7d] [--json]
@@ -120,6 +120,8 @@ Uso: ork [--projeto <nome|caminho>] <comando> [argumentos]
                                                 destrava (pega HITL de sessao SEM thread)
   noctum propor --arquivo <envelope.json>   Propõe o envelope de um arco #Noctum (RM-058) e pergunta ao dono, com código
                                             curto e alternativas, também no canal dele; não autoriza nada
+  noctum maquina [--json]                   A entrada desta máquina em maquinas do envelope v3 (RM-058): o nome, a chave
+                                            pública e a impressão dela; a chave privada não sai desta raiz
   noctum revogar <arco> [--json]            Pergunta ao dono se revoga o arco (RM-057); quem revoga é a resposta dele,
                                             no Telegram ou pelo diálogo do host
   noctum responder <arco> --resposta-stdin --origem telegram --canal C --por ID --mensagem REF [--conta ID]
@@ -352,7 +354,7 @@ Uso: ork [--projeto <nome|caminho>] <comando> [argumentos]
                                              o padrao e o item dela; --todos volta a todo item (RM-037)
   docs init                                 Cria padroes, modelos, indices e o lint de Markdown no projeto
 
-  mcp serve --project RAIZ --host HOST       Servidor MCP stdio deste projeto (codex|claude-code)
+  mcp serve --project RAIZ --host HOST       Servidor MCP stdio deste projeto (codex|claude-code; grok so na sessao filha, com --thread)
   mcp install --project RAIZ --host HOST     Prepara MCP; aceita --dry-run, --ship-transport, --child-permissions e --owner-permissions (Codex)
 
   adapter list                              Adaptadores de host (Camada 1) e o destino de cada um
@@ -445,12 +447,12 @@ Usage: ork [--projeto <name|path>] <command> [arguments]
   experiencia uninstall <host> [--dry-run] [--json]
                                             Removes the Claude Code/Codex block; without --dry-run it applies the removal
   setup <mode>                              Current config of each block of the mode
-  setup <mode> --bloco N [--runtime R]      Edits the block (runtimes: claude-bg, codex);
+  setup <mode> --bloco N [--runtime R]      Edits the block (runtimes: claude-bg, codex, grok);
         [--model M] [--effort E] [--por Q]       setup_configured event in the project ledger
         [--fallback R:M[:E],...]                  runtime fallback order of the block (I-33)
   accounts list [--json]                    Account profiles per runtime, without secrets (I-33)
   accounts add <id> --runtime R --dir D     Creates the profile and runs the CLI's own login with the profile
-        [--sem-login]                            env (never copies a credential)
+        [--sem-login] [--device-auth]            env (never copies a credential; device code only for grok)
   accounts remove <id>                      Deactivates the profile (directory and login stay where they are)
   accounts check [<id>]                     Checks the login of each profile and marks the store
   accounts esgotamentos [--desde 7d] [--json]
@@ -532,6 +534,8 @@ Usage: ork [--projeto <name|path>] <command> [arguments]
                                                 unblocks it (catches HITL of sessions WITHOUT a thread)
   noctum propor --arquivo <envelope.json>   Proposes the envelope of a #Noctum arc (RM-058) and asks the owner, with a short
                                             code and choices, also on the owner's channel; it authorizes nothing
+  noctum maquina [--json]                   This machine's entry in maquinas of the v3 envelope (RM-058): its name, public key
+                                            and fingerprint; the private key never leaves this root
   noctum revogar <arc> [--json]             Asks the owner whether to revoke the arc (RM-057); the owner's answer revokes,
                                             on Telegram or through the host dialog
   noctum responder <arc> --resposta-stdin --origem telegram --canal C --por ID --mensagem REF [--conta ID]
@@ -764,7 +768,7 @@ Usage: ork [--projeto <name|path>] <command> [arguments]
                                              the default is its item; --todos goes back to every item (RM-037)
   docs init                                 Creates standards, templates, indexes and the Markdown lint in the project
 
-  mcp serve --project ROOT --host HOST       stdio MCP server of this project (codex|claude-code)
+  mcp serve --project ROOT --host HOST       stdio MCP server of this project (codex|claude-code; grok only in the child session, with --thread)
   mcp install --project ROOT --host HOST     Prepares MCP; accepts --dry-run, --ship-transport, --child-permissions and --owner-permissions (Codex)
 
   adapter list                              Host adapters (Layer 1) and the target of each one

package/dist/locale-claims.js

@@ -49,14 +49,21 @@ exports.CLAIMS_PT_BR = {
     avisoNegativa: 'AVISO: alegacao negativa sem comando de verificacao reprova em `ork verify`.',
     /** A linha do lint no `claims add` (no `ci prepare` o lint sai em pt-BR, como antes). */
     avisoDoLint: (linha, suiteInteira) => `AVISO: ${linha}${suiteInteira ? '. O `ci prepare` recusa esta claim.' : ''}`,
+    lintRecusado: (linhas) => `claim recusada antes de ser registrada:\n  ${linhas}`,
     linhaDoLint: (claim, nome, trecho, correcao) => `${claim} ${nome} (${trecho}); ${correcao}`,
     nomesDoLint: { 'suite-inteira': 'roda a suite inteira', 'sha-intermediario': 'fixa um SHA intermediario',
-        'contagem-de-commits': 'compara contagem de commits' },
+        'contagem-de-commits': 'compara contagem de commits', 'binario-rg': 'usa o binario rg ausente no runner',
+        'ork-fora-do-path': 'chama ork fora do PATH do runner', 'estado-local': 'le estado local fora do checkout',
+        'aspas-escapadas': 'leva aspas escapadas literalmente' },
     correcoesDoLint: {
         'suite-inteira': 'rode só o teste da claim (`node --test` no arquivo do teste, ou o comando do projeto que roda um arquivo) ' +
             'ou um script hermético do projeto',
         'sha-intermediario': 'ancore na base (`git diff "$(git merge-base origin/main HEAD)" HEAD`) ou prove ancestralidade com `git merge-base --is-ancestor <sha> HEAD`',
         'contagem-de-commits': 'use `git merge-base --is-ancestor <commit> HEAD`: contagem de commits quebra com rebase e merge',
+        'binario-rg': 'use `grep` (ou Node) com a mesma prova; o runner nao instala `rg`',
+        'ork-fora-do-path': 'use `node core/dist/index.js ...`; o runner nao instala `ork` no PATH',
+        'estado-local': 'prove somente arquivos versionados do checkout; `.orkastery/` e estado local e nao vai ao CI',
+        'aspas-escapadas': 'use aspas reais do shell; nao serialize `\\x22` ou `\\x27` dentro do comando',
     },
     // ork claims conferir
     usoConferir: 'uso: ork claims conferir <thread-id> --claims C1,C2 | --tarefa T1 [--prazo S] [--json]',
@@ -138,14 +145,21 @@ exports.CLAIMS_EN = {
     estado: (estado) => ESTADOS_EN[estado] ?? estado,
     avisoNegativa: 'WARNING: a negative statement without a verification command fails in `ork verify`.',
     avisoDoLint: (linha, suiteInteira) => `WARNING: ${linha}${suiteInteira ? '. `ci prepare` refuses this claim.' : ''}`,
+    lintRecusado: (linhas) => `claim refused before it was recorded:\n  ${linhas}`,
     linhaDoLint: (claim, nome, trecho, correcao) => `${claim} ${nome} (${trecho}); ${correcao}`,
     nomesDoLint: { 'suite-inteira': 'runs the whole suite', 'sha-intermediario': 'pins an intermediate SHA',
-        'contagem-de-commits': 'compares a commit count' },
+        'contagem-de-commits': 'compares a commit count', 'binario-rg': 'uses the rg binary missing from the runner',
+        'ork-fora-do-path': 'calls ork outside the runner PATH', 'estado-local': 'reads local state outside the checkout',
+        'aspas-escapadas': 'passes escaped quotes literally' },
     correcoesDoLint: {
         'suite-inteira': 'run only the claim test (`node --test` on the test file, or the project command that runs one file) ' +
             'or a hermetic project script',
         'sha-intermediario': 'anchor on the base (`git diff "$(git merge-base origin/main HEAD)" HEAD`) or prove ancestry with `git merge-base --is-ancestor <sha> HEAD`',
         'contagem-de-commits': 'use `git merge-base --is-ancestor <commit> HEAD`: a commit count breaks with rebase and merge',
+        'binario-rg': 'use `grep` (or Node) for the same proof; the runner does not install `rg`',
+        'ork-fora-do-path': 'use `node core/dist/index.js ...`; the runner does not install `ork` in PATH',
+        'estado-local': 'prove only versioned checkout files; `.orkastery/` is local state and is not sent to CI',
+        'aspas-escapadas': 'use real shell quotes; do not serialize `\\x22` or `\\x27` inside the command',
     },
     usoConferir: 'usage: ork claims conferir <thread-id> --claims C1,C2 | --tarefa T1 [--prazo S] [--json]',
     conferencia: (thread) => `Spot check of thread ${thread} (no receipt: \`ork verify\` is still what verifies)`,

package/dist/locale-forja.js

@@ -95,10 +95,9 @@ exports.FORJA_PT_BR = {
         projetoGitlab: (metodo, squash, mergedResults, mergeTrain) => `merge ${metodo}; squash ${squash}; merged results ${mergedResults}; merge train ${mergeTrain}`,
         projetoGithub: (merge, squash, rebase) => `merge commit ${merge}; squash ${squash}; rebase ${rebase}`,
         avisoFf: 'com fast-forward não há commit de merge: o assunto ship(<thread>) não chega à base',
-        avisoMensagemPadrao: 'a mensagem de merge padrão (Merge branch …) não começa por ship(<thread>)',
         avisoSquash: (opcao) => `squash ${opcao}: a entrega por squash não se liga ao head verificado (entrega.sem-vinculo)`,
         avisoSemMergeCommit: 'sem merge commit, a entrega por PR não se liga ao head verificado (entrega.sem-vinculo)',
-        projetoGitlabCorrecao: 'em Settings > Merge requests, use merge commit e um modelo de mensagem de merge que comece por %{title}',
+        projetoGitlabCorrecao: 'em Settings > Merge requests, use merge commit e deixe squash desativado',
         projetoGithubCorrecao: 'em Settings > General > Pull Requests, permita merge commits',
         capacidades: (ligadas) => `ligadas: ${ligadas}`,
         capacidadesDesligadas: (ligadas, desligadas) => `ligadas: ${ligadas}; desligadas (o adaptador não implementa): ${desligadas}`,
@@ -236,10 +235,9 @@ exports.FORJA_EN = {
         projetoGitlab: (metodo, squash, mergedResults, mergeTrain) => `merge ${metodo}; squash ${squash}; merged results ${mergedResults}; merge train ${mergeTrain}`,
         projetoGithub: (merge, squash, rebase) => `merge commit ${merge}; squash ${squash}; rebase ${rebase}`,
         avisoFf: 'with fast-forward there is no merge commit: the ship(<thread>) subject does not reach the base',
-        avisoMensagemPadrao: 'the default merge message (Merge branch …) does not start with ship(<thread>)',
         avisoSquash: (opcao) => `squash ${opcao}: a squash delivery is not linked to the verified head (entrega.sem-vinculo)`,
         avisoSemMergeCommit: 'without merge commits, a PR delivery is not linked to the verified head (entrega.sem-vinculo)',
-        projetoGitlabCorrecao: 'in Settings > Merge requests, use merge commit and a merge message template that starts with %{title}',
+        projetoGitlabCorrecao: 'in Settings > Merge requests, use merge commits and leave squash disabled',
         projetoGithubCorrecao: 'in Settings > General > Pull Requests, allow merge commits',
         capacidades: (ligadas) => `on: ${ligadas}`,
         capacidadesDesligadas: (ligadas, desligadas) => `on: ${ligadas}; off (the adapter does not implement them): ${desligadas}`,