@pathbit/agentdevkit 0.0.10 → 0.0.11

package/.pbai4devs/commands/validar-entrega/COMMAND.md

@@ -0,0 +1,18 @@
+---
+description: Executa provas da entrega e prepara a revisão independente.
+---
+
+# Validar entrega
+
+Entrada: critérios, diff, ambiente e instruções para executar o projeto.
+Faltando aplicação ou ferramenta exigida, registre o impedimento.
+
+Acione o [validador](../../agents/validador/AGENT.md) com
+[verificar-trabalho](../../skills/projeto/verificar-trabalho/SKILL.md).
+Ele usa [executar-script](../../skills/projeto/executar-script/SKILL.md) e as
+verificações reais definidas no projeto. Não há comando universal de testes.
+
+Saída: resultado por critério, comandos e provas em `.agent-tests/`.
+O validador não corrige as fontes nem aprova a própria mudança. Entregue o
+resultado ao [revisor](../../agents/revisor/AGENT.md) pelo
+[gate de entrega](../revisar-entrega/COMMAND.md).

package/.pbai4devs/commands/verificar-dependencias/COMMAND.md

@@ -0,0 +1,18 @@
+---
+description: Verifica dependências usando bases locais de vulnerabilidades.
+---
+
+# Verificar dependências
+
+Entrada: projeto e seus manifests/lockfiles. Prepare a base dos ecossistemas
+reais por [preparar-seguranca](../preparar-seguranca/COMMAND.md).
+
+```console
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs run --checks dependencies
+```
+
+Use [executar-script](../../skills/projeto/executar-script/SKILL.md) e leia o
+contrato de [auditar-seguranca](../auditar-seguranca/COMMAND.md).
+Sem base adequada ou pacote reconhecido, não declare dependências aprovadas.
+Triagem considera versão, alcance e mitigação. Não execute `audit fix --force`
+nem atualize tudo automaticamente; proponha a menor correção verificável.

package/.pbai4devs/commands/verificar-segredos/COMMAND.md

@@ -0,0 +1,19 @@
+---
+description: Procura sinais de credenciais expostas com scanner local.
+---
+
+# Verificar segredos
+
+Entrada: projeto autorizado. Use as ferramentas preparadas e
+[executar-script](../../skills/projeto/executar-script/SKILL.md):
+
+```console
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs run --checks secrets
+```
+
+Siga [auditar-seguranca](../auditar-seguranca/COMMAND.md) para retorno, relatório
+e triagem. Um sinal não prova que a credencial é ativa; não tente autenticá-la.
+Não copie o valor encontrado para a conversa. Encaminhe segredo real ao
+responsável e use
+[corrigir-vulnerabilidade](../../skills/seguranca/corrigir-vulnerabilidade/SKILL.md).
+Remover o texto não revoga o segredo nem apaga cópias no histórico.

package/.pbai4devs/external-skills/CATALOG.json

@@ -8,7 +8,9 @@
     "oracle/skills",
     "anthropics/skills",
     "openai/skills",
-    "tech-leads-club/agent-skills"
+    "tech-leads-club/agent-skills",
+    "github/awesome-copilot",
+    "trailofbits/skills"
   ],
   "skills": [
     {
@@ -116,6 +118,42 @@
       "use": "Avaliar implementação contra critérios de aceite.",
       "status": "candidate",
       "notes": "Fonte comunitária com atribuição. Revisar licença e adaptar destino de relatórios para .agent-tests; a origem grava junto da spec."
+    },
+    {
+      "id": "openai-security-threat-model",
+      "repository": "openai/skills",
+      "commit": "49f948faa9258a0c61caceaf225e179651397431",
+      "path": "skills/.curated/security-threat-model/SKILL.md",
+      "name": "security-threat-model",
+      "license": "Apache-2.0",
+      "use": "Modelar ameacas e fronteiras de confianca com evidencias locais do projeto.",
+      "status": "reviewed",
+      "notes": "Procedimento textual, sem conta ou scanner remoto obrigatorio. Carregar referencias da pasta conforme necessario; resultados e hipoteses ficam em .agent-tests. As perguntas de contexto continuam necessarias quando a arquitetura nao responder.",
+      "licenseSource": "https://github.com/openai/skills/blob/49f948faa9258a0c61caceaf225e179651397431/skills/.curated/security-threat-model/LICENSE.txt"
+    },
+    {
+      "id": "github-security-review",
+      "repository": "github/awesome-copilot",
+      "commit": "30a0d7465b14b05e05949d6588b99f7af0c537b4",
+      "path": "skills/security-review/SKILL.md",
+      "name": "security-review",
+      "license": "MIT",
+      "use": "Revisar fluxos de dados e controles entre arquivos, com triagem dos achados locais.",
+      "status": "reviewed",
+      "notes": "Aplicar raciocinio de revisao, sem SaaS. Watchlists estaticas de CVEs nao substituem bases locais atualizadas. Nao copiar segredos/snippets sensiveis nos relatorios; preservar o escopo, as aprovacoes existentes e a politica do projeto.",
+      "licenseSource": "https://github.com/github/awesome-copilot/blob/30a0d7465b14b05e05949d6588b99f7af0c537b4/LICENSE"
+    },
+    {
+      "id": "trailofbits-differential-review",
+      "repository": "trailofbits/skills",
+      "commit": "e4dd0bb5b15535f7c5a0834187dffba6ac37e4ff",
+      "path": "plugins/differential-review/skills/differential-review/SKILL.md",
+      "name": "differential-review",
+      "license": "CC-BY-SA-4.0",
+      "use": "Referencia de revisao de mudancas com contexto e cobertura de testes.",
+      "status": "candidate",
+      "notes": "Preservar atribuicao e share-alike; nao copiar para fontes MIT. Revisar dependencias e recursos auxiliares antes da instalacao. Nao adotar scripts que exijam Python, conta ou servico remoto no fluxo local.",
+      "licenseSource": "https://github.com/trailofbits/skills/blob/e4dd0bb5b15535f7c5a0834187dffba6ac37e4ff/LICENSE"
     }
   ]
 }

package/.pbai4devs/external-skills/README.md

@@ -29,6 +29,17 @@ As notas de cada entrada registram dependências e conteúdo remoto adicional.
 O pin congela os arquivos copiados; regras buscadas depois em `main` precisam
 de nova leitura antes de uso.
 
+## Segurança local
+
+OpenAI Security Best Practices, OpenAI Security Threat Model e GitHub Security
+Review têm entradas revisadas para leitura local. O catálogo registra seus
+limites: não tratar watchlists antigas como base atual nem incluir segredos nos
+relatórios. O fluxo do kit usa scanners locais e não exige conta externa.
+Trail of Bits Differential Review é uma referência candidata CC-BY-SA-4.0;
+preserve atribuição e licença, sem copiar seu conteúdo para arquivos MIT.
+
+Veja a [curadoria e os critérios de adoção][security].
+
 ## Outras fontes e fluxos
 
 | Fonte | Aplicação |
@@ -46,3 +57,5 @@ As entradas revisadas de Microsoft, Anthropic e OpenAI estão identificadas no
 catálogo. Vercel Writing Guidelines deve contribuir apenas com princípios
 editoriais compatíveis: seus padrões de MDX/TypeScript e atribuição de agentes
 não substituem os padrões locais de Markdown, Node e autoria Git.
+
+[security]: https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/security-references.md

package/.pbai4devs/rules/README.md

@@ -13,6 +13,10 @@ valer em várias tarefas; salve em `<nome>/RULE.md` e defina seu escopo.
 - [Ambiente local](ambiente-local/RULE.md): estrutura, Docker e comandos reais.
 - [Documentação](documentacao/RULE.md): revisão após toda implementação.
 - [Próximos passos](proximos-passos/RULE.md): continuidade explícita por etapa.
+- [Segurança](seguranca/RULE.md): acesso, dados, entradas e triagem de riscos.
+- [Execução local](execucao-local/RULE.md): análise local sem expor fontes ou segredos.
 
 O Cursor usa regras `.mdc`; se o espelho não for carregado automaticamente,
 peça leitura explícita. Preserve o escopo nos formatos nativos disponíveis.
+Uma regra vale transversalmente; não é um roteiro completo de execução.
+As novas regras são `always_on`, com ações condicionadas à tarefa descrita.

package/.pbai4devs/rules/execucao-local/RULE.md

@@ -0,0 +1,20 @@
+---
+trigger: always_on
+description: Mantém análises locais, ferramentas abertas e evidências sem segredos.
+---
+
+# Execução local
+
+Nos fluxos de segurança, use ferramentas open source que executem localmente,
+sem conta, licença paga ou serviço remoto obrigatório. Baixar binários e bases
+públicas é uma preparação explícita; analisar código é uma operação separada.
+
+Não envie fontes, inventários ou credenciais a APIs de scanners. Desative
+telemetria e consultas remotas pelo modo documentado. Se uma ferramenta ou base
+faltar, registre a pendência; não troque silenciosamente por uma análise cloud.
+
+Restrinja testes ao projeto e ambiente autorizados. Preserve configurações,
+conteúdo humano e limites do cliente. Relatórios ocultam segredos e ficam em
+`.agent-tests/`; binários e caches ficam nas pastas locais ignoradas.
+O cliente/modelo de IA tem sua própria política de dados: mantenha valores
+secretos fora do contexto e use referências redigidas na conversa.

package/.pbai4devs/rules/execucao-local/cursor.yaml

@@ -0,0 +1,4 @@
+---
+description: Análises locais e evidências sem segredos.
+alwaysApply: true
+---

package/.pbai4devs/rules/seguranca/RULE.md

@@ -0,0 +1,19 @@
+---
+trigger: always_on
+description: Preserva controles de acesso, dados e entradas durante alterações.
+---
+
+# Segurança
+
+Ao tocar autenticação, permissões, dados, entradas ou dependências, use
+[revisar-seguranca](../../skills/seguranca/revisar-seguranca/SKILL.md).
+Decisões de acesso pertencem ao servidor e ao recurso, não apenas à interface.
+Revise RLS/policies em PostgreSQL e Security Rules em Firebase conforme a stack.
+
+Valide entradas, use consultas parametrizadas e codifique saídas pelo contexto.
+Uploads e limites de abuso exigem regras próprias. Não trate toda chave pública
+como segredo nem exponha credenciais reais em código, bundles, logs ou provas.
+
+Scanners indicam sinais; não substituem análise e testes de autorização.
+Não suprima achados sem triagem, não desative controles para fazer testes passar
+e não declare segurança para um cenário não executado.

package/.pbai4devs/rules/seguranca/cursor.yaml

@@ -0,0 +1,4 @@
+---
+description: Segurança de acesso, dados, entradas e dependências.
+alwaysApply: true
+---

package/.pbai4devs/scripts/README.md

@@ -28,6 +28,7 @@ node .pbai4devs/scripts/executar-script/SCRIPT.mjs diagnosticar-ambiente
 | `inspecionar-projeto` | Detecta manifests, comandos e estrutura |
 | `preparar-ferramentas` | Instala/atualiza ferramentas locais |
 | `gerenciar-skills-externas` | Instala/check/read de skills curadas locais |
+| `auditar-seguranca` | Scanners offline, bases locais e relatórios redigidos |
 | `revisar-entrega` | Confere documentação, revisão e provas da mudança |
 | `sincronizar-agentes` | Repara com `--force`; `--check` só confere |
 | `verificar-recursos` | Estrutura Markdown, links e espelhos |

package/.pbai4devs/scripts/auditar-seguranca/README.md

@@ -0,0 +1,57 @@
+---
+description: Analise local de segredos, dependencias e padroes de codigo.
+---
+
+# Auditar segurança
+
+Requer Node.js 24+ e ferramentas preparadas com `setup security` no gerenciador.
+O comando nunca instala ferramentas e não envia fontes para serviços remotos.
+
+```console
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs check
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs update-data --ecosystems npm,Go
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs run
+node .pbai4devs/scripts/auditar-seguranca/SCRIPT.mjs run --checks secrets,sast
+```
+
+`run` usa um snapshot de texto sem seguir links. Exclui binários, diretórios
+gerados e configurações que poderiam suprimir achados. O relatório registra
+as exclusões. `--target` restringe a uma pasta dentro do projeto;
+`--include-history` acrescenta o histórico Git ao check de segredos e exige
+que o destino seja a raiz desse repositório. Pastas `dist/` e `build/` também
+são lidas; um bundle de texto não fica oculto por ser um artefato de build.
+
+`update-data` baixa somente bases públicas do OSV por HTTPS, sem analisar ou
+enviar o projeto. As bases ficam no cache local do scanner, com tamanho,
+data e SHA-256 de integridade local. Esse hash não é assinatura do publicador.
+Antes da promoção, valida ZIP/ZIP64, limites, CRC e os registros JSON OSV.
+Atualizações preservam a base anterior se o download ou a promoção falhar.
+
+As análises usam Gitleaks, OSV com `--offline` e Opengrep com regras JS/TS locais.
+As regras próprias detectam entradas HTTP em `eval`, shell e consultas SQL,
+além de TLS desativado; exigem triagem de contexto, não comprovam exploração.
+O OSV exige bases locais dos ecossistemas detectados. Falta de ferramenta,
+base ou erro de parsing gera estado incompleto, nunca aprovação.
+
+| Saída | Significado |
+| --- | --- |
+| `0` | Checks concluídos sem achados; itens não aplicáveis ficam explícitos. |
+| `1` | Achados para triagem. |
+| `2` | Execução inválida, interrompida ou incompleta. |
+
+Resultados redigidos ficam em `.agent-tests/security/<execução>/report.json`.
+Não incluem código, matches ou valores de segredos. JSON bruto e snapshots
+temporários são removidos. Um destino `--output` precisa ser novo, ignorado
+pelo Git e estar sob `.agent-tests/`.
+
+O snapshot aceita até 20 mil arquivos, 10 MiB por arquivo e 256 MiB no total.
+Uma base OSV pode ter até 512 MiB; ultrapassar os limites torna a execução
+incompleta. A validação aceita até um milhão de entradas ZIP, 16 MiB por
+registro e 2 GiB descompactados. Reduza `--target` quando necessário.
+Ao terminar, reenumera o escopo: inclusão, remoção, mudança de tipo, modo ou
+conteúdo durante a análise invalidam a aprovação.
+
+Scanners não validam autorização por objeto/tenant, RLS ou Firebase Rules.
+Complete o fluxo pela skill [revisar-seguranca][skill] e seus testes negativos.
+
+[skill]: ../../skills/seguranca/revisar-seguranca/SKILL.md