@zaip-ai/cli 2.0.0 → 2.6.0

package/templates/.agents/skills/zaip-skill-testing-strategy/SKILL.md

@@ -0,0 +1,15 @@
+---
+name: zaip-skill-testing-strategy
+description: Map acceptance risks to focused unit, integration, contract, and end-to-end tests with meaningful evidence.
+---
+
+# Plan tests
+
+Use when a change needs a proportionate verification plan or existing tests do not prove important behavior.
+Read `references/example-map.md` for a Hono and Kysely multi-tenant mutation.
+
+1. Start with acceptance criteria, failure modes, external boundaries, and user-visible states rather than a target coverage number.
+2. Choose the lowest layer that can prove each behavior; use real integration boundaries when mocks cannot prove configuration or policy.
+3. Define deterministic fixtures, isolation, cleanup, and the observable assertion for each high-risk case.
+4. Include unauthorized, invalid, retry, and regression cases where the altered behavior makes them meaningful.
+5. Keep test execution evidence separate from a test plan and record baseline failures as baseline failures.

package/templates/.agents/skills/zaip-skill-testing-strategy/agents/openai.yaml

@@ -0,0 +1,4 @@
+interface:
+  display_name: "Testing Strategy"
+  short_description: "Map risks to meaningful test evidence"
+  default_prompt: "Use $zaip-skill-testing-strategy to create a focused verification strategy for this change."

package/templates/.agents/skills/zaip-skill-testing-strategy/references/example-map.md

@@ -0,0 +1,3 @@
+# Example map
+
+A Hono multi-tenant mutation needs a unit test for use-case invariants, a route contract test for validation and response, a Kysely integration test for transaction and tenant context, and a UI assertion for loading, validation error, and success feedback. Add a cross-tenant denial test through the actual database access path.

package/templates/.agents/skills/zaip-skill-text-encoding/SKILL.md

@@ -19,7 +19,7 @@ description: Detect, prevent, and fix UTF-8, mojibake, and malformed text in ZAI
 - `.agents/requirements`
 - `.agents/skills`
 - `docs`
-- `plan-create-zaip-aios`
+- `public-cli`
 
 ## Notes
 

package/templates/.agents/skills/zaip-skill-website-readiness/SKILL.md

@@ -5,6 +5,9 @@ description: Build capability-aware websites with discoverable agent-readable me
 
 # Website and Agent Readiness
 
+Para componentes de UI novos ou alterados, carregue também
+`$zaip-skill-frontend-componentization`.
+
 Use this skill for `apps/site/**`, landing pages, institutional websites, SEO, GEO,
 Markdown for Agents, or an Agent Readiness audit. Jonny owns implementation inside the
 site scope; Manu remains the owner of central design rules and must be called first when
@@ -21,6 +24,11 @@ the work changes `DESIGN.md`, design tokens, or canonical components.
    [references/capability-checklist.md](references/capability-checklist.md).
 6. Verify the rendered HTML, structured data, crawler files, Markdown representation,
    links, and response headers. Record unsupported capabilities explicitly.
+7. Publish only to the configured validation branch and the site's own validation
+   environment. Production promotion follows the [deployment and access
+   contract](../zaip-skill-backend/references/deployment-environments.md); a
+   Supabase query, when relevant, uses only a configured READ-ONLY-BETA or
+   READ-ONLY-PROD context.
 
 ## Required outcomes
 

package/templates/.agents/zaip-aios/INDEX.md

@@ -29,7 +29,7 @@ introduzidos em releases mais novas.
 | Consultar instalação detalhada | [20 — Instalação detalhada](guides/20-instalacao-detalhada.md) |
 | Consultar telemetria do Monitor | [21 — Telemetria do Monitor de Custos](guides/21-telemetria-monitor-custos.md) |
 | Entender fluxos e roteamento | [22 — Fluxos e roteamento](guides/22-fluxos-e-roteamento.md) |
-| Consultar a política de modelos | [23 — Orquestração de modelos](guides/23-orquestracao-de-modelos.md) |
+| Escolher modelos e limitar o diagnóstico Astra | [23 — Orquestração de modelos](guides/23-orquestracao-de-modelos.md) |
 | Entender cálculo e fontes de custo | [24 — Cálculo](guides/24-calculo-de-custos-openai.md) e [25 — Fontes](guides/25-fontes-de-precos-openai.md) |
 | Consultar qualidade e release | [26 — Qualidade e release](guides/26-qualidade-e-release.md) |
 | Entender a telemetria Git-native | [27 — Telemetria Git-native](guides/27-telemetria-git-native.md) |

package/templates/.agents/zaip-aios/README.md

@@ -39,11 +39,17 @@ presença de uma instrução ou screenshot não comprova execução naquele ambi
 - Use o guia 09 para delegacao entre os 23 agentes e 6 squads registrados.
 - Use o guia 16 para entender status, reconciliacao e a ordem de finalizacao.
 - Use os guias 17 e 24 a 25 para interpretar tokens, precificacao e conversao de moeda.
+- Use o [guia 08](guides/08-contexto-e-tokens.md) para consultas com contexto enxuto e
+  o [guia 23](guides/23-orquestracao-de-modelos.md) para a divisão Luna/Terra/Sol e o
+  diagnóstico Astra em `high`, limitado a três invocações por tarefa.
 - Use os guias 18 a 28 quando precisar do contrato completo de agentes, lifecycle, telemetria, qualidade, instalacao ou roteamento.
 
 O instalador npm projeta esta pasta da `.agents` canonica para o tarball e a
 recria no projeto consumidor. Arquivos em `public-cli/packages/cli/templates`
 sao artefatos gerados do empacotamento, nao uma segunda fonte a ser editada.
+Os manuais completos em português e inglês são instalados como
+`.agents/README.md` e `.agents/README-ENG.md`; os READMEs da raiz do consumidor
+permanecem sob sua autoria.
 
 Para concluir trabalho, use [revisão e validação](guides/07-revisao-e-validacao.md)
 e o [contrato de prova observável](../skills/zaip-skill-change/references/observable-evidence.md).

package/templates/.agents/zaip-aios/VERSION

@@ -1 +1 @@
-2.0
+2.6

package/templates/.agents/zaip-aios/guides/08-contexto-e-tokens.md

@@ -2,9 +2,25 @@
 
 1. Comece por `project.yaml`, `core.md` e pelos manifests de `.agents/records/lifecycle/`.
 2. Carregue somente a Rule, Requirement ou skill acionada.
-3. Prefira indices, resumos e busca direcionada a arquivos completos.
+3. Prefira índices, resumos e busca direcionada a arquivos completos.
 4. Abra records apenas por lifecycle ID conhecido.
-5. Resuma fatos estaveis; preserve texto literal apenas quando normativo.
-6. Remova do contexto resultados superados e detalhes nao acionaveis.
+5. Resuma fatos estáveis; preserve texto literal apenas quando normativo.
+6. Remova do contexto resultados superados e detalhes não acionáveis.
 
 Para tools, leia `catalog.yaml`, escolha um ID e abra somente seu manifesto.
+
+## Consulta simples e diagnóstico difícil
+
+Uma pergunta simples de Marketing, Sales, Growth ou Ops recebe o contexto do domínio
+necessário à resposta. Não cria Task/Change artificial nem carrega instruções de
+engenharia ou diagnóstico Astra apenas por mencionar um departamento.
+
+O [guia 23](23-orquestracao-de-modelos.md) define a escalada excepcional. A
+[Rule Astra](../../rules/astra-diagnostic.md) só é carregada ao avaliar elegibilidade:
+prova da falha, dificuldade estruturada e, no caso preventivo, impacto crítico comprovado.
+A consulta diagnóstica usa contexto novo e delimitado, sem histórico integral ou ferramentas;
+o executor recebe a rota corrigida e preserva os critérios de aceite originais.
+
+Menos texto de prompt não comprova menor custo total. Compare tokens, tempo, reparos e
+custo por tarefa aceita; mantenha separado o custo de uma pergunta simples. Consumo
+ausente permanece indisponível. Veja [observabilidade e custos](11-observabilidade-e-custos.md).

package/templates/.agents/zaip-aios/guides/10-seguranca.md

@@ -237,7 +237,8 @@ ao novo token. Não edite ACLs manualmente e preserve o backup para rollback.
 | `.codex/zaip-aios-security.config.toml` | configuração dedicada do perfil restrito |
 | `.codex/zaip-aios-full-access.config.toml` | configuração dedicada do perfil completo |
 | `.agents/skills/zaip-skill-security/SKILL.md` | avaliação dos riscos e controles |
-| `.agents/skills/zaip-skill-setup/SKILL.md` | instalação, correção e validação dos perfis |
+| `.agents/skills/zaip-skill-setup/SKILL.md` | instalação inicial dos modelos de perfil entregues pelo release |
+| `.agents/skills/zaip-skill-config/SKILL.md` | seleção, personalização, correção e validação dos perfis |
 | `.codex/hooks/zaip-pre-tool-use.mjs` | guarda adicional de comandos |
 | `.codex/rules/` | decisões determinísticas de comandos permitidos e proibidos |
 | este guia | contrato operacional e comparação dos perfis |

package/templates/.agents/zaip-aios/guides/12-instalacao-e-upgrade.md

@@ -1,10 +1,40 @@
-# Instalacao e upgrade
+# Instalação e upgrade
 
-1. Verifique versao atual e estado limpo ou conscientemente preservado.
-2. Execute doctor/integrity antes da mudanca.
-3. Faça dry-run da instalacao, migracao ou upgrade.
-4. Revise arquivos gerenciados, publicos e preservados.
+1. Verifique versão atual e estado limpo ou conscientemente preservado.
+2. Execute doctor/integrity antes da mudança.
+3. Faça dry-run da instalação, migração ou upgrade.
+4. Revise arquivos gerenciados, públicos e preservados.
 5. Aplique, valide adapters e rode gates.
-6. Teste rollback e confirme a versao final.
+6. Teste rollback e confirme a versão final.
 
-`framework.lock.yaml` e relevante neste fluxo; nao o carregue no trabalho comum.
+`framework.lock.yaml` é relevante neste fluxo; não o carregue no trabalho comum.
+
+## Atualizar pelo pacote público
+
+Na raiz do projeto consumidor:
+
+```bash
+npx @zaip-ai/cli@latest init --dry-run
+npx @zaip-ai/cli@latest init
+npx @zaip-ai/cli@latest doctor --json
+node .agents/runtime/bin/zaip.mjs doctor --json
+```
+
+O primeiro doctor verifica a instalação; o segundo verifica o runtime distribuído.
+Leia o plano antes de autorizar uma substituição com `--force --yes`. O upgrade
+preserva o perfil de instalação salvo e as escolhas do projeto.
+
+Os manuais instalados ficam em `.agents/README.md` (português) e
+`.agents/README-ENG.md` (inglês), com navegação em [INDEX.md](../INDEX.md).
+Os READMEs da raiz pertencem ao projeto consumidor e são preservados.
+As versões geradas em `public-cli/packages/cli/templates` vêm das fontes canônicas.
+
+Novas instalações mantêm seleção de modelo em `manual`. Instalar ou atualizar
+não ativa Astra automaticamente. O opt-in `auto` aplica-se a SPEC/PRD e a allowlist
+Astra habilita somente diagnóstico `high`, limitado e evidenciado, conforme o
+[guia 23](23-orquestracao-de-modelos.md). Conversas e Tasks avulsas preservam a seleção do host.
+
+`@latest` entrega o que está publicado no npm. Uma atualização local das fontes ou
+um pacote validado localmente só chegará a esse comando após publicação.
+Consulte [instalação detalhada](20-instalacao-detalhada.md) e
+[qualificação do pacote](26-qualidade-e-release.md).

package/templates/.agents/zaip-aios/guides/20-instalacao-detalhada.md

@@ -4,7 +4,7 @@ Este guia descreve o modelo de lifecycle V2 no layout V3. Durante a transição,
 
 ## Pré-requisitos
 
-- Node.js compatível com o pacote (declara 22+); para Dashboard, confirme `node:sqlite` disponível, como no ambiente de referência 22.16.0;
+- Node.js 22.16.0 ou superior, conforme o requisito do pacote, com `node:sqlite` disponível;
 - Git;
 - permissões de escrita no repositório consumidor.
 
@@ -17,17 +17,32 @@ o runtime distribuído. No checkout mantenedor, use o pnpm fixado em
 Na raiz do projeto-alvo:
 
 ```bash
-npx @zaip-ai/cli@latest init --dry-run
-npx @zaip-ai/cli@latest init
+npx --yes @zaip-ai/cli@latest init --project-only --dry-run
+npx --yes @zaip-ai/cli@latest init --project-only
 node .agents/runtime/bin/zaip.mjs doctor --json
 ```
 
-Revise o dry-run antes da instalação. `@latest` seleciona a versão publicada,
+Revise o dry-run antes da instalação. O primeiro sucesso verificável é a saída
+de `doctor --json` com `"valid": true`; ela confirma layout, checksums e adapters
+do projeto que recebeu a instalação. `@latest` seleciona a versão publicada,
 não alterações ainda locais neste repositório. O binário público `zaip` é o
 instalador; nos exemplos de lifecycle deste guia, `zaip ...` é uma abreviação
 de `node .agents/runtime/bin/zaip.mjs ...` no projeto consumidor. Use o caminho
 explícito para evitar colisão entre os dois CLIs.
 
+### Manuais e seleção de modelos
+
+Antes de usar os comandos de desenvolvimento abaixo, consulte os manuais instalados
+em `.agents/README.md` e `.agents/README-ENG.md` e o [índice local](../INDEX.md).
+O instalador preserva os READMEs do projeto na raiz. Os perfis `full`, `dev-lite`
+e `lite` selecionam ferramentas de instalação; eles não classificam a dificuldade
+de uma tarefa nem ativam um modelo mais caro.
+
+O default de seleção de modelos é `manual`. O modo `auto` exige opt-in do projeto,
+permanece restrito a SPEC/PRD e mantém Astra como consultor diagnóstico opcional em
+`high`, com teto de três invocações por Task e devolução aos executores.
+Veja o [contrato de modelos e seus limites](23-orquestracao-de-modelos.md).
+
 ## Construir o CLI
 
 Somente no repositório-fonte, para manutenção do framework:

package/templates/.agents/zaip-aios/guides/23-orquestracao-de-modelos.md

@@ -11,7 +11,7 @@ Este guia define como o ZAIP-AIOS recomenda modelo, `reasoning effort` e velocid
 
 Na implementação atual, a política suporta `manual`, `off` e `auto`. No projeto ZAIP-AIOS, `auto` está ativado somente para Executions originadas por SPEC ou PRD; Conversation e Task-first preservam o modelo, o reasoning effort e a velocidade selecionados manualmente no Codex. `manual` continua disponível para rollback e permanece o default de novas instalações.
 
-Toda Execution originada por PRD ou SPEC solicita velocidade `standard`, sem exceção ou override para Fast. A única forma suportada de executar trabalho de produto mais rápido é iniciar uma Task-first realmente independente e selecionar Fast manualmente no Codex; o ZAIP não ativa, persiste nem herda essa velocidade.
+Na política automática, Executions originadas por PRD ou SPEC solicitam velocidade `standard`, sem override para Fast. Em Conversation ou Task-first independente, a seleção de Fast pertence ao host/Codex; o ZAIP não a ativa, persiste nem herda. Velocidade do provider, paralelismo e tempo total até a tarefa aceita são medidas distintas.
 
 ## Estado atual
 
@@ -74,13 +74,14 @@ Para permitir escolha manual em Conversation e Task-first, não fixe `model`, `m
 
 ## Família de modelos
 
-A política automática deve permanecer inicialmente na família GPT-5.6:
+A política preserva GPT-5.6 para execução e acrescenta Astra somente para diagnóstico difícil evidenciado:
 
 | Modelo | Uso preferencial |
 | --- | --- |
 | `gpt-5.6-luna` | trabalho claro, repetitivo, determinístico e de alto volume |
 | `gpt-5.6-terra` | implementação, teste, diagnóstico e integração cotidiana |
 | `gpt-5.6-sol` | trabalho ambíguo, transversal, arquitetural, crítico ou de alto valor |
+| `gpt-6-astra` | diagnóstico excepcional, somente `high`, seguido de devolução ao executor |
 
 Os defaults iniciais ficam definidos assim:
 
@@ -91,6 +92,7 @@ Os defaults iniciais ficam definidos assim:
 | velocidade fallback/baseline | `standard` |
 | modelo eficiente elegível | `gpt-5.6-luna` |
 | modelo frontier elegível | `gpt-5.6-sol` |
+| consultor diagnóstico excepcional | `gpt-6-astra high`; até três diagnósticos por Task |
 | teto automático de effort | `xhigh` |
 | `xhigh` automático | habilitado somente pelos critérios de elegibilidade |
 | `max` e `Ultra` automáticos | fora de escopo |
@@ -98,7 +100,34 @@ Os defaults iniciais ficam definidos assim:
 
 Terra `medium` é o fallback quando os sinais forem insuficientes ou conflitantes. Sol não deve ser usado em tudo; Luna não deve ser usado quando a Task depende de julgamento arquitetural ou ambiguidade relevante.
 
-`ultra` e `max` não fazem parte da política: o ZAIP-AIOS nunca os seleciona. A seleção usa somente Luna, Terra ou Sol com effort `low`, `medium`, `high` ou `xhigh`.
+`ultra` e `max` não fazem parte da política: o ZAIP-AIOS nunca os seleciona. Luna, Terra e Sol usam effort `low`, `medium`, `high` ou `xhigh` conforme elegibilidade. Astra usa somente `high`; nem um override libera `xhigh`, `max` ou `ultra` para ele.
+
+### Astra: diagnóstico, correção de rota e devolução
+
+Sol permanece como escolha normal da faixa difícil. Astra recebe uma questão diagnóstica delimitada quando o ganho potencial de evitar novo reparo justifica seu uso. A regra canônica é [RULE-ASTRA-DIAGNOSTIC](../../rules/astra-diagnostic.md), carregada apenas nessa avaliação; o kernel e os prompts de Marketing, Sales, Growth e Ops não incorporam essa expansão.
+
+| Situação observada | Rota |
+| --- | --- |
+| Pergunta direta, copy, análise comercial simples, alteração mecânica | Luna/Terra conforme perfil existente |
+| Arquitetura ou problema difícil com caminho conhecido | Sol; execução delimitada em Luna/Terra |
+| Tentativa executora falhou por hipótese/raciocínio; complexidade ou ambiguidade alta e evidência disponível | Um diagnóstico Astra high antes do reparo seguinte |
+| Impacto material crítico e diagnóstico difícil, ambos evidenciados | Astra high preventivamente, antes da primeira implementação |
+| Falha de ambiente, credencial, ferramenta, sintaxe ou ausência de prova | Corrigir a condição ou obter prova com o executor; não acionar Astra |
+| Mesmo diagnóstico/plano sem progresso, ou três diagnósticos já reservados | Parar a escalada; executar rota útil ou registrar bloqueio concreto |
+
+A expressão “tarefa crítica”, o risco isolado, o departamento, a quantidade de arquivos e o tamanho do pedido nunca bastam. A política usa metadados estruturados e prova referenciada. Um reparo localizado não se torna diagnóstico difícil só porque a primeira tentativa falhou.
+
+Cada ciclo significa **uma invocação diagnóstica Astra governada**, com reserva atômica antes do dispatch. O teto é três por ID estável de Task, somando retomadas, Runs e Executions; normalmente basta uma consulta. Uma reserva consumida não permite repetir o dispatch nem é devolvida após timeout. Call interna, evento de uso e checkpoint não são contadores de diagnóstico.
+
+O pacote de entrada contém falha observada, tentativa anterior, evidência, restrições e critérios de aceite. É uma sessão nova, sem herdar histórico integral, sem ferramentas de execução nem filhos. O envelope limita a entrada serializada a 48000 bytes, declara até 8000 tokens de saída e termina após até 180 segundos. Bytes não equivalem a tokens; o runtime verifica o consumo informado pelo provider, sem transformar orçamento declarado em economia medida.
+
+Astra retorna JSON com `findings`, `evidence`, `cause_or_hypothesis`, `route`, `scope`, `test_plan`, `executor` e `recommended_model` restrito a Luna/Terra/Sol. O coordenador valida o retorno e entrega a correção ao executor. Astra não implementa, não substitui a revisão normal e não finaliza a entrega.
+
+O objetivo da segunda tentativa é aplicar uma hipótese corrigida e testável. Outra consulta precisa de evidência nova e mudança de hipótese/rota; não se permite repetir o mesmo plano alternando Astra e Sol. Se faltar prova para avançar, o retorno identifica a prova faltante, sem prometer resolução automática.
+
+A política `model-orchestration-v2` mantém legível a configuração anterior com três modelos. Incluir Astra na allowlist habilita apenas essa rota condicionada; removê-lo desativa novos diagnósticos preservando histórico e quota. Novas instalações continuam em `manual`. O modo automático permanece restrito a SPEC/PRD. O framework controla processos que ele próprio despacha; não consegue alterar ou limitar uma sessão manual já selecionada no aplicativo Codex.
+
+O isolamento é aplicado pelo adapter Codex antes da inferência: configuração transitória, sandbox de leitura, ferramentas de shell/apps/browser/multi-agent desabilitadas e cada servidor MCP efetivo desabilitado individualmente. Se a configuração não puder ser verificada, o diagnóstico não inicia. Um evento inesperado de ferramenta provoca cancelamento adicional; essa verificação posterior não substitui a restrição anterior.
 
 ## Reasoning effort
 

package/templates/.agents/zaip-aios/guides/26-qualidade-e-release.md

@@ -50,6 +50,27 @@ sincronize/audite novamente o template público. Execute gates geradores em
 checkout/worktree isolado para preservar trabalho concorrente. Gates locais,
 artefato exato, CI terminal e produção continuam sendo provas distintas.
 
+### Paridade de documentação no pacote npm
+
+Atualize primeiro `README.md` e `README-ENG.md` do repositório-fonte, mantendo
+português como principal e equivalência de seções, tabelas, exemplos e links.
+Atualize também os guias afetados, seu índice e os READMEs do CLI público.
+Sincronize o manifesto de integridade e o template por seus geradores oficiais.
+
+O `pack:check` de `public-cli` instala o TGZ real em um consumidor temporário:
+confere os hashes dos dois manuais, dos índices e de todos os arquivos do handbook
+contra o manifest do próprio pacote, incluindo a Rule Astra, e verifica que
+os READMEs da raiz do consumidor sobrevivem à instalação e à reinstalação.
+O relatório registra a quantidade de arquivos documentais conferidos.
+
+Novas instalações continuam em `manual`; a documentação não deve confundir
+perfil de instalação com modelo/effort nem apresentar estimativas de tokens
+como economia financeira medida. O escopo automático e os limites Astra
+devem coincidir com o [guia 23](23-orquestracao-de-modelos.md).
+
+Esses checks comprovam paridade local do candidato. Publicação npm, a tag
+`latest`, CI remoto e economia em tarefas reais precisam de suas próprias evidências.
+
 ### Falhas de desempenho no dashboard
 
 Reproduza a rota, período, filtro, offset e tamanho da página que falharam.

package/templates/scripts/validate-cloud-hostinger-contract.mjs

@@ -10,6 +10,7 @@ const files = {
   terraform: "infra/terraform/main.tf",
   variables: "infra/terraform/variables.tf",
   skill: ".agents/skills/zaip-skill-hostinger-cloudflare-terraform/SKILL.md",
+  aws: ".agents/skills/zaip-skill-hostinger-cloudflare-terraform/references/aws-cli-terraform.md",
   readiness: "infra/terraform/deployment-inputs.example.yaml",
 };
 const source = Object.fromEntries(
@@ -75,6 +76,39 @@ const checks = [
     source.skill.includes("read-after-write") && source.skill.includes("prova estática/local"),
     "skill must require truthful live validation",
   ],
+  [
+    source.aws.includes("aws configure sso") &&
+      source.aws.includes("OIDC") &&
+      source.aws.includes("aws sts get-caller-identity"),
+    "AWS contract must support bounded authentication and identity verification",
+  ],
+  [
+    source.aws.includes("source_profile") &&
+      source.aws.includes("backend") &&
+      source.aws.includes("provider"),
+    "AWS contract must separate backend and provider authentication",
+  ],
+  [
+    source.aws.includes("use_lockfile = true") &&
+      source.aws.includes("Terraform >= 1.10") &&
+      source.aws.includes("lockfile=readonly") &&
+      source.aws.includes("apply"),
+    "AWS contract must require modern S3 locking and authorized saved-plan apply",
+  ],
+  [
+    source.aws.includes("Bootstrap AWS de ambiente zero") &&
+      source.aws.includes("não cria o bucket S3") &&
+      source.aws.includes("versionamento") &&
+      source.aws.includes("recuperação") &&
+      source.aws.includes("criptografia"),
+    "AWS contract must define separate zero-environment S3 bootstrap and recovery",
+  ],
+  [
+    source.skill.includes("**AWS:**") &&
+      source.skill.includes("Não leia, exija ou derive") &&
+      source.skill.includes("**Cloudflare/Hostinger:**"),
+    "skill must keep AWS inputs separate from the Cloudflare/Hostinger runner flow",
+  ],
   [
     source.readiness.includes("deployment_readiness: failed") &&
       source.readiness.includes("image_digests: {}"),