@zaip-ai/cli 1.4.2 → 2.0.0

package/templates/.agents/README.md

@@ -14,19 +14,19 @@ Essa abordagem busca reduzir intervenções, contexto desnecessário e retrabalh
 
 Embora tenha nascido com foco em software, o ZAIP-AIOS também coordena demandas de Operações, Growth, Marketing, Branding e Vendas. O framework e o Dashboard funcionam localmente, sem exigir VPS. Autenticação, franquia, cobrança e integrações dependem do host/provider escolhido; usar uma assinatura no Codex não transforma o custo equivalente estimado em cobrança de API.
 
-<img src="config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
 
 Na prática, o sistema decompõe demandas complexas, organiza o trabalho, seleciona os agentes mais adequados, coordena dependências, acompanha a execução e verifica a qualidade antes de considerar uma entrega concluída.
 
 O Dashboard centraliza a operação em uma única visão, reunindo Tasks, SPECs e PRDs, além de dependências, bloqueios, tempo de execução, consumo de tokens, custos, revisões e evidências produzidas ao longo do processo.
 
-<img src="config/src/dashboard_pt_1_visao_geral.png" alt="Dashboard ZAIP-AIOS, Visão Geral" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_1_visao_geral.png" alt="Dashboard ZAIP-AIOS, Visão Geral" width="100%">
 
 Em uma amostra comparativa de tarefas executadas de forma autônoma, o ZAIP-AIOS apresentou uma redução aproximada de 34% no custo médio por tarefa e 62% no custo médio por hora.
 
 A comparação considera o ciclo completo de trabalho, planejamento, execução, testes, revisões e documentação —, e os resultados devem ser interpretados dentro dos limites da amostra analisada.
 
-<img src="config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
 
 A fonte canônica permanece nos arquivos Git-native do repositório. Requisitos, decisões, implementações e provas podem ser versionados; só passam a estar no histórico remoto após commit e publicação explicitamente autorizada. Segredos e estado privado da máquina ficam fora desse histórico.
 
@@ -48,14 +48,14 @@ No ZAIP-AIOS, uma Task não é considerada concluída apenas porque um agente te
 | Consultar os contratos técnicos | [Referência técnica e operacional](#referência-técnica-e-operacional) |
 | Manter o framework | [Desenvolvimento do framework](#desenvolvimento-do-framework) |
 | Configurar permissões com segurança | [Segurança com perfis de permissão](#segurança-com-perfis-de-permissão) |
-| Avaliar lançamento, suporte e comercialização | [Prontidão para produção e comercialização](../docs/PRODUCTION-COMMERCIAL-READINESS.md) |
+| Avaliar lançamento, suporte e comercialização | [Prontidão para produção e comercialização](https://github.com/zaip-ai/zaip-aios/blob/main/docs/PRODUCTION-COMMERCIAL-READINESS.md) |
 | Navegar pelos 28 guias operacionais | [Índice completo do handbook](zaip-aios/INDEX.md) |
 
 ### Como interpretar esta documentação
 
 Este README e o [handbook](zaip-aios/INDEX.md) descrevem o código-fonte deste repositório. Configuração efetiva, suporte do host, pacote instalado e candidato qualificado são dimensões distintas. `@latest` aponta para a versão publicada, que pode não conter alterações locais. As imagens do Dashboard são ilustrações de estados anteriores, não prova visual do candidato atual.
 
-A atualização documental não aprova uma release. Consulte o [registro de limites de qualificação](../docs/PRODUCTION-COMMERCIAL-READINESS.md#limites-conhecidos-da-qualificação) antes de promover o código; testes locais, paridade, CI e validação em produção devem ser comprovados separadamente.
+A atualização documental não aprova uma release. Consulte o [registro de limites de qualificação](https://github.com/zaip-ai/zaip-aios/blob/main/docs/PRODUCTION-COMMERCIAL-READINESS.md#limites-conhecidos-da-qualificação) antes de promover o código; testes locais, paridade, CI e validação em produção devem ser comprovados separadamente.
 
 ## Instalação em um comando
 
@@ -138,35 +138,35 @@ As identidades técnicas permanecem separadas das personas visíveis. Assim, nom
 
 | Foto | # | Persona / função | Especialidade |
 | :---: | ---: | --- | --- |
-| <img src="config/src/1%20-%20Dave%20-%20Product%20Owner.png" alt="Dave, Product Owner" width="400"> | 1 | Dave / Product Owner | Resolve DAG e delega |
-| <img src="config/src/2%20-%20Rafa%20-%20Tech%20Lead.png" alt="Rafa, Tech Lead" width="400"> | 2 | Rafa / Tech Lead | Entrega genérica, SPEC e dashboard/local |
-| <img src="config/src/3%20-%20Leo%20-%20Software%20Engineer.png" alt="Leo, Software Engineer" width="400"> | 3 | Leo / Software Engineer | Task genérica ponta a ponta |
-| <img src="config/src/4%20-%20Bia%20-%20Product%20Manager.png" alt="Bia, Product Manager" width="400"> | 4 | Bia / Product Manager | Criação/refino de PRD e análise de produto |
-| <img src="config/src/5%20-%20Gui%20-%20Quality%20Assurance%20Lead.png" alt="Gui, Quality Assurance Lead" width="400"> | 5 | Gui / Quality Assurance Lead | Resultado terminal restrito |
-| <img src="config/src/6%20-%20Nanda%20-%20Principal%20Engineer.png" alt="Nanda, Principal Engineer" width="400"> | 6 | Nanda / Principal Engineer | Revisão independente |
-| <img src="config/src/7%20-%20Dani%20-%20Integration%20Engineer.png" alt="Dani, Integration Engineer" width="400"> | 7 | Dani / Integration Engineer | Integração e gates combinados |
-| <img src="config/src/8%20-%20Ana%20-%20Quality%20Auditor.png" alt="Ana, Quality Auditor" width="400"> | 8 | Ana / Quality Auditor | Auditoria independente |
-| <img src="config/src/9%20-%20Lia%20-%20Technical%20Writer.png" alt="Lia, Technical Writer" width="400"> | 9 | Lia / Technical Writer | Resumo fiel, análise de transcrição e documentação fundamentada em fontes |
-| <img src="config/src/10%20-%20Gabi%20-%20Data%20Analyst.png" alt="Gabi, Data Analyst" width="400"> | 10 | Gabi / Data Analyst | Análise de dados |
-| <img src="config/src/11%20-%20Tati%20-%20Refactoring%20Specialist.png" alt="Tati, Refactoring Specialist" width="400"> | 11 | Tati / Refactoring Specialist | Refatoração, migração e modularização seguras |
-| <img src="config/src/12%20-%20Doug%20-%20Frontend%20Developer.png" alt="Doug, Frontend Developer" width="400"> | 12 | Doug / Frontend Developer | Frontend e acessibilidade conforme `DESIGN.md` |
-| <img src="config/src/13%20-%20Will%20-%20Backend%20Developer.png" alt="Will, Backend Developer" width="400"> | 13 | Will / Backend Developer | API, backend e módulos |
-| <img src="config/src/14%20-%20Jonny%20-%20Website%20Developer.png" alt="Jonny, Website Developer" width="400"> | 14 | Jonny / Website Developer | Sites e landing pages, SEO, GEO e preparação para agentes |
-| <img src="config/src/15%20-%20Manu%20-%20Product%20Designer.png" alt="Manu, Product Designer" width="400"> | 15 | Manu / Product Designer | `DESIGN.md`, Design System, tokens e catálogo |
-| <img src="config/src/16%20-%20Dan%20-%20Cloud%20Engineer.png" alt="Dan, Cloud Engineer" width="400"> | 16 | Dan / Cloud Engineer | Infraestrutura cloud, Terraform, Docker e ambientes |
-| <img src="config/src/17%20-%20Luis%20-%20Security%20Auditor.png" alt="Luiz, Security Auditor" width="400"> | 17 | Luiz / Security Auditor | Auditoria técnica e independente de segurança |
-| <img src="config/src/18%20-%20Lucia%20-%20Marketing%20Analyst.png" alt="Lucia, Marketing Analyst" width="400"> | 18 | Lucia / Marketing Analyst | Planejamento de marketing, copy e preparação de ativos |
-| <img src="config/src/19%20-%20Renata%20-%20Compliance%20Specialist.png" alt="Renata, Compliance Specialist" width="400"> | 19 | Renata / Governance & Compliance Specialist | Artefatos internos de RH, jurídico operacional, políticas, privacidade, fornecedores e riscos |
-| <img src="config/src/20%20-%20Clara%20-%20Operations%20Specialist.png" alt="Clara, Operations Specialist" width="400"> | 20 | Clara / Operations Generalist | Documentos, apresentações, planilhas, processos e comparativos delimitados fora de especialidades obrigatórias |
-| <img src="config/src/21%20-%20Sarah%20-%20Branding%20Specialist.png" alt="Sarah, Branding Specialist" width="400"> | 21 | Sarah / Branding Specialist | Estratégia e governança de marca, Brandbook, arquétipos, diferencial semântico e arquitetura de marca |
-| <img src="config/src/22%20-%20Aaron%20-%20Sales%20Specialist.png" alt="Aaron, Sales Specialist" width="400"> | 22 | Aaron / Sales Specialist | Processo comercial interno, qualificação, playbooks, scripts e handoffs entre SDR e closer |
-| <img src="config/src/23%20-%20Robert%20-%20Growth%20Strategist.png" alt="Robert, Growth Strategist" width="400"> | 23 | Robert / Growth Strategist | Estratégia de crescimento, RevOps, experimentos e recomendações orientadas por dados e impacto financeiro |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/1%20-%20Dave%20-%20Product%20Owner.png" alt="Dave, Product Owner" width="400"> | 1 | Dave / Product Owner | Resolve DAG e delega |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/2%20-%20Rafa%20-%20Tech%20Lead.png" alt="Rafa, Tech Lead" width="400"> | 2 | Rafa / Tech Lead | Entrega genérica, SPEC e dashboard/local |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/3%20-%20Leo%20-%20Software%20Engineer.png" alt="Leo, Software Engineer" width="400"> | 3 | Leo / Software Engineer | Task genérica ponta a ponta |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/4%20-%20Bia%20-%20Product%20Manager.png" alt="Bia, Product Manager" width="400"> | 4 | Bia / Product Manager | Criação/refino de PRD e análise de produto |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/5%20-%20Gui%20-%20Quality%20Assurance%20Lead.png" alt="Gui, Quality Assurance Lead" width="400"> | 5 | Gui / Quality Assurance Lead | Resultado terminal restrito |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/6%20-%20Nanda%20-%20Principal%20Engineer.png" alt="Nanda, Principal Engineer" width="400"> | 6 | Nanda / Principal Engineer | Revisão independente |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/7%20-%20Dani%20-%20Integration%20Engineer.png" alt="Dani, Integration Engineer" width="400"> | 7 | Dani / Integration Engineer | Integração e gates combinados |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/8%20-%20Ana%20-%20Quality%20Auditor.png" alt="Ana, Quality Auditor" width="400"> | 8 | Ana / Quality Auditor | Auditoria independente |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/9%20-%20Lia%20-%20Technical%20Writer.png" alt="Lia, Technical Writer" width="400"> | 9 | Lia / Technical Writer | Resumo fiel, análise de transcrição e documentação fundamentada em fontes |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/10%20-%20Gabi%20-%20Data%20Analyst.png" alt="Gabi, Data Analyst" width="400"> | 10 | Gabi / Data Analyst | Análise de dados |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/11%20-%20Tati%20-%20Refactoring%20Specialist.png" alt="Tati, Refactoring Specialist" width="400"> | 11 | Tati / Refactoring Specialist | Refatoração, migração e modularização seguras |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/12%20-%20Doug%20-%20Frontend%20Developer.png" alt="Doug, Frontend Developer" width="400"> | 12 | Doug / Frontend Developer | Frontend e acessibilidade conforme `DESIGN.md` |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/13%20-%20Will%20-%20Backend%20Developer.png" alt="Will, Backend Developer" width="400"> | 13 | Will / Backend Developer | API, backend e módulos |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/14%20-%20Jonny%20-%20Website%20Developer.png" alt="Jonny, Website Developer" width="400"> | 14 | Jonny / Website Developer | Sites e landing pages, SEO, GEO e preparação para agentes |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/15%20-%20Manu%20-%20Product%20Designer.png" alt="Manu, Product Designer" width="400"> | 15 | Manu / Product Designer | `DESIGN.md`, Design System, tokens e catálogo |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/16%20-%20Dan%20-%20Cloud%20Engineer.png" alt="Dan, Cloud Engineer" width="400"> | 16 | Dan / Cloud Engineer | Infraestrutura cloud, Terraform, Docker e ambientes |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/17%20-%20Luis%20-%20Security%20Auditor.png" alt="Luiz, Security Auditor" width="400"> | 17 | Luiz / Security Auditor | Auditoria técnica e independente de segurança |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/18%20-%20Lucia%20-%20Marketing%20Analyst.png" alt="Lucia, Marketing Analyst" width="400"> | 18 | Lucia / Marketing Analyst | Planejamento de marketing, copy e preparação de ativos |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/19%20-%20Renata%20-%20Compliance%20Specialist.png" alt="Renata, Compliance Specialist" width="400"> | 19 | Renata / Governance & Compliance Specialist | Artefatos internos de RH, jurídico operacional, políticas, privacidade, fornecedores e riscos |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/20%20-%20Clara%20-%20Operations%20Specialist.png" alt="Clara, Operations Specialist" width="400"> | 20 | Clara / Operations Generalist | Documentos, apresentações, planilhas, processos e comparativos delimitados fora de especialidades obrigatórias |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/21%20-%20Sarah%20-%20Branding%20Specialist.png" alt="Sarah, Branding Specialist" width="400"> | 21 | Sarah / Branding Specialist | Estratégia e governança de marca, Brandbook, arquétipos, diferencial semântico e arquitetura de marca |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/22%20-%20Aaron%20-%20Sales%20Specialist.png" alt="Aaron, Sales Specialist" width="400"> | 22 | Aaron / Sales Specialist | Processo comercial interno, qualificação, playbooks, scripts e handoffs entre SDR e closer |
+| <img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/23%20-%20Robert%20-%20Growth%20Strategist.png" alt="Robert, Growth Strategist" width="400"> | 23 | Robert / Growth Strategist | Estratégia de crescimento, RevOps, experimentos e recomendações orientadas por dados e impacto financeiro |
 
 O [Catálogo de agentes](zaip-aios/guides/18-catalogo-de-agentes.md) reúne as especialidades e responsabilidades dos agentes disponíveis no ZAIP-AIOS.
 
 ### Squads organizacionais
 
-<img src="config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/Zaip%20AIOS%20Squads.png" alt="Estrutura organizacional dos seis squads e 23 agentes do ZAIP-AIOS" width="100%">
 
 Os seis squads tornam a estrutura de responsabilidades fácil de visualizar: **Product** (Dave, Bia e Manu), **Admin & Operations** (Clara, Renata e Lia), **Development** (Rafa, Leo, Jonny, Will, Doug e Tati), **Delivery Assurance** (Nanda, Gui, Ana e Dani), **Infra & Security** (Dan e Luiz) e **Growth — Sales, Marketing and Branding** (Robert, Gabi, Lucia, Sarah e Aaron).
 
@@ -182,7 +182,7 @@ Quando executado com a conta ChatGPT/Codex, o consumo segue as condições dessa
 
 O Dashboard transforma o histórico técnico do ZAIP-AIOS em uma visão operacional clara. Em um só lugar, ele mostra o trabalho em andamento, os custos observados, a cobertura de qualidade, os bloqueios e a relação entre intenção, execução e resultado.
 
-<img src="config/src/dashboard_pt_1_visao_geral_este_mes.png" alt="Dashboard ZAIP-AIOS, Visao Geral Mes" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_1_visao_geral_este_mes.png" alt="Dashboard ZAIP-AIOS, Visao Geral Mes" width="100%">
 
 Os registros Git-native continuam sendo a fonte oficial. Tudo o que aparece nas telas pode ser reconstruído a partir dos arquivos canônicos e da configuração do projeto, sem criar uma base paralela ou dependência externa de infraestrutura.
 
@@ -197,7 +197,7 @@ Não é preciso instalar servidor SQLite, DBeaver ou banco externo. `.local/sqli
 
 Organiza PRDs, SPECs e Tasks por estágio, destacando execução, verificação, conclusão, criticidade, tempo, tokens e custo observado.
 
-<img src="config/src/dashboard_pt_2_kanban.png" alt="Dashboard ZAIP-AIOS, Kanban" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_2_kanban.png" alt="Dashboard ZAIP-AIOS, Kanban" width="100%">
 
 As visões Trabalho (Kanban) e Trabalho (Lista) permitem alternar entre leitura por estágio e comparação detalhada. Ambas preservam os filtros Todas as Tarefas, Visão Unificada Geral, PRDs, SPECs e Tarefas Avulsas, facilitando a análise de status, origem, risco, Runs, Sub-Runs, tempo, tokens, custo e cobertura. Cada item pode ser aberto para investigar bloqueios e consultar seu histórico rastreável.
 
@@ -205,7 +205,7 @@ As visões Trabalho (Kanban) e Trabalho (Lista) permitem alternar entre leitura
 
 Consolida tokens, duração, custo equivalente estimado e cobertura por período e por unidade de trabalho, sem transformar telemetria ausente em zero.
 
-<img src="config/src/dashboard_pt_3_monitor_custos.png" alt="Dashboard ZAIP-AIOS, Monitor de Custos" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_3_monitor_custos.png" alt="Dashboard ZAIP-AIOS, Monitor de Custos" width="100%">
 
 O Monitor consolida tokens, tempo, custo e cobertura por Run, Task, SPEC e PRD. Isso permite comparar conversa, planejamento, execução, trabalho novo e rework, além de identificar médias e concentrações de consumo por dia, mês ou ano.
 
@@ -224,7 +224,7 @@ documenta contratos, armazenamento, integridade, recuperação e limites do roll
 
 Relaciona intenção, planejamento, execução, decisões, validações e evidências para explicar de onde cada resultado veio.
 
-<img src="config/src/dashboard_pt_4_rastreabilidade.png" alt="Dashboard ZAIP-AIOS, Rastreabilidade" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_4_rastreabilidade.png" alt="Dashboard ZAIP-AIOS, Rastreabilidade" width="100%">
 
 Correlaciona PRD, Requirements, SPEC, Change, Task, Execution, Runs, Decisions, testes, reviews, evals e Evidence em um grafo lógico de rastreabilidade. A visão detalha as seis etapas do método e mostra quais documentos e provas sustentam cada resultado. Cada registro recebe identificador, data e hora quando faz parte do lifecycle ou da telemetria; as evidências permanecem vinculadas e a cronologia também é preservada pelo Git. Isso permite auditoria, retomada, análise de rework e comparação entre intenção e execução. Projeções podem ser reconstruídas e otimizadas; a compactação Git-native da telemetria preserva IDs, relações, métricas, cobertura e hashes sem versionar prompts ou respostas.
 
@@ -236,13 +236,13 @@ O Dashboard reúne a configuração do projeto em uma tela ligada ao arquivo can
 
 A configuração da plataforma apresenta o estado de ativação do ZAIP-AIOS e um resumo dos agentes, squads, skills, Rules, hooks e banco de dados. A mesma visão mostra os documentos de referência do projeto e indica quais deles já existem, mantendo a configuração técnica e a documentação visíveis no mesmo contexto.
 
-<img src="config/src/dashboard_pt_configuracao_plataforma.png" alt="Dashboard ZAIP-AIOS, configuração da plataforma" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_configuracao_plataforma.png" alt="Dashboard ZAIP-AIOS, configuração da plataforma" width="100%">
 
 ### Stack de desenvolvimento
 
 A stack de desenvolvimento descreve cada responsabilidade separadamente, com tecnologia, versão exata e referência do pacote, imagem ou serviço. No projeto, esse contrato inclui TypeScript, Node.js, Hono, Kysely, PostgreSQL via Supabase, Supabase Auth + Storage, Redis e BullMQ, permitindo que as escolhas de desenvolvimento permaneçam registradas junto da configuração do projeto.
 
-<img src="config/src/dashboard_pt_configuracao_plataforma_stack.png" alt="Dashboard ZAIP-AIOS, stack de desenvolvimento" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/dashboard_pt_configuracao_plataforma_stack.png" alt="Dashboard ZAIP-AIOS, stack de desenvolvimento" width="100%">
 
 ## O custo que importa: concluir a tarefa
 
@@ -338,13 +338,13 @@ As análises abaixo apresentam reduções de custo **medidas na amostra comparat
 
 Este gráfico acompanha o custo de cada Task nas duas faixas comparadas. A média inicial é de **R$ 67 por tarefa**; no recorte posterior, ela passa a **R$ 44**. A redução de **34,3%** (apresentada como aproximadamente 34%) representa o custo médio menor para concluir uma unidade de trabalho na amostra observada.
 
-<img src="config/src/analise_comparativa_reducao_custo_por_tarefa.png" alt="Análise comparativa: custo médio por tarefa caiu de R$ 67 para R$ 44" width="900">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/analise_comparativa_reducao_custo_por_tarefa.png" alt="Análise comparativa: custo médio por tarefa caiu de R$ 67 para R$ 44" width="900">
 
 ### Análise de custo por hora
 
 Este gráfico apresenta a mesma comparação na perspectiva horária. A média de custo cai de **R$ 410 por hora** para **R$ 154 por hora**, uma redução de **62,4%** (aproximadamente 62%). Essa leitura complementa a análise por Task ao mostrar que a redução também se mantém quando o custo é observado por hora.
 
-<img src="config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/analise_comparativa_reducao_custo_por_hora.png" alt="Análise comparativa: custo médio por hora caiu de R$ 410 para R$ 154" width="900">
 
 Cada indicador abaixo mede uma parte diferente do fluxo. Os percentuais não devem ser somados, pois podem refletir otimizações simultâneas na mesma execução. As métricas de contexto e payload continuam sendo medições reproduzíveis do snapshot de **18/08/2026**; elas não descrevem automaticamente a população atual de skills ou do repositório.
 
@@ -371,7 +371,7 @@ Os indicadores que compõem a análise são:
 - taxa de rework e defeitos encontrados após a entrega;
 - cobertura de testes, reviews e evidências dos Critérios de Aceite.
 
-O Cost Monitor preserva valores desconhecidos como `unknown`/`null` e não converte ausência de telemetria em custo zero. Dessa forma, os resultados mantêm visíveis custos de provider, rework ou qualidade que ainda não tenham sido observados. A metodologia e seus registros complementares estão em [a auditoria de tokens e performance](analysis/verificacao-auditoria-tokens-performance-zaip-aios-2026-07-13.md).
+O Cost Monitor preserva valores desconhecidos como `unknown`/`null` e não converte ausência de telemetria em custo zero. Dessa forma, os resultados mantêm visíveis custos de provider, rework ou qualidade que ainda não tenham sido observados. A metodologia e seus registros complementares estão em [a auditoria de tokens e performance](https://github.com/zaip-ai/zaip-aios/blob/main/analysis/verificacao-auditoria-tokens-performance-zaip-aios-2026-07-13.md).
 
 O comando `zaip cost cohort --input <arquivo.json> --json` calcula coortes comparáveis a partir de custos faturados observados e sua proveniência. O contrato de cálculo exige moeda USD, fonte, timestamp, *quality floor*, tentativa terminal e uma única identidade de baseline equivalente. Na ausência ou divergência de uma dimensão obrigatória, a economia permanece `null`, preservando a integridade da comparação.
 
@@ -488,7 +488,7 @@ O intake captura uma vez por turno observável e reutiliza o foco válido em con
 
 ## Graph Engineering e Loop Engineering
 
-<img src="config/src/zaip-aios-obsidian.png" alt="Zaip AIOS no Obsidian" width="100%">
+<img src="https://raw.githubusercontent.com/zaip-ai/zaip-aios/main/.agents/config/src/zaip-aios-obsidian.png" alt="Zaip AIOS no Obsidian" width="100%">
 
 O **Graph Engineering** transforma uma entrega complexa em uma sequência coordenada de responsabilidades. Em vez de acionar todos os 23 agentes, a orquestração escolhe o menor conjunto capaz de planejar, executar, revisar e comprovar o resultado conforme dependências, risco e especialidade.
 
@@ -624,7 +624,7 @@ tests/e2e/          # fluxos que atravessam aplicações
 
 A direção de dependência é `apps -> modules -> packages`. Esta arquitetura descreve exclusivamente o código das aplicações do produto consumidor, não o dashboard ZAIP nem os domínios de negócio. As áreas `branding/`, `marketing/`, `sales/` e `growth/` ficam em `.agents` como pastas de artefatos de negócio criadas sob demanda; elas não são pastas de aplicação. `apps/site` nunca importa o dashboard, não lê `.agents` e não depende de implementação privada do backend. Pastas de superfícies ausentes não precisam ser criadas vazias. Testes unitários ficam junto do código; jornadas cross-app ficam em `tests/e2e`.
 
-Arquivos-fonte com 401–800 linhas geram warning e arquivos com 801 ou mais linhas geram erro, salvo exceções explícitas. O gate ignora código gerado, distribuição, vendor, dados e lockfiles. A lista em [source-size-baseline.json](scripts/source-size-baseline.json) inclui legado de pacotes e Dashboard, com limite congelado, responsável, motivo e validade; isso não autoriza aumentar os limites para ocultar crescimento.
+Arquivos-fonte com 401–800 linhas geram warning e arquivos com 801 ou mais linhas geram erro, salvo exceções explícitas. O gate ignora código gerado, distribuição, vendor, dados e lockfiles. A lista em [source-size-baseline.json](https://github.com/zaip-ai/zaip-aios/blob/main/scripts/source-size-baseline.json) inclui legado de pacotes e Dashboard, com limite congelado, responsável, motivo e validade; isso não autoriza aumentar os limites para ocultar crescimento.
 
 
 ## Desenvolvimento do framework
@@ -683,7 +683,7 @@ Antes de integrar uma mudança relevante ou preparar um release, `pnpm verify` e
 
 Use a versão de pnpm fixada em `packageManager` (`corepack pnpm` quando disponível). Para uma alteração delimitada, selecione os checks pertinentes ao risco e ao diff; a lista acima não exige repetir todos os testes a cada edição documental. Qualificação de release usa os gates completos do [guia 26](zaip-aios/guides/26-qualidade-e-release.md) no candidato exato. Não confunda `validate:github:prepared`, execução local, push e CI terminal verde.
 
-Os dois pacotes públicos compartilham a mesma versão; consulte os links npm acima para identificar o `latest` publicado. A versão em um checkout não comprova publicação: a qualificação deve registrar a revisão exata, o resultado terminal do CI, a integridade dos TGZs e uma instalação nova do registro. O framework mantém seu cohort `1.3.0`, separado da versão pública. Publicação manual com token autorizado não equivale a atestado OIDC. Resultados e ressalvas ficam nas evidências da Change de release, preservando as tentativas anteriores.
+Os dois pacotes públicos compartilham a versão `2.0`; nos metadados npm e nos artefatos SemVer ela é registrada como `2.0.0`. Consulte os links npm acima para identificar o `latest` publicado. A versão em um checkout não comprova publicação: a qualificação deve registrar a revisão exata, o resultado terminal do CI, a integridade dos TGZs e uma instalação nova do registro. Publicação manual com token autorizado não equivale a atestado OIDC. Resultados e ressalvas ficam nas evidências da Change de release, preservando as tentativas anteriores.
 
 A arquitetura detalhada está resumida na seção [Arquitetura das aplicações](#arquitetura-das-aplicações) deste README.
 
@@ -783,4 +783,4 @@ Na raiz do repositório, a geração ou atualização do vault utiliza:
 node .agents/skills/criar-pasta-obsidian/scripts/generate-obsidian-vault.mjs
 ```
 
-O [guia de Obsidian para rastreabilidade ZAIP](guide/CRIAR-PASTA-OBSIDIAN.md) documenta a instalação do aplicativo, a abertura da pasta como vault, a geração de uma única Task e a atualização da projeção após um `git pull`.
+O [guia de Obsidian para rastreabilidade ZAIP](https://github.com/zaip-ai/zaip-aios/blob/main/guide/CRIAR-PASTA-OBSIDIAN.md) documenta a instalação do aplicativo, a abertura da pasta como vault, a geração de uma única Task e a atualização da projeção após um `git pull`.

package/templates/.agents/architecture/hostinger-cloudflare-terraform.md

@@ -0,0 +1,90 @@
+---
+schema_version: 1
+kind: infrastructure-architecture
+id: ARCH-CLOUD-HOSTINGER-CLOUDFLARE-001
+status: active
+owner: project
+---
+
+# Arquitetura Cloudflare, Hostinger VPS e Terraform
+
+Este é o contrato canônico da infraestrutura Zaip. Ele transforma o diagrama aprovado em limites verificáveis para qualquer agente ou operador que use `infra/terraform`. A configuração de software, imagem e segredos de cada aplicação permanece em seus repositórios e não é inferida deste contrato.
+
+## Autoridade, alvos e autonomia
+
+Cloudflare é a autoridade de DNS e edge. Hostinger é o provedor de computação das VPS. Terraform pode criar, ler e alterar somente os recursos Cloudflare e Hostinger enumerados para a execução ativa; Hostinger DNS nunca é criado, importado, consultado ou alterado.
+
+O arquivo `.env` na raiz do projeto local e ignorado é a primeira fonte de credenciais e identificadores; `.agents/.env` pode ser uma fonte alternativa quando a execução a selecionar. Nenhum deles contém material de chave privada e nenhum confere autoridade para um destino. Antes de uma chamada externa, a execução deve registrar o perfil `autonomous-cloud`, a conta Cloudflare, a zona, a conta Hostinger, os IDs das VPS e os fingerprints SSH permitidos. Valores ausentes, diferentes ou ambíguos bloqueiam a operação externa. A autorização permanente do usuário cobre criar, ler, editar e testar somente depois que esse escopo tiver sido preenchido e conferido; uma conta, zona ou host novo exige um novo escopo explícito.
+
+Nesta sessão, quando a autorização permanente do usuário e identificadores de alvo deliberadamente preenchidos no `.env` da raiz coexistirem, descoberta somente de leitura pode derivar e registrar o contrato de alvos antes da configuração. Isso elimina a exigência de o usuário escrever JSON ou repetir autorização. A regra não se transfere a outro projeto: ali, credencial sem mandato e identificadores explicitamente delimitados continua insuficiente.
+
+| Plano | Dono | Recursos permitidos |
+| --- | --- | --- |
+| DNS, TLS edge e proteção pública | Cloudflare | zona explicitamente identificada, registros aprovados, configurações de edge aprovadas |
+| Computação | Hostinger | VPS 1 edge e VPS 2 privada explicitamente identificadas ou criadas pelo plano aprovado |
+| Configuração do host | executor declarado | Docker, firewall, rede privada, imagens e volumes apenas nos hosts enumerados |
+| Aplicação e dados gerenciados | repositórios de aplicação e Supabase | imagens, migrações, Supabase, OpenAI, Stripe, Asaas e Google API; não são recursos implicitamente geridos pelo Terraform desta raiz |
+
+## Topologia aprovada
+
+```text
+Internet -> Cloudflare DNS/WAF/rate limit -> VPS 1 edge/ingress -> transporte privado autenticado -> VPS 2
+Cloudflare Pages <- app.zaip.com.br, beta.zaip.com.br, admin.zaip.com.br, zaip.com.br
+VPS 1 <- api.zaip.com.br, webhook.zaip.com.br, mcp.zaip.com.br, rag.zaip.com.br
+VPS 2 <- produção, beta sob demanda, Redis, BullMQ, observabilidade
+```
+
+Cloudflare Pages é a origem de `app.zaip.com.br`, `beta.zaip.com.br`, `admin.zaip.com.br` e `zaip.com.br`. `api.zaip.com.br`, `webhook.zaip.com.br`, `mcp.zaip.com.br` e `rag.zaip.com.br` chegam à VPS 1 e devem resolver para o IP público do edge, usando proxy Cloudflare quando o protocolo for compatível. Nenhum registro DNS pode apontar diretamente para a VPS 2. A VPS 1 não hospeda dados persistentes de aplicação, Redis ou observabilidade.
+
+### VPS 1: edge e ingress público
+
+VPS 1 executa Traefik e os limites de entrada: API Gateway, webhook receiver, MCP Gateway, RAG Gateway, Admin Gateway, Financial Guard, allowlist de IP, rate limit, headers e logs básicos de acesso. Ela aceita somente 80/443 via Cloudflare e SSH de um conjunto administrativo autorizado. O acesso direto à origem deve ser bloqueado por firewall com a lista de IPs Cloudflare mantida pelo executor declarado.
+
+### VPS 2: aplicação privada
+
+VPS 2 executa apenas pela malha privada autenticada com a VPS 1. Produção contém `zaip-platform-api`, `zaip-platform-worker`, `zaip-platform-scheduler`, `zaip-ai-core-api`, `zaip-ai-worker`, `redis-prod-queue`, `redis-prod-cache`, BullMQ de produção e seu painel. Beta sob demanda contém `zaip-platform-api-beta`, `zaip-platform-worker-beta`, `zaip-platform-scheduler-beta`, `zaip-ai-core-api-staging`, `zaip-ai-worker-staging`, `redis-beta-queue`, `redis-beta-cache`, BullMQ beta e seu painel. Observabilidade contém Prometheus, Grafana, Uptime Kuma, cAdvisor, node-exporter e redis-exporter. k6 e autocannon são ferramentas sob demanda, isoladas de produção por limites explícitos. Painéis, Redis, exporters e portas de aplicação não recebem endereço DNS público nem regra de entrada pública.
+
+Produção e beta têm redes, volumes, credenciais, bancos/filas e limites separados. Beta só pode ser ativado pelo procedimento declarado e seu desligamento não pode parar recursos de produção. O contrato não presume recurso de rede privada da Hostinger: o executor deve declarar e provar o transporte privado (por exemplo WireGuard), rotas, portas, chaves públicas e verificações de conectividade antes de expor a aplicação.
+
+## Dados, filas e imagens
+
+Supabase fornece PostgreSQL, Auth, Storage, RLS e pgvector. A aplicação declara seus próprios projetos, migrations, buckets, RLS e cadeia de conexão. `npm:redis` é o cliente TypeScript; não define a versão nem a configuração do servidor Redis. A imagem do servidor Redis, política de memória, persistência, ACLs, volume e backup devem ser declarados pelo executor. BullMQ é a biblioteca de filas; produtores, workers, scheduler, retries e o painel são serviços distintos e devem usar Redis de fila separado do Redis de cache. Para Redis usado por BullMQ, a política de memória deve ser `noeviction`.
+
+Cada imagem implantada precisa de repositório, digest ou versão imutável, comando, porta, health check, usuário não-root, volumes, dependências, limites e caminho de rollback. O contrato não autoriza usar tags flutuantes.
+
+## Inventário de implantação e entradas pendentes
+
+O diagrama fixa a topologia, não as imagens, IDs de host, planos, região, SO, portas privadas, retenção, política de backup nem executor de configuração. Estes valores permanecem entradas obrigatórias e desconhecidas até serem declaradas. A ausência de qualquer uma gera `deployment-readiness: failed`; o agente não pode preencher defaults imaginados.
+
+| Perfil | Componentes | Entradas obrigatórias antes da implantação |
+| --- | --- | --- |
+| edge | Traefik, gateways API/webhook/MCP/RAG/admin, Financial Guard | VPS 1 ID ou plano/região/SO, hostname, imagem/digest, portas, origem Cloudflare, política de firewall e fingerprint |
+| produção | APIs, workers, scheduler, `redis-prod-queue`, `redis-prod-cache`, BullMQ e painel | VPS 2 ID, imagens/digests, redes, volumes, limites, health checks, ACLs Redis, backup e restore |
+| beta sob demanda | APIs, workers, scheduler, `redis-beta-queue`, `redis-beta-cache`, BullMQ e painel | gatilho de ativação, imagens/digests, redes, dados, credenciais, volumes, limites e desligamento seguro |
+| observabilidade | Prometheus, Grafana, Uptime Kuma, cAdvisor, node-exporter, redis-exporter | imagens/digests, alvos, retenção, volumes, autenticação, alertas e acesso privado |
+| ferramentas | k6 e autocannon | imagem/versão, limite de taxa, orçamento de recursos, alvo permitido e janela de execução |
+
+## Terraform e state
+
+`infra/terraform` é a raiz declarativa para os providers `hostinger/hostinger` e `cloudflare/cloudflare`. Ela cria duas VPS somente no modo de provisionamento, ou usa IPs de VPS já aprovadas no modo de adoção. Registros Cloudflare são criados pela configuração declarada; não há provider, recurso, importação ou API de DNS da Hostinger.
+
+O state remoto, criptografado, versionado e com locking deve ser definido antes de `apply`; state local é proibido para operação compartilhada. `sensitive` mascara a apresentação normal do Terraform, mas não torna um plano salvo ou state livre de segredo. State e plano salvo necessariamente persistem: trate ambos como artefatos secretos, mantenha-os em armazenamento protegido, defina retenção e limpeza, e nunca os registre no Git ou logs junto com token, senha, chave privada, output sensível ou configuração `.env`. Todo ciclo externo segue: preflight de credenciais e alvos -> `terraform init` com lockfile revisado -> `fmt` e `validate` -> `plan -out` revisado -> apply do plano aprovado -> refresh/read-after-write -> testes de DNS, rota, firewall, saúde e restauração. Um `apply` não prova que o serviço está operacional.
+
+`manage_vps = false` consome somente IP externo explicitamente aprovado e não gerenciado para DNS; não representa adoção nem importação. Depois que uma VPS estiver vinculada ao state, o modo não pode ser trocado para contornar esse vínculo. Importação de uma VPS existente exige ID Hostinger explicitamente autorizado, `terraform import` no mesmo endereço do recurso gerido, revisão de `state show` sem segredo e configuração equivalente antes de qualquer alteração. Destruir ou substituir recurso, trocar plano/datacenter/template, alterar zona ou trocar token exige plano/escopo atualizado; rollback reverte a configuração declarada e usa backup/restauração testados, nunca `terraform destroy` automático.
+
+No modo de criação, o plano aprovado deve declarar nomes, plano, região/datacenter, template/SO, teto de custo e chave pública. O resultado observado vincula os dois IDs recém-criados ao escopo; antes de qualquer SSH, o executor verifica o fingerprint de host que foi previamente delimitado. Depois dessa vinculação, abrir portas aprovadas, atualizar firewall, trocar chave, configurar DNS e executar testes é autônomo dentro da arquitetura e dos alvos já delimitados. Aprovação humana só é necessária para ampliar conta, zona, VPS, destino, orçamento, recurso desconhecido ou efeito irreversível ainda não aprovado.
+
+### Credenciais mínimas por operação
+
+| Operação | Credencial mínima | Identificadores obrigatórios |
+| --- | --- | --- |
+| Ler/planejar ou alterar DNS Cloudflare | token Cloudflare com DNS Read/DNS Write e credencial do backend de state, se aplicável | conta e zona Cloudflare |
+| Ler, importar, criar ou alterar VPS | token Hostinger e credencial do backend de state, se aplicável | conta Hostinger, IDs em adoção/importação ou nome/plano/região/template/teto em criação |
+| Plano/aplicação que combina DNS e VPS | token Cloudflare, token Hostinger e credencial do backend de state | todos os identificadores das duas linhas anteriores |
+| SSH e validação do host | referência local da chave privada e fingerprint do host; token do provider só se a etapa também chamar sua API | ID/IP da VPS e fingerprint previamente vinculado |
+
+Tokens de provider existem somente como `CLOUDFLARE_API_TOKEN` e `HOSTINGER_API_TOKEN`, injetados no subprocesso mínimo; nunca como `TF_VAR_*`. Os `TF_VAR_cloudflare_*`, `TF_VAR_edge_vps_*` e `TF_VAR_application_vps_*` declarados no `.env` são entradas não secretas. O preflight pode derivar delas um contrato ou `terraform.tfvars` ignorado, validando perfil e alvos e copiando somente essa allowlist. Ele não copia token, caminho de chave privada, state, plano salvo ou variável de ambiente arbitrária.
+
+## Evidência de validação live
+
+Prova live somente é válida quando uma execução observada usa o alvo e credencial previamente delimitados. Ela inclui IDs não secretos, hashes do plano, versão de provider, momento, resultado de read-after-write, resolução DNS, handshake TLS, resposta de health check, negação de portas privadas e teste de restore correspondente. Sem isso, o resultado é apenas validação estática/local e deve ser descrito assim.

package/templates/.agents/architecture/software-architecture.md

@@ -0,0 +1,61 @@
+---
+schema_version: 1
+kind: software-architecture
+generated_from: .agents/config/project.yaml
+---
+
+# Arquitetura de Software
+
+> Arquitetura padrão ZAIP-AIOS. Atualize este documento quando as decisões técnicas do projeto mudarem.
+
+## Projeto
+
+- **Nome:** {{PROJECT_NAME}}
+- **ID:** {{PROJECT_ID}}
+
+## Perfil técnico padrão
+
+- **Stack profile:** zaip-aios-stack
+- **Linguagem:** TypeScript
+- **API:** Hono
+- **Query builder:** Kysely
+- **Runtime de execução:** manual
+
+## Superfícies e serviços padrão
+
+| Responsabilidade | Tecnologia padrão |
+| --- | --- |
+| Web App | React e Vite |
+| Site e landing pages | Astro e React Islands |
+| Dados, autenticação e armazenamento | PostgreSQL via Supabase |
+| Cache, locks e estado temporário | Redis |
+| Filas, workers e retries | BullMQ |
+| Infraestrutura | Terraform |
+
+## Layout do código
+
+| Papel | Caminho |
+| --- | --- |
+| frontend | apps/frontend |
+| backend | apps/backend |
+| site | apps/site |
+| modules | modules |
+| packages | packages |
+| e2e | tests/e2e |
+
+## Invariantes
+
+- clean-architecture
+- cqrs
+- module-storage-private
+
+## Decisões a definir pelo projeto
+
+Registre aqui os provedores, versões, infraestrutura, integrações e decisões de domínio adotados por este projeto. O instalador não herda versões, provedores ou overrides do repositório ZAIP-AIOS.
+
+## Comandos de validação
+
+| Comando | Execução |
+| --- | --- |
+| test | `corepack pnpm test` |
+| typecheck | `corepack pnpm typecheck` |

package/templates/.agents/config/autonomous-cloud-inputs.json

@@ -0,0 +1,41 @@
+{
+  "version": 1,
+  "profile": "autonomous-cloud",
+  "cloudflare": {
+    "account_id": "replace-with-cloudflare-account-id",
+    "zone_id": "replace-with-cloudflare-zone-id",
+    "zone_name": "example.com",
+    "dns_records": [],
+    "direct_dns_records": {},
+    "allowed_operations": []
+  },
+  "hostinger": {
+    "account_id": "replace-with-declared-hostinger-account-label",
+    "allowed_operations": [],
+    "vps": {
+      "edge": { "id": "replace-with-observed-vps-api-id" },
+      "application": { "id": "replace-with-observed-vps-api-id" }
+    }
+  },
+  "terraform": {
+    "working_directory": "infra/terraform",
+    "binary_path": ".local/tools/terraform",
+    "binary_sha256": "replace-with-verified-terraform-binary-sha256",
+    "allowed_operations": [],
+    "plan": {
+      "backend": {
+        "type": "s3",
+        "config": {
+          "bucket": "replace-with-approved-s3-bucket",
+          "key": "terraform/terraform.tfstate",
+          "region": "us-east-1",
+          "encrypt": true,
+          "use_lockfile": true
+        }
+      },
+      "path": ".local/cloud/plans/replace-with-plan-id.tfplan",
+      "policy_json_path": ".local/cloud/plans/replace-with-plan-id.json",
+      "policy_contract_path": "infra/terraform/fixtures/approved-targets.json"
+    }
+  }
+}