@polymorphism-tech/morph-spec 8.43.0 → 8.45.0

package/src/lib/generators/handoff-generator.js

@@ -35,7 +35,6 @@ const POINTER_CANDIDATES = [
   // Behaviour before solution — the same order morph-plan writes them in.
   ['2-plan/usecases', 'use cases: comportamento e pós-condições testáveis (pasta)'],
   ['2-plan/spec.md', 'especificação técnica'],
-  ['2-plan/mandate.md', 'contrato de implementação (leia antes de cada task)'],
   ['2-plan/tasks.json', 'DAG de tasks (status vivo)'],
   ['decisions.md', 'decisões registradas'],
   ['3-implement/recap.md', 'recap da implementação'],
@@ -97,18 +96,18 @@ function nextAction(feature, phase, tasks, featureName) {
       // the derived phase only flips when 2-plan/spec.md lands (derivePhase is
       // artifact-first). Pointing back at the proposal here would be wrong.
       return approved('proposal')
-        ? `Gate 1 aprovado — produza \`2-plan/spec.md\` + \`mandate.md\` + \`tasks.json\` (a fase avança com o primeiro artefato; Gate 2 em seguida).`
+        ? `Gate 1 aprovado — produza \`2-plan/spec.md\` + \`tasks.json\` (a fase avança com o primeiro artefato; Gate 2 em seguida).`
         : `Complete \`0-proposal/proposal.md\` e aprove o Gate 1 (\`morph-spec advance ${featureName}\`). Skill: /morph-proposal ${featureName}.`;
     case 'uiux':
       return approved('uiux')
-        ? `Gate de uiux aprovado — produza \`2-plan/spec.md\` + \`mandate.md\` + \`tasks.json\` (Gate 2 em seguida).`
+        ? `Gate de uiux aprovado — produza \`2-plan/spec.md\` + \`tasks.json\` (Gate 2 em seguida).`
         : `Complete \`1-design/design-system.md\` e aprove o gate de uiux (\`morph-spec advance ${featureName}\`).`;
     case 'plan':
-      return `Produza \`2-plan/spec.md\` + \`mandate.md\` + \`tasks.json\` e aprove o Gate 2 (\`morph-spec advance ${featureName}\`).`;
+      return `Produza \`2-plan/spec.md\` + \`tasks.json\` e aprove o Gate 2 (\`morph-spec advance ${featureName}\`).`;
     case 'implement': {
       const ready = tasks?.ready?.map((t) => `${t.id} "${t.title}"`).join(', ');
       return ready
-        ? `Execute as tasks ready — ${ready} — via /morph-apply ${featureName} (verify antes do juiz, barra 9).`
+        ? `Execute as tasks ready — ${ready} — via /morph-apply ${featureName} (task fecha com verify verde e critérios provados).`
         : `Todas as tasks concluídas ou bloqueadas — rode \`morph-spec advance ${featureName}\` para escancarar a review, ou destrave dependências. Skill: /morph-apply ${featureName}.`;
     }
     case 'review':

package/src/lib/git/evidence-staleness.js

@@ -0,0 +1,39 @@
+import { execFileSync } from 'child_process';
+import { isDeepStrictEqual } from 'node:util';
+import { getHeadSha } from './default-branch.js';
+
+const MORPH_DIR = '.morph/';
+const CONFIG_PATH = '.morph/config/config.json';
+
+const gitOut = (cwd, args) => execFileSync('git', args, { cwd, stdio: 'pipe', maxBuffer: 64 * 1024 * 1024 }).toString();
+
+function withoutBaseline(text) {
+  const config = JSON.parse(text);
+  if (Array.isArray(config?.project?.tests)) {
+    for (const node of config.project.tests) delete node?.expectedCount;
+  }
+  return config;
+}
+
+function configMoved(cwd, sha, head) {
+  try {
+    const before = withoutBaseline(gitOut(cwd, ['show', `${sha}:${CONFIG_PATH}`]));
+    const after = withoutBaseline(gitOut(cwd, ['show', `${head}:${CONFIG_PATH}`]));
+    return !isDeepStrictEqual(before, after);
+  } catch {
+    return true;
+  }
+}
+
+// `.morph/` is bookkeeping, except the config: it names the test commands, and only its
+// expectedCount is something a baseline run writes.
+export function treeMovedSince(cwd, sha, head = getHeadSha(cwd)) {
+  if (!sha || !head || sha === head) return false;
+  let changed;
+  try {
+    changed = gitOut(cwd, ['diff', '--name-only', '--no-renames', '-z', sha, head]).split('\0').filter(Boolean);
+  } catch {
+    return true;
+  }
+  return changed.some((path) => !path.startsWith(MORPH_DIR) || (path === CONFIG_PATH && configMoved(cwd, sha, head)));
+}

package/src/lib/installers/memory-installer.js

@@ -59,7 +59,7 @@ metadata:
 
 ## Core skills
 
-\`morph-proposal\`, \`morph-apply\`, \`morph-brainstorming\`, \`morph-plan\`, \`morph-implement\`, \`morph-eval\`, \`morph-review\`, \`morph-stack-scan\`, \`morph-standards\`
+\`morph-proposal\`, \`morph-apply\`, \`morph-brainstorming\`, \`morph-plan\`, \`morph-implement\`, \`morph-review\`, \`morph-stack-scan\`, \`morph-standards\`
 
 **Why:** This project is managed by morph-spec — spec-driven autonomous development with trust-aware gates.
 
@@ -86,7 +86,7 @@ metadata:
 - \`.morph/framework/schemas/tasks.schema.json\` — tasks.json schema reference
 - \`.morph/framework/phases.json\` — phase folder mapping and skill associations
 - \`.morph/framework/agents.json\` — domain persona definitions (dotnet-senior, ef-modeler, etc.)
-- \`.morph/framework/evals/rubrics/\` — eval rubrics for morph-eval scoring (architecture/contracts/code-quality/test-coverage)
+- \`.morph/framework/evals/review-checklist.md\` — what the Gate 3 evaluator checks (verdict SHIP/FIX + evidence-typed blockers)
 `;
 
 /**

package/src/lib/mutation/manifest.js

@@ -1,8 +1,9 @@
-import { isAbsolute, normalize, sep } from 'node:path';
+import { posix, win32 } from 'node:path';
 
 export const MUTANT_ID = /^[A-Za-z][A-Za-z0-9_-]{0,31}$/;
 export const MODES = ['schemata', 'rebuild'];
 export const BACKSLASH_TOKEN = '{{BS}}';
+export const MAX_MUTANTS = 3;
 
 const expandBackslash = (s) => (typeof s === 'string' ? s.split(BACKSLASH_TOKEN).join(String.fromCharCode(92)) : s);
 
@@ -58,6 +59,9 @@ export function validateManifest(manifest, { fileExists } = {}) {
   if (!Array.isArray(list) || list.length === 0) {
     throw new ManifestError(['`mutants` precisa ser um array com ao menos um mutante']);
   }
+  if (list.length > MAX_MUTANTS) {
+    throw new ManifestError([`no máximo ${MAX_MUTANTS} mutantes por rodada: escolha as linhas de guarda ou regra que um UC exige`]);
+  }
   const seen = new Set();
   const mutants = list.map((raw, index) => {
     const at = `mutants[${index}]${typeof raw?.id === 'string' ? ` (${raw.id})` : ''}`;
@@ -66,17 +70,19 @@ export function validateManifest(manifest, { fileExists } = {}) {
     else if (seen.has(m.id)) problems.push(`${at}: \`id\` repetido`);
     else seen.add(m.id);
     if (typeof m.file !== 'string' || m.file === '') problems.push(`${at}: \`file\` ausente`);
-    else if (isAbsolute(m.file) || normalize(m.file).split(sep).includes('..')) problems.push(`${at}: \`file\` tem de ser relativo à raiz do projeto, sem \`..\``);
+    else if (posix.isAbsolute(m.file) || win32.isAbsolute(m.file) || m.file.split(/[\\/]/).includes('..')) problems.push(`${at}: \`file\` tem de ser relativo à raiz do projeto, sem \`..\``);
     else if (fileExists && !fileExists(m.file)) problems.push(`${at}: \`file\` não existe: ${m.file}`);
     if (!Number.isInteger(m.line) || m.line < 1) problems.push(`${at}: \`line\` tem de ser inteiro >= 1`);
     if (typeof m.find !== 'string' || m.find === '') problems.push(`${at}: \`find\` ausente`);
     if (typeof m.replace !== 'string') problems.push(`${at}: \`replace\` ausente (use string vazia para apagar)`);
     else if (m.replace === m.find) problems.push(`${at}: \`replace\` igual a \`find\` não é mutação`);
     if (m.mode !== undefined && !MODES.includes(m.mode)) problems.push(`${at}: \`mode\` tem de ser ${MODES.join(' | ')}`);
+    if (typeof m.expect !== 'string' || m.expect.trim() === '') problems.push(`${at}: \`expect\` ausente — diga qual teste deve falhar e por quê; sem isso o mutante pode ser equivalente`);
     return {
       id: m.id, file: typeof m.file === 'string' ? m.file.replace(/\\/g, '/') : m.file,
       line: m.line, find: expandBackslash(m.find), replace: expandBackslash(m.replace), mode: m.mode ?? null,
       note: typeof m.note === 'string' ? m.note : null,
+      expect: typeof m.expect === 'string' ? m.expect : null,
     };
   });
   if (problems.length > 0) throw new ManifestError(problems);

package/src/lib/mutation/report.js

@@ -13,7 +13,7 @@ function countCell(m) {
 }
 
 function reasonCell(m) {
-  if (m.verdict === 'survived') return m.reason || 'nenhum teste falhou na suíte inteira, com o mutante compilado de verdade';
+  if (m.verdict === 'survived') return m.reason || `nenhum teste falhou ${m.scope === 'subset' ? 'no subconjunto' : 'na suíte inteira'}${m.expect ? ` — esperado: ${m.expect}` : ''}`;
   const how = m.demoted ? ` [rebuild: ${m.demoted}]` : '';
   return `${m.reason || '—'}${how}`;
 }
@@ -30,12 +30,14 @@ export function renderSection(result, { head = null, date = null, subset = null,
   const lines = ['## Mutações', ''];
   const { method } = result;
   const where = subset?.usable
-    ? `${subset.classes.length} classe(s) de teste (${subset.files.changed?.length ?? 0} alterada(s) pela feature, ${subset.files.mentions?.length ?? 0} citando os tipos mutados)`
+    ? (subset.classes
+      ? `${subset.classes.length} classe(s) de teste (${subset.files?.changed?.length ?? 0} alterada(s) pela feature, ${subset.files?.mentions?.length ?? 0} citando os tipos mutados)`
+      : `${subset.files?.related?.length ?? 0} arquivo(s) de teste relacionados`)
     : (subset?.reason ?? 'nenhum');
   lines.push(`**Método:** \`morph-spec mutate\`${head ? ` sobre ${head.slice(0, 8)}` : ''}${date ? ` em ${date}` : ''}.`);
   lines.push(`- ${method.schemata} mutante(s) por chave em UM build (schemata), ${method.rebuild} por rebuild real${(method.jobs ?? 1) > 1 ? `; rodadas de escopo rápido em ${method.jobs} workers` : ''}.`);
   lines.push(`- Escopo rápido: ${method.subset.live ? where : `desligado (${method.subset.note ?? subset?.reason ?? 'sem subconjunto'})`}.`);
-  lines.push('- Morto = falha nova (ausente na rodada-base do mesmo escopo) com o motivo abaixo; na suíte inteira, a falha também tem de se repetir. Sobrevivente de escopo rápido é SEMPRE refeito com o mutante compilado de verdade e a suíte inteira; "sobreviveu" só sai desse caminho.');
+  lines.push('- Morto = falha nova (ausente na rodada-base do mesmo escopo). Com subconjunto, a decisão fica nele: sobrevivente não é refeito na suíte inteira.');
   if (result.baseline.subset) lines.push(`- Rodada-base do subconjunto: ${result.baseline.subset.executed} executados, ${result.baseline.subset.failed} falhando.`);
   if (result.baseline.full) lines.push(`- Rodada-base da suíte inteira: ${result.baseline.full.executed} executados, ${result.baseline.full.failed} falhando.`);
   if (note) lines.push(`- ${note}`);

package/src/lib/mutation/runner.js

@@ -98,7 +98,7 @@ export async function runMutation(input) {
   };
 
   const results = new Map(regions.map((r) => [r.id, {
-    id: r.id, file: r.file, line: r.line, diff: diffOf(r), note: r.note,
+    id: r.id, file: r.file, line: r.line, diff: diffOf(r), note: r.note, expect: r.expect,
     md5Before: md5Of(readFileSync(join(root, r.file))),
     md5After: md5Of(applyRegions(originals.get(r.file), [r], (x) => x.replaceText).text),
     mode: r.mode === 'rebuild' || adapter.kind !== 'dotnet' || !/\.cs$/i.test(r.file) ? 'rebuild' : 'schemata',
@@ -262,12 +262,14 @@ export async function runMutation(input) {
       const base = { scope: scopeOf, executed: result.executed, durationMs: result.durationMs };
       if (verdict.state === 'killed') {
         record(id, { ...base, verdict: 'killed', killers: verdict.failures.length, reason: verdict.reason });
+      } else if (scopeOf === 'subset' && verdict.state === 'survived') {
+        record(id, { ...base, verdict: 'survived', reason: '' });
       } else {
         record(id, { ...base, verdict: null, reason: verdict.reason ?? '' });
         routed.push({ id, needs: 'full' });
       }
     }
-    for (const r of results.values()) if (r.mode === 'rebuild') routed.push({ id: r.id, needs: subsetLive ? 'subset-then-full' : 'full' });
+    for (const r of results.values()) if (r.mode === 'rebuild') routed.push({ id: r.id, needs: subsetLive ? 'subset' : 'full' });
 
     for (const { id, needs } of routed) {
       applyOnDisk(id);
@@ -280,13 +282,13 @@ export async function runMutation(input) {
             continue;
           }
         }
-        if (needs === 'subset-then-full') {
+        if (needs === 'subset') {
           const sub = await run('subset', `${id}-subset`, envWithout(process.env));
           const verdict = judge(sub, baselineSubset);
-          if (verdict.state === 'killed') {
-            record(id, { verdict: 'killed', scope: 'subset', killers: verdict.failures.length, executed: sub.executed, reason: verdict.reason, durationMs: sub.durationMs });
-            continue;
-          }
+          const base = { scope: 'subset', executed: sub.executed, durationMs: sub.durationMs };
+          if (verdict.state === 'killed') record(id, { ...base, verdict: 'killed', killers: verdict.failures.length, reason: verdict.reason });
+          else record(id, { ...base, verdict: verdict.state, reason: verdict.reason ?? '' });
+          continue;
         }
         const full = await run('full', `${id}-full`, envWithout(process.env));
         const first = judge(full, baselineFull);

package/src/lib/risk-detector.js

@@ -7,7 +7,7 @@
  *
  * Signals checked (in order):
  *   - designSystemDivergence: boolean — conflicting design sources detected
- *   - standardsViolations: string[]   — violations of mandate.md proibições
+ *   - standardsViolations: string[]   — violations of the plan's forbidden patterns
  *   - verificationStatus: string      — último `morph-spec verify` ('fail' pausa, qualquer gate)
  *   - verificationScope + gate: string — presente e != 'feature' pausa SÓ no ship: o
  *     último `verify` foi um recorte de task, não da feature inteira (`null`/ausente
@@ -15,33 +15,24 @@
  *   - e2eStatus + e2eReason + gate    — nó e2e do último verify. Um `skip`
  *     cuja razão NÃO seja dispensa legítima pausa SÓ no ship (gate 'review').
  *     Sem escopo (stamp sem o campo) cai do mesmo lado seguro que `unknown`
- *   - verificationStale + gate: bool/str — stamp com sha != HEAD pausa SÓ no
- *     ship (gate 'review') — código mudou depois do último verify
- *   - evalScoreSource + gate: str     — no ship, score que NÃO veio do avaliador
- *     independente pausa (auto-avaliação não decide o Gate 3)
- *   - mutationProof + gate: object    — { section, min, productionCode } lido do
- *     evaluator-report.md. No ship, relatório SEM a seção `## Mutações` numa
- *     feature com código de produção pausa: score é opinião, mutação é prova
- *   - mediaClaims + gate: object      — { section, score, featureGeneratesMedia }
+ *   - verificationStale + gate: bool/str — stamp de um commit cujo código já mudou
+ *     (fora de .morph/) pausa SÓ no ship (gate 'review')
+ *   - evaluatorVerdict + gate: object — { status, verdict, blockers, untyped } do
+ *     evaluator-report.md. No ship, só `SHIP` sem bloqueador libera
+ *   - mediaClaims + gate: object      — { section, featureGeneratesMedia }
  *   - screenChecklist + gate: object  — { mockups, legacy, screens, problems, exempt?,
  *     section?, uncovered? } derivado do 1-design/mockups.md. No uiux, checklist
  *     de tela incompleto pausa; no ship, item decidido sem a conferência do
  *     avaliador pausa. Mockup legado é isento nos dois, com a razão listada
  *   - oversizedTasks + gate: array    — tasks acima de MAX_TASK_OUTPUTS outputs;
  *     pausa SÓ no plano (gate 'plan'): a task tem de caber num dispatch
- *   - evalScore: number               — morph-eval score (pause if < 9)
  *   - taskCount: number               — total tasks (pause if > 20)
  */
 
 const SCOPE_TASK_THRESHOLD = 20;
-const MIN_EVAL_SCORE = 9;
 
-// A ÚNICA procedência de `evalScore` que pode decidir o gate de ship. Escrita
-// por gate-check.js quando o token `**Composite-Score:**` foi lido do
-// evaluator-report.md — o veredito do avaliador independente em contexto
-// fresco. Toda outra procedência (proxy de taskScores, override de --signals,
-// ou nenhuma) é auto-avaliação ou palavra de quem já estava no contexto.
-const TRUSTED_EVAL_SOURCE = 'evaluator-report';
+// Caminho alterado que pede o avaliador em opus: o resto da review roda em sonnet.
+const OPUS_PATH_RE = /(^|[/._-])(auth|login|senha|password|token|secret|crypto|permiss|rbac|acl|lgpd|pii|privacy|payment|pagamento|billing|cobranca|invoice|asaas|stripe|migrations?)([/._-]|$)/i;
 
 // Work types whose ship gate (review) always pauses for a human, regardless
 // of trust mode — a type policy, not a per-feature risk signal. Mirrors
@@ -168,6 +159,50 @@ export function uiuxChecklistPause(screenChecklist) {
        + ' ("não se aplica" vale, se escrito)';
 }
 
+function blockerList(v) {
+  return firstOf(v.blockerIds ?? []);
+}
+
+/** Por que o veredito do avaliador segura o ship, ou null. */
+export function verdictPause(v) {
+  if (!v || v.status === 'missing') {
+    return 'Gate 3 sem `4-review/evaluator-report.md` — despache o avaliador independente;'
+         + ' auto-avaliação de quem implementou não decide o ship';
+  }
+  if (v.status !== 'ok') {
+    return 'evaluator-report sem `**Verdict:** SHIP|FIX` — o avaliador não seguiu o contrato do relatório';
+  }
+  if ((v.untyped ?? 0) > 0) {
+    return `${v.untyped} bloqueador(es) sem tipo de evidência (uc | teste | regressao | seguranca)`
+         + ' — sem evidência tipada não é bloqueador: reclassifique como nota ou complete a evidência';
+  }
+  if ((v.blockers ?? 0) > 0) return `avaliador abriu ${v.blockers} bloqueador(es): ${blockerList(v)}`;
+  if (v.verdict !== 'SHIP') return 'veredito do avaliador é FIX';
+  return null;
+}
+
+function verdictSummary(v) {
+  if (!v || v.status !== 'ok') return 'Gate 3 sem veredito do avaliador independente';
+  return `veredito ${v.verdict}, ${v.blockers ?? 0} bloqueador(es)`;
+}
+
+/**
+ * Modelo do avaliador do Gate 3: `opus` quando a feature toca caminho sensível
+ * (auth, segredo, permissão, dado pessoal, dinheiro, migration), prompt/modelo
+ * ou geração de mídia; `sonnet` no resto.
+ *
+ * @param {{ changedFiles?: string[], promptModelTouched?: boolean, generatesMedia?: boolean }} input
+ * @returns {{ model: 'opus'|'sonnet', reasons: string[] }}
+ */
+export function evaluatorModelFor({ changedFiles = [], promptModelTouched = false, generatesMedia = false } = {}) {
+  const reasons = [];
+  const risky = changedFiles.filter((f) => OPUS_PATH_RE.test(f.replaceAll('\\', '/')));
+  if (risky.length) reasons.push(`caminho sensível: ${firstOf(risky)}`);
+  if (promptModelTouched) reasons.push('prompt/modelo alterado');
+  if (generatesMedia) reasons.push('gera mídia');
+  return { model: reasons.length ? 'opus' : 'sonnet', reasons };
+}
+
 /**
  * @param {object} config - .morph/config/config.json contents (uses `trust`)
  * @param {object} signals
@@ -274,59 +309,13 @@ export function shouldPauseGate(config, signals) {
   if (signals.gate === 'review' && signals.verificationStale === true) {
     return {
       pause: true,
-      reason: 'verification stamp desatualizado (sha difere do HEAD) — rode `morph-spec verify` de novo antes do ship',
+      reason: 'verification stamp desatualizado (o código mudou depois do commit do stamp) — rode `morph-spec verify` de novo antes do ship',
     };
   }
 
-  // No gate de SHIP, um `evalScore` que não veio do avaliador independente NÃO
-  // é sinal de qualidade da feature — é sinal de qualidade das tasks, dado por
-  // quem as implementou. Observado em campo: 7 tasks com auto-score 9.0-9.3
-  // levaram o gate-check a imprimir "auto-pass, nenhum sinal de risco" sobre um
-  // produto que o avaliador independente pontuou 7.2 e reprovou com 3 P1.
-  //
-  // O predicado é por AUSÊNCIA da fonte confiável, não por presença do proxy,
-  // porque há três maneiras de chegar aqui sem avaliador e todas devem pausar:
-  // proxy de taskScores; override manual via --signals; e nenhuma fonte (sem
-  // task pontuada e sem relatório, `evalScore` é OMITIDO e a regra de score
-  // abaixo nem chega a rodar).
-  //
-  // Fora do review não vale: em plan/uiux/proposal o proxy é exatamente o sinal
-  // certo — não existe avaliador independente antes de haver implementação.
-  if (signals.gate === 'review' && signals.evalScoreSource !== TRUSTED_EVAL_SOURCE) {
-    return {
-      pause: true,
-      reason: `Gate 3 sem score do avaliador independente (fonte: ${signals.evalScoreSource ?? 'nenhuma'})`
-            + ' — auto-avaliação de quem implementou não decide o ship',
-    };
-  }
-
-  // No gate de SHIP: o relatório do avaliador chegou SEM a seção `## Mutações`.
-  // O score diz o que o avaliador ACHOU; a seção diz o que ele PROVOU — e um
-  // teste verde só prova que o código roda, nunca que o teste morde. Medido:
-  // 11 testes verdes sobre um artefato que o build recusava, porque nenhum
-  // deles CARREGAVA o arquivo; e um caminho de escrita reduzido a `return 0;`
-  // que passou 23 de 23, todos de recusa.
-  //
-  // DEPOIS da cláusula de procedência e ANTES da de score, e a ordem é
-  // POLÍTICA, não acaso: quando faltam avaliador E seção, a razão reportada tem
-  // de ser a mais fundamental ("sem avaliador independente"), porque exigir a
-  // prova de um relatório que nem devia decidir o gate manda o humano consertar
-  // a coisa errada.
-  //
-  // FAIL-OPEN POR AUSÊNCIA, em duas direções: `productionCode === true` é
-  // exigido EXPLICITAMENTE, então uma feature legada (sinal ausente, `undefined`)
-  // não pausa, e uma feature 100% `docs` — que não tem o que mutar — também
-  // não. Quem decide as duas coisas é gate-check.js, lendo o disco; aqui só se
-  // aplica a política sobre fatos já reunidos.
-  if (signals.gate === 'review'
-      && signals.mutationProof?.productionCode === true
-      && signals.mutationProof?.section !== true) {
-    return {
-      pause: true,
-      reason: 'relatório do avaliador sem a seção `## Mutações` — prova de mutação não registrada'
-            + ' (rubrica evals/proof-rubrics/mutation-proof.md): um teste verde prova que o código'
-            + ' roda, não que o teste morde',
-    };
+  if (signals.gate === 'review') {
+    const reason = verdictPause(signals.evaluatorVerdict);
+    if (reason) return { pause: true, reason };
   }
 
   // No gate de SHIP apenas: a feature mexeu num caminho que o PROJETO declarou
@@ -368,24 +357,7 @@ export function shouldPauseGate(config, signals) {
     // também já pausou, por `verificationStale`.
   }
 
-  // No gate de SHIP: uma feature que GERA MÍDIA cujo relatório chegou sem a
-  // seção `## Mídia gerada`. As quatro afirmações que essa seção carrega —
-  // custo, revisão humana, marcação e hot path não bloqueado — são fáceis de
-  // escrever e difíceis de provar, e a mais cara delas é a que ninguém percebe
-  // falhando: mídia gerada dentro de um turno de conversa, com latência
-  // documentada de até 2 min, custo por chamada e ZERO revisão possível.
-  //
-  // DEPOIS da cláusula de procedência e da de mutação, e a ordem é POLÍTICA,
-  // como lá: quando faltam avaliador, seção de mutação E seção de mídia, a razão
-  // reportada tem de ser a mais fundamental, porque mandar o humano consertar a
-  // terceira enquanto a primeira está aberta manda consertar a coisa errada.
-  //
-  // FAIL-OPEN POR AUSÊNCIA, igual: `featureGeneratesMedia === true` é exigido
-  // EXPLICITAMENTE, então uma feature legada (sinal ausente, `undefined`) não
-  // pausa, e a maioria das features — que não gera mídia — fica isenta
-  // automaticamente, sem ninguém precisar lembrar de aplicar a exceção. Quem
-  // decide isso é gate-check.js, lendo `standards[]` das tasks; aqui só se
-  // aplica a política sobre fatos já reunidos.
+  // Feature que gera mídia: custo, revisão humana, marcação e hot path só valem provados na seção.
   if (signals.gate === 'review'
       && signals.mediaClaims?.featureGeneratesMedia === true
       && signals.mediaClaims.section !== true) {
@@ -393,7 +365,7 @@ export function shouldPauseGate(config, signals) {
       pause: true,
       reason: 'relatório do avaliador sem a seção `## Mídia gerada` — as quatro afirmações de mídia'
             + ' (custo, revisão humana, marcação, hot path) não foram provadas'
-            + ' (rubrica evals/proof-rubrics/media-claims.md)',
+            + ' (evals/review-checklist.md, "Feature que gera mídia")',
     };
   }
 
@@ -417,7 +389,7 @@ export function shouldPauseGate(config, signals) {
         pause: true,
         reason: `relatório do avaliador sem a seção \`## Checklist de tela\` — o design decidiu ${firstOf(uncovered)}`
               + ' e a avaliação não registrou a conferência contra a tela entregue'
-              + ' (rubrica evals/rubrics/contracts.md, "Contrato de tela")',
+              + ' (evals/review-checklist.md, "Contrato de tela")',
       };
     }
     return {
@@ -435,13 +407,6 @@ export function shouldPauseGate(config, signals) {
     };
   }
 
-  if (typeof signals.evalScore === 'number' && signals.evalScore < MIN_EVAL_SCORE) {
-    return {
-      pause: true,
-      reason: `eval score ${signals.evalScore} below threshold ${MIN_EVAL_SCORE}`,
-    };
-  }
-
   if (typeof signals.taskCount === 'number' && signals.taskCount > SCOPE_TASK_THRESHOLD) {
     return {
       pause: true,
@@ -479,24 +444,7 @@ export function getRiskSignals(signals) {
   if (signals.gate === 'review' && signals.verificationStale === true) {
     out.push('verification stamp desatualizado (stale) no ship');
   }
-  if (signals.gate === 'review' && signals.evalScoreSource !== TRUSTED_EVAL_SOURCE) {
-    out.push(`score do Gate 3 sem avaliador independente (fonte: ${signals.evalScoreSource ?? 'nenhuma'})`);
-  }
-  // Listado mesmo quando NÃO pausa (feature só de docs, ou prova presente com
-  // score baixo): a prova é o insumo do teto de `test-coverage.md`, e um teto
-  // que ninguém enxerga não é aplicado por ninguém.
-  if (signals.gate === 'review' && signals.mutationProof) {
-    const { section, min, productionCode } = signals.mutationProof;
-    if (section !== true) {
-      out.push(productionCode === true
-        ? 'relatório sem a seção `## Mutações` (prova de mutação ausente)'
-        : 'relatório sem a seção `## Mutações` — feature sem código de produção, não pausa');
-    } else if (typeof min === 'number') {
-      out.push(`prova de mutação registrada (menor Proof-Score: ${min})`);
-    } else {
-      out.push('prova de mutação registrada (sem `**Proof-Scores:**` — nenhum teto a aplicar)');
-    }
-  }
+  if (signals.gate === 'review') out.push(verdictSummary(signals.evaluatorVerdict));
   // Listado mesmo quando NÃO pausa, pela mesma razão do e2e: um projeto que não
   // declara caminho de prompt/modelo é indistinguível, no relatório, de um que
   // declara e não tocou em nada — e as duas coisas significam coisas diferentes.
@@ -511,9 +459,6 @@ export function getRiskSignals(signals) {
   if (signals.gate === 'plan' && Array.isArray(signals.oversizedTasks) && signals.oversizedTasks.length > 0) {
     out.push(`tasks grandes demais: ${signals.oversizedTasks.map((t) => t.id).join(', ')}`);
   }
-  if (typeof signals.evalScore === 'number' && signals.evalScore < MIN_EVAL_SCORE) {
-    out.push(`eval score ${signals.evalScore}/10`);
-  }
   if (typeof signals.taskCount === 'number' && signals.taskCount > SCOPE_TASK_THRESHOLD) {
     out.push(`${signals.taskCount} tasks (over threshold)`);
   }
@@ -521,14 +466,9 @@ export function getRiskSignals(signals) {
   // de uma feature que não gera mídia tem de ser VISÍVEL, senão é
   // indistinguível de uma omissão.
   if (signals.gate === 'review' && signals.mediaClaims?.featureGeneratesMedia === true) {
-    const { section, score } = signals.mediaClaims;
-    if (section !== true) {
-      out.push('relatório sem a seção `## Mídia gerada` (prova de mídia ausente)');
-    } else if (typeof score === 'number') {
-      out.push(`prova de mídia registrada (media=${score}; teto em arquitetura)`);
-    } else {
-      out.push('prova de mídia registrada (sem `media=` nos Proof-Scores — nenhum teto a aplicar)');
-    }
+    out.push(signals.mediaClaims.section === true
+      ? 'prova de mídia registrada'
+      : 'relatório sem a seção `## Mídia gerada` (prova de mídia ausente)');
   }
 
   // Listado mesmo quando NÃO pausa: a isenção (sem mockup, legado, nada
@@ -563,8 +503,6 @@ export function getRiskSignals(signals) {
 
 export const RISK_CONSTANTS = {
   SCOPE_TASK_THRESHOLD,
-  MIN_EVAL_SCORE,
   FORCED_PAUSE_WORK_TYPES,
-  TRUSTED_EVAL_SOURCE,
   E2E_SKIP_CLASSES_THAT_PAUSE,
 };