@pathbit/agentdevkit 0.0.9 → 0.0.11

package/.pbai4devs/tools/README.md

@@ -8,8 +8,9 @@ Cada pasta mantém `TOOL.json`, `SCRIPT.mjs` e um guia.
 O catálogo local `catalog.json` relaciona essas definições aos comandos
 de instalação, atualização, verificação e execução. Ao editar definições,
 rode `sincronizar-agentes` e `--check`; versões instaladas ficam no estado local.
-O instalador comum consulta `latest` na origem oficial e instala com
-`--ignore-scripts`. Pacotes e estado ficam em `<nome>/.local/`; cache em
+Para npm, o instalador consulta `latest` e usa `--ignore-scripts`.
+Scanners nativos usam versões e SHA-256 revisados em `TOOL.json`; `update`
+aplica esse pin. Pacotes e estado ficam em `<nome>/.local/`; cache em
 `.cache/` e atalhos em `bin/`, todos ignorados. Tools ficam só em `.pbai4devs`.
 
 | CLI | Grupo | Uso |
@@ -22,9 +23,14 @@ O instalador comum consulta `latest` na origem oficial e instala com
 | [opensrc][source] | source | Fontes de dependências. |
 | [webreel][video] | video | Roteiros e vídeos do navegador. |
 | [portless][proxy] | proxy | Proxy e URLs locais estáveis. |
+| [gitleaks](gitleaks/README.md) | security | Segredos em arquivos e Git. |
+| [osv-scanner](osv-scanner/README.md) | security | Dependências com base local. |
+| [opengrep](opengrep/README.md) | security | Código com regras locais. |
 
 `setup` instala e verifica todos os CLIs compatíveis. O grupo `base` limita a
-seleção a navegador e lint; outros grupos permitem escolher por tarefa.
+seleção a navegador e lint; `security` seleciona os três scanners.
+As bases de vulnerabilidades são preparadas separadamente; instalar o CLI
+não transforma uma base ausente em resultado limpo.
 Confira Node/npm pelo [primeiro uso][manager] antes de executar os scripts.
 O instalador usa o mesmo Node 24+ com npm em todos os sistemas. Plataformas aceitas
 ficam em cada `TOOL.json`; ausência de restrição npm não comprova teste do SO.
@@ -45,6 +51,8 @@ O [instalador comum][manager] aceita nomes ou grupos, como `setup`, `install bas
 `update video`, `check source` e `list`.
 
 O preparo verifica o CLI; fluxos de aplicação precisam de provas específicas.
+O [fluxo de segurança](../commands/auditar-seguranca/COMMAND.md) usa análise
+offline e relatórios redigidos. Downloads públicos exigem rede, não conta.
 Skills usa descoberta sem importação automática ou symlinks. Portless é opt-in:
 o preparo não inicia proxy. Webreel exige executáveis explícitos para gravar
 sem baixar recursos em `~/.webreel`; seu guia lista os overrides. Use caminhos

package/.pbai4devs/tools/gitleaks/README.md

@@ -0,0 +1,22 @@
+---
+description: Instalacao local revisada do gitleaks.
+---
+
+# gitleaks
+
+Procura segredos em arquivos e no historico Git.
+
+Versao revisada: **8.30.1**. Licenca: [MIT](https://github.com/gitleaks/gitleaks/blob/v8.30.1/LICENSE).
+Downloads vem da [release oficial](https://github.com/gitleaks/gitleaks/releases/tag/v8.30.1);
+cada plataforma tem SHA-256 fixado em `TOOL.json`.
+
+`SCRIPT.mjs install` baixa e verifica o executavel. `update` aplica a versao
+revisada do catalogo; nao seleciona `latest` sem revisao. `check` verifica
+integridade e versao sem rede; `run` preserva argumentos e codigo de saida.
+Use `node .pbai4devs/tools/gitleaks/SCRIPT.mjs <acao>`.
+
+Use os comandos de seguranca do kit para obter saida redigida. Resultados
+exigem triagem; revogar credenciais reais continua necessario.
+
+Binarios, caches e resultados ficam locais e ignorados. O CLI nao exige
+conta nem pagamento. Consulte o [gerenciador](../../scripts/preparar-ferramentas/README.md).

package/.pbai4devs/tools/gitleaks/SCRIPT.mjs

@@ -0,0 +1,5 @@
+#!/usr/bin/env node
+import { main } from '../../scripts/preparar-ferramentas/SCRIPT.mjs';
+
+try { process.exitCode = await main(['--tool', "gitleaks", ...process.argv.slice(2)]); }
+catch (error) { console.error(error.message); process.exitCode = 1; }

package/.pbai4devs/tools/gitleaks/TOOL.json

@@ -0,0 +1,67 @@
+{
+  "name": "gitleaks",
+  "description": "Detecta segredos locais e no historico Git.",
+  "group": "security",
+  "source": "https://github.com/gitleaks/gitleaks/releases/tag/v8.30.1",
+  "license": "MIT",
+  "licenseSource": "https://github.com/gitleaks/gitleaks/blob/v8.30.1/LICENSE",
+  "download": {
+    "provider": "github-release",
+    "repository": "gitleaks/gitleaks",
+    "channel": "reviewed",
+    "version": "8.30.1",
+    "tag": "v8.30.1",
+    "assets": {
+      "darwin-arm64": {
+        "file": "gitleaks_8.30.1_darwin_arm64.tar.gz",
+        "format": "tar.gz",
+        "binary": "gitleaks",
+        "sha256": "b40ab0ae55c505963e365f271a8d3846efbc170aa17f2607f13df610a9aeb6a5"
+      },
+      "darwin-x64": {
+        "file": "gitleaks_8.30.1_darwin_x64.tar.gz",
+        "format": "tar.gz",
+        "binary": "gitleaks",
+        "sha256": "dfe101a4db2255fc85120ac7f3d25e4342c3c20cf749f2c20a18081af1952709"
+      },
+      "linux-arm64": {
+        "file": "gitleaks_8.30.1_linux_arm64.tar.gz",
+        "format": "tar.gz",
+        "binary": "gitleaks",
+        "sha256": "e4a487ee7ccd7d3a7f7ec08657610aa3606637dab924210b3aee62570fb4b080"
+      },
+      "linux-x64": {
+        "file": "gitleaks_8.30.1_linux_x64.tar.gz",
+        "format": "tar.gz",
+        "binary": "gitleaks",
+        "sha256": "551f6fc83ea457d62a0d98237cbad105af8d557003051f41f3e7ca7b3f2470eb"
+      },
+      "win32-arm64": {
+        "file": "gitleaks_8.30.1_windows_arm64.zip",
+        "format": "zip",
+        "binary": "gitleaks.exe",
+        "sha256": "b95f5e4f5c425cedca7ee203d9afd29597e692c4924a12ed42f970537c72cc0f"
+      },
+      "win32-x64": {
+        "file": "gitleaks_8.30.1_windows_x64.zip",
+        "format": "zip",
+        "binary": "gitleaks.exe",
+        "sha256": "d29144deff3a68aa93ced33dddf84b7fdc26070add4aa0f4513094c8332afc4e"
+      }
+    }
+  },
+  "platforms": [
+    "darwin-arm64",
+    "darwin-x64",
+    "linux-arm64",
+    "linux-x64",
+    "win32-arm64",
+    "win32-x64"
+  ],
+  "scripts": {
+    "entry": "SCRIPT.mjs"
+  },
+  "probe": [
+    "version"
+  ]
+}

package/.pbai4devs/tools/opengrep/README.md

@@ -0,0 +1,22 @@
+---
+description: Instalacao local revisada do opengrep.
+---
+
+# opengrep
+
+Executa regras SAST armazenadas no projeto.
+
+Versao revisada: **1.33.1**. Licenca: [LGPL-2.1](https://github.com/opengrep/opengrep/blob/v1.33.1/LICENSE).
+Downloads vem da [release oficial](https://github.com/opengrep/opengrep/releases/tag/v1.33.1);
+cada plataforma tem SHA-256 fixado em `TOOL.json`.
+
+`SCRIPT.mjs install` baixa e verifica o executavel. `update` aplica a versao
+revisada do catalogo; nao seleciona `latest` sem revisao. `check` verifica
+integridade e versao sem rede; `run` preserva argumentos e codigo de saida.
+Use `node .pbai4devs/tools/opengrep/SCRIPT.mjs <acao>`.
+
+Use `--config` com regras locais e `--disable-version-check`. Nao use `auto`
+ou URLs de regras no modo local.
+
+Binarios, caches e resultados ficam locais e ignorados. O CLI nao exige
+conta nem pagamento. Consulte o [gerenciador](../../scripts/preparar-ferramentas/README.md).

package/.pbai4devs/tools/opengrep/SCRIPT.mjs

@@ -0,0 +1,5 @@
+#!/usr/bin/env node
+import { main } from '../../scripts/preparar-ferramentas/SCRIPT.mjs';
+
+try { process.exitCode = await main(['--tool', "opengrep", ...process.argv.slice(2)]); }
+catch (error) { console.error(error.message); process.exitCode = 1; }

package/.pbai4devs/tools/opengrep/TOOL.json

@@ -0,0 +1,71 @@
+{
+  "name": "opengrep",
+  "description": "Analisa codigo com regras SAST locais.",
+  "group": "security",
+  "source": "https://github.com/opengrep/opengrep/releases/tag/v1.33.1",
+  "license": "LGPL-2.1",
+  "licenseSource": "https://github.com/opengrep/opengrep/blob/v1.33.1/LICENSE",
+  "download": {
+    "provider": "github-release",
+    "repository": "opengrep/opengrep",
+    "channel": "reviewed",
+    "version": "1.33.1",
+    "tag": "v1.33.1",
+    "assets": {
+      "darwin-arm64": {
+        "file": "opengrep_osx_arm64",
+        "format": "raw",
+        "binary": "opengrep_osx_arm64",
+        "sha256": "a17c1881bb40e3214266a7a291cf4f2ae3bc56c1715628b5712d2ec816bc3e2d"
+      },
+      "darwin-x64": {
+        "file": "opengrep_osx_x86",
+        "format": "raw",
+        "binary": "opengrep_osx_x86",
+        "sha256": "c3bd18e0d898d44e28419d95dad57c8928bb46ab32889a0ee1f72a87ad9627af"
+      },
+      "linux-arm64": {
+        "file": "opengrep_manylinux_aarch64",
+        "format": "raw",
+        "binary": "opengrep_manylinux_aarch64",
+        "sha256": "d1433f63a90b8bc0b6ad4b498a13b372b856ce9a754a43484ba4920fe2d76dcf"
+      },
+      "linux-x64": {
+        "file": "opengrep_manylinux_x86",
+        "format": "raw",
+        "binary": "opengrep_manylinux_x86",
+        "sha256": "46e8133cc490f9f50518061590ce2f6be5a08afaeda034471c0ceda4b3899808"
+      },
+      "win32-x64": {
+        "file": "opengrep_windows_x86.exe",
+        "format": "raw",
+        "binary": "opengrep_windows_x86.exe",
+        "sha256": "132e606e071bdd3928286fddc893198a6106a90820d46e21197e0ace1a23e0c1"
+      }
+    }
+  },
+  "platforms": [
+    "darwin-arm64",
+    "darwin-x64",
+    "linux-arm64",
+    "linux-x64",
+    "win32-x64"
+  ],
+  "scripts": {
+    "entry": "SCRIPT.mjs"
+  },
+  "probe": [
+    "--disable-version-check",
+    "--version"
+  ],
+  "env": {
+    "SEMGREP_ENABLE_VERSION_CHECK": "0",
+    "SEMGREP_SEND_METRICS": "off",
+    "SEMGREP_RULES": "",
+    "OPENGREP_ENABLE_VERSION_CHECK": "0"
+  },
+  "envPaths": {
+    "XDG_CONFIG_HOME": "config",
+    "XDG_CACHE_HOME": "cache"
+  }
+}

package/.pbai4devs/tools/osv-scanner/README.md

@@ -0,0 +1,23 @@
+---
+description: Instalacao local revisada do osv-scanner.
+---
+
+# osv-scanner
+
+Compara dependencias com bases de vulnerabilidades baixadas previamente.
+
+Versao revisada: **2.7.1**. Licenca: [Apache-2.0](https://github.com/google/osv-scanner/blob/v2.7.1/LICENSE).
+Downloads vem da [release oficial](https://github.com/google/osv-scanner/releases/tag/v2.7.1);
+cada plataforma tem SHA-256 fixado em `TOOL.json`.
+
+`SCRIPT.mjs install` baixa e verifica o executavel. `update` aplica a versao
+revisada do catalogo; nao seleciona `latest` sem revisao. `check` verifica
+integridade e versao sem rede; `run` preserva argumentos e codigo de saida.
+Use `node .pbai4devs/tools/osv-scanner/SCRIPT.mjs <acao>`.
+
+Use `--offline` para impedir consultas durante a varredura. A atualizacao das
+bases e uma operacao separada; ausencia de base nao significa ausencia de
+vulnerabilidades.
+
+Binarios, caches e resultados ficam locais e ignorados. O CLI nao exige
+conta nem pagamento. Consulte o [gerenciador](../../scripts/preparar-ferramentas/README.md).

package/.pbai4devs/tools/osv-scanner/SCRIPT.mjs

@@ -0,0 +1,5 @@
+#!/usr/bin/env node
+import { main } from '../../scripts/preparar-ferramentas/SCRIPT.mjs';
+
+try { process.exitCode = await main(['--tool', "osv-scanner", ...process.argv.slice(2)]); }
+catch (error) { console.error(error.message); process.exitCode = 1; }

package/.pbai4devs/tools/osv-scanner/TOOL.json

@@ -0,0 +1,70 @@
+{
+  "name": "osv-scanner",
+  "description": "Analisa dependencias com bases locais de vulnerabilidades.",
+  "group": "security",
+  "source": "https://github.com/google/osv-scanner/releases/tag/v2.7.1",
+  "license": "Apache-2.0",
+  "licenseSource": "https://github.com/google/osv-scanner/blob/v2.7.1/LICENSE",
+  "download": {
+    "provider": "github-release",
+    "repository": "google/osv-scanner",
+    "channel": "reviewed",
+    "version": "2.7.1",
+    "tag": "v2.7.1",
+    "assets": {
+      "darwin-arm64": {
+        "file": "osv-scanner_darwin_arm64",
+        "format": "raw",
+        "binary": "osv-scanner_darwin_arm64",
+        "sha256": "b22c02877a811c8f78956e8643efa554932b7378f590d13f8e97d4e9448a29f3"
+      },
+      "darwin-x64": {
+        "file": "osv-scanner_darwin_amd64",
+        "format": "raw",
+        "binary": "osv-scanner_darwin_amd64",
+        "sha256": "b8420d5485ba792626315f1bf9a5a2046e971d38eea75bf9090c38852dbc3b1b"
+      },
+      "linux-arm64": {
+        "file": "osv-scanner_linux_arm64",
+        "format": "raw",
+        "binary": "osv-scanner_linux_arm64",
+        "sha256": "983d22fbad9724514e3fcc6acc83b5fa64c5ffa6b0d9f510028f22c1b223ff81"
+      },
+      "linux-x64": {
+        "file": "osv-scanner_linux_amd64",
+        "format": "raw",
+        "binary": "osv-scanner_linux_amd64",
+        "sha256": "fb7dab19a8bd9bbe5c3189f09d4b7ee1820c9553a23bac202648a56efd2f6ee8"
+      },
+      "win32-arm64": {
+        "file": "osv-scanner_windows_arm64.exe",
+        "format": "raw",
+        "binary": "osv-scanner_windows_arm64.exe",
+        "sha256": "5f3998b55c9268f8468502bbcb60645038fd5b145ee5e685e6ae2a32e923afc7"
+      },
+      "win32-x64": {
+        "file": "osv-scanner_windows_amd64.exe",
+        "format": "raw",
+        "binary": "osv-scanner_windows_amd64.exe",
+        "sha256": "7121dcf420aefbbf89a7f0050c4d3094e079ff93afd334dfc96f16b02ec85800"
+      }
+    }
+  },
+  "platforms": [
+    "darwin-arm64",
+    "darwin-x64",
+    "linux-arm64",
+    "linux-x64",
+    "win32-arm64",
+    "win32-x64"
+  ],
+  "scripts": {
+    "entry": "SCRIPT.mjs"
+  },
+  "probe": [
+    "--version"
+  ],
+  "envPaths": {
+    "OSV_SCANNER_LOCAL_DB_CACHE_DIRECTORY": "data/osv"
+  }
+}

package/CHANGELOG.md

@@ -4,6 +4,23 @@ description: Alterações verificáveis por versão do AgentDevKit.
 
 # Changelog
 
+## 0.0.11 — 2026-11-12
+
+- Skills de segurança incluídas nas instalações, com revisão e correção guiadas.
+- Agentes, comandos e regras conectados em fluxos de entrega e auditoria.
+- Gitleaks, OSV-Scanner e Opengrep locais, com versões e hashes revisados.
+- Auditoria offline e preparo explícito de bases, sem conta de análise externa.
+- Relatórios redigidos, testes reais dos scanners e preservação de recursos próprios.
+- Curadoria de ferramentas e skills com licenças, fontes e limites documentados.
+
+## 0.0.10 — 2026-11-12
+
+- Mesmo pacote publicado no npm e GitHub Packages, com versão e bytes iguais.
+- Instalação via npx nos dois registries, com credenciais isoladas por destino.
+- Guias de pré-requisitos para Windows, macOS e Linux, incluindo Node/npm.
+- README, wiki e notas de release com os dois caminhos de instalação.
+- Diagnóstico de mapeamentos antigos de registry sem apagar configurações.
+
 ## 0.0.9 — 2026-11-12
 
 - Links e configurações humanos preservados na instalação dos agentes.

package/README.en.md

@@ -18,12 +18,21 @@ See the [supported clients][clients].
 
 ## Start in your project
 
-With Node.js 18+ and npm, run this in your project. No login is required:
+Use Node.js 24+ with npm. The [prerequisites guide][prerequisites] explains
+installation on Windows, macOS and Linux.
+
+From your project folder, install through **npm**, without logging in:
 
 ```console
 npx @pathbit/agentdevkit init
 ```
 
+Or use **GitHub Packages**, after [authenticating with GitHub][github-install]:
+
+```console
+npx --registry=https://npm.pkg.github.com @pathbit/agentdevkit init
+```
+
 Choose your coding agents when prompted, or pass `--agents codex,claude`.
 The project saves your selection; use `agents` to view or change it later.
 Without interaction or a saved choice, the default is `all` clients.
@@ -32,9 +41,9 @@ Then open the project in your coding agent and ask:
 
 > Read AGENTS.md and use the proximos-passos skill to guide my next steps.
 
-See [installation](docs/guides/installation.md) for Windows, missing Node, previews
-and updates. Install and update through the [public npm package][packages]; the
-[v0.0.9 release][release] retains artifacts and checksums for verification.
+See [installation](docs/guides/installation.md) for runtime preparation, previews
+and updates. Both [package registries][packages] provide the same version;
+the [v0.0.11 release][release] retains artifacts and checksums for verification.
 No global installation is required.
 The CLI supports `pt`, `en` and `es`; it saves your selection per project.
 
@@ -42,11 +51,13 @@ The CLI supports `pt`, `en` and `es`; it saves your selection per project.
 
 | I want to… | Read |
 | --- | --- |
+| Prepare Node.js and npm | [Prerequisites][prerequisites] |
 | Understand the kit | [Documentation wiki](docs/README.md) |
 | Plan or resume a project | [Workflow](docs/guides/workflow.md) |
 | Improve existing documentation | [Inventory and additions](docs/guides/documentation.md) |
 | Create a skill or command | [Resources](docs/guides/resources.md) |
 | Install tools and verify work | [Tools and tests][tests] |
+| Review security with local tools | [Local security](docs/guides/security.md) |
 | Look up options or fix an error | [CLI][cli] · [Troubleshooting][help] |
 | Improve the kit | [Contributing](CONTRIBUTING.md) |
 | Try the scenarios | [Examples](https://github.com/pathbit/AgentDevKit/tree/master/examples) |
@@ -79,7 +90,7 @@ forms. See [how to participate](docs/maintainers/community.md).
 agent to read `AGENTS.md`.
 
 [clients]: .pbai4devs/COMPATIBILIDADE.md
-[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.9
+[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.11
 [npm-package]: https://www.npmjs.com/package/@pathbit/agentdevkit
 [npm-badge]: https://img.shields.io/npm/v/%40pathbit%2Fagentdevkit
 [license-badge]: https://img.shields.io/badge/license-MIT-blue
@@ -88,3 +99,5 @@ agent to read `AGENTS.md`.
 [help]: docs/guides/troubleshooting.md
 [issues]: https://github.com/pathbit/AgentDevKit/issues/new/choose
 [packages]: docs/maintainers/packages.md
+[prerequisites]: docs/guides/prerequisites.md
+[github-install]: docs/guides/installation.md#github-packages

package/README.es.md

@@ -18,12 +18,21 @@ son locales y no se versionan.
 
 ## Empezar en tu proyecto
 
-Con Node.js 18+ y npm, ejecuta en tu proyecto, sin iniciar sesión:
+Usa Node.js 24+ con npm. La [guía de requisitos][prerequisites] explica
+la instalación en Windows, macOS y Linux.
+
+Desde la carpeta de tu proyecto, instala mediante **npm**, sin iniciar sesión:
 
 ```console
 npx @pathbit/agentdevkit init
 ```
 
+O usa **GitHub Packages**, después de [autenticarte en GitHub][github-install]:
+
+```console
+npx --registry=https://npm.pkg.github.com @pathbit/agentdevkit init
+```
+
 Elige tus agentes en la pregunta inicial o usa `--agents codex,claude`.
 La selección se guarda en el proyecto; `agents` permite consultarla o cambiarla.
 Sin interacción ni selección anterior, el valor predeterminado es `all`.
@@ -32,10 +41,10 @@ Después, abre el proyecto en tu agente y pide:
 
 > Lee AGENTS.md y usa la skill proximos-passos para orientar mi trabajo.
 
-La [guía de instalación](docs/guides/installation.md) incluye Windows, Node ausente,
-simulación y actualización. Instala y actualiza mediante el
-[paquete npm público][packages];
-la [release v0.0.9][release] conserva artefactos y checksums para verificarlos.
+La [guía de instalación](docs/guides/installation.md) incluye preparación del
+runtime, simulación y actualización. Los dos [registros][packages] ofrecen
+la misma versión;
+la [release v0.0.11][release] conserva artefactos y checksums para verificarlos.
 No requiere instalación global.
 La CLI guarda el idioma `pt`, `en` o `es` por proyecto.
 
@@ -43,11 +52,13 @@ La CLI guarda el idioma `pt`, `en` o `es` por proyecto.
 
 | Quiero… | Leer |
 | --- | --- |
+| Preparar Node.js y npm | [Requisitos][prerequisites] |
 | Entender el kit | [Wiki](docs/README.md) |
 | Planificar o retomar un proyecto | [Flujo](docs/guides/workflow.md) |
 | Mejorar documentación existente | [Inventario y complementos](docs/guides/documentation.md) |
 | Crear una skill o comando | [Recursos](docs/guides/resources.md) |
 | Instalar herramientas y verificar | [Herramientas y pruebas][tests] |
+| Revisar seguridad con herramientas locales | [Seguridad local](docs/guides/security.md) |
 | Consultar opciones o resolver un error | [CLI][cli] · [Soluciones][help] |
 | Mejorar el kit | [Contribuir](CONTRIBUTING.md) |
 | Probar los escenarios | [Ejemplos](https://github.com/pathbit/AgentDevKit/tree/master/examples) |
@@ -81,7 +92,7 @@ formularios. Consulta [cómo participar](docs/maintainers/community.md).
 al agente que lea `AGENTS.md`.
 
 [clients]: .pbai4devs/COMPATIBILIDADE.md
-[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.9
+[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.11
 [npm-package]: https://www.npmjs.com/package/@pathbit/agentdevkit
 [npm-badge]: https://img.shields.io/npm/v/%40pathbit%2Fagentdevkit
 [license-badge]: https://img.shields.io/badge/license-MIT-blue
@@ -90,3 +101,5 @@ al agente que lea `AGENTS.md`.
 [help]: docs/guides/troubleshooting.md
 [issues]: https://github.com/pathbit/AgentDevKit/issues/new/choose
 [packages]: docs/maintainers/packages.md
+[prerequisites]: docs/guides/prerequisites.md
+[github-install]: docs/guides/installation.md#github-packages

package/README.md

@@ -16,12 +16,22 @@ fica em `src/`, os testes em `tests/` e os recursos compartilhados em
 
 ## Começar em um projeto
 
-Com Node.js 18+ e npm, execute na pasta do seu projeto, sem login:
+Prepare [Node.js 24+ e npm](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/prerequisites.md) no Windows, macOS ou
+Linux. Na pasta do seu projeto, instale pelo **npm público**, sem login:
 
 ```console
 npx @pathbit/agentdevkit init
 ```
 
+Ou use **GitHub Packages**, após [autenticar no GitHub][github-install]:
+
+```console
+npx --registry=https://npm.pkg.github.com @pathbit/agentdevkit init
+```
+
+Os dois registries oferecem o mesmo pacote. O GitHub exige token para download,
+mesmo sendo público; o npm continua sendo a opção sem login.
+
 Escolha os agentes na pergunta inicial ou informe `--agents codex,claude`.
 A escolha fica salva no projeto; `agents` permite consultá-la ou alterá-la.
 Sem interação ou escolha anterior, o padrão é `all` (todos os clientes).
@@ -32,7 +42,7 @@ Depois, abra o projeto no seu agente e peça:
 
 Windows, instalação sem Node, simulação e atualização estão no
 [guia de instalação](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/installation.md). A distribuição usa a
-versão publicada no [npm público][packages] e na [release v0.0.9][release],
+versão publicada no [npm e GitHub Packages][packages] e na [release v0.0.11][release],
 sem instalação global. Instalação e atualização usam o pacote do registro;
 os arquivos da release servem para conferir os artefatos publicados.
 O idioma da CLI pode ser `pt`, `en` ou `es`.
@@ -41,11 +51,13 @@ O idioma da CLI pode ser `pt`, `en` ou `es`.
 
 | Quero… | Ler |
 | --- | --- |
+| Preparar Node/npm e instalar o kit | [Pré-requisitos](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/prerequisites.md) · [Instalação](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/installation.md) |
 | Entender e começar | [Wiki](https://github.com/pathbit/AgentDevKit/blob/master/docs/README.md) |
 | Planejar ou retomar um projeto | [Fluxo de trabalho](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/workflow.md) |
 | Evoluir documentos existentes | [Inventário e complementos](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/documentation.md) |
 | Criar uma skill ou comando | [Recursos](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/resources.md) |
 | Instalar ferramentas e comprovar uma entrega | [Ferramentas e testes][tests] |
+| Revisar segurança sem serviços externos | [Segurança local](https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/security.md) |
 | Consultar opções ou resolver um erro | [CLI][cli] · [Soluções][help] |
 | Melhorar o próprio kit | [Contribuir](https://github.com/pathbit/AgentDevKit/blob/master/CONTRIBUTING.md) |
 | Experimentar os cenários | [Exemplos](https://github.com/pathbit/AgentDevKit/tree/master/examples) |
@@ -90,7 +102,8 @@ ao seu agente para ler `AGENTS.md`.
 [help]: https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/troubleshooting.md
 [issues]: https://github.com/pathbit/AgentDevKit/issues/new/choose
 [packages]: https://github.com/pathbit/AgentDevKit/blob/master/docs/maintainers/packages.md
-[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.9
+[release]: https://github.com/pathbit/AgentDevKit/releases/tag/v0.0.11
 [npm-package]: https://www.npmjs.com/package/@pathbit/agentdevkit
 [npm-badge]: https://img.shields.io/npm/v/%40pathbit%2Fagentdevkit
 [license-badge]: https://img.shields.io/badge/license-MIT-blue
+[github-install]: https://github.com/pathbit/AgentDevKit/blob/master/docs/guides/installation.md#github-packages

package/docs/README.md

@@ -22,26 +22,28 @@ pode trocar de agente sem manter várias cópias das mesmas instruções.
 
 | Objetivo | Caminho |
 | --- | --- |
-| Primeiro uso | [Instalar][install] → [seguir o fluxo][flow] |
+| Preparar o computador | [Node/npm no Windows, macOS e Linux](guides/prerequisites.md) |
+| Primeiro uso | [Instalar via npm ou GitHub Packages][install] → [seguir o fluxo][flow] |
 | Projeto em andamento | [Instalar com simulação][install] → [retomar][flow] |
 | Evoluir documentação existente | [Inventariar e complementar](guides/documentation.md) |
 | Personalizar agentes | [Recursos][resources] → [compatibilidade][clients] |
+| Revisar segurança | [Scanners locais e controles](guides/security.md) |
 | Executar ou verificar algo | [CLI](guides/cli.md) → [ferramentas e testes][tests] |
 | Corrigir uma dificuldade | [Soluções e recuperação](guides/troubleshooting.md) |
 | Contribuir com o kit | [Contribuir][contrib] → [design](product/design.md) |
 | Desenvolver e experimentar | [Guia rápido][development] → [exemplos][examples] |
 | Preparar uma versão | [Manutenção e releases](maintainers/maintenance.md) |
-| Publicar ou instalar o pacote npm | [npm público](maintainers/packages.md) |
+| Publicar o pacote nos dois registries | [npm e GitHub Packages](maintainers/packages.md) |
 | Relatar um bug ou propor melhoria | [Participar](maintainers/community.md) |
 
 ## Entenda os termos
 
 | Termo | Significado |
 | --- | --- |
-| Skill | Procedimento que o agente segue para uma tarefa. |
+| Skill | Procedimento que orienta decisões e ações de uma tarefa. |
 | Regra | Orientação aplicável a um contexto de trabalho. |
-| Comando | Entrada para executar um caso de uso. |
-| Perfil de agente | Papel especializado, como revisão. |
+| Comando | Entrada de um caso de uso com passos, argumentos e saída. |
+| Perfil de agente | Responsável por uma tarefa completa. |
 | Adaptador | Traduz referências para o formato de cada cliente. |
 | Espelho | Apontamento gerado para um recurso da origem. |
 | Template | Modelo que será preenchido com decisões do projeto. |
@@ -51,6 +53,8 @@ pode trocar de agente sem manter várias cópias das mesmas instruções.
 O agente lê e executa as instruções conforme as capacidades de seu cliente.
 A CLI instala, sincroniza e diagnostica arquivos. Ter um apontamento correto
 não comprova que determinado cliente carregou ou executou a skill.
+O [guia de recursos](guides/resources.md) mostra como esses componentes se
+combinam; não existe uma proporção obrigatória entre suas quantidades.
 
 ## Conheça este produto
 

package/docs/guides/README.md

@@ -4,11 +4,13 @@ description: Guias de instalação, uso e verificação do AgentDevKit.
 
 # Guias de uso
 
-- [Instalação](installation.md)
+- [Pré-requisitos: Node/npm no Windows, macOS e Linux](prerequisites.md)
+- [Instalação: npm e GitHub Packages](installation.md)
 - [Comandos da CLI](cli.md)
 - [Fluxo de trabalho](workflow.md)
 - [Evoluir documentação existente](documentation.md)
 - [Recursos dos agentes](resources.md)
+- [Segurança local](security.md)
 - [Ferramentas e testes](tools-and-testing.md)
 - [Solução de problemas](troubleshooting.md)
 

package/docs/guides/cli.md

@@ -10,6 +10,9 @@ Execute o pacote do npm público por `npx`, sem login:
 npx @pathbit/agentdevkit --help
 ```
 
+Para GitHub Packages, autentique conforme a [instalação](installation.md#github-packages)
+e use o prefixo `npx --registry=https://npm.pkg.github.com` nos mesmos comandos.
+
 Nas tabelas, `agentdevkit` representa esse executável. No checkout das fontes,
 use `npm run cli -- <comando>` ou `node bin/agentdevkit.mjs`.
 Esse código não é copiado ao projeto