@zaip-ai/cli 1.3.8 → 1.4.1

package/templates/{README.md → .agents/README.md}

@@ -1,5 +1,9 @@
 # ZAIP-AIOS (6 Squads + 23 Agents)
 
+[English](README-ENG.md) | Português
+
+> **Manutenção bilíngue / bilingual maintenance:** `README.md` é a fonte principal em português; mantenha `README-ENG.md` como sua tradução correspondente em inglês quando este documento for atualizado.
+
 ## Visão rápida
 
 O ZAIP-AIOS é um sistema operacional para execução autônoma de trabalho com agentes de IA, que coordena 23 agentes especializados, organizados em 6 squads, dentro do Codex.
@@ -10,19 +14,19 @@ Essa abordagem busca reduzir intervenções, contexto desnecessário e retrabalh
 
 Embora tenha nascido com foco em software, o ZAIP-AIOS também coordena demandas de Operações, Growth, Marketing, Branding e Vendas. O framework e o Dashboard funcionam localmente, sem exigir VPS. Autenticação, franquia, cobrança e integrações dependem do host/provider escolhido; usar uma assinatura no Codex não transforma o custo equivalente estimado em cobrança de API.
 
-<img src=".agents/config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
+<img src="config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
 
 Na prática, o sistema decompõe demandas complexas, organiza o trabalho, seleciona os agentes mais adequados, coordena dependências, acompanha a execução e verifica a qualidade antes de considerar uma entrega concluída.
 
 O Dashboard centraliza a operação em uma única visão, reunindo Tasks, SPECs e PRDs, além de dependências, bloqueios, tempo de execução, consumo de tokens, custos, revisões e evidências produzidas ao longo do processo.
 
-<img src=".agents/config/src/dashboard_pt_1_visao_geral.png" alt="Dashboard ZAIP-AIOS, Visão Geral" width="100%">
+<img src="config/src/dashboard_pt_1_visao_geral.png" alt="Dashboard ZAIP-AIOS, Visão Geral" width="100%">
 
 Em uma amostra comparativa de tarefas executadas de forma autônoma, o ZAIP-AIOS apresentou uma redução aproximada de 34% no custo médio por tarefa e 62% no custo médio por hora.
 
 A comparação considera o ciclo completo de trabalho, planejamento, execução, testes, revisões e documentação —, e os resultados devem ser interpretados dentro dos limites da amostra analisada.
 
-<img src=".agents/config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
+<img src="config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
 
 A fonte canônica permanece nos arquivos Git-native do repositório. Requisitos, decisões, implementações e provas podem ser versionados; só passam a estar no histórico remoto após commit e publicação explicitamente autorizada. Segredos e estado privado da máquina ficam fora desse histórico.
 
@@ -44,30 +48,75 @@ No ZAIP-AIOS, uma Task não é considerada concluída apenas porque um agente te
 | Consultar os contratos técnicos | [Referência técnica e operacional](#referência-técnica-e-operacional) |
 | Manter o framework | [Desenvolvimento do framework](#desenvolvimento-do-framework) |
 | Configurar permissões com segurança | [Segurança com perfis de permissão](#segurança-com-perfis-de-permissão) |
-| Avaliar lançamento, suporte e comercialização | [Prontidão para produção e comercialização](docs/PRODUCTION-COMMERCIAL-READINESS.md) |
-| Navegar pelos 28 guias operacionais | [Índice completo do handbook](.agents/zaip-aios/INDEX.md) |
+| Avaliar lançamento, suporte e comercialização | [Prontidão para produção e comercialização](../docs/PRODUCTION-COMMERCIAL-READINESS.md) |
+| Navegar pelos 28 guias operacionais | [Índice completo do handbook](zaip-aios/INDEX.md) |
 
 ### Como interpretar esta documentação
 
-Este README e o [handbook](.agents/zaip-aios/INDEX.md) descrevem o código-fonte deste repositório. Configuração efetiva, suporte do host, pacote instalado e candidato qualificado são dimensões distintas. `@latest` aponta para a versão publicada, que pode não conter alterações locais. As imagens do Dashboard são ilustrações de estados anteriores, não prova visual do candidato atual.
+Este README e o [handbook](zaip-aios/INDEX.md) descrevem o código-fonte deste repositório. Configuração efetiva, suporte do host, pacote instalado e candidato qualificado são dimensões distintas. `@latest` aponta para a versão publicada, que pode não conter alterações locais. As imagens do Dashboard são ilustrações de estados anteriores, não prova visual do candidato atual.
 
-A atualização documental não aprova uma release. Consulte o [registro de limites de qualificação](docs/PRODUCTION-COMMERCIAL-READINESS.md#limites-conhecidos-da-qualificação) antes de promover o código; testes locais, paridade, CI e validação em produção devem ser comprovados separadamente.
+A atualização documental não aprova uma release. Consulte o [registro de limites de qualificação](../docs/PRODUCTION-COMMERCIAL-READINESS.md#limites-conhecidos-da-qualificação) antes de promover o código; testes locais, paridade, CI e validação em produção devem ser comprovados separadamente.
 
 ## Instalação em um comando
 
-Com Node.js 22.16.0 ou superior e npm, execute a instalação na raiz do projeto que receberá o ZAIP-AIOS. O `init` instala automaticamente as dependências ausentes da stack (TypeScript, Vite, Astro, cliente Redis, BullMQ, Hono, React e React DOM), verifica os runtimes distribuídos e prepara e valida o SQLite local. Um projeto novo recebe `package.json` e lockfile; versões locais existentes são preservadas e o retorno informa a versão encontrada e a configurada no ZAIP-AIOS. Não é necessário um driver SQLite separado:
+Com Node.js 22.16.0 ou superior e npm, execute a instalação na raiz do projeto que receberá o ZAIP-AIOS. Em uma instalação nova, o `init` usa o perfil completo (`full`): instala as dependências ausentes da stack e prepara o Terraform. Todos os perfis verificam os runtimes distribuídos e preparam e validam o SQLite local, sem driver separado. Versões de pacotes existentes no projeto são preservadas, com aviso das versões atual e configurada no ZAIP-AIOS:
 
 ```bash
 npx @zaip-ai/cli@latest init
 ```
 
-O sufixo `@latest` instala a release pública atual sem fixar o README a uma versão específica. O CLI encontra a raiz Git mesmo quando o comando é iniciado em uma subpasta, valida o template antes de escrever e interrompe a instalação se detectar conflito com arquivo pertencente ao usuário. O mesmo comando pode ser executado novamente para receber arquivos novos e atualizar adapters gerenciados sem apagar o histórico do projeto.
+Também é possível aceitar automaticamente o download inicial do CLI pelo `npx`:
+
+```bash
+npx --yes @zaip-ai/cli@latest init
+```
+
+Os dois comandos usam o perfil salvo no projeto ou `full` quando ainda não existe uma escolha. A opção `--yes` antes do nome do pacote apenas aceita o download inicial do CLI pelo `npx`; ela não força a substituição de dependências, arquivos ou versões já existentes.
+
+Ela pode ser combinada com qualquer um dos três perfis, por exemplo: `npx --yes @zaip-ai/cli@latest init --profile lite`. Já `init --yes`, depois do nome do pacote, confirma a substituição de arquivos solicitada com `--force`. Use `--force --yes` somente após revisar o dry-run; o instalador cria um backup antes da substituição.
+
+### Perfis de instalação
+
+```bash
+npx @zaip-ai/cli@latest init --profile dev-lite
+npx @zaip-ai/cli@latest init --profile lite
+```
+
+| Perfil | Comando | Indicado para |
+| --- | --- | --- |
+| Completo (`full`, padrão inicial) | `npx @zaip-ai/cli@latest init` | Desenvolvimento e infraestrutura com Terraform |
+| Desenvolvimento (`dev-lite`) | `npx @zaip-ai/cli@latest init --profile dev-lite` | Desenvolvimento de aplicações, sem instalar Terraform |
+| Operações (`lite`) | `npx @zaip-ai/cli@latest init --profile lite` | Growth e Ops, sem instalar pacotes da stack de programação ou Terraform |
 
-Cada release do CLI leva seu próprio template verificado. A árvore documentada neste README representa o estado atual do repositório-fonte; uma funcionalidade recém-integrada passa a chegar pelo mesmo comando assim que a release correspondente é publicada.
+Todos incluem o framework, os agentes, as skills e o Dashboard. O perfil `lite` mantém as dependências necessárias ao próprio ZAIP; Node/npm continuam necessários para executar o instalador. Os perfis `full` e `dev-lite` criam `package.json` e lockfile quando o projeto ainda não os possui.
 
-O instalador cria [`.agents`](.agents/) com regras, requisitos, skills, documentação operacional, catálogo de ferramentas, Dashboard, design system e estado Git-native do lifecycle. Também instala os adapters `AGENTS.md` e `CLAUDE.md`, as skills de descoberta em `.codex/skills/zaip-aios/SKILL.md` e `.claude/skills/zaip-aios/SKILL.md`, a configuração de projeto `.codex/config.toml` e as configurações equivalentes do Claude. Todos apontam para a mesma fonte canônica, preservando o Codex como experiência principal sem acoplar PRDs, SPECs, Tasks e evidências a um único host.
+A escolha fica salva no projeto e é respeitada nas próximas atualizações. Para habilitar desenvolvimento depois de uma instalação `lite`, execute `init --profile dev-lite`; para incluir Terraform, execute `init --profile full`. Mudar para um perfil menor não desinstala pacotes nem ferramentas existentes.
 
-Depois da instalação, o [índice operacional](.agents/zaip-aios/INDEX.md) organiza os guias de primeiros passos, execução, revisão, custos, ferramentas, diagnóstico e atualização.
+As opções também funcionam pelo inicializador npm: `npm create zaip-aios@latest -- --profile lite`. Use `--dry-run --profile full` para consultar a mudança antes de instalar.
+
+| Dependência | Função | Versão padrão |
+| --- | --- | --- |
+| TypeScript | Linguagem e tipagem | 7.0.2 |
+| Vite | Build e desenvolvimento web | 8.1.4 |
+| Astro | Framework do site | 7.2.4 |
+| Redis | Cliente JavaScript para Redis | 6.2.1 |
+| BullMQ | Filas e jobs | 6.2.0 |
+| Hono | API web | 4.12.34 |
+| React | Interface web | 19.2.7 |
+| React DOM | Renderização do React no DOM | 19.2.7 |
+| Node.js local | Runtime da stack, preparado automaticamente quando necessário | 22.23.2 (condicional) |
+| SQLite | Banco local do Dashboard | Integrada ao Node.js; varia conforme o runtime |
+| Terraform CLI | Provisionamento de infraestrutura; somente no perfil `full` | 1.16.1 para a instalação gerenciada |
+
+O comando instala a versão pública mais recente do ZAIP-AIOS, prepara as dependências ausentes do perfil selecionado e preserva as versões de pacotes existentes no projeto. Alterações deste código-fonte só chegam ao comando `@latest` depois de publicadas no npm.
+
+A instalação inclui Dashboard, regras, skills e configurações para Codex e Claude. Execute o mesmo comando novamente para atualizar os arquivos gerenciados sem apagar o histórico.
+
+O pacote Redis inclui apenas o cliente JavaScript; o servidor deve ser configurado separadamente.
+
+O perfil `full` reutiliza um Terraform compatível ou prepara uma instalação local com download oficial e verificação SHA-256. Credenciais de cloud são configuradas separadamente. Os providers declarados nos arquivos `.tf` são baixados quando você executa `terraform init`; instalar o ZAIP não provisiona recursos nem executa `terraform apply`.
+
+Após instalar, consulte o [índice operacional](zaip-aios/INDEX.md) para começar.
 
 ## Como as camadas se complementam
 
@@ -89,35 +138,35 @@ As identidades técnicas permanecem separadas das personas visíveis. Assim, nom
 
 | Foto | # | Persona / função | Especialidade |
 | :---: | ---: | --- | --- |
-| <img src=".agents/config/src/1%20-%20Dave%20-%20Product%20Owner.png" alt="Dave, Product Owner" width="400"> | 1 | Dave / Product Owner | Resolve DAG e delega |
-| <img src=".agents/config/src/2%20-%20Rafa%20-%20Tech%20Lead.png" alt="Rafa, Tech Lead" width="400"> | 2 | Rafa / Tech Lead | Entrega genérica, SPEC e dashboard/local |
-| <img src=".agents/config/src/3%20-%20Leo%20-%20Software%20Engineer.png" alt="Leo, Software Engineer" width="400"> | 3 | Leo / Software Engineer | Task genérica ponta a ponta |
-| <img src=".agents/config/src/4%20-%20Bia%20-%20Product%20Manager.png" alt="Bia, Product Manager" width="400"> | 4 | Bia / Product Manager | Criação/refino de PRD e análise de produto |
-| <img src=".agents/config/src/5%20-%20Gui%20-%20Quality%20Assurance%20Lead.png" alt="Gui, Quality Assurance Lead" width="400"> | 5 | Gui / Quality Assurance Lead | Resultado terminal restrito |
-| <img src=".agents/config/src/6%20-%20Nanda%20-%20Principal%20Engineer.png" alt="Nanda, Principal Engineer" width="400"> | 6 | Nanda / Principal Engineer | Revisão independente |
-| <img src=".agents/config/src/7%20-%20Dani%20-%20Integration%20Engineer.png" alt="Dani, Integration Engineer" width="400"> | 7 | Dani / Integration Engineer | Integração e gates combinados |
-| <img src=".agents/config/src/8%20-%20Ana%20-%20Quality%20Auditor.png" alt="Ana, Quality Auditor" width="400"> | 8 | Ana / Quality Auditor | Auditoria independente |
-| <img src=".agents/config/src/9%20-%20Lia%20-%20Technical%20Writer.png" alt="Lia, Technical Writer" width="400"> | 9 | Lia / Technical Writer | Resumo fiel, análise de transcrição e documentação fundamentada em fontes |
-| <img src=".agents/config/src/10%20-%20Gabi%20-%20Data%20Analyst.png" alt="Gabi, Data Analyst" width="400"> | 10 | Gabi / Data Analyst | Análise de dados |
-| <img src=".agents/config/src/11%20-%20Tati%20-%20Refactoring%20Specialist.png" alt="Tati, Refactoring Specialist" width="400"> | 11 | Tati / Refactoring Specialist | Refatoração, migração e modularização seguras |
-| <img src=".agents/config/src/12%20-%20Doug%20-%20Frontend%20Developer.png" alt="Doug, Frontend Developer" width="400"> | 12 | Doug / Frontend Developer | Frontend e acessibilidade conforme `DESIGN.md` |
-| <img src=".agents/config/src/13%20-%20Will%20-%20Backend%20Developer.png" alt="Will, Backend Developer" width="400"> | 13 | Will / Backend Developer | API, backend e módulos |
-| <img src=".agents/config/src/14%20-%20Jonny%20-%20Website%20Developer.png" alt="Jonny, Website Developer" width="400"> | 14 | Jonny / Website Developer | Sites e landing pages, SEO, GEO e preparação para agentes |
-| <img src=".agents/config/src/15%20-%20Manu%20-%20Product%20Designer.png" alt="Manu, Product Designer" width="400"> | 15 | Manu / Product Designer | `DESIGN.md`, Design System, tokens e catálogo |
-| <img src=".agents/config/src/16%20-%20Dan%20-%20Cloud%20Engineer.png" alt="Dan, Cloud Engineer" width="400"> | 16 | Dan / Cloud Engineer | Infraestrutura cloud, Terraform, Docker e ambientes |
-| <img src=".agents/config/src/17%20-%20Luis%20-%20Security%20Auditor.png" alt="Luiz, Security Auditor" width="400"> | 17 | Luiz / Security Auditor | Auditoria técnica e independente de segurança |
-| <img src=".agents/config/src/18%20-%20Lucia%20-%20Marketing%20Analyst.png" alt="Lucia, Marketing Analyst" width="400"> | 18 | Lucia / Marketing Analyst | Planejamento de marketing, copy e preparação de ativos |
-| <img src=".agents/config/src/19%20-%20Renata%20-%20Compliance%20Specialist.png" alt="Renata, Compliance Specialist" width="400"> | 19 | Renata / Governance & Compliance Specialist | Artefatos internos de RH, jurídico operacional, políticas, privacidade, fornecedores e riscos |
-| <img src=".agents/config/src/20%20-%20Clara%20-%20Operations%20Specialist.png" alt="Clara, Operations Specialist" width="400"> | 20 | Clara / Operations Generalist | Documentos, apresentações, planilhas, processos e comparativos delimitados fora de especialidades obrigatórias |
-| <img src=".agents/config/src/21%20-%20Sarah%20-%20Branding%20Specialist.png" alt="Sarah, Branding Specialist" width="400"> | 21 | Sarah / Branding Specialist | Estratégia e governança de marca, Brandbook, arquétipos, diferencial semântico e arquitetura de marca |
-| <img src=".agents/config/src/22%20-%20Aaron%20-%20Sales%20Specialist.png" alt="Aaron, Sales Specialist" width="400"> | 22 | Aaron / Sales Specialist | Processo comercial interno, qualificação, playbooks, scripts e handoffs entre SDR e closer |
-| <img src=".agents/config/src/23%20-%20Robert%20-%20Growth%20Strategist.png" alt="Robert, Growth Strategist" width="400"> | 23 | Robert / Growth Strategist | Estratégia de crescimento, RevOps, experimentos e recomendações orientadas por dados e impacto financeiro |
-
-O [Catálogo de agentes](.agents/zaip-aios/guides/18-catalogo-de-agentes.md) reúne as especialidades e responsabilidades dos agentes disponíveis no ZAIP-AIOS.
+| <img src="config/src/1%20-%20Dave%20-%20Product%20Owner.png" alt="Dave, Product Owner" width="400"> | 1 | Dave / Product Owner | Resolve DAG e delega |
+| <img src="config/src/2%20-%20Rafa%20-%20Tech%20Lead.png" alt="Rafa, Tech Lead" width="400"> | 2 | Rafa / Tech Lead | Entrega genérica, SPEC e dashboard/local |
+| <img src="config/src/3%20-%20Leo%20-%20Software%20Engineer.png" alt="Leo, Software Engineer" width="400"> | 3 | Leo / Software Engineer | Task genérica ponta a ponta |
+| <img src="config/src/4%20-%20Bia%20-%20Product%20Manager.png" alt="Bia, Product Manager" width="400"> | 4 | Bia / Product Manager | Criação/refino de PRD e análise de produto |
+| <img src="config/src/5%20-%20Gui%20-%20Quality%20Assurance%20Lead.png" alt="Gui, Quality Assurance Lead" width="400"> | 5 | Gui / Quality Assurance Lead | Resultado terminal restrito |
+| <img src="config/src/6%20-%20Nanda%20-%20Principal%20Engineer.png" alt="Nanda, Principal Engineer" width="400"> | 6 | Nanda / Principal Engineer | Revisão independente |
+| <img src="config/src/7%20-%20Dani%20-%20Integration%20Engineer.png" alt="Dani, Integration Engineer" width="400"> | 7 | Dani / Integration Engineer | Integração e gates combinados |
+| <img src="config/src/8%20-%20Ana%20-%20Quality%20Auditor.png" alt="Ana, Quality Auditor" width="400"> | 8 | Ana / Quality Auditor | Auditoria independente |
+| <img src="config/src/9%20-%20Lia%20-%20Technical%20Writer.png" alt="Lia, Technical Writer" width="400"> | 9 | Lia / Technical Writer | Resumo fiel, análise de transcrição e documentação fundamentada em fontes |
+| <img src="config/src/10%20-%20Gabi%20-%20Data%20Analyst.png" alt="Gabi, Data Analyst" width="400"> | 10 | Gabi / Data Analyst | Análise de dados |
+| <img src="config/src/11%20-%20Tati%20-%20Refactoring%20Specialist.png" alt="Tati, Refactoring Specialist" width="400"> | 11 | Tati / Refactoring Specialist | Refatoração, migração e modularização seguras |
+| <img src="config/src/12%20-%20Doug%20-%20Frontend%20Developer.png" alt="Doug, Frontend Developer" width="400"> | 12 | Doug / Frontend Developer | Frontend e acessibilidade conforme `DESIGN.md` |
+| <img src="config/src/13%20-%20Will%20-%20Backend%20Developer.png" alt="Will, Backend Developer" width="400"> | 13 | Will / Backend Developer | API, backend e módulos |
+| <img src="config/src/14%20-%20Jonny%20-%20Website%20Developer.png" alt="Jonny, Website Developer" width="400"> | 14 | Jonny / Website Developer | Sites e landing pages, SEO, GEO e preparação para agentes |
+| <img src="config/src/15%20-%20Manu%20-%20Product%20Designer.png" alt="Manu, Product Designer" width="400"> | 15 | Manu / Product Designer | `DESIGN.md`, Design System, tokens e catálogo |
+| <img src="config/src/16%20-%20Dan%20-%20Cloud%20Engineer.png" alt="Dan, Cloud Engineer" width="400"> | 16 | Dan / Cloud Engineer | Infraestrutura cloud, Terraform, Docker e ambientes |
+| <img src="config/src/17%20-%20Luis%20-%20Security%20Auditor.png" alt="Luiz, Security Auditor" width="400"> | 17 | Luiz / Security Auditor | Auditoria técnica e independente de segurança |
+| <img src="config/src/18%20-%20Lucia%20-%20Marketing%20Analyst.png" alt="Lucia, Marketing Analyst" width="400"> | 18 | Lucia / Marketing Analyst | Planejamento de marketing, copy e preparação de ativos |
+| <img src="config/src/19%20-%20Renata%20-%20Compliance%20Specialist.png" alt="Renata, Compliance Specialist" width="400"> | 19 | Renata / Governance & Compliance Specialist | Artefatos internos de RH, jurídico operacional, políticas, privacidade, fornecedores e riscos |
+| <img src="config/src/20%20-%20Clara%20-%20Operations%20Specialist.png" alt="Clara, Operations Specialist" width="400"> | 20 | Clara / Operations Generalist | Documentos, apresentações, planilhas, processos e comparativos delimitados fora de especialidades obrigatórias |
+| <img src="config/src/21%20-%20Sarah%20-%20Branding%20Specialist.png" alt="Sarah, Branding Specialist" width="400"> | 21 | Sarah / Branding Specialist | Estratégia e governança de marca, Brandbook, arquétipos, diferencial semântico e arquitetura de marca |
+| <img src="config/src/22%20-%20Aaron%20-%20Sales%20Specialist.png" alt="Aaron, Sales Specialist" width="400"> | 22 | Aaron / Sales Specialist | Processo comercial interno, qualificação, playbooks, scripts e handoffs entre SDR e closer |
+| <img src="config/src/23%20-%20Robert%20-%20Growth%20Strategist.png" alt="Robert, Growth Strategist" width="400"> | 23 | Robert / Growth Strategist | Estratégia de crescimento, RevOps, experimentos e recomendações orientadas por dados e impacto financeiro |
+
+O [Catálogo de agentes](zaip-aios/guides/18-catalogo-de-agentes.md) reúne as especialidades e responsabilidades dos agentes disponíveis no ZAIP-AIOS.
 
 ### Squads organizacionais
 
-<img src=".agents/config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
+<img src="config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
 
 Os seis squads tornam a estrutura de responsabilidades fácil de visualizar: **Product** (Dave, Bia e Manu), **Admin & Operations** (Clara, Renata e Lia), **Development** (Rafa, Leo, Jonny, Will, Doug e Tati), **Delivery Assurance** (Nanda, Gui, Ana e Dani), **Infra & Security** (Dan e Luiz) e **Growth — Sales, Marketing and Branding** (Robert, Gabi, Lucia, Sarah e Aaron).
 
@@ -133,7 +182,7 @@ Quando executado com a conta ChatGPT/Codex, o consumo segue as condições dessa
 
 O Dashboard transforma o histórico técnico do ZAIP-AIOS em uma visão operacional clara. Em um só lugar, ele mostra o trabalho em andamento, os custos observados, a cobertura de qualidade, os bloqueios e a relação entre intenção, execução e resultado.
 
-<img src=".agents/config/src/dashboard_pt_1_visao_geral_este_mes.png" alt="Dashboard ZAIP-AIOS, Visao Geral Mes" width="100%">
+<img src="config/src/dashboard_pt_1_visao_geral_este_mes.png" alt="Dashboard ZAIP-AIOS, Visao Geral Mes" width="100%">
 
 Os registros Git-native continuam sendo a fonte oficial. Tudo o que aparece nas telas pode ser reconstruído a partir dos arquivos canônicos e da configuração do projeto, sem criar uma base paralela ou dependência externa de infraestrutura.
 
@@ -141,14 +190,14 @@ Os registros Git-native continuam sendo a fonte oficial. Tudo o que aparece nas
 
 Os registros ZAIP canônicos permanecem na estrutura padrão em `.agents/records`. Para acelerar consultas e visualizações, o Dashboard reconstrói um SQLite descartável como *read model*. Esse arquivo não é fonte de verdade nem armazenamento canônico: é apenas uma projeção local reconstruível.
 
-Não é preciso instalar servidor SQLite, DBeaver ou banco externo. O runtime usa `node:sqlite` e mantém a projeção em `.local/dashboard-sqlite/read-model.sqlite`. Abrir ou atualizar o Dashboard não autoriza reconciliação global de Runs: essa operação é separada e exige confirmação.
+Não é preciso instalar servidor SQLite, DBeaver ou banco externo. `.local/sqlite/` é o diretório central por workspace para bancos SQLite gerenciados localmente; vários nomes estáveis podem coexistir conforme seu propósito. O Dashboard usa exatamente `.local/sqlite/zaip-aios-dashboard.sqlite`, sem cópias por porta, PID, hash ou geração. WAL, SHM e JOURNAL são auxiliares normais do banco aberto. Fixtures descartáveis ficam em `.local/sqlite/tests/<fixture>/` com limpeza automática; workspaces isolados usam sua própria `.local/sqlite/`; bancos internos de ferramentas externas seguem o armazenamento dessas ferramentas. Abrir ou atualizar o Dashboard não autoriza reconciliação global de Runs: essa operação é separada e exige confirmação.
 
 
 ### Kanban
 
 Organiza PRDs, SPECs e Tasks por estágio, destacando execução, verificação, conclusão, criticidade, tempo, tokens e custo observado.
 
-<img src=".agents/config/src/dashboard_pt_2_kanban.png" alt="Dashboard ZAIP-AIOS, Kanban" width="100%">
+<img src="config/src/dashboard_pt_2_kanban.png" alt="Dashboard ZAIP-AIOS, Kanban" width="100%">
 
 As visões Trabalho (Kanban) e Trabalho (Lista) permitem alternar entre leitura por estágio e comparação detalhada. Ambas preservam os filtros Todas as Tarefas, Visão Unificada Geral, PRDs, SPECs e Tarefas Avulsas, facilitando a análise de status, origem, risco, Runs, Sub-Runs, tempo, tokens, custo e cobertura. Cada item pode ser aberto para investigar bloqueios e consultar seu histórico rastreável.
 
@@ -156,7 +205,7 @@ As visões Trabalho (Kanban) e Trabalho (Lista) permitem alternar entre leitura
 
 Consolida tokens, duração, custo equivalente estimado e cobertura por período e por unidade de trabalho, sem transformar telemetria ausente em zero.
 
-<img src=".agents/config/src/dashboard_pt_3_monitor_custos.png" alt="Dashboard ZAIP-AIOS, Monitor de Custos" width="100%">
+<img src="config/src/dashboard_pt_3_monitor_custos.png" alt="Dashboard ZAIP-AIOS, Monitor de Custos" width="100%">
 
 O Monitor consolida tokens, tempo, custo e cobertura por Run, Task, SPEC e PRD. Isso permite comparar conversa, planejamento, execução, trabalho novo e rework, além de identificar médias e concentrações de consumo por dia, mês ou ano.
 
@@ -167,7 +216,7 @@ Quando o Codex utiliza os tokens ou a franquia da conta em vez de cobrar uma API
 A telemetria do Codex usa spool local sanitizado, um `InvocationSummary` por invocação e chunks com
 manifestos mensais rastreados pelo Git. Consultas com período usam os manifestos primeiro e mantêm
 fallback para a projeção de Run quando não existe resumo aplicável. Cobertura incompleta continua
-explícita em cada métrica. A [Telemetria Git-native do Codex](.agents/zaip-aios/guides/27-telemetria-git-native.md)
+explícita em cada métrica. A [Telemetria Git-native do Codex](zaip-aios/guides/27-telemetria-git-native.md)
 documenta contratos, armazenamento, integridade, recuperação e limites do rollout.
 
 
@@ -175,7 +224,7 @@ documenta contratos, armazenamento, integridade, recuperação e limites do roll
 
 Relaciona intenção, planejamento, execução, decisões, validações e evidências para explicar de onde cada resultado veio.
 
-<img src=".agents/config/src/dashboard_pt_4_rastreabilidade.png" alt="Dashboard ZAIP-AIOS, Rastreabilidade" width="100%">
+<img src="config/src/dashboard_pt_4_rastreabilidade.png" alt="Dashboard ZAIP-AIOS, Rastreabilidade" width="100%">
 
 Correlaciona PRD, Requirements, SPEC, Change, Task, Execution, Runs, Decisions, testes, reviews, evals e Evidence em um grafo lógico de rastreabilidade. A visão detalha as seis etapas do método e mostra quais documentos e provas sustentam cada resultado. Cada registro recebe identificador, data e hora quando faz parte do lifecycle ou da telemetria; as evidências permanecem vinculadas e a cronologia também é preservada pelo Git. Isso permite auditoria, retomada, análise de rework e comparação entre intenção e execução. Projeções podem ser reconstruídas e otimizadas; a compactação Git-native da telemetria preserva IDs, relações, métricas, cobertura e hashes sem versionar prompts ou respostas.
 
@@ -187,13 +236,13 @@ O Dashboard reúne a configuração do projeto em uma tela ligada ao arquivo can
 
 A configuração da plataforma apresenta o estado de ativação do ZAIP-AIOS e um resumo dos agentes, squads, skills, Rules, hooks e banco de dados. A mesma visão mostra os documentos de referência do projeto e indica quais deles já existem, mantendo a configuração técnica e a documentação visíveis no mesmo contexto.
 
-<img src=".agents/config/src/dashboard_pt_configuracao_plataforma.png" alt="Dashboard ZAIP-AIOS, configuração da plataforma" width="100%">
+<img src="config/src/dashboard_pt_configuracao_plataforma.png" alt="Dashboard ZAIP-AIOS, configuração da plataforma" width="100%">
 
 ### Stack de desenvolvimento
 
 A stack de desenvolvimento descreve cada responsabilidade separadamente, com tecnologia, versão exata e referência do pacote, imagem ou serviço. No projeto, esse contrato inclui TypeScript, Node.js, Hono, Kysely, PostgreSQL via Supabase, Supabase Auth + Storage, Redis e BullMQ, permitindo que as escolhas de desenvolvimento permaneçam registradas junto da configuração do projeto.
 
-<img src=".agents/config/src/dashboard_pt_configuracao_plataforma_stack.png" alt="Dashboard ZAIP-AIOS, stack de desenvolvimento" width="100%">
+<img src="config/src/dashboard_pt_configuracao_plataforma_stack.png" alt="Dashboard ZAIP-AIOS, stack de desenvolvimento" width="100%">
 
 ## O custo que importa: concluir a tarefa
 
@@ -270,13 +319,13 @@ Tempo, tokens e custo são agregados sempre que essas informações estiverem di
 
 Qualidade faz parte da definição de pronto. Cada entrega combina testes, revisão e checks proporcionais ao seu risco, com comprovação objetiva dos Critérios de Aceite.
 
-As Evidence conectam validações aprovadas à Task, Change, Execution, Run, Critérios de Aceite e candidato. O [guia de revisão](.agents/zaip-aios/guides/07-revisao-e-validacao.md) explica como registrar o procedimento realmente executado e seu resultado.
+As Evidence conectam validações aprovadas à Task, Change, Execution, Run, Critérios de Aceite e candidato. O [guia de revisão](zaip-aios/guides/07-revisao-e-validacao.md) explica como registrar o procedimento realmente executado e seu resultado.
 
 O contrato atual acrescenta observações `confirmed`, `limited`, `pending`, `failed` e `not_applicable`, sem substituir Validation/Evidence V2. A CLI valida estrutura e vínculos; não executa o comando declarado, não examina imagens e não consulta serviços automaticamente. Prova técnica não equivale a prova visual, integração real ou produção. Observações isoladas ou pendentes não aprovam uma entrega.
 
 Novos registros de Validation, Evidence, Observation e eventos de Run rejeitam padrões conhecidos de credenciais antes da persistência, sem repetir o valor sensível no erro. Use locators e resultados sanitizados; a proteção não certifica que um texto está livre de todo segredo ou dado pessoal. Históricos continuam legíveis e não são reescritos automaticamente.
 
-Para reduzir ciclos sem reduzir qualidade, escolha cedo o cenário que pode revelar uma direção errada. Repita após uma mudança concreta ou resultado que exija correção, não apenas porque o relógio avançou. A indisponibilidade da mesma ferramenta tem fallback finito e pendência explícita; a suficiência da prova continua sendo responsabilidade do executor/revisor. Consulte o [contrato canônico de prova observável](.agents/skills/zaip-skill-change/references/observable-evidence.md).
+Para reduzir ciclos sem reduzir qualidade, escolha cedo o cenário que pode revelar uma direção errada. Repita após uma mudança concreta ou resultado que exija correção, não apenas porque o relógio avançou. A indisponibilidade da mesma ferramenta tem fallback finito e pendência explícita; a suficiência da prova continua sendo responsabilidade do executor/revisor. Consulte o [contrato canônico de prova observável](skills/zaip-skill-change/references/observable-evidence.md).
 
 Tests, reviews, checks e Evidence tornam a evolução do projeto mais previsível: elevam a confiança nas mudanças, facilitam revisões e mantêm decisões, validações e aprimoramentos plenamente rastreáveis.
 
@@ -289,13 +338,13 @@ As análises abaixo apresentam reduções de custo **medidas na amostra comparat
 
 Este gráfico acompanha o custo de cada Task nas duas faixas comparadas. A média inicial é de **R$ 67 por tarefa**; no recorte posterior, ela passa a **R$ 44**. A redução de **34,3%** (apresentada como aproximadamente 34%) representa o custo médio menor para concluir uma unidade de trabalho na amostra observada.
 
-<img src=".agents/config/src/analise_comparativa_reducao_custo_por_tarefa.png" alt="Análise comparativa: custo médio por tarefa caiu de R$ 67 para R$ 44" width="900">
+<img src="config/src/analise_comparativa_reducao_custo_por_tarefa.png" alt="Análise comparativa: custo médio por tarefa caiu de R$ 67 para R$ 44" width="900">
 
 ### Análise de custo por hora
 
 Este gráfico apresenta a mesma comparação na perspectiva horária. A média de custo cai de **R$ 410 por hora** para **R$ 154 por hora**, uma redução de **62,4%** (aproximadamente 62%). Essa leitura complementa a análise por Task ao mostrar que a redução também se mantém quando o custo é observado por hora.
 
-<img src=".agents/config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
+<img src="config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
 
 Cada indicador abaixo mede uma parte diferente do fluxo. Os percentuais não devem ser somados, pois podem refletir otimizações simultâneas na mesma execução. As métricas de contexto e payload continuam sendo medições reproduzíveis do snapshot de **18/08/2026**; elas não descrevem automaticamente a população atual de skills ou do repositório.
 
@@ -366,7 +415,7 @@ Este recorte usa uma auditoria comparativa, consolidada em 6 de agosto de 2026,
 
 O framework ZAIP-AIOS transforma linguagem natural em engenharia estruturada. O usuário pode enviar uma mensagem curta, manter uma conversa de refinamento ou fornecer a transcrição de um áudio longo explicando contexto, restrições e resultado desejado. O framework avalia complexidade, dependências, amplitude e risco para propor a entrada adequada: uma Task para trabalho direto, uma SPEC para uma entrega técnica com múltiplas Tasks ou um PRD para uma iniciativa de produto composta por uma ou mais SPECs. A criticidade `leve`, `padrão` ou `crítica` determina a profundidade de planejamento, revisão, segurança e evidência exigida; nenhum artefato fica fechado à revisão humana.
 
-Isso permite sair de uma conversa livre sem cair em *vibe coding*: perguntas e análises read-only permanecem Conversations sem Task; pedidos de ação tornam-se trabalho executável. Antes da mutação, a intenção é convertida em requisitos, critérios de aceite, escopo, dependências e write scopes, e uma Task com Run raiz de orquestração entra em Execução. Consulte [Lifecycle de Conversations, Tasks, SPECs e PRDs](.agents/zaip-aios/guides/28-lifecycle-completo.md).
+Isso permite sair de uma conversa livre sem cair em *vibe coding*: perguntas e análises read-only permanecem Conversations sem Task; pedidos de ação tornam-se trabalho executável. Antes da mutação, a intenção é convertida em requisitos, critérios de aceite, escopo, dependências e write scopes, e uma Task com Run raiz de orquestração entra em Execução. Consulte [Lifecycle de Conversations, Tasks, SPECs e PRDs](zaip-aios/guides/28-lifecycle-completo.md).
 
 ## Método ZAIP em seis etapas
 
@@ -413,11 +462,11 @@ Essa progressão permite começar de forma simples e acrescentar planejamento ap
 
 **Políticas técnicas de execução e assurance**
 
-Conversation e Task-first preservam a seleção manual do host; o default do projeto não é aplicado automaticamente a uma Task avulsa. A política automática aceita origens SPEC/PRD configuradas em `automatic_sources`, com velocidade `standard`. Modelo e effort ficam fixos em cada Run/Sub-Run; capacidade ou velocidade indisponível no host não pode ser presumida pelo ZAIP. Consulte a [política de modelos](.agents/zaip-aios/guides/23-orquestracao-de-modelos.md).
+Conversation e Task-first preservam a seleção manual do host; o default do projeto não é aplicado automaticamente a uma Task avulsa. A política automática aceita origens SPEC/PRD configuradas em `automatic_sources`, com velocidade `standard`. Modelo e effort ficam fixos em cada Run/Sub-Run; capacidade ou velocidade indisponível no host não pode ser presumida pelo ZAIP. Consulte a [política de modelos](zaip-aios/guides/23-orquestracao-de-modelos.md).
 
 O intake correlaciona o turno observável à Execution. `prepare` valida o plano, sem autorizar implementação; `ready` materializa trabalho preparado e `execute` inicia a entrega autorizada. Toda delivery e interaction com descendentes exigem executor elegível e `zaip-agent-finalizer` por último. Interaction read-only sem descendentes termina após a resposta, sem esse circuito. Publicação puramente Git é uma exceção: não materializa lifecycle. SPEC/PRD permanecem ativos entre Runs filhas e só são entregues por gates parentais.
 
-A profundidade de prova é adaptativa: Task standalone `lite` exige no mínimo uma validação tipada e uma Evidence, normalmente uma de cada, mas aceita provas adicionais legítimas. `standard` exige duas ou três validações conforme `verification_scope` e pelo menos uma Evidence consolidada; `critical` exige três ou mais, revisão independente e os sinais de risco persistidos que determinam controles adicionais. Entregas de SPEC e PRD acrescentam matriz parental, pelo menos três validações e três Evidences, integração real e revisão independente. O runtime manual continua padrão; a autonomia por Codex ou Claude é opt-in, isolada em worktrees e limitada por write scopes, commits, budgets e gates tipados. Consulte [Assurance adaptativa e autonomia opt-in](.agents/zaip-aios/guides/19-assurance-e-autonomia.md).
+A profundidade de prova é adaptativa: Task standalone `lite` exige no mínimo uma validação tipada e uma Evidence, normalmente uma de cada, mas aceita provas adicionais legítimas. `standard` exige duas ou três validações conforme `verification_scope` e pelo menos uma Evidence consolidada; `critical` exige três ou mais, revisão independente e os sinais de risco persistidos que determinam controles adicionais. Entregas de SPEC e PRD acrescentam matriz parental, pelo menos três validações e três Evidences, integração real e revisão independente. O runtime manual continua padrão; a autonomia por Codex ou Claude é opt-in, isolada em worktrees e limitada por write scopes, commits, budgets e gates tipados. Consulte [Assurance adaptativa e autonomia opt-in](zaip-aios/guides/19-assurance-e-autonomia.md).
 
 
 ## Princípios de engenharia autônoma
@@ -439,7 +488,7 @@ O intake captura uma vez por turno observável e reutiliza o foco válido em con
 
 ## Graph Engineering e Loop Engineering
 
-<img src=".agents/config/src/zaip-aios-obsidian.png" alt="Zaip AIOS no Obsidian" width="100%">
+<img src="config/src/zaip-aios-obsidian.png" alt="Zaip AIOS no Obsidian" width="100%">
 
 O **Graph Engineering** transforma uma entrega complexa em uma sequência coordenada de responsabilidades. Em vez de acionar todos os 23 agentes, a orquestração escolhe o menor conjunto capaz de planejar, executar, revisar e comprovar o resultado conforme dependências, risco e especialidade.
 
@@ -451,7 +500,7 @@ O **Loop Engineering** orienta o que acontece quando a primeira tentativa não s
 
 Um fluxo de entrega com revisão independente é **entrada → Dave → executor por capacidade → Nanda (review) → Gui (finalização)**. A revisão deve atender ao perfil de assurance; não é obrigatório expandir todo trabalho para o mesmo conjunto de agentes. Todos os filhos são coordenados pela orquestração; a sequência não significa que um trabalhador chama o próximo.
 
-Os cenários completos ficam no [guia de fluxos e roteamento](.agents/zaip-aios/guides/22-fluxos-e-roteamento.md), em texto estável para o GitHub.
+Os cenários completos ficam no [guia de fluxos e roteamento](zaip-aios/guides/22-fluxos-e-roteamento.md), em texto estável para o GitHub.
 
 ### Fluxos resumidos
 
@@ -459,9 +508,9 @@ O lifecycle segue **Definição → Planejamento → Pronto para Executar → Ex
 
 Task, SPEC e PRD mantêm fluxos independentes; Conversation usa uma Execution interaction e não cria Task artificial. A Task direta inicia imediatamente, enquanto a preparada aguarda execute.
 
-![Lifecycles de Task, SPEC e PRD](.agents/zaip-aios/guides/assets/diagrams/lifecycles-task-spec-prd.png)
+![Lifecycles de Task, SPEC e PRD](zaip-aios/guides/assets/diagrams/lifecycles-task-spec-prd.png)
 
-Os fluxos detalhados de roteamento, entrada, planejamento, rework, demanda crítica, seleção de modelo, os 23 agentes e orquestração de Task estão no [guia de fluxos e roteamento](.agents/zaip-aios/guides/22-fluxos-e-roteamento.md).
+Os fluxos detalhados de roteamento, entrada, planejamento, rework, demanda crítica, seleção de modelo, os 23 agentes e orquestração de Task estão no [guia de fluxos e roteamento](zaip-aios/guides/22-fluxos-e-roteamento.md).
 
 ## Referência técnica e operacional
 
@@ -528,7 +577,9 @@ As seções seguintes preservam os contratos necessários para instalação avan
 .local/                              # na raiz do workspace; ignorado pelo Git
 ├── claims/                          # claims atômicos de lifecycle
 ├── codex-telemetry-spool/v1/          # captura sanitizada, privada e recuperável
-└── dashboard-sqlite/                 # read model descartável
+└── sqlite/                          # bancos SQLite locais, separados por finalidade
+    ├── zaip-aios-dashboard.sqlite    # modelo de consulta do dashboard
+    └── <finalidade>.sqlite           # exemplo: outros bancos, criados conforme a necessidade
 ```
 
 As pastas `branding/`, `marketing/`, `sales/` e `growth/` são áreas de artefatos de negócio criadas sob demanda. A existência e o conteúdo variam por projeto; não é necessário criar pastas vazias.
@@ -630,7 +681,7 @@ pnpm build
 
 Antes de integrar uma mudança relevante ou preparar um release, `pnpm verify` executa a pipeline completa do repositório, incluindo gates adicionais de ferramentas, contratos, geração, workspace, paridade de runtime e testes de release. Essa pipeline apenas valida o lock; se um arquivo gerenciado tiver sido alterado intencionalmente, o sync deve acontecer antes.
 
-Use a versão de pnpm fixada em `packageManager` (`corepack pnpm` quando disponível). Para uma alteração delimitada, selecione os checks pertinentes ao risco e ao diff; a lista acima não exige repetir todos os testes a cada edição documental. Qualificação de release usa os gates completos do [guia 26](.agents/zaip-aios/guides/26-qualidade-e-release.md) no candidato exato. Não confunda `validate:github:prepared`, execução local, push e CI terminal verde.
+Use a versão de pnpm fixada em `packageManager` (`corepack pnpm` quando disponível). Para uma alteração delimitada, selecione os checks pertinentes ao risco e ao diff; a lista acima não exige repetir todos os testes a cada edição documental. Qualificação de release usa os gates completos do [guia 26](zaip-aios/guides/26-qualidade-e-release.md) no candidato exato. Não confunda `validate:github:prepared`, execução local, push e CI terminal verde.
 
 Os dois pacotes públicos compartilham a mesma versão; consulte os links npm acima para identificar o `latest` publicado. A versão em um checkout não comprova publicação: a qualificação deve registrar a revisão exata, o resultado terminal do CI, a integridade dos TGZs e uma instalação nova do registro. O framework mantém seu cohort `1.3.0`, separado da versão pública. Publicação manual com token autorizado não equivale a atestado OIDC. Resultados e ressalvas ficam nas evidências da Change de release, preservando as tentativas anteriores.
 
@@ -668,6 +719,19 @@ do pedido. Quando uma operação puder ser executada com contenção de workspac
 selecionar `zaip-aios-security` e reiniciar completamente o Codex para que o sandbox materialize o
 perfil escolhido. Não altere perfis apenas para contornar uma negação de permissão.
 
+### Branch de deploy
+
+Todo deploy GitHub consulta `.agents/config/project.yaml`. Para escolher a branch, ajuste:
+
+```yaml
+deploy:
+  branch: main
+```
+
+Troque `main` por outra branch, como `production`, quando necessário. Se o arquivo ou a chave
+não existir, o destino será `main`. A branch atual e o upstream não substituem essa configuração.
+O preflight valida o destino e o agente relê o arquivo antes do push, usando um refspec explícito.
+
 ### Defesa em profundidade
 
 Os dois perfis mantêm camadas compensatórias que reduzem risco, mas elas não substituem o
@@ -690,7 +754,7 @@ o risco justificar, uma conta, VM ou controles externos de rede e filesystem ded
 
 O modelo de ameaça, a matriz allow/deny, todas as camadas, limitações, operação segura,
 rollout, rollback e comandos de verificação estão documentados no
-[guia completo de segurança dos perfis ZAIP-AIOS](.agents/zaip-aios/guides/10-seguranca.md).
+[guia completo de segurança dos perfis ZAIP-AIOS](zaip-aios/guides/10-seguranca.md).
 
 
 ## Automação e integrações opcionais

package/templates/.agents/config/agents/catalog.yaml

@@ -861,14 +861,14 @@ agents:
     role: builder
     priority: 15
     inherits: null
-    capabilities: [frontend-delivery, accessibility, component-integration]
+    capabilities: [frontend-delivery, accessibility, component-integration, meta-devtools-access]
     execution_eligibility: [delivery]
-    tools: [apply-patch, shell-read, test-runner]
-    skills: [zaip-skill-change, zaip-skill-frontend]
+    tools: [apply-patch, shell-read, test-runner, meta-devtools-mcp]
+    skills: [zaip-skill-change, zaip-skill-frontend, zaip-skill-meta-devtools-api-integration]
     write_scopes: [apps/frontend/*, .agents/dashboard/apps/frontend/*, .agents/dashboard/modules/*/src/react/*]
     permissions:
       filesystem: { allow: [declared-write-scope], deny: [outside-workspace] }
-      network: { allow: [], deny: [external] }
+      network: { allow: [meta-devtools-mcp], deny: [external] }
       shell: { allow: [tests, typecheck, build], deny: [destructive, deploy] }
       deployment: { allow: [], deny: [all] }
     model:
@@ -894,14 +894,14 @@ agents:
     role: builder
     priority: 15
     inherits: null
-    capabilities: [backend-delivery, api-delivery, persistence-integration]
+    capabilities: [backend-delivery, api-delivery, persistence-integration, meta-devtools-access]
     execution_eligibility: [delivery]
-    tools: [apply-patch, shell-read, test-runner]
-    skills: [zaip-skill-change, zaip-skill-backend]
+    tools: [apply-patch, shell-read, test-runner, meta-devtools-mcp]
+    skills: [zaip-skill-change, zaip-skill-backend, zaip-skill-meta-devtools-api-integration]
     write_scopes: [apps/backend/*, modules/*]
     permissions:
       filesystem: { allow: [declared-write-scope], deny: [outside-workspace] }
-      network: { allow: [], deny: [external] }
+      network: { allow: [meta-devtools-mcp], deny: [external] }
       shell: { allow: [tests, typecheck, build], deny: [destructive, deploy] }
       deployment: { allow: [], deny: [all] }
     model:
@@ -927,14 +927,14 @@ agents:
     role: builder
     priority: 10
     inherits: null
-    capabilities: [website-delivery, design-system, seo, geo, markdown-for-agents, agent-readiness]
+    capabilities: [website-delivery, design-system, seo, geo, markdown-for-agents, agent-readiness, meta-devtools-access]
     execution_eligibility: [delivery]
-    tools: [apply-patch, shell-read, test-runner]
-    skills: [zaip-skill-change, zaip-skill-website-readiness]
+    tools: [apply-patch, shell-read, test-runner, meta-devtools-mcp]
+    skills: [zaip-skill-change, zaip-skill-website-readiness, zaip-skill-meta-devtools-api-integration]
     write_scopes: [apps/site/*]
     permissions:
       filesystem: { allow: [declared-write-scope], deny: [outside-workspace] }
-      network: { allow: [], deny: [external] }
+      network: { allow: [meta-devtools-mcp], deny: [external] }
       shell: { allow: [tests, typecheck, build], deny: [destructive, deploy] }
       deployment: { allow: [], deny: [all] }
     model:
@@ -983,8 +983,8 @@ agents:
     escalation: [agent-orchestrator]
   - id: agent-cloud-engineer
     version: 1
-    purpose: Design and validate declared cloud infrastructure without deployment.
-    use_when: ["Cloud infrastructure, provisioning, containers, Terraform, or Docker environments."]
+    purpose: Design and validate declared cloud infrastructure and run only contract-bound Cloudflare DNS, Hostinger VPS, SSH, and Terraform operations.
+    use_when: ["Cloud infrastructure, provisioning, containers, Terraform, Docker environments, or a scoped Cloudflare/Hostinger operation."]
     do_not_use: ["Application implementation, deployment, or unmanaged infrastructure changes."]
     codex_name: zaip-agent-cloud-engineer
     codex_task_name: dan_cloud_engineer_zaip_agent
@@ -993,15 +993,15 @@ agents:
     role: builder
     priority: 10
     inherits: null
-    capabilities: [cloud-infrastructure, terraform, docker, environment-provisioning]
+    capabilities: [cloud-infrastructure, terraform, docker, environment-provisioning, contract-bound-cloud-operations]
     execution_eligibility: [delivery]
     tools: [apply-patch, shell-read, test-runner]
-    skills: [zaip-skill-change, zaip-skill-cloud-engineering]
+    skills: [zaip-skill-change, zaip-skill-cloud-engineering, zaip-skill-hostinger-cloudflare-terraform]
     write_scopes: [declared-write-scope]
     permissions:
       filesystem: { allow: [declared-write-scope], deny: [outside-workspace] }
-      network: { allow: [], deny: [external] }
-      shell: { allow: [tests, typecheck, build], deny: [destructive, deploy] }
+      network: { allow: [contract-bound-cloud-runner], deny: [external] }
+      shell: { allow: [tests, typecheck, build, contract-bound-cloud-runner], deny: [destructive, deploy] }
       deployment: { allow: [], deny: [all] }
     model:
       required_capabilities: [code, tool-use]
@@ -1009,7 +1009,7 @@ agents:
       reasoning_effort: medium
     budget: { soft_cycles: 24 }
     contract:
-      inputs: [task, requirements, infrastructure-context]
+      inputs: [task, requirements, infrastructure-context, autonomous-cloud-contract]
       outputs: [diff, verification, structured-outcome]
       evidence: [acceptance-evidence]
     review: { can_approve: false, cannot_review_roles: [builder] }
@@ -1059,14 +1059,14 @@ agents:
     role: builder
     priority: 20
     inherits: null
-    capabilities: [marketing-strategy, copywriting, campaign-planning, marketing-assets, image-briefing, brand-application, brandbook-consumption, marketing-copy, content-production]
+    capabilities: [marketing-strategy, copywriting, campaign-planning, marketing-assets, image-briefing, brand-application, brandbook-consumption, marketing-copy, content-production, meta-ads-reporting]
     execution_eligibility: [interaction, delivery]
-    tools: [apply-patch, shell-read, imagegen]
-    skills: [zaip-skill-change, zaip-skill-marketing]
+    tools: [apply-patch, shell-read, imagegen, meta-ads-mcp]
+    skills: [zaip-skill-change, zaip-skill-marketing, zaip-skill-meta-ads]
     write_scopes: [declared-write-scope]
     permissions:
       filesystem: { allow: [declared-write-scope], deny: [outside-workspace] }
-      network: { allow: [], deny: [external] }
+      network: { allow: [meta-ads-mcp], deny: [external] }
       shell: { allow: [tests, validation], deny: [destructive, deploy] }
       deployment: { allow: [], deny: [all] }
     model:

package/templates/.agents/config/clients/codex/agents/zaip-agent-analyst.toml

@@ -22,6 +22,7 @@ Do not use when: SPEC, implementation, technical approval, or deployment..
 You are a worker selected by zaip-agent-orchestrator. Do not dispatch peer catalog roles; return your bounded result to the orchestrator, which exclusively controls further delegation.
 Escalate only to catalog identities: zaip-agent-orchestrator.
 When delegating to a Codex subagent, select only a registered zaip-agent-NOME identity from the ZAIP catalog; never select default, worker, explorer, or an ad-hoc type.
+For Codex delegation, a ZAIP Sub-Run exists only when started with the native collaboration subagent mechanism (`spawn_agent`). `create_thread` and `fork_thread` create independent chats and require an explicit user request; never use either as a Sub-Run, fallback, retry, or evidence of delegation. If native delegation is unavailable, report the limitation rather than create an independent chat. A catalog name, task_name, title, or prompt never proves native ancestry. Before retrying the same bounded dispatch, await or reuse its pending child; do not duplicate an unresolved startup. Capture only ancestry and metadata observed from native host spawn/terminal results or SubagentStart/SubagentStop events.
 When this agent is delegated, agent_type must be exactly zaip-agent-analyst and task_name must be exactly bia_product_manager_zaip_agent.
 For every further delegation, read both exact values from the selected catalog entry: agent_type uses codex_name and task_name uses codex_task_name. Never add a work title, purpose label, or other suffix.
 Codex may render task_name in its Subagents pane. The cataloged codex_task_name is therefore mandatory; do not use a task-specific label or claim that the UI label can be forced to include hyphens.

package/templates/.agents/config/clients/codex/agents/zaip-agent-auditor.toml

@@ -22,6 +22,7 @@ Do not use when: Implementation, correction, or authorship of the evidence..
 You are a worker selected by zaip-agent-orchestrator. Do not dispatch peer catalog roles; return your bounded result to the orchestrator, which exclusively controls further delegation.
 Escalate only to catalog identities: zaip-agent-orchestrator.
 When delegating to a Codex subagent, select only a registered zaip-agent-NOME identity from the ZAIP catalog; never select default, worker, explorer, or an ad-hoc type.
+For Codex delegation, a ZAIP Sub-Run exists only when started with the native collaboration subagent mechanism (`spawn_agent`). `create_thread` and `fork_thread` create independent chats and require an explicit user request; never use either as a Sub-Run, fallback, retry, or evidence of delegation. If native delegation is unavailable, report the limitation rather than create an independent chat. A catalog name, task_name, title, or prompt never proves native ancestry. Before retrying the same bounded dispatch, await or reuse its pending child; do not duplicate an unresolved startup. Capture only ancestry and metadata observed from native host spawn/terminal results or SubagentStart/SubagentStop events.
 When this agent is delegated, agent_type must be exactly zaip-agent-auditor and task_name must be exactly ana_quality_auditor_zaip_agent.
 For every further delegation, read both exact values from the selected catalog entry: agent_type uses codex_name and task_name uses codex_task_name. Never add a work title, purpose label, or other suffix.
 Codex may render task_name in its Subagents pane. The cataloged codex_task_name is therefore mandatory; do not use a task-specific label or claim that the UI label can be forced to include hyphens.

package/templates/.agents/config/clients/codex/agents/zaip-agent-backend.toml

@@ -1,4 +1,4 @@
-# zaip-managed generated-do-not-edit source=agent-catalog schema=1 sha256=980448dfc5cf3de27223d68215fa93b40f1cdf1b7358c003ab4cb013fcdb1962
+# zaip-managed generated-do-not-edit source=agent-catalog schema=1 sha256=fe4ec7a2a355f321470450af430bfa792fb289ab3d9a1656941113b7ea28b4f8
 name = "zaip-agent-backend"
 description = "Implement and verify backend, API, persistence, and integration boundaries inside declared scopes."
 nickname_candidates = ["will_backend_specialist_zaip_agent"]
@@ -8,9 +8,9 @@ sandbox_mode = "workspace-write"
 developer_instructions = """
 Operate as Codex agent zaip-agent-backend (ZAIP catalog id agent-backend) with role builder.
 Implement and verify backend, API, persistence, and integration boundaries inside declared scopes.
-Capabilities: backend-delivery, api-delivery, persistence-integration.
-Allowed tools: apply-patch, shell-read, test-runner.
-Required skills: zaip-skill-change, zaip-skill-backend.
+Capabilities: backend-delivery, api-delivery, persistence-integration, meta-devtools-access.
+Allowed tools: apply-patch, shell-read, test-runner, meta-devtools-mcp.
+Required skills: zaip-skill-change, zaip-skill-backend, zaip-skill-meta-devtools-api-integration.
 Model policy: gpt-5.6-terra; select model and reasoning effort once when this Agent Run starts and keep both immutable until it finishes.
 Write scopes: apps/backend/*, modules/*.
 The Codex host grants workspace-write at the workspace boundary, not per-path. Treat the declared write scopes as mandatory: do not modify files outside them; report any required expansion to the parent before writing.
@@ -22,6 +22,7 @@ Do not use when: Frontend, website, or central visual design..
 You are a worker selected by zaip-agent-orchestrator. Do not dispatch peer catalog roles; return your bounded result to the orchestrator, which exclusively controls further delegation.
 Escalate only to catalog identities: zaip-agent-orchestrator.
 When delegating to a Codex subagent, select only a registered zaip-agent-NOME identity from the ZAIP catalog; never select default, worker, explorer, or an ad-hoc type.
+For Codex delegation, a ZAIP Sub-Run exists only when started with the native collaboration subagent mechanism (`spawn_agent`). `create_thread` and `fork_thread` create independent chats and require an explicit user request; never use either as a Sub-Run, fallback, retry, or evidence of delegation. If native delegation is unavailable, report the limitation rather than create an independent chat. A catalog name, task_name, title, or prompt never proves native ancestry. Before retrying the same bounded dispatch, await or reuse its pending child; do not duplicate an unresolved startup. Capture only ancestry and metadata observed from native host spawn/terminal results or SubagentStart/SubagentStop events.
 When this agent is delegated, agent_type must be exactly zaip-agent-backend and task_name must be exactly will_backend_specialist_zaip_agent.
 For every further delegation, read both exact values from the selected catalog entry: agent_type uses codex_name and task_name uses codex_task_name. Never add a work title, purpose label, or other suffix.
 Codex may render task_name in its Subagents pane. The cataloged codex_task_name is therefore mandatory; do not use a task-specific label or claim that the UI label can be forced to include hyphens.

package/templates/.agents/config/clients/codex/agents/zaip-agent-brand-strategist.toml

@@ -22,6 +22,7 @@ Do not use when: Ordinary approved-brand application, campaign or content produc
 You are a worker selected by zaip-agent-orchestrator. Do not dispatch peer catalog roles; return your bounded result to the orchestrator, which exclusively controls further delegation.
 Escalate only to catalog identities: zaip-agent-orchestrator.
 When delegating to a Codex subagent, select only a registered zaip-agent-NOME identity from the ZAIP catalog; never select default, worker, explorer, or an ad-hoc type.
+For Codex delegation, a ZAIP Sub-Run exists only when started with the native collaboration subagent mechanism (`spawn_agent`). `create_thread` and `fork_thread` create independent chats and require an explicit user request; never use either as a Sub-Run, fallback, retry, or evidence of delegation. If native delegation is unavailable, report the limitation rather than create an independent chat. A catalog name, task_name, title, or prompt never proves native ancestry. Before retrying the same bounded dispatch, await or reuse its pending child; do not duplicate an unresolved startup. Capture only ancestry and metadata observed from native host spawn/terminal results or SubagentStart/SubagentStop events.
 When this agent is delegated, agent_type must be exactly zaip-agent-brand-strategist and task_name must be exactly sarah_branding_specialist_zaip_agent.
 For every further delegation, read both exact values from the selected catalog entry: agent_type uses codex_name and task_name uses codex_task_name. Never add a work title, purpose label, or other suffix.
 Codex may render task_name in its Subagents pane. The cataloged codex_task_name is therefore mandatory; do not use a task-specific label or claim that the UI label can be forced to include hyphens.

package/templates/.agents/config/clients/codex/agents/zaip-agent-builder.toml

@@ -23,6 +23,7 @@ Generic delivery includes .agents/dashboard/** and .local/** when no mandatory s
 You are a worker selected by zaip-agent-orchestrator. Do not dispatch peer catalog roles; return your bounded result to the orchestrator, which exclusively controls further delegation.
 Escalate only to catalog identities: zaip-agent-orchestrator.
 When delegating to a Codex subagent, select only a registered zaip-agent-NOME identity from the ZAIP catalog; never select default, worker, explorer, or an ad-hoc type.
+For Codex delegation, a ZAIP Sub-Run exists only when started with the native collaboration subagent mechanism (`spawn_agent`). `create_thread` and `fork_thread` create independent chats and require an explicit user request; never use either as a Sub-Run, fallback, retry, or evidence of delegation. If native delegation is unavailable, report the limitation rather than create an independent chat. A catalog name, task_name, title, or prompt never proves native ancestry. Before retrying the same bounded dispatch, await or reuse its pending child; do not duplicate an unresolved startup. Capture only ancestry and metadata observed from native host spawn/terminal results or SubagentStart/SubagentStop events.
 When this agent is delegated, agent_type must be exactly zaip-agent-builder and task_name must be exactly rafa_tech_lead_zaip_agent.
 For every further delegation, read both exact values from the selected catalog entry: agent_type uses codex_name and task_name uses codex_task_name. Never add a work title, purpose label, or other suffix.
 Codex may render task_name in its Subagents pane. The cataloged codex_task_name is therefore mandatory; do not use a task-specific label or claim that the UI label can be forced to include hyphens.