@orkastery/cli 0.6.2 → 0.6.4

package/dist/security-scan/trabalhador.js

@@ -41,9 +41,11 @@ exports.comCacheNoHost = comCacheNoHost;
  * `runScanAgil`, um trabalhador por ferramenta, ao mesmo tempo.
  */
 const fs = __importStar(require("node:fs"));
+const path = __importStar(require("node:path"));
 const executor_1 = require("./executor");
 const guard_1 = require("./guard");
 const run_1 = require("./run");
+const incremental_1 = require("./incremental");
 /**
  * S6 do CHECK: o binario nativo usa o cache por usuario que o Docker monta (o caminho do host no lugar do caminho do
  * container), e nao o `/tmp` compartilhado do catalogo, onde outro usuario da maquina deixaria um banco do Trivy.
@@ -51,10 +53,49 @@ const run_1 = require("./run");
 function comCacheNoHost(t) {
     if (!t.cacheMounts?.length)
         return t;
-    let args = t.args;
-    for (const m of t.cacheMounts)
-        args = args.map((a) => a.split(m.container).join(m.host));
-    return { ...t, args };
+    const trocar = (args) => {
+        let resposta = args;
+        for (const m of t.cacheMounts ?? [])
+            resposta = resposta.map((a) => a.split(m.container).join(m.host));
+        return resposta;
+    };
+    return { ...t, args: trocar(t.args), ...(t.argsByStack
+            ? { argsByStack: Object.fromEntries(Object.entries(t.argsByStack).map(([stack, args]) => [stack, trocar(args ?? [])])) }
+            : {}) };
+}
+/** Semgrep é a garantia por arquivo: roda apenas conteúdo mudado e conserva os achados dos demais arquivos. */
+function semgrepIncremental(trabalho, ferramenta, consulta, executar) {
+    if (ferramenta.name !== 'semgrep' || !consulta.anterior || consulta.escopo !== 'arquivo' || !ferramenta.argsByStack)
+        return null;
+    if (new Set(trabalho.units.map((u) => u.stack)).size !== trabalho.units.length)
+        return null;
+    const existentes = consulta.alterados.filter((arquivo) => {
+        try {
+            return fs.statSync(path.join(trabalho.ctx.headTree, arquivo)).isFile();
+        }
+        catch {
+            return false;
+        }
+    });
+    const argsByStack = {};
+    const unidades = trabalho.units.filter((unidade) => {
+        const prefixo = unidade.dir === '.' ? '' : `${unidade.dir.replace(/\\/g, '/')}/`;
+        const alvos = existentes.filter((arquivo) => !prefixo || arquivo.startsWith(prefixo));
+        const base = unidade.stack ? ferramenta.argsByStack?.[unidade.stack] : undefined;
+        if (!base?.length || alvos.length === 0 || !unidade.stack)
+            return false;
+        argsByStack[unidade.stack] = [...base.slice(0, -1), ...alvos.map((arquivo) => `{src}/${arquivo}`)];
+        return true;
+    });
+    const mudaram = new Set(consulta.alterados);
+    const preservados = consulta.anterior.head.filter((achado) => !mudaram.has(achado.file));
+    if (unidades.length === 0)
+        return { ...consulta.anterior, head: preservados };
+    const parcial = executar({ ...ferramenta, argsByStack }, unidades, true);
+    if (parcial.run.state !== 'ran')
+        return parcial;
+    const novos = parcial.head.filter((achado) => mudaram.has(achado.file));
+    return { ...parcial, head: [...preservados, ...novos], base: consulta.anterior.base };
 }
 if (require.main === module) {
     const trabalho = JSON.parse(fs.readFileSync(process.argv[2], 'utf8'));
@@ -65,7 +106,14 @@ if (require.main === module) {
         // chooseExecutor escolher o nativo); sem ele, o Docker, como no Classic.
         const sonda = (0, executor_1.defaultProbe)();
         const probe = trabalho.nativoPrimeiro ? { ...sonda, dockerCli: () => false, dockerDaemon: () => false } : sonda;
-        const r = (0, run_1.scanTool)(trabalho.nativoPrimeiro ? comCacheNoHost(trabalho.tool) : trabalho.tool, trabalho.units, trabalho.config, { ...resto, deadline: deadline ?? Infinity, probe, guard, images: new Map() });
+        const ferramenta = trabalho.nativoPrimeiro ? comCacheNoHost(trabalho.tool) : trabalho.tool;
+        const executar = (tool, units, somenteHead = false) => (0, run_1.scanTool)(tool, units, trabalho.config, { ...resto, ...(somenteHead ? { base: resto.head, baseTree: resto.headTree, rangeCommits: 0 } : {}),
+            deadline: deadline ?? Infinity, probe, guard, images: new Map() });
+        const consulta = trabalho.incremental ? (0, incremental_1.consultarCacheIncremental)(trabalho, ferramenta) : null;
+        const r = consulta?.reutilizado ?? (consulta ? semgrepIncremental(trabalho, ferramenta, consulta, executar) : null)
+            ?? executar(ferramenta, trabalho.units);
+        if (trabalho.incremental && !consulta?.reutilizado)
+            (0, incremental_1.gravarCacheIncremental)(trabalho, ferramenta, r);
         process.stdout.write(JSON.stringify(r));
     }
     finally {

package/dist/verify.js

@@ -448,10 +448,21 @@ function executorDoGrupo(manifesto, ambienteDaRodada, instabilidade, leitor, con
         const processos = (0, check_paralelo_1.rodarEmParalelo)(paraOAuxiliar, ambienteDoVerify(), medicaoCpu ? { medicaoCpu } : {});
         if (processos.agendamentoCpu) {
             const p = processos.agendamentoCpu;
+            const medida = p.medicaoCpuIntegracao;
+            const evidencia = medida
+                ? `; CPU da integracao: arvore ${Math.round(medida.arvoreMs)} ms + conteineres ${Math.round(medida.containersMs)} ms` +
+                    ` = ${Math.round(medida.totalMs)} ms, pico ${medida.picoCpus ?? 'indisponivel'} CPU, ` +
+                    (medida.completa ? 'medida completa' : medida.anomalia
+                        ? `medida anomala (${medida.anomalia})`
+                        : `medida incompleta (${medida.motivosDosAusentes.map((x) => `${x.container}: ${x.motivo}`).join('; ')})`)
+                : '';
             executar.pecas = [{ peca: 'agendador-cpu', estado: p.saturado ? 'fallback' : 'agile',
                     motivo: p.saturado
                         ? `${p.motivo}; hermetica com ${p.cpusHermetica}/${p.cpus} CPUs, varredura e integracao depois dela`
-                        : `${p.cpusHermetica}/${p.cpus} CPUs na hermetica e ${p.cpusDaFatia} reservadas; conteineres com ${p.cpusPorContainer} CPU`,
+                        : `${p.cpusHermetica}/${p.cpus} CPUs na hermetica; depois da varredura ${p.cpusHermeticaAposVarredura}` +
+                            ` e depois da integracao ${p.cpusHermeticaAposReserva}; reserva da integracao ${p.fonteCpusIntegracao}` +
+                            ` (${p.cpusIntegracao} CPU), ${p.integracaoEmParalelo ? 'em paralelo com a varredura' : 'encadeada depois da varredura'}` +
+                            `; conteineres com ${p.cpusPorContainer} CPU${evidencia}`,
                     ...(p.saturado ? { fallback: 'ordem do Classic para hermetica, varredura e integracao' } : {}) }];
         }
         const stealPct = janela.fechar();

package/eval/README.md

@@ -1,13 +1,13 @@
 # eval/
 
 Avaliacao deterministica do Orkastery, rodada por `ork eval`. Regra do catalogo original,
-mantida e agora executavel: **skill sem eval nao entra**, e comportamento sem canario tambem nao.
+mantida e agora executavel: **skill sem eval nao entra**, e comportamento sem cenario tambem nao.
 
 ```bash
-ork eval                                  # canarios + corpus das skills
-ork eval --so-canarios                    # so o comportamento do nucleo
+ork eval                                  # cenarios + corpus das skills
+ork eval --so-cenarios                    # so o comportamento do nucleo
 ork eval --skill code-reviewer            # so uma skill
-ork eval --canario fx-stale-base          # so um canario
+ork eval --cenario fx-stale-base          # so um cenario
 ork eval --json                           # para o CI
 ```
 
@@ -35,14 +35,14 @@ monta uma copia do catalogo, apaga uma regra, planta uma skill sem eval e ancora
 dentro da tabela de desculpas, e confere que os tres ficam vermelhos. Corpus que fica verde
 depois de a regra sumir nao protege nada.
 
-## `fixtures/`, os canarios
+## `fixtures/`, os cenarios
 
 Seis comportamentos do nucleo, exercitados ponta a ponta contra git de verdade, em repositorio
 temporario, sem rede e sem credencial. A expectativa de cada um e **dado versionado**
-(`caso.json`), e o executor e codigo tipado (`core/src/canarios.ts`): assim, mudar o que se
+(`caso.json`), e o executor e codigo tipado (`core/src/cenarios.ts`): assim, mudar o que se
 espera do produto e um diff que aparece na revisao, revisavel por quem nao le TypeScript.
 
-| Canario | O que ele impede de voltar |
+| Cenario | O que ele impede de voltar |
 |---|---|
 | `fx-happy` | O caminho feliz parar de funcionar sem ninguem notar |
 | `fx-hallucination` | Citacao de arquivo e de teste que nao existem passar no gate |
@@ -54,7 +54,7 @@ espera do produto e um diff que aparece na revisao, revisavel por quem nao le Ty
 Ha ainda duas fixtures de contrato, mais antigas, rodadas pela suite (`npm test`) em
 `core/test/eval.test.ts`: `b0-slug-e-modos` (a #TAG do pedido vira slug, blocos e pausas) e
 `b2-master-log` (o contrato congelado do MASTER log, com as mutacoes que precisam reprovar).
-A segunda tem dois consumidores de proposito: a suite e o canario `fx-schema-drift`.
+A segunda tem dois consumidores de proposito: a suite e o cenario `fx-schema-drift`.
 
 ## `casos/`, o corpus das skills
 

package/eval/fixtures/fx-codex-dry/caso.json

@@ -1,7 +1,7 @@
 {
   "id": "fx-codex-dry",
   "sobre": "O setup do bloco leva o despacho governado ao controller Codex app-server via stdio em dry-run; o default continua claude-bg.",
-  "porque": "Novos despachos governados precisam de entrada bidirecional e controller próprio. O canário exige o comando app-server via stdio, preserva runtime/modelo/esforço e garante que dry-run não despacha. Provas de recepção nativa são separadas.",
+  "porque": "Novos despachos governados precisam de entrada bidirecional e controller próprio. O cenário exige o comando app-server via stdio, preserva runtime/modelo/esforço e garante que dry-run não despacha. Provas de recepção nativa são separadas.",
   "precisa": [
     "git"
   ],

package/eval/fixtures/fx-happy/caso.json

@@ -1,7 +1,7 @@
 {
   "id": "fx-happy",
   "sobre": "O ciclo que funciona: thread aberta no modo do pedido, fase montada com prompt gravado e hash, e claim que passa na reexecucao no HEAD real.",
-  "porque": "Um corpus que so tem canario de falha nao percebe quando o caminho feliz para de funcionar. Este e o unico que reprova se o produto deixar de fazer o basico.",
+  "porque": "Um corpus que so tem cenario de falha nao percebe quando o caminho feliz para de funcionar. Este e o unico que reprova se o produto deixar de fazer o basico.",
   "precisa": [
     "git"
   ],

package/eval/fixtures/fx-indice-reversao/caso.json

@@ -1,7 +1,7 @@
 {
   "id": "fx-indice-reversao",
   "sobre": "Uma entrega revertida depois do ship se rebaixa SOZINHA no caminho que o produto percorre de verdade: `ork master` mostra a reversão em vez de \"sem tropeço\", e a aceitação por omissão grava score 2, não 5, sem ninguém pontuar nada.",
-  "porque": "É o canário que libera a saída da fila de ratificação de score, e prova a propriedade exata que a fila não entregava: ela tinha 13 entradas esperando nota humana justamente porque lembrete não converte em nota, e nenhuma delas dizia se a entrega havia sido desfeita depois. Na primeira versão ele chamava `registrarReversaoDaEntrega` À MÃO, e o CHECK de 20/09/2026 provou com `git revert` real que isso não provava nada: no produto o único chamador era o começo de um `ork ship` SEGUINTE da mesma thread, que depois do MASTER não acontece, e `ork master --aceitar-omissao` gravava score 5 com a justificativa \"sem reversão\" sobre uma entrega desfeita. Agora o canário roda o que o dono roda: `tabelaDeEntregas` e `aceitarPorOmissao`. A detecção ancora no marcador que o próprio git escreve (\"This reverts commit <sha>\") e não em diff de árvore, porque um arquivo que voltou ao estado anterior pode ser trabalho de outra thread, e chamar isso de reversão rebaixaria entrega alheia por coincidência. A idempotência é condição dura agora que a detecção roda em toda consulta: sem ela, abrir a tabela afundaria a nota da thread a cada vez.",
+  "porque": "É o cenário que libera a saída da fila de ratificação de score, e prova a propriedade exata que a fila não entregava: ela tinha 13 entradas esperando nota humana justamente porque lembrete não converte em nota, e nenhuma delas dizia se a entrega havia sido desfeita depois. Na primeira versão ele chamava `registrarReversaoDaEntrega` À MÃO, e o CHECK de 20/09/2026 provou com `git revert` real que isso não provava nada: no produto o único chamador era o começo de um `ork ship` SEGUINTE da mesma thread, que depois do MASTER não acontece, e `ork master --aceitar-omissao` gravava score 5 com a justificativa \"sem reversão\" sobre uma entrega desfeita. Agora o cenário roda o que o dono roda: `tabelaDeEntregas` e `aceitarPorOmissao`. A detecção ancora no marcador que o próprio git escreve (\"This reverts commit <sha>\") e não em diff de árvore, porque um arquivo que voltou ao estado anterior pode ser trabalho de outra thread, e chamar isso de reversão rebaixaria entrega alheia por coincidência. A idempotência é condição dura agora que a detecção roda em toda consulta: sem ela, abrir a tabela afundaria a nota da thread a cada vez.",
   "precisa": [
     "git"
   ],

package/eval/fixtures/fx-listagem-abertas/caso.json

@@ -1,7 +1,7 @@
 {
   "id": "fx-listagem-abertas",
   "sobre": "O default de `ork thread list` mostra o que ainda pede atenção (aberta e pausada) e omite a fechada, avisando que omitiu; `--todas` abre o resto.",
-  "porque": "O custo medido era o DEFAULT e não a falta de flag: em 20/09/2026 o comando imprimia 137 linhas para as 31 que interessavam, e 71 delas (52 por cento) eram threads `Sessão adotada claude-bg <uuid>`, lixo do mecanismo de adoção de 07 a 14/09. Quem pagava era quem não sabia que existia flag, porque flag nenhuma existia. A thread PAUSADA é a razão de o default ser \"não fechadas\" e não \"só abertas\", que era o texto do GOAL: esconder a pausada seria esconder justamente a que mais pede atenção. O canário roda em sandbox porque `ork thread list` dentro de uma worktree lê o estado da árvore principal (M8): conferir \"no projeto\" seria afirmar contagem de artefato vivo, que reprova sozinha quando a branch cresce.",
+  "porque": "O custo medido era o DEFAULT e não a falta de flag: em 20/09/2026 o comando imprimia 137 linhas para as 31 que interessavam, e 71 delas (52 por cento) eram threads `Sessão adotada claude-bg <uuid>`, lixo do mecanismo de adoção de 07 a 14/09. Quem pagava era quem não sabia que existia flag, porque flag nenhuma existia. A thread PAUSADA é a razão de o default ser \"não fechadas\" e não \"só abertas\", que era o texto do GOAL: esconder a pausada seria esconder justamente a que mais pede atenção. O cenário roda em sandbox porque `ork thread list` dentro de uma worktree lê o estado da árvore principal (M8): conferir \"no projeto\" seria afirmar contagem de artefato vivo, que reprova sozinha quando a branch cresce.",
   "precisa": ["git"],
   "esperado": {
     "noDefault": ["aberta", "pausada"],

package/eval/fixtures/fx-omnicanal/caso.json

@@ -13,5 +13,5 @@
     "humanosSemIngresso": 0,
     "ofertaDisponivel": 4
   },
-  "porque": "D12 exige HITL omnicanal nos quatro hosts homologados com identidade, correlacao e recibo equivalentes, e FX1 exige que a chave de ingresso seja de cada canal. O canario impede quatro regressoes: reduzir a lista de canais, voltar a gravar recibo que nao distingue Hermes de OpenClaw, aceitar resposta sem ingresso homologado (aprovacao cega, transcrito de tool ou canal de outro transporte), e voltar a compartilhar uma chave entre os dois canais de telegram."
+  "porque": "D12 exige HITL omnicanal nos quatro hosts homologados com identidade, correlacao e recibo equivalentes, e FX1 exige que a chave de ingresso seja de cada canal. O cenario impede quatro regressoes: reduzir a lista de canais, voltar a gravar recibo que nao distingue Hermes de OpenClaw, aceitar resposta sem ingresso homologado (aprovacao cega, transcrito de tool ou canal de outro transporte), e voltar a compartilhar uma chave entre os dois canais de telegram."
 }

package/eval/fixtures/fx-pedido-colado/caso.json

@@ -16,5 +16,5 @@
     "tempoParadoMs": 0,
     "adaptadoresComARegra": 4
   },
-  "porque": "Na noite de 01 para 02/10 o condutor parou mais de 10 h pedindo um confirmo em texto livre a um pedido colado que já trazia a autorização. O canário prova, contra o código real, que o #Auto não pausa, a dúvida vira decisão informada, o confirmo em texto é recusado sem gravar nada, ninguém aparece esperando no pulse, o tempo parado é zero e os quatro adaptadores dizem a regra."
+  "porque": "Na noite de 01 para 02/10 o condutor parou mais de 10 h pedindo um confirmo em texto livre a um pedido colado que já trazia a autorização. O cenário prova, contra o código real, que o #Auto não pausa, a dúvida vira decisão informada, o confirmo em texto é recusado sem gravar nada, ninguém aparece esperando no pulse, o tempo parado é zero e os quatro adaptadores dizem a regra."
 }

package/eval/fixtures/fx-schema-drift/caso.json

@@ -1,7 +1,7 @@
 {
   "id": "fx-schema-drift",
   "sobre": "Seis mutacoes do MASTER log valido: contrato trocado sem trocar a versao, score fora da escala, classe de falha inventada, fase fora do ciclo canonico, justificativa vazia e evidencia ausente.",
-  "porque": "O MASTER log e contrato publico congelado (ork.master-log/v1). Se ele aceitar mutacao em silencio, a telemetria de conducao deixa de ser comparavel entre threads e o score vira opiniao com formato de dado. O canario le a mesma fixture b2-master-log que a suite ja usa: uma fonte, dois consumidores.",
+  "porque": "O MASTER log e contrato publico congelado (ork.master-log/v1). Se ele aceitar mutacao em silencio, a telemetria de conducao deixa de ser comparavel entre threads e o score vira opiniao com formato de dado. O cenario le a mesma fixture b2-master-log que a suite ja usa: uma fonte, dois consumidores.",
   "precisa": [],
   "esperado": {
     "validoPassa": true,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@orkastery/cli",
-  "version": "0.6.2",
+  "version": "0.6.4",
   "description": "A software factory of AI agents that proves its work: parallel threads, verified results, and short decisions only when they matter.",
   "license": "MIT",
   "homepage": "https://github.com/orkastery/orkastery#readme",

package/references/testing-patterns.md

@@ -33,7 +33,7 @@ flowchart LR
 | 6 | A suite roda no HEAD real, no diretorio de trabalho da thread. Passagem relatada por agente nao e passagem. | `ork verify <thread>` reexecuta os comandos do manifesto e as claims, e carimba o commit real. |
 | 7 | Nenhum teste foi desligado, marcado para pular ou afrouxado para fechar a entrega. Pular teste e mudanca de escopo com registro, nunca ajuste de rota silencioso. | Diff sobre os arquivos de teste, procurando teste removido, `skip` e assercao relaxada. |
 | 8 | Nenhuma assercao foi trocada pelo valor que o codigo produz hoje sem que alguem tenha dito por que o valor certo mudou. Ajustar o esperado ao observado e a forma mais comum de transformar defeito em contrato. | Diff das assercoes contra a intencao declarada no PLAN. |
-| 9 | Teste nao depende de rede, de credencial paga nem de relogio de parede. Fixture deterministica e o padrao; o que precisa de mundo externo fica fora do gate e e declarado. | Rodar a suite offline. No `ork`, os canarios de `ork eval` montam repositorio git temporario e nao tocam a rede. |
+| 9 | Teste nao depende de rede, de credencial paga nem de relogio de parede. Fixture deterministica e o padrao; o que precisa de mundo externo fica fora do gate e e declarado. | Rodar a suite offline. No `ork`, os cenarios de `ork eval` montam repositorio git temporario e nao tocam a rede. |
 | 10 | Teste nao depende de outro teste nem da ordem de execucao. Estado compartilhado entre casos e defeito, mesmo quando a suite esta verde hoje. | Rodar em ordem embaralhada ou isoladamente o caso suspeito. |
 
 ## Contagem e cobertura