@orkastery/cli 0.6.5 → 0.6.7

package/dist/locale-claims.js

@@ -36,7 +36,7 @@ const ESTADOS_EN = {
 };
 exports.CLAIMS_PT_BR = {
     // ork claims add
-    usoAdd: 'uso: ork claims add <thread-id> <arquivo> --claim "<alegacao>" [--verificar "<comando>"]',
+    usoAdd: 'uso: ork claims add <thread-id> <arquivo> --claim "<alegacao>" [--verificar "<comando>"] [--dependencia-externa rede,relogio]',
     registrada: (id, thread) => `Claim ${id} registrada na thread ${thread}.`,
     campoArquivo: (arquivo) => `  arquivo    ${arquivo}`,
     campoAlegacao: (alegacao) => `  alegacao   ${alegacao}`,
@@ -54,7 +54,9 @@ exports.CLAIMS_PT_BR = {
     nomesDoLint: { 'suite-inteira': 'roda a suite inteira', 'sha-intermediario': 'fixa um SHA intermediario',
         'contagem-de-commits': 'compara contagem de commits', 'binario-rg': 'usa o binario rg ausente no runner',
         'ork-fora-do-path': 'chama ork fora do PATH do runner', 'estado-local': 'le estado local fora do checkout',
-        'aspas-escapadas': 'leva aspas escapadas literalmente' },
+        'aspas-escapadas': 'leva aspas escapadas literalmente',
+        'contexto-artificial': 'executa contexto artificial isolado',
+        'artefato-de-fechamento': 'le artefato gerado pelo fechamento' },
     correcoesDoLint: {
         'suite-inteira': 'rode só o teste da claim (`node --test` no arquivo do teste, ou o comando do projeto que roda um arquivo) ' +
             'ou um script hermético do projeto',
@@ -64,6 +66,8 @@ exports.CLAIMS_PT_BR = {
         'ork-fora-do-path': 'use `node core/dist/index.js ...`; o runner nao instala `ork` no PATH',
         'estado-local': 'prove somente arquivos versionados do checkout; `.orkastery/` e estado local e nao vai ao CI',
         'aspas-escapadas': 'use aspas reais do shell; nao serialize `\\x22` ou `\\x27` dentro do comando',
+        'contexto-artificial': 'exercite a API publica ou um teste do produto no contexto real, sem reconstruir a funcao em `node -e`, `vm` ou `new Function`',
+        'artefato-de-fechamento': 'prove a fonte versionada que gera o artefato; o artefato que contem a claim nao pode provar a si proprio',
     },
     // ork claims conferir
     usoConferir: 'uso: ork claims conferir <thread-id> --claims C1,C2 | --tarefa T1 [--prazo S] [--json]',
@@ -111,8 +115,12 @@ exports.CLAIMS_PT_BR = {
     usoVerificar: 'uso: ork claims verificar <thread-id> <claim-id> --comando "<comando>"',
     comandoAnexado: (id) => `Claim ${id} agora tem comando de verificacao.`,
     proveAgora: (thread) => `Prove agora: ork verify ${thread}`,
-    usoRetirar: 'uso: ork claims retirar <thread-id> <claim-id> --motivo "<motivo>"',
+    usoRetirar: 'uso: ork claims retirar <thread-id> <claim-id> [--motivo-tipo substituicao|obsoleta|erro] [--substituida-por <claim-id>] --motivo "<motivo>"',
     retirada: (id, thread) => `Claim ${id} retirada da thread ${thread}.`,
+    retiradaTipada: (tipada) => `  retirada    ${tipada ? 'tipada' : 'nao tipada (compatibilidade)'}`,
+    autorDaRetirada: (tipo, id) => `  autor       ${tipo}:${id}`,
+    retiradaPendente: (id) => `Claim ${id} continua ativa; retirada sem substituta enviada ao dono.`,
+    substitutaDaRetirada: (id) => `  substituta  ${id}`,
     historicoContinua: '  o historico da alegacao continua no claims.jsonl e no ledger.',
     usoAusente: 'uso: ork claims ausente <thread-id> --paths A,B --motivo "<motivo>" [--commit SHA]',
     ausenciaRegistrada: (thread, paths) => `Ausencia de prova registrada na thread ${thread}: ${paths}.`,
@@ -134,7 +142,7 @@ exports.CLAIMS_PT_BR = {
     ausenteSemCaminhos: 'prova.ausente: informe os caminhos que ficaram sem prova',
 };
 exports.CLAIMS_EN = {
-    usoAdd: 'usage: ork claims add <thread-id> <file> --claim "<statement>" [--verificar "<command>"]',
+    usoAdd: 'usage: ork claims add <thread-id> <file> --claim "<statement>" [--verificar "<command>"] [--dependencia-externa rede,relogio]',
     registrada: (id, thread) => `Claim ${id} recorded in thread ${thread}.`,
     campoArquivo: (arquivo) => `  file       ${arquivo}`,
     campoAlegacao: (alegacao) => `  statement  ${alegacao}`,
@@ -150,7 +158,9 @@ exports.CLAIMS_EN = {
     nomesDoLint: { 'suite-inteira': 'runs the whole suite', 'sha-intermediario': 'pins an intermediate SHA',
         'contagem-de-commits': 'compares a commit count', 'binario-rg': 'uses the rg binary missing from the runner',
         'ork-fora-do-path': 'calls ork outside the runner PATH', 'estado-local': 'reads local state outside the checkout',
-        'aspas-escapadas': 'passes escaped quotes literally' },
+        'aspas-escapadas': 'passes escaped quotes literally',
+        'contexto-artificial': 'runs an isolated artificial context',
+        'artefato-de-fechamento': 'reads an artifact generated by phase closing' },
     correcoesDoLint: {
         'suite-inteira': 'run only the claim test (`node --test` on the test file, or the project command that runs one file) ' +
             'or a hermetic project script',
@@ -160,6 +170,8 @@ exports.CLAIMS_EN = {
         'ork-fora-do-path': 'use `node core/dist/index.js ...`; the runner does not install `ork` in PATH',
         'estado-local': 'prove only versioned checkout files; `.orkastery/` is local state and is not sent to CI',
         'aspas-escapadas': 'use real shell quotes; do not serialize `\\x22` or `\\x27` inside the command',
+        'contexto-artificial': 'exercise the public API or a product test in its real context instead of rebuilding the function with `node -e`, `vm`, or `new Function`',
+        'artefato-de-fechamento': 'prove the versioned source that generates the artifact; an artifact containing the claim cannot prove itself',
     },
     usoConferir: 'usage: ork claims conferir <thread-id> --claims C1,C2 | --tarefa T1 [--prazo S] [--json]',
     conferencia: (thread) => `Spot check of thread ${thread} (no receipt: \`ork verify\` is still what verifies)`,
@@ -205,8 +217,12 @@ exports.CLAIMS_EN = {
     usoVerificar: 'usage: ork claims verificar <thread-id> <claim-id> --comando "<command>"',
     comandoAnexado: (id) => `Claim ${id} now has a verification command.`,
     proveAgora: (thread) => `Prove it now: \`ork verify ${thread}\``,
-    usoRetirar: 'usage: ork claims retirar <thread-id> <claim-id> --motivo "<reason>"',
+    usoRetirar: 'usage: ork claims retirar <thread-id> <claim-id> [--motivo-tipo substituicao|obsoleta|erro] [--substituida-por <claim-id>] --motivo "<reason>"',
     retirada: (id, thread) => `Claim ${id} withdrawn from thread ${thread}.`,
+    retiradaTipada: (tipada) => `  withdrawal  ${tipada ? 'typed' : 'untyped (compatibility)'}`,
+    autorDaRetirada: (tipo, id) => `  author      ${tipo}:${id}`,
+    retiradaPendente: (id) => `Claim ${id} remains active; withdrawal without a replacement was sent to the owner.`,
+    substitutaDaRetirada: (id) => `  replacement ${id}`,
     historicoContinua: '  the history of the statement stays in claims.jsonl and in the ledger.',
     usoAusente: 'usage: ork claims ausente <thread-id> --paths A,B --motivo "<reason>" [--commit SHA]',
     ausenciaRegistrada: (thread, paths) => `Missing proof recorded in thread ${thread}: ${paths}.`,

package/dist/locale-operacao-restante.js

@@ -102,6 +102,12 @@ exports.OPERACAO_RESTANTE_PT_BR = {
     fix: {
         usoOpen: 'uso: ork fix open <thread-id> [--so-claims] [--reverify]',
         usoList: 'uso: ork fix list <thread-id> [--rodada N]',
+        usoStatus: 'uso: ork fix status <thread-id> [--rodada N] [--json]',
+        status: (rodada, thread) => `Estado da rodada ${rodada} da thread ${thread}`,
+        estado: (estado) => `  estado       ${estado}`,
+        faltam: (itens) => `  faltam       ${itens}`,
+        semFaltas: '(nada)',
+        colunasStatus: ['CORRECAO', 'ACHADO', 'ORIGEM', 'LOCAL', 'ESTADO', 'COMMIT QUE FECHOU'],
         semRodada: (thread) => `A thread ${thread} nao tem rodada de GO-FIX. Abra com: ork fix open ${thread}`,
         lista: (rodada, thread) => `Correcoes da rodada ${rodada} da thread ${thread}`,
         colunasLista: ['ID', 'TIPO', 'MOTIVO', 'ALVO', 'ESTADO', 'JULGADO POR'],
@@ -578,6 +584,12 @@ exports.OPERACAO_RESTANTE_EN = {
     fix: {
         usoOpen: 'usage: ork fix open <thread-id> [--so-claims] [--reverify]',
         usoList: 'usage: ork fix list <thread-id> [--rodada N]',
+        usoStatus: 'usage: ork fix status <thread-id> [--rodada N] [--json]',
+        status: (round, thread) => `Status of round ${round} of thread ${thread}`,
+        estado: (state) => `  state        ${state}`,
+        faltam: (items) => `  remaining    ${items}`,
+        semFaltas: '(nothing)',
+        colunasStatus: ['FIX', 'FINDING', 'SOURCE', 'LOCATION', 'STATE', 'CLOSING COMMIT'],
         semRodada: (thread) => `Thread ${thread} has no GO-FIX round. Open one with: ork fix open ${thread}`,
         lista: (round, thread) => `Fixes from round ${round} of thread ${thread}`,
         colunasLista: ['ID', 'TYPE', 'REASON', 'TARGET', 'STATE', 'JUDGED BY'],

package/dist/locale-prompts.js

@@ -9,7 +9,8 @@ exports.PROMPTS_PT_BR = {
         PLAN: 'PLAN (F2): plano com tarefas, touch_paths, decisoes D1..Dn com domicilio unico e verify executavel por tarefa. Nao implementa.',
         GO: 'GO (F3): implementacao slice por slice, um commit atomico por tarefa, dentro da worktree da thread.',
         CHECK: 'CHECK (F4): verificacao contra a baseline (regressao versus divida pre-existente), review de codigo, testes, seguranca e performance; ' +
-            'o parecer diz o modo do CHECK da rodada (Agile Check ou Classic Check, da linha `check` do `ork verify`).',
+            'o parecer diz o modo do CHECK da rodada (Agile Check ou Classic Check, da linha `check` do `ork verify`). ' +
+            'Claim nova afirma o comportamento correto e passa com a correcao; a reproducao do defeito fica como comando no parecer e nunca vira claim.',
         SHIP: 'SHIP (F5): merge serializado, push provado por comando, roadmap atualizado e plano de rollback.',
         MASTER: 'MASTER (F6): MASTER log com postmortem tipado, licoes e o score humano de 0 a 5. Uma entrega sem MASTER log nao aconteceu.',
     },
@@ -103,7 +104,8 @@ exports.PROMPTS_EN = {
         PLAN: 'PLAN (F2): sliced tasks, queryable touch_paths, D1..Dn decisions with one home, and executable verify per task. Does not implement.',
         GO: 'GO (F3): implement slice by slice, one atomic commit per task, inside the thread worktree.',
         CHECK: 'CHECK (F4): verify against the baseline (regressions versus pre-existing debt), then review code, tests, security, and performance; ' +
-            'the verdict names the CHECK mode of the round (Agile Check or Classic Check, from the `check` line of `ork verify`).',
+            'the verdict names the CHECK mode of the round (Agile Check or Classic Check, from the `check` line of `ork verify`). ' +
+            'A new claim states the correct behavior and passes with the fix; defect reproduction stays as a command in the report and never becomes a claim.',
         SHIP: 'SHIP (F5): serialized merge, command-proven push, updated roadmap, and rollback plan.',
         MASTER: 'MASTER (F6): typed POSTMORTEM, MASTER log, lessons, and a human score from 0 to 5. A delivery without a MASTER log did not happen.',
     },

package/dist/locale-pulse.js

@@ -172,6 +172,7 @@ exports.PULSE_PT_BR = {
         'artifact.missing': 'artefato exigido pela fase nao existe no disco',
         'claims.failed': 'alegacao verificavel reprovou na reexecucao no HEAD real',
         'claims.unverifiable': 'alegacao sem comando de verificacao declarado',
+        'claims.retirada-sem-substituta': 'retirada tipada sem claim substituta verde espera decisao do dono',
         'policy.violation': 'policy do manifesto com severidade block foi violada',
         'runtime.autoconferencia': 'o CHECK foi despachado no mesmo runtime que fez o GO, e a thread exige validacao cruzada',
         'verify.regression': 'comando que passava na baseline falha agora',
@@ -324,6 +325,7 @@ exports.PULSE_EN = {
         'artifact.missing': 'an artifact the phase requires does not exist on disk',
         'claims.failed': 'a verifiable claim failed when rerun on the real HEAD',
         'claims.unverifiable': 'a claim with no verification command declared',
+        'claims.retirada-sem-substituta': 'typed withdrawal without a green replacement claim waits for the owner',
         'policy.violation': 'a manifest policy with block severity was violated',
         'runtime.autoconferencia': 'CHECK was dispatched on the same runtime that did GO, and the thread requires cross-validation',
         'verify.regression': 'a command that passed in the baseline fails now',

package/dist/locale-retry.js

@@ -26,6 +26,10 @@ exports.RETRY_PT_BR = {
             porque: 'alegacao sem comando de verificacao vira correcao tipo A: anexar o comando (ou retirar a alegacao com motivo) e uma linha, nao um GO inteiro',
             correcao: 'ork claims verificar <thread> <claim> --comando "<comando>"',
         },
+        'claims.retirada-sem-substituta': {
+            porque: 'retirar uma regra sem substituta verde apaga evidencia ativa: a maquina nao decide sozinha que a alegacao deixou de valer',
+            correcao: 'o dono decide pelo pedido tipado; ou registre e verifique uma claim substituta antes de repetir a retirada',
+        },
         'policy.violation': {
             porque: 'policy com severidade block reprova em qualquer modo: reexecutar sozinho seria a maquina revogando a policy do manifesto',
             correcao: 'corrija a violacao no pedido/manifesto; policy block nao se resolve por repeticao',
@@ -312,6 +316,10 @@ exports.RETRY_EN = {
             porque: 'a claim without a verification command becomes a type A fix: attaching the command (or withdrawing the claim with a reason) is one line, not a whole GO',
             correcao: 'ork claims verificar <thread> <claim> --comando "<command>"',
         },
+        'claims.retirada-sem-substituta': {
+            porque: 'withdrawing a rule without a green replacement removes active evidence: the machine cannot decide by itself that the claim no longer applies',
+            correcao: 'the owner decides through the typed request; or record and verify a replacement claim before retrying the withdrawal',
+        },
         'policy.violation': {
             porque: 'a policy with block severity fails in any mode: rerunning on its own would be the machine revoking the manifest policy',
             correcao: 'fix the violation in the request or the manifest; a block policy is not solved by repetition',

package/dist/locale-verify.js

@@ -54,8 +54,12 @@ exports.VERIFY_PT_BR = {
     agile: (reaproveitadas, inteiras, paralelo, lanes) => `  agile       ${reaproveitadas} comando(s) de claim contra o produto do preparo, ${inteiras} inteiro(s); ` +
         `${paralelo ? `grupo em paralelo${lanes.length ? ` com as lanes ${lanes.join(', ')}` : ''}` : 'comandos do manifesto em serie'}`,
     agileFallback: (peca, motivo, fallback) => `  fallback    ${peca}: ${motivo || 'sem motivo dito'}; rodou ${fallback || 'o equivalente do Classic'}`,
+    tmpdirDaRodada: 'TMPDIR compartilhado pela rodada',
+    discoComTmpdirDaRodada: 'disco com TMPDIR da rodada',
     agileDegradado: (peca, motivo) => `  degradado   ${peca}: ${motivo || 'sem motivo dito'}; preservou o plano paralelo`,
     agilePeca: (peca, motivo) => `  agile       ${peca}: ${motivo || 'sem motivo dito'}`,
+    claimLaneReaproveitada: (claim, evidencia) => `  claim-lane  ${claim}: reaproveitada das lanes (${evidencia || 'evidencia nominal da rodada'})`,
+    claimLaneRecusada: (claim, motivo) => `  claim-lane  ${claim}: recusada (${motivo}); rodou a claim inteira`,
     reservaIntegracao: (cpus, fonte) => `reserva da integracao ${cpus} CPU(s), origem ${{ medida: 'medida', conservadora: 'conservadora', classic: 'Classic' }[fonte]}`,
     preparo: (situacao, segundos, alterado) => `  preparo     ${situacao} em ` +
         `${segundos} s, uma vez para a rodada; produto ` +
@@ -173,8 +177,12 @@ exports.VERIFY_EN = {
     agile: (reaproveitadas, inteiras, paralelo, lanes) => `  agile       ${reaproveitadas} claim command(s) against the prepared product, ${inteiras} in full; ` +
         `${paralelo ? `parallel group${lanes.length ? ` with lanes ${lanes.join(', ')}` : ''}` : 'manifest commands in series'}`,
     agileFallback: (peca, motivo, fallback) => `  fallback    ${peca}: ${motivo || 'no reason given'}; ran ${fallback || 'the Classic equivalent'}`,
+    tmpdirDaRodada: 'TMPDIR shared by the run',
+    discoComTmpdirDaRodada: 'disk with the run TMPDIR',
     agileDegradado: (peca, motivo) => `  degraded    ${peca}: ${motivo || 'no reason given'}; kept the parallel plan`,
     agilePeca: (peca, motivo) => `  agile       ${peca}: ${motivo || 'no reason given'}`,
+    claimLaneReaproveitada: (claim, evidencia) => `  claim-lane  ${claim}: reused from lanes (${evidencia || 'nominal evidence from this run'})`,
+    claimLaneRecusada: (claim, motivo) => `  claim-lane  ${claim}: refused (${motivo}); ran the full claim`,
     reservaIntegracao: (cpus, fonte) => `integration reservation ${cpus} CPU(s), ` +
         `source ${{ medida: 'measured', conservadora: 'conservative', classic: 'Classic' }[fonte]}`,
     preparo: (situacao, segundos, alterado) => `  prepare     ${situacao} in ${segundos} s, once for the run; product ` +

package/dist/mcp-artifacts.js

@@ -39,6 +39,7 @@ exports.lerArtefatoMcp = lerArtefatoMcp;
 exports.escreverArtefatoMcp = escreverArtefatoMcp;
 exports.listarClaimsMcp = listarClaimsMcp;
 exports.adicionarClaimMcp = adicionarClaimMcp;
+exports.retirarClaimMcp = retirarClaimMcp;
 /** Documentos do agente, separados dos recibos oficiais do nucleo. Backend Linux como HITL. */
 const fs = __importStar(require("node:fs"));
 const path = __importStar(require("node:path"));
@@ -47,6 +48,7 @@ const thread_1 = require("./thread");
 const hitl_gates_1 = require("./hitl-gates");
 const leases_1 = require("./leases");
 const claims_1 = require("./claims");
+const verify_1 = require("./verify");
 const fases = { goal: 'GOAL', plan: 'PLAN', check: 'CHECK' };
 const limite = 128 * 1024;
 const hash = (bytes) => (0, node_crypto_1.createHash)('sha256').update(bytes).digest('hex');
@@ -267,6 +269,8 @@ function adicionarClaimMcp(raiz, id, entrada) {
     if (!entrada.alegacao.trim() || entrada.alegacao.length > 8192 || entrada.verificar.length > 20 ||
         entrada.verificar.some(c => typeof c !== 'string' || !c.trim() || c.length > 8192))
         throw Error('mcp.claim.invalid');
+    if (entrada.dependenciasExternas?.some(d => d !== 'rede' && d !== 'relogio'))
+        throw Error('mcp.claim.external-dependency.invalid');
     return comDocs(raiz, id, () => comEscrita(raiz, id, () => {
         if ((0, thread_1.lerThread)(raiz, id).status === 'fechada')
             throw Error('mcp.claim.closed');
@@ -274,3 +278,23 @@ function adicionarClaimMcp(raiz, id, entrada) {
         return (0, claims_1.adicionarClaim)(raiz, id, { ...entrada, semProvaLocal: true });
     }));
 }
+function claimDaRetiradaMcp(claim) {
+    const { verificar, ...projecao } = claim;
+    return { ...projecao, verificarSha256: (0, verify_1.impressaoDosComandos)(verificar) };
+}
+function retirarClaimMcp(raiz, id, entrada) {
+    validarId(id);
+    if (!/^C\d+$/.test(entrada.claimId) || entrada.substituidaPor !== undefined && !/^C\d+$/.test(entrada.substituidaPor) ||
+        !entrada.motivo.trim() || entrada.motivo.length > 8192)
+        throw Error('mcp.claim.withdraw.invalid');
+    const resultado = comDocs(raiz, id, () => comEscrita(raiz, id, () => {
+        if ((0, thread_1.lerThread)(raiz, id).status === 'fechada')
+            throw Error('mcp.claim.closed');
+        return (0, claims_1.retirarClaimTipada)(raiz, id, entrada.claimId, entrada);
+    }));
+    const resposta = { ...resultado, claim: claimDaRetiradaMcp(resultado.claim) };
+    if (resultado.estado !== 'pendente-do-dono')
+        return resposta;
+    const pedido = (0, hitl_gates_1.abrirPedidoGate)(raiz, id, resultado.motivo);
+    return { ...resposta, pedidoId: pedido.id };
+}

package/dist/mcp-install.js

@@ -55,7 +55,7 @@ const IMPRESSAO_SSH = /^SHA256:[A-Za-z0-9+/]{43}$/;
 exports.TOOLS_DONO_CODEX = ['ork_thread_new', 'ork_phase_run', 'ork_request_decision'];
 // RM-037 (rm037defeito, defeito 1): a decisao autonoma da sessao entra com as outras mutacoes do filho;
 // sem o grant, o codex com approval_policy never recusaria a chamada.
-exports.TOOLS_FILHO_CODEX = ['ork_artifact_write', 'ork_claim_add', 'ork_decision_record', 'ork_request_conduction',
+exports.TOOLS_FILHO_CODEX = ['ork_artifact_write', 'ork_claim_add', 'ork_claim_withdraw', 'ork_decision_record', 'ork_request_conduction',
     'ork_git_commit', 'ork_verify', 'ork_verify_status', 'ork_ship'];
 // Brain mutation tools are deliberately excluded from the existing opt-in bundle.
 // A native integration must request exact startup grants plus scoped activation.

package/dist/mcp-server.js

@@ -531,7 +531,17 @@ function criarServidorMcp(opcoes) {
     });
     registrarTool('ork_claim_add', { description: 'Registra alegacao prospectiva e comandos como dados. Nao executa comandos nem declara a alegacao verificada.',
         inputSchema: daThread.extend({ arquivo: zod_1.z.string().min(1).max(500), alegacao: zod_1.z.string().min(1).max(8192),
-            verificar: zod_1.z.array(zod_1.z.string().min(1).max(8192)).max(20) }).strict(), annotations: { readOnlyHint: false, destructiveHint: false } }, async ({ threadId, ...entrada }) => { thread(threadId); livre(threadId); return resposta((0, mcp_artifacts_1.adicionarClaimMcp)(raiz, threadId, entrada)); });
+            verificar: zod_1.z.array(zod_1.z.string().min(1).max(8192)).max(20),
+            dependenciasExternas: zod_1.z.array(zod_1.z.enum(['rede', 'relogio'])).max(2).optional() }).strict(), annotations: { readOnlyHint: false, destructiveHint: false } }, async ({ threadId, ...entrada }) => { thread(threadId); livre(threadId); return resposta((0, mcp_artifacts_1.adicionarClaimMcp)(raiz, threadId, entrada)); });
+    registrarTool('ork_claim_withdraw', { description: 'Retira claim com motivo tipado. Exige substituta ativa e verde no ultimo verify; sem substituta, preserva a claim e abre pedido ao dono.',
+        inputSchema: daThread.extend({ claimId: zod_1.z.string().regex(/^C\d+$/), motivoTipo: zod_1.z.enum(['substituicao', 'obsoleta', 'erro']),
+            substituidaPor: zod_1.z.string().regex(/^C\d+$/).optional(), motivo: zod_1.z.string().min(1).max(8192) }).strict(),
+        annotations: { readOnlyHint: false, destructiveHint: true } }, async ({ threadId, ...entrada }) => {
+        thread(threadId);
+        livre(threadId);
+        const autor = { tipo: 'sessao', id: opcoes.dispatchId ?? `mcp:${opcoes.host}` };
+        return resposta((0, mcp_artifacts_1.retirarClaimMcp)(raiz, threadId, { ...entrada, autor }));
+    });
     registrarTool('ork_thread_status', { description: 'Estado canonico de uma thread deste projeto; pausas previstas nao sao pedidos abertos.',
         inputSchema: daThread, annotations: { readOnlyHint: true } }, async ({ threadId }) => {
         const t = thread(threadId);

package/dist/mcp-verify-async.js

@@ -326,7 +326,8 @@ function executarVerifyMcpWorker(raiz, threadId, rodadaId) {
         }));
         const locale = (0, locale_1.resolverLocale)(carregado.manifesto.owner?.language).locale;
         const veredito = { ok: resultado.ok, commit: resultado.commit, motivos: resultado.motivos,
-            check: resultado.check, texto: (0, locale_1.comLocale)(locale, () => (0, verify_1.textoDoVerify)(resultado)), resultado };
+            check: resultado.check, texto: (0, locale_1.comLocale)(locale, () => (0, verify_1.textoDoVerify)(resultado)),
+            resultado: (0, verify_1.resultadoVerifyRedigido)(resultado) };
         terminal = { estado: 'concluido', lane: null, veredito, falha: undefined, ocupantes: undefined };
     }
     catch (e) {

package/dist/noctum-provas.js

@@ -82,9 +82,9 @@ const policies_1 = require("./policies");
 const session_watcher_claude_1 = require("./session-watcher-claude");
 const ship_publicar_1 = require("./ship-publicar");
 const thread_1 = require("./thread");
-const types_1 = require("./types");
 const verify_1 = require("./verify");
 const worktree_1 = require("./worktree");
+const recibo_prova_1 = require("./recibo-prova");
 exports.CONTRATO_DAS_PROVAS = 'ork.noctum-provas/v1';
 /** D2, D3, D4, D6 a D11: as recusas da entrega, num tipo fechado próprio (fora de `MotivoGate` e das recusas do envelope). */
 exports.MOTIVOS_DA_ENTREGA = [
@@ -201,7 +201,12 @@ function lacunaDaCadeia(f) {
     const c = f.cadeia.find(x => x.tipo === 'sem-leitura');
     return c ? `o commit ${curto(c.sha)} da cadeia não se classificou: ${c.detalhe}` : null;
 }
-/** Os `verify_run` que valem para a fonte (D3: no SHA, ou num ancestral seguido só de commits de bundle), na ordem do ledger. */
+/**
+ * Os `verify_run` do SHA da fonte, na ordem do ledger.
+ *
+ * A chave decide se um resultado verde ainda pode ser reaproveitado; ela nao tira uma
+ * rodada da historia. Assim, uma chave antiga nunca esconde reprovacao nem reduz o teto.
+ */
 function verifiesDaFonte(f) {
     return f.verifies.filter(v => equivalente(f.cadeia, v.commit, NEUTROS_DO_VERIFY).ok);
 }
@@ -234,6 +239,12 @@ function provaDoVerify(f) {
         if (semExecucao.length) {
             return repetir('noctum.entrega.verify-ausente', `claim(s) ativa(s) que o verify ${ultimo.eventId} não executou: ${semExecucao.slice(0, 10).join(', ')}`, { semExecucao });
         }
+        if (!ultimo.chaveAtual || !(0, recibo_prova_1.mesmaChaveDoRecibo)(ultimo.recibo, ultimo.chaveAtual)) {
+            return repetir('noctum.entrega.verify-ausente', `a chave do recibo verde ${ultimo.eventId} não confere com HEAD, claims ativas e plano atuais`);
+        }
+        if (ultimo.reavaliadoSemMudanca && ultimo.chaveAtual.dependenciasExternas.length > 0) {
+            return repetir('noctum.entrega.verify-ausente', `o verify ${ultimo.eventId} tem dependência externa e precisa rodar depois da reavaliação sem mudança`);
+        }
         return fim(prova('verify', null, `verify verde em ${curto(ultimo.commit)} (${ultimo.eventId})` +
             (falhas.length ? `, com ${falhas.length} reprovação(ões) anterior(es) no mesmo SHA registrada(s)` : ''), evidencia));
     }
@@ -281,9 +292,6 @@ function provaDaRevisao(f) {
     if (f.autores.includes(r.sessionId)) {
         return prova('revisao', 'noctum.entrega.revisor-autor', `a sessão ${r.sessionId.slice(0, 8)} também é autora do candidato: não é revisão independente`, ev);
     }
-    if (f.ultimoDespachoDeAutor && !(Date.parse(r.despachadaEm) > Date.parse(f.ultimoDespachoDeAutor))) {
-        return prova('revisao', 'noctum.entrega.revisao-antiga', 'o CHECK foi despachado antes do último despacho de quem escreveu o candidato', ev);
-    }
     if (r.resultado === 'em-curso')
         return prova('revisao', 'noctum.entrega.revisao-em-curso', `a sessão de CHECK ${r.sessionId.slice(0, 8)} ainda não tem resultado`, ev);
     if (r.prova.veredito && r.prova.veredito !== 'PASSOU') {
@@ -298,6 +306,9 @@ function provaDaRevisao(f) {
         return prova('revisao', 'noctum.entrega.revisao-antiga', 'o parecer do CHECK mudou depois do resultado que o observador gravou', ev);
     if (!r.revisado)
         return prova('revisao', 'noctum.entrega.revisao-sem-sha', 'o CHECK não rodou verify no intervalo: o SHA revisado é desconhecido', ev);
+    if (!r.chaveAtual || !(0, recibo_prova_1.mesmaChaveDoRecibo)(r.recibo, r.chaveAtual)) {
+        return prova('revisao', 'noctum.entrega.revisao-antiga', 'a chave do recibo do CHECK não confere com HEAD, claims ativas e plano atuais', ev);
+    }
     const lacuna = lacunaDaCadeia(f);
     if (lacuna)
         return prova('revisao', LACUNA, lacuna, ev);
@@ -650,28 +661,17 @@ function segredosDaHistoria(raiz, base, fonte) {
     }
     return { lido: true, commits: blocos.length, polvos, achados };
 }
-/** Os autores do candidato: as sessões de GO, as que começaram antes do GO num bloco com GO, e as que commitaram. */
-function autoresDaThread(t, eventos) {
+/** RM-078: autores do candidato são somente sessões com commit confirmado na cadeia da fonte. */
+function autoresDaThread(raiz, eventos, fonte) {
     const autores = new Set();
-    let ultimo = null;
-    const marcar = (id, em) => {
-        autores.add(id);
-        if (em && (!ultimo || Date.parse(em) > Date.parse(ultimo)))
-            ultimo = em;
-    };
-    for (const s of t.sessoes ?? []) {
-        const fases = (s.bloco ?? '').split('-');
-        const antesDoGo = fases.includes('GO') && types_1.FASES.indexOf(s.fase) <= types_1.FASES.indexOf('GO');
-        if (s.fase === 'GO' || antesDoGo)
-            marcar(s.sessionId, s.despachadaEm);
-    }
     for (const e of eventos) {
-        if ((e.tipo === 'mcp_git_committed' || e.tipo === 'commit') && typeof e.sessionId === 'string' && e.sessionId) {
-            const s = (t.sessoes ?? []).find(x => x.sessionId === e.sessionId);
-            marcar(e.sessionId, s?.despachadaEm);
+        const commit = typeof e.commit === 'string' && SHA.test(e.commit) ? e.commit : null;
+        const naCadeia = !!commit && !!fonte && git(raiz, ['merge-base', '--is-ancestor', commit, fonte]).ok;
+        if ((e.tipo === 'mcp_git_committed' || e.tipo === 'commit') && naCadeia && typeof e.sessionId === 'string' && e.sessionId) {
+            autores.add(e.sessionId);
         }
     }
-    return { autores: [...autores], ultimoDespacho: ultimo };
+    return [...autores];
 }
 /** O vínculo da sessão de CHECK provado pelo núcleo, como o Maestro confere (`maestro-authority.ts`), ou o que faltou. */
 function vinculoDaSessao(raiz, t, s, eventos) {
@@ -719,16 +719,20 @@ function revisoesDaThread(raiz, t, eventos) {
         const gravada = resultado?.provaOrk;
         let prova;
         let revisado;
+        let eventoDoVerify;
+        const ate = resultado ? posicao.get(resultado) ?? eventos.length : eventos.length;
         if (gravada && typeof gravada.ok === 'boolean') {
             prova = { ok: gravada.ok, fonte: texto(gravada.fonte) ?? 'a prova do núcleo gravada no resultado do CHECK', veredito: texto(gravada.veredito) };
             revisado = texto(gravada.verify?.commit);
+            eventoDoVerify = [...intervalo].reverse().find(e => e.tipo === ledger_1.TIPOS_DE_EVENTO.verificacao &&
+                (posicao.get(e) ?? eventos.length) < ate && e.commit === revisado);
         }
         else {
             const p = (0, session_watcher_claude_1.provaDoOrk)(raiz, t.id, sessao, eventos, (0, session_watcher_claude_1.fonteRegistrada)(eventos, sessao));
             prova = { ok: p.ok, fonte: p.fonte, veredito: p.veredito ?? null };
             // Pela posição no ledger, e não pela hora: dois eventos no mesmo milissegundo não trocam de lado.
-            const ate = resultado ? posicao.get(resultado) ?? eventos.length : eventos.length;
-            revisado = texto(intervalo.filter(e => e.tipo === ledger_1.TIPOS_DE_EVENTO.verificacao && (posicao.get(e) ?? eventos.length) < ate).at(-1)?.commit);
+            eventoDoVerify = intervalo.filter(e => e.tipo === ledger_1.TIPOS_DE_EVENTO.verificacao && (posicao.get(e) ?? eventos.length) < ate).at(-1);
+            revisado = texto(eventoDoVerify?.commit);
         }
         // O parecer do resultado: o sha que o observador viu; sem ele (o observador do codex não grava), a data do arquivo, que
         // não pode ser depois do resultado (A5 da rodada 1). O `ts` do ledger é de milissegundo; a data do arquivo, mais fina.
@@ -736,11 +740,30 @@ function revisoesDaThread(raiz, t, eventos) {
         const parecer = (0, session_watcher_claude_1.estadoDoArtefato)(raiz, t.id, 'docs/check.md');
         const parecerMudou = viu ? parecer.sha256 !== viu
             : !!resultado && parecer.mtimeMs !== null && Math.floor(parecer.mtimeMs) > Date.parse(resultado.ts);
+        const shaRevisado = revisado && SHA.test(revisado) ? revisado : null;
         return { sessionId: s.sessionId, runtime: s.runtime, despachadaEm: s.despachadaEm, semVinculo: vinculoDaSessao(raiz, t, s, eventos),
-            resultado: estado, prova, revisado: revisado && SHA.test(revisado) ? revisado : null, parecerMudou };
+            resultado: estado, prova, revisado: shaRevisado, recibo: reciboDoEvento(eventoDoVerify?.recibo),
+            chaveAtual: shaRevisado ? chaveAtualSegura(raiz, t.id, shaRevisado) : null, parecerMudou };
     });
 }
-function verifiesDoLedger(eventos) {
+function reciboDoEvento(valor) {
+    if (!valor || typeof valor !== 'object')
+        return null;
+    const r = valor;
+    return r.contrato === recibo_prova_1.CONTRATO_DO_RECIBO_DE_PROVA && typeof r.head === 'string' && typeof r.claimsSha256 === 'string' &&
+        (typeof r.planoSha256 === 'string' || r.planoSha256 === null) && Array.isArray(r.dependenciasExternas) && typeof r.sha256 === 'string'
+        ? r : null;
+}
+function chaveAtualSegura(raiz, threadId, head) {
+    try {
+        return (0, recibo_prova_1.chaveDoReciboDeProva)(raiz, threadId, head);
+    }
+    catch {
+        return null;
+    }
+}
+function verifiesDoLedger(raiz, threadId, eventos) {
+    const posicao = new Map(eventos.map((e, i) => [e, i]));
     return eventos.filter(e => e.tipo === ledger_1.TIPOS_DE_EVENTO.verificacao && typeof e.commit === 'string' && SHA.test(e.commit)).map(e => ({
         eventId: texto(e.eventId) ?? '-', ts: e.ts, commit: e.commit, ok: e.veredito === 'verdade sustentada',
         motivos: Array.isArray(e.motivos) ? e.motivos.map(String) : [],
@@ -748,6 +771,9 @@ function verifiesDoLedger(eventos) {
         comComandos: Array.isArray(e.comandos) && e.comandos.length > 0,
         claims: Array.isArray(e.claims) ? e.claims.filter(c => typeof c?.id === 'string')
             .map(c => ({ id: c.id, verificado: c.verificado === true, motivo: texto(c.motivo) })) : [],
+        recibo: reciboDoEvento(e.recibo), chaveAtual: chaveAtualSegura(raiz, threadId, e.commit),
+        reavaliadoSemMudanca: eventos.slice((posicao.get(e) ?? eventos.length) + 1)
+            .some(x => x.tipo === 'phase_result' && x.resultado === 'go.sem-mudanca'),
     }));
 }
 /** Os fatos da entrega de uma thread, lidos agora do disco, do git e da forja. Não grava nada. */
@@ -766,7 +792,7 @@ function lerFatosDaEntrega(carregado, threadId, opcoes = {}) {
         base.erro = `o commit ${curto(base.sha)} da base não chegou a esta cópia`;
         base.sha = null;
     }
-    const { autores, ultimoDespacho } = autoresDaThread(t, eventos);
+    const autores = autoresDaThread(raiz, eventos, fonte);
     const claimsAtivas = (() => { try {
         return (0, claims_1.lerClaims)(raiz, threadId).filter(c => c.estado !== 'retirada');
     }
@@ -775,8 +801,8 @@ function lerFatosDaEntrega(carregado, threadId, opcoes = {}) {
     } })();
     const daBranch = (0, ship_publicar_1.manifestoDaBranch)(carregado, fonte);
     const fatos = {
-        thread: t.id, branch, fonte, base, integrada: null, cadeia: [], cadeiaLida: false, autores, ultimoDespachoDeAutor: ultimoDespacho,
-        revisoes: revisoesDaThread(raiz, t, eventos), verifies: verifiesDoLedger(eventos),
+        thread: t.id, branch, fonte, base, integrada: null, cadeia: [], cadeiaLida: false, autores,
+        revisoes: revisoesDaThread(raiz, t, eventos), verifies: verifiesDoLedger(raiz, t.id, eventos),
         comandosEsperados: (0, verify_1.comandosDoManifesto)(daBranch.manifesto).length,
         // A2 da rodada 1: a claim de mutante sem comando não executa nada e nunca prova a guarda; ela não conta como mutante.
         claims: claimsAtivas.map(c => ({ id: c.id, mutante: exports.ALEGACAO_DE_MUTANTE.test(c.alegacao) && c.verificar.length > 0 })),

package/dist/recibo-prova.js

@@ -0,0 +1,87 @@
+"use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.CONTRATO_DO_RECIBO_DE_PROVA = void 0;
+exports.materialDasClaims = materialDasClaims;
+exports.chaveDoReciboDeProva = chaveDoReciboDeProva;
+exports.mesmaChaveDoRecibo = mesmaChaveDoRecibo;
+/**
+ * RM-078: identidade do que um verify e um CHECK provaram.
+ *
+ * O recibo nao depende do horario do despacho. Ele depende do HEAD exato da prova,
+ * dos ids e comandos das claims ativas e dos bytes do plano. A equivalencia entre
+ * esse HEAD e a fonte continua sendo responsabilidade da cadeia classificada em
+ * `noctum-provas.ts`; este modulo nunca chama commits de produto de equivalentes.
+ */
+const node_crypto_1 = require("node:crypto");
+const fs = __importStar(require("node:fs"));
+const path = __importStar(require("node:path"));
+const thread_1 = require("./thread");
+const util_1 = require("./util");
+exports.CONTRATO_DO_RECIBO_DE_PROVA = 'ork.recibo-prova/v1';
+const sha256 = (valor) => (0, node_crypto_1.createHash)('sha256').update(valor).digest('hex');
+/** Forma canonica das claims: id ordenado e ordem declarada dos comandos preservada. */
+function materialDasClaims(claims) {
+    const ativas = claims.filter((c) => c.estado !== 'retirada').sort((a, b) => a.id.localeCompare(b.id, 'en', { numeric: true }));
+    const dependenciasExternas = [...new Set(ativas.flatMap((c) => c.dependenciasExternas ?? []))].sort();
+    return {
+        claims: ativas.map((c) => ({ id: c.id, verificar: [...c.verificar] })),
+        dependenciasExternas,
+    };
+}
+/** A chave atual. Plano ausente fica explicito e nunca compara como recibo valido. */
+function chaveDoReciboDeProva(raiz, threadId, head) {
+    const dir = (0, thread_1.dirThread)(raiz, threadId);
+    const claims = (0, util_1.lerJsonl)(path.join(dir, 'claims.jsonl'));
+    const material = materialDasClaims(claims);
+    const plano = path.join(dir, 'docs', 'plan.md');
+    const planoSha256 = fs.existsSync(plano) ? sha256(fs.readFileSync(plano)) : null;
+    const base = {
+        contrato: exports.CONTRATO_DO_RECIBO_DE_PROVA,
+        head,
+        claimsSha256: sha256(JSON.stringify(material.claims)),
+        planoSha256,
+        dependenciasExternas: material.dependenciasExternas,
+    };
+    return { ...base, sha256: sha256(JSON.stringify(base)) };
+}
+/** Recibo completo e igual; forma legada, adulterada ou sem plano volta a executar. */
+function mesmaChaveDoRecibo(recibo, atual) {
+    return recibo?.contrato === exports.CONTRATO_DO_RECIBO_DE_PROVA && recibo.planoSha256 !== null &&
+        recibo.head === atual.head && recibo.claimsSha256 === atual.claimsSha256 &&
+        recibo.planoSha256 === atual.planoSha256 &&
+        JSON.stringify(recibo.dependenciasExternas) === JSON.stringify(atual.dependenciasExternas) &&
+        recibo.sha256 === atual.sha256;
+}

package/dist/retry.js

@@ -160,6 +160,12 @@ exports.POLITICA_DE_RETRY = {
         automatica: true,
         ...TEXTOS_DA_POLITICA['claims.unverifiable'],
     },
+    'claims.retirada-sem-substituta': {
+        motivo: 'claims.retirada-sem-substituta',
+        acao: 'escalar-humano',
+        automatica: false,
+        ...TEXTOS_DA_POLITICA['claims.retirada-sem-substituta'],
+    },
     'policy.violation': {
         motivo: 'policy.violation',
         acao: 'escalar-humano',

package/dist/security-scan/executor.js

@@ -38,6 +38,7 @@ exports.defaultProbe = defaultProbe;
 exports.chooseExecutor = chooseExecutor;
 exports.nativeVersionOf = nativeVersionOf;
 exports.defaultsDir = defaultsDir;
+exports.opcoesDoPrazo = opcoesDoPrazo;
 exports.argumentosDeCpuDoDocker = argumentosDeCpuDoDocker;
 exports.expand = expand;
 exports.ensureImage = ensureImage;
@@ -109,6 +110,10 @@ function defaultsDir() {
 exports.CONFIG_FILES = { gitleaks: 'gitleaks.toml', eslint: 'eslint.config.mjs', ruff: 'ruff.toml', 'golangci-lint': '.golangci.yml' };
 const CONTAINER = { src: '/src', out: '/out', config: '/config' };
 const MAX_BUFFER = 512 * 1024 * 1024;
+/** `spawnSync` rejects Infinity; an unbounded fixture omits the inner timeout and remains bounded by the outer round. */
+function opcoesDoPrazo(timeoutMs) {
+    return Number.isFinite(timeoutMs) ? { timeout: timeoutMs } : {};
+}
 /** A cota so existe no grupo Agile; sem a variavel, o Classic continua com o argv de sempre. */
 function argumentosDeCpuDoDocker(ambiente = process.env) {
     const limite = Number(ambiente[agendador_cpu_1.ENV_CPUS_DOCKER]);
@@ -131,7 +136,7 @@ function ensureImage(image, timeoutMs) {
     const present = (0, node_child_process_1.spawnSync)('docker', ['image', 'inspect', image], { stdio: 'ignore', timeout: Math.min(PROBE_TIMEOUT_MS, timeoutMs) });
     if (!present.error && present.status === 0)
         return true;
-    const pull = (0, node_child_process_1.spawnSync)('docker', ['pull', '--quiet', image], { stdio: 'ignore', timeout: timeoutMs, killSignal: 'SIGKILL' });
+    const pull = (0, node_child_process_1.spawnSync)('docker', ['pull', '--quiet', image], { stdio: 'ignore', ...opcoesDoPrazo(timeoutMs), killSignal: 'SIGKILL' });
     return !pull.error && pull.status === 0;
 }
 /**
@@ -162,7 +167,7 @@ function runDocker(inv) {
         ...inv.argv.slice(1).map(a => expand(a, values))];
     (0, agendador_cpu_1.registrarContainerDaLane)(name);
     inv.guard?.add('containers', name);
-    const r = (0, node_child_process_1.spawnSync)('docker', args, { encoding: 'utf8', timeout: inv.timeoutMs, killSignal: 'SIGKILL', maxBuffer: MAX_BUFFER, env: process.env });
+    const r = (0, node_child_process_1.spawnSync)('docker', args, { encoding: 'utf8', ...opcoesDoPrazo(inv.timeoutMs), killSignal: 'SIGKILL', maxBuffer: MAX_BUFFER, env: process.env });
     const timedOut = r.error?.code === 'ETIMEDOUT';
     if (timedOut || r.error)
         (0, node_child_process_1.spawnSync)('docker', ['rm', '-f', name], { stdio: 'ignore', timeout: PROBE_TIMEOUT_MS });
@@ -186,7 +191,8 @@ function runNative(inv) {
     const pgidFile = inv.guard?.pgidFile() ?? path.join(inv.outHost, '.native.pgid');
     const marker = `${pgidFile}${guard_1.LAUNCH_TIMEOUT_SUFFIX}`;
     try {
-        const r = (0, node_child_process_1.spawnSync)(process.execPath, (0, guard_1.launcherArgs)(pgidFile, inv.timeoutMs, bin, rest), { cwd: inv.srcHost, encoding: 'utf8', timeout: inv.timeoutMs + 10000, killSignal: 'SIGKILL', maxBuffer: MAX_BUFFER, env });
+        const prazoDoLauncher = Number.isFinite(inv.timeoutMs) ? inv.timeoutMs + 10000 : inv.timeoutMs;
+        const r = (0, node_child_process_1.spawnSync)(process.execPath, (0, guard_1.launcherArgs)(pgidFile, inv.timeoutMs, bin, rest), { cwd: inv.srcHost, encoding: 'utf8', ...opcoesDoPrazo(prazoDoLauncher), killSignal: 'SIGKILL', maxBuffer: MAX_BUFFER, env });
         const timedOut = fs.existsSync(marker) || r.error?.code === 'ETIMEDOUT';
         return { status: r.status, timedOut, stdout: r.stdout ?? '', stderr: r.stderr ?? '' };
     }