@zaip-ai/cli 1.4.2 → 2.0.0

package/templates/.agents/runtime/checksums.sha256

@@ -1,11 +1,11 @@
 b146bd0c7c60b1ab43c4f71e0b1d2262c6df6da6f7053a0425f834ccb77a6b48  LICENSE
 bc02cba77e8d51e5c580f43668863dc868eda66f1ff663bfaa49fcf3ca16320e  THIRD_PARTY_NOTICES.md
-64d23f858ef51b0f996e4966d4e27c0371b437e2d2787890b1f7ad22d4ec5663  VERSION
-09e8f6c1c5de52685f76c99301b4af83b78e3cbd30c4ab5495d1c8a33af22693  bin/zaip.mjs
-bed6ab1fda844209edc628c2a675021ad6acb9a2f7ecb7ae017b5a916712da24  manifest.json
+c28fcca53637bc88e124af1725df13cb98c69dedefd62fb3cdbe1cdb6b760624  VERSION
+2083d8d005fee02e3698284e0498472a9b61e83e5628cc21ef3dac8f45b1a661  bin/zaip.mjs
+2337bc3ff8ef045a59e7800e7961570861899adb7c9a776b61d41c1cddf45d97  manifest.json
 7f89219d7c567c82a51679ad136d84364bded7ac659492537e125d33b1d58a7a  migrations/001-layout-v1.json
 5f8c48b286d0b44d8fbb57a9a5d009a8a500439aa3148d750b8f193f72995c9f  migrations/002-layout-v2.json
 182a587dca8080f732cb387dbdeff4c12034a4a116efe35b4cd3c1c0a21ad10b  pnpm-lock.sha256
-82f3eadf48498933aa6ccb00432070ede8129f983c40a9da697c6ffaf9a76a20  provenance.json
-4669f375688be830958d45269bb0f8dfe65daf8db677f72728c15dc89d42d820  sbom.cdx.json
+76316831c86929995d0837053d09d8002cbf820ee67397b70c4e10dffe9abdb1  provenance.json
+58f1ec31e0e72ab3763209e6de1862baff948d27d1b1e92e64c8c14553a117f0  sbom.cdx.json
 b3ffedf9e146be802a15b4009f33e031dec3071ca1525e12c67606fd964a3067  schemas/contracts.schema.json

package/templates/.agents/runtime/manifest.json

@@ -1,7 +1,7 @@
 {
   "schemaVersion": 2,
   "name": "zaip-aios",
-  "version": "1.3.0",
+  "version": "2.0.0",
   "node": ">=22",
   "files": [
     "LICENSE",

package/templates/.agents/runtime/provenance.json

@@ -2,10 +2,10 @@
   "schema_version": 1,
   "statement_type": "self_reported_build_integrity",
   "authenticity": "unverified",
-  "version": "1.3.0",
+  "version": "2.0.0",
   "source_origin": "zaip-aios:local-build",
   "lockfile_sha256": "382ebb27a2a951eb61280171c27116233762370d9093ab516caef216475ba4fc",
-  "sbom_sha256": "4669f375688be830958d45269bb0f8dfe65daf8db677f72728c15dc89d42d820",
-  "runtime_sha256": "0ea51822ffd133866110c2c37ff644952ce62c4899b53ae5827ad59406a57e24",
-  "statement_sha256": "d2342722cd5b397a93cb64136e808d35e5300f1d5ceb6cf90e3e22c0565f9a53"
+  "sbom_sha256": "58f1ec31e0e72ab3763209e6de1862baff948d27d1b1e92e64c8c14553a117f0",
+  "runtime_sha256": "7181aca744d5fb5dd561010262d2e131c94b336c9c308917d9050af641932ecc",
+  "statement_sha256": "15707741f4c5e77e3ed15d4648bfb8aef2c3c3c209fc2e197401b89ff46ba9a4"
 }

package/templates/.agents/runtime/sbom.cdx.json

@@ -6,7 +6,7 @@
     "component": {
       "type": "application",
       "name": "zaip-aios",
-      "version": "1.3.0"
+      "version": "2.0.0"
     }
   },
   "components": [

package/templates/.agents/skills/zaip-aios/SKILL.md

@@ -1,9 +1,11 @@
 ---
-# zaip-managed generated-do-not-edit source=discovery-skill version=1.3.0 sha256=72e09e90f33f9ed2543daf8dfc09ee5b10fca74d7fa077db030b8b048301d806
+# zaip-managed generated-do-not-edit source=discovery-skill version=2.0.0 sha256=d530dbf54b4fc554a533e0ac300d6c148b598a82f1dcc0680b9d9bdaf4103696
 name: zaip-aios
 description: Discover and apply the repository-local ZAIP-AIOS framework.
 ---
 
 # ZAIP-AIOS adapter
 
-Read `.agents/config/project.yaml` first. Apply ZAIP only for literal boolean `zaip.enabled: true`; otherwise ignore it except maintenance or `zaip enable`. Read `.agents/rules/core.md`, then only matching `.agents/requirements/`, `.agents/rules/`, and `.agents/skills/`; discover via lifecycle manifests and explicit records only—never normal history. Root uses `zaip-agent-orchestrator`, which selects a capability-eligible executor captured with observed host metadata; after descendants and gates, `zaip-agent-finalizer` is last. Terminal outcome requires lifecycle/evidence/tests/manifest refresh; publication is Git-only.
+Keep this native client bootstrap. After reading project configuration, load the applicable `.agents/requirements/`, `.agents/rules/`, and `.agents/skills/` from their canonical locations.
+
+Read `.agents/config/project.yaml` first. Apply ZAIP only for literal boolean `zaip.enabled: true`; otherwise ignore it except maintenance or `zaip enable`. When enabled, capture once: analysis is `conversation`, continuation reuses focus, and independent edits use semantic `new-work`. Thinking about PRD/SPEC is conversation; explicit creation persists complete draft artifacts and PreparedPlan blueprints under interaction telemetry, with Tasks materialized only at ready/execute. Ask at most five critical questions per turn and stop after three turns, then record delegable AI decisions. Resolve finalize/implement/develop using target plus persisted status, and create a linked rework successor instead of reopening cancelled PRDs. Read `.agents/rules/core.md`, then only applicable context from runtime projections and explicit records—never normal history. Publication is Git-only.

package/templates/.agents/skills/zaip-skill-execution/SKILL.md

@@ -12,7 +12,7 @@ Use esta skill somente quando o usuário pedir execução. `prepare` não autori
 3. A partir da tentativa explícita de `execute`, classifique uso como `execution`; inicie Execution, Changes, Tasks elegíveis e Runs com atribuição ao nível de entrada (`task`, `spec` ou `prd`). Ausência de diff não retroage a fase: registre `changed_files` vazio e o resultado real.
 4. Execute a ordem topológica. Paralelize apenas Tasks independentes cujos arquivos, módulos, migrations, ambientes e recursos não conflitem.
 5. Antes de integrar agentes paralelos, compare diffs, testes e efeitos; reconcilie o resultado no workspace canônico.
-6. Registre decisões humanas/IA, uso por fase, evidências por AC, testes, evals e arquivos alterados. Antes de implementar, aplique [o contrato de prova observável](../zaip-skill-change/references/observable-evidence.md): cenário, expectativa, ambiente autorizado, prova necessária e fallback finito. Falta de prova obrigatória impede aceite, não trabalho independente.
+6. Registre decisões humanas/IA, uso por fase, evidências por AC, testes, evals e arquivos alterados. Antes de implementar, consulte `zaip task assurance TASK --json`, aplique [o contrato de prova observável](../zaip-skill-change/references/observable-evidence.md) e [o fluxo de candidato e preparo](references/candidate-workflow.md). Falta de prova obrigatória impede aceite, não trabalho independente.
 7. Para toda Task com mutação, produza um commit canônico isolado antes de `completed`, com provider efetivo exclusivamente `CODEX` ou `CLAUDE` e sem `AUTO`. Linhagem evidenciada usa `[CODEX|CLAUDE] [P:XXXX] [S:XXXX] [T:XXXX] <título da Task>` com blocos disponíveis; Task sem PRD/SPEC usa `[CODEX|CLAUDE] [Task-first:XXXX] <título da Task>`. Limite o assunto a 96 caracteres sem cortar palavras, preserve IDs completos disponíveis nos trailers `ZAIP-PRD`, `ZAIP-SPEC`, `ZAIP-Task`, `ZAIP-Change`, `ZAIP-Execution` e `ZAIP-Agent`, e não combine Tasks no mesmo commit. Commit funcional sem Task só é permitido na exceção explícita de deploy particionado e usa `[CODEX] <título funcional>` sem `ZAIP-Task`.
 8. Respeite a política do plano: use `zaip verify --changed --risk <risk>` no modo `scoped`; reserve `pnpm verify` para `full`, risco critical ou gate final exigido.
 9. Em cada `run usage`, leia `budget.context_refresh_required` e `budget.checkpoint_required`. O runtime grava o checkpoint sanitizado em `.local/checkpoints/`; quando sinalizado, reconstrua contexto somente de IDs ativos, diff e findings, descarte outputs brutos antigos e continue apenas com autoridade.

package/templates/.agents/skills/zaip-skill-execution/references/candidate-workflow.md

@@ -0,0 +1,23 @@
+# Candidato, isolamento e preparo de validações
+
+Antes da primeira edição de uma Task interativa com trabalho concorrente, execute `zaip task workspace TASK --run RUN --workspace RAIZ_CANONICA --json`. O comando prepara uma branch local por Task/Execution e devolve o checkout do produto, base e raiz canônica. Uma nova chamada reutiliza o checkout registrado, preservando rascunhos. Claim incompleto ou branch trocada exige diagnóstico; nunca apague ou substitua silenciosamente. Continue gravando lifecycle com `--workspace RAIZ_CANONICA`; não grave novas Tasks/Runs nas cópias históricas do checkout.
+
+Prepare o contrato com `zaip task assurance TASK --json` antes de delegar a implementação. Planeje as modalidades, cobertura de ACs e revisão independente indicadas; o comando de consulta não concede aceite.
+Nas novas Tasks, declare fatos conhecidos em `--assurance-risk-signals JSON` no create ou na captura `new-work`. Sem declaração, apenas o escopo conservador de verificação deriva do risco: scoped para lite, package para standard e full para critical. A origem fica registrada como `risk_default`; isso não afirma impacto em segurança, produção ou dados. Use os sinais para escolher as modalidades antes do trabalho, sem inferi-los do número de arquivos nem alterar a seleção manual de modelo. Registros históricos permanecem com a regra compatível anterior.
+
+Revise o diff isolado e integre apenas arquivos próprios na raiz canônica, conferindo antes se houve alterações concorrentes desde a base. Resolva divergências preservando os outros trabalhos. Produza o commit candidato com `zaip task commit TASK --files CAMINHOS --run RUN`; em seguida execute as validações nesse SHA. Não faça outro commit de produto apenas para encerrar a tarefa. Correção de produto posterior cria um novo candidato e exige nova validação; commits posteriores apenas de metadata não mudam a versão de produto qualificada. Commit local continua obrigatório para toda entrega com mutação, inclusive Growth, Marketing, Sales e Ops. Push exige pedido de publicação.
+
+Quando checks sequenciais usam o mesmo SHA e preparo, use `zaip validation batch --task TASK --run RUN --acceptance AC --commit SHA --executable NODE_ABSOLUTO --checks JSON --json`. O JSON contém de um a oito objetos com `id`, `kind`, `args`, `locators` e `asserted_outcomes`. Cada array `args` começa por um harness Node revisado e já commitado, sem loaders ou código inline. Exemplo de estrutura (IDs ilustrativos):
+
+```json
+[
+  {"id":"TEST-CANDIDATE","kind":"test","args":["scripts/qualify.mjs","tests"],"locators":["scripts/qualify.mjs"],"asserted_outcomes":["cenários discriminantes aprovados"]},
+  {"id":"INT-CANDIDATE","kind":"integration","args":["scripts/qualify.mjs","integration"],"locators":["scripts/qualify.mjs"],"asserted_outcomes":["fluxo integrado aprovado"]}
+]
+```
+
+O lote compartilha um checkout temporário e as dependências preparadas pelo harness. Cada check revalida HEAD, tree e limpeza e grava uma prova imutável própria. Falha interrompe o restante; `skipped_ids` identifica checks não iniciados e `interrupted_id` exige consulta ao artefato antes de repetir. O resumo registra tempos observados de preparo e limpeza, e cada resultado registra processo e verificação. O lote não compartilha aprovação entre SHAs, Runs ou ambientes. Mutação continua em `validation execute` exclusivo; reviews vêm do revisor real. O checkout é isolamento de candidato, não sandbox do sistema operacional.
+Cada check pode declarar `acceptance_ids`, como subconjunto do `--acceptance` do lote. Use checks discriminantes por AC quando o contrato exigir Evidence individual; mantenha uma prova separada por procedimento realmente executado.
+Quando houver `requires_mutation_discrimination`, planeje mutantes reais que cubram todos os ACs da Task, com baseline aprovado, detecção por asserções e restauração verificada. Não atribua cobertura a um AC que os mutantes não exercitam. Execute o preflight completo antes de despachar o último filho; um relatório de mutação parcial não satisfaz o contrato crítico.
+
+Depois de persistir Validation/Evidence, consulte `task assurance TASK --preflight --evidence IDS --json` antes de chamar o finalizador. Leia o alcance retornado: o preflight de artefatos não substitui a verificação do commit nem a decisão do último Sub-Run. Capture metadados reais de início e término dos filhos; indisponibilidade fica explícita. `run aggregate` distingue cobertura temporal observada; duração somada de trabalho não equivale a tempo de espera do usuário, e TTFT ausente permanece `null`.

package/templates/.agents/skills/zaip-skill-setup/SKILL.md

@@ -11,7 +11,7 @@ authorized automatic prerequisite installation, and create the disposable databa
 canonical `.agents/records` and `.agents/config` sources.
 
 1. Faça dry-run, descubra a versão/layout e rejeite conflitos de checksum, ownership ou arquivos divergentes do usuário.
-2. Instale/valide `config/project.yaml`, `config/framework.lock.yaml`, as cinco Rules core diretamente em `rules/`, as Rules locais fora do lock preservadas, todos os Requirements/skills gerenciados pelo manifest, as raízes V2 de `data` e o dashboard frontend-only em `.agents/dashboard` quando ele fizer parte da distribuição.
+2. Instale/valide `config/project.yaml`, `config/framework.lock.yaml`, as cinco Rules core diretamente em `rules/`, as Rules locais fora do lock preservadas, todos os Requirements/skills gerenciados pelo manifest, as raízes V3 de `records` e o dashboard frontend-only em `.agents/dashboard` quando ele fizer parte da distribuição. Em upgrade V2, promova os registros de `data` para `records` de modo idempotente e reversível, arquivando a fonte antes da remoção somente quando a cópia for validada.
 3. Nunca mantenha lista fixa da quantidade de Requirements ou skills no workflow; derive o catálogo do release/lock vigente.
 4. Preserve arquivos do projeto. Configuração específica usa `$zaip-skill-config`; Rules específicas usam `$zaip-skill-rules`.
 5. Mantenha raízes V1 somente leitura até migração explícita, planejada, idempotente e reversível.

package/templates/.agents/skills/zaip-skill-task/SKILL.md

@@ -13,6 +13,7 @@ Somente trabalho executável é capturado como Task-first. Perguntas, análises
 2. Resposta, aprovação, continuação, refinamento ou rework usa `--intent continue|refine|rework` e reutiliza o alvo explícito ou o foco válido da mesma thread. Alvo não resolvido cai para conversa.
 3. Para trabalho novo, use `--intent new-work` com título semântico de 4 a 10 palavras, short name, objetivo e `--write-scopes` quando o escopo já for conhecido. A captura cria a Task; somente planejamento explicitamente solicitado pode parar em `planned`/Pronto para Executar. Nunca copie ou trunque o prompt como título.
 4. Pedido avulso executável materializa e inicia Execution, Change, Task e Run raiz do `zaip-agent-orchestrator` antes da primeira mutação; a Task entra diretamente em `executing`. Definition é exclusiva de PRD e Planning é exclusiva de SPEC no board.
+5. Antes de editar com concorrência, prepare `task workspace TASK --run RUN` e consulte `task assurance TASK --json`; siga [o fluxo de candidato](../zaip-skill-execution/references/candidate-workflow.md), mantendo o lifecycle na raiz canônica.
 
 ## Create e refine
 

package/templates/.agents/zaip-aios/VERSION

@@ -1 +1 @@
-1.3.0
+2.0

package/templates/infra/terraform/terraform.tfvars.example

@@ -1,4 +1,5 @@
-# Copy only non-secret values to a local ignored terraform.tfvars. Supply tokens through TF_VAR_*.
+# Copy only non-secret values to a local ignored terraform.tfvars. Supply provider
+# credentials through HOSTINGER_API_TOKEN and CLOUDFLARE_API_TOKEN; never use TF_VAR_* for tokens.
 cloudflare_account_id = "replace-with-approved-account-id"
 cloudflare_zone_id    = "replace-with-approved-zone-id"
 cloudflare_zone_name  = "example.com"