@zaip-ai/cli 3.0.0 → 3.1.0

package/templates/.agents/runtime/checksums.sha256

@@ -1,11 +1,11 @@
 b146bd0c7c60b1ab43c4f71e0b1d2262c6df6da6f7053a0425f834ccb77a6b48  LICENSE
 bc02cba77e8d51e5c580f43668863dc868eda66f1ff663bfaa49fcf3ca16320e  THIRD_PARTY_NOTICES.md
-2985be8b28d3ade858e8d8fb4bc22f565b1bf6020dff982dce141f7721b9999c  VERSION
-ea4542bdeaee90694dd1402fa015026af0e8f7d11cce0d36bd6b7384971476a8  bin/zaip.mjs
-c22da8ce06147f89a055bad9bb7800085768c9fc263728db5fb54e069825e052  manifest.json
+b2f44d3b6e29f8b1b73ea4735f006affc4d198e1fd9c7d50e736159b1ef636c6  VERSION
+07eff6c6d3ef380212d06003dd3e7b11b681d8100fd92846a6ed13742867219e  bin/zaip.mjs
+309fea15107cf79a2ef729be126a4cb65572215b480dc5a8820fb3aad6f515ab  manifest.json
 7f89219d7c567c82a51679ad136d84364bded7ac659492537e125d33b1d58a7a  migrations/001-layout-v1.json
 5f8c48b286d0b44d8fbb57a9a5d009a8a500439aa3148d750b8f193f72995c9f  migrations/002-layout-v2.json
 2d738247131a923ea6e3a32d0d1d6de763866fd96a8a8dc75d127a343809b0aa  pnpm-lock.sha256
-d04ab7db3df0f713e1805e4bd0b735015c46e1108e2bb2fc1ef0ee4ac5790b7e  provenance.json
-f6dc78ff791e700d82cc2dc76a76898849c1d6f4b9a7f283e5840e80e52479aa  sbom.cdx.json
+d2b2105141802e9e6bc46833181de0bb01532a7efaeda5e5b2db62ab02f89855  provenance.json
+e3b827a4931e99acbe3ad9819648e651e672dc5b2cd1056a6d59ae4d56f4b2c6  sbom.cdx.json
 b3ffedf9e146be802a15b4009f33e031dec3071ca1525e12c67606fd964a3067  schemas/contracts.schema.json

package/templates/.agents/runtime/manifest.json

@@ -1,7 +1,7 @@
 {
   "schemaVersion": 2,
   "name": "zaip-aios",
-  "version": "3.0.0",
+  "version": "3.1.0",
   "node": ">=22",
   "files": [
     "LICENSE",

package/templates/.agents/runtime/provenance.json

@@ -2,10 +2,10 @@
   "schema_version": 1,
   "statement_type": "self_reported_build_integrity",
   "authenticity": "unverified",
-  "version": "3.0.0",
+  "version": "3.1.0",
   "source_origin": "zaip-aios:local-build",
   "lockfile_sha256": "f8557f3600849eb880b8f245b63b80fed9a3e9addf2c5f2c6d492547af900219",
-  "sbom_sha256": "f6dc78ff791e700d82cc2dc76a76898849c1d6f4b9a7f283e5840e80e52479aa",
-  "runtime_sha256": "f6b7e8a96164b8597d41077e8bd913beb40ae0407a88ec60b221ce08eee73bb5",
-  "statement_sha256": "64b394412fc8d6a391a88a1175c5edb8c2042f71054972b4cd37e6b163380bd2"
+  "sbom_sha256": "e3b827a4931e99acbe3ad9819648e651e672dc5b2cd1056a6d59ae4d56f4b2c6",
+  "runtime_sha256": "78b53fdb2c310ef79d25cae1952b57810af6fa1e02bd2e62fefbc16cc3fa34a1",
+  "statement_sha256": "22b6a50ec6c2af719fd2795fa1010d42be59e5de432914943032bf305838973e"
 }

package/templates/.agents/runtime/sbom.cdx.json

@@ -6,7 +6,7 @@
     "component": {
       "type": "application",
       "name": "zaip-aios",
-      "version": "3.0.0"
+      "version": "3.1.0"
     }
   },
   "components": [

package/templates/.agents/skills/zaip-skill-github-deploy/references/release-identity.md

@@ -28,17 +28,22 @@ Consumer repositories remain GitHub-only and independent. Recognize the framewor
 
 Publishing a GitHub Release in this framework triggers its npm workflow. Report this consequence in the GitHub publication scope and follow the configured pipeline through terminal status; no second npm skill or local publication step is needed. A push-only request does not create a Release or publish npm. A successful GitHub Release with failed/unobserved npm checks is a partial result.
 
-`qualify-cli.yml` runs on pushes to the configured validation (`beta` npm channel) and human-promoted
-production (`latest` npm channel) branches. It qualifies the exact SHA and uploads one tested TGZ plus
-a receipt. Other branch pushes do not qualify a release. For an authorized manual qualification retry,
-dispatch that workflow on the candidate's configured branch with its exact current head `sha` and
-matching `npm_channel`. Qualification is read-only; it does not publish npm or create a Release.
-
-Before creating or resuming a draft Release, require the installed `github-readiness.mjs` command with `--repository zaip-ai/zaip-aios --sha <sha> --branch <configured-release-branch> --workflow-path .github/workflows/qualify-cli.yml --checks-json '["receipt"]'` to report ready.
-The publisher independently checks the latest qualifying run and attempt, workflow path, repository,
-SHA, channel, receipt lifetime and artifact digests. It waits for a pending qualification, refuses a
-failed or missing one, and consumes the approved TGZ without repeating source tests or builds.
-Receipts expire after seven days; a changed candidate requires new qualification. Preserve required
-GitHub checks and investigate their failures, rather than replacing passing evidence with another AI review.
+`qualify-cli.yml` is manual-only. It does not run on every push. For an explicitly
+requested extended qualification, dispatch it on the configured branch with the exact
+current head `sha` and matching `npm_channel`. This extended path qualifies source
+and the runtime matrix; it does not publish npm or create a Release.
+
+With explicitly enabled `ZAIP_LOCAL_RELEASE_ENABLED=true`, guarded delivery uses
+the signed local `full-v2` receipt and enrolled public trust. It does not require a
+legacy `qualify-cli.yml` receipt or a private-draft pilot. GitHub verifies the
+published assets and runs one read-only exact-TGZ installation/doctor smoke before
+the separate npm publication job. Source tests and full qualification remain local.
+
+Only when the reduced path is disabled does the legacy publisher require
+`github-readiness.mjs` with `--workflow-path .github/workflows/qualify-cli.yml`
+and `--checks-json '["receipt"]'` for the exact repository, SHA, branch and channel.
+It verifies the qualifying run/attempt, receipt lifetime and artifact digests.
+Missing or failed evidence never permits fallback publication. Receipts have a
+maximum seven-day lifetime; a changed candidate requires new qualification.
 
 Only the qualified GitHub Actions workflow may publish `@zaip-ai/cli` to npm. Never run `npm publish`, `pnpm publish`, or an equivalent local publication command. The workflow must bind the publication to the exact qualified SHA, tag, package version, and artifact digest.

package/templates/.agents/zaip-aios/README.md

@@ -64,10 +64,11 @@ Consulte [qualidade e release](guides/26-qualidade-e-release.md) para distinguir
 checks locais, CI e aprovação de produção. Documentação não autoriza publicação
 nem reabertura de entregas históricas bloqueadas.
 
-## Novidades em preparação para v3
+## Funcionamento da linha v3
 
-A documentação descreve `autonomy-v1` sem declarar release publicada.
-Os manifests deste checkout identificam o candidato `3.0.0`. Novos templates usam
+A documentação descreve `autonomy-v1`; publicação e qualificação devem ser
+confirmadas pelos artefatos da release, não apenas pela versão deste checkout.
+Os manifests deste checkout identificam o candidato `3.1.0`. Novos templates usam
 Equilibrado e `execution.runtime: managed`: PRDs/SPECs gerenciados e tarefas
 avulsas preferencialmente diretas. Configurações legadas sem essa opção mantêm
 o default manual do schema; salvar configuração não inicia execução.

package/templates/.agents/zaip-aios/VERSION

@@ -1 +1 @@
-3.0
+3.1

package/templates/.agents/zaip-aios/guides/26-qualidade-e-release.md

@@ -191,13 +191,19 @@ Testes passando comprovam validação técnica. Maturidade formal máxima exige
 
 Ausência de uma dessas provas permanece explícita; não é convertida em sucesso.
 
-## Novidades da v3 e qualificação pendente
+## Linha v3: implementação, qualificação e publicação
 
-As fontes em preparação incluem presets, diário durável por Task, replanejamento
-governado, relay de decisão Gui e configuração no Dashboard. Os manifests
-continuam em 2.6.0; este guia não promove versão nem certifica produção.
+A v3.0 foi publicada como `@zaip-ai/cli@3.0.0`, no commit
+`ffc6c13867ec703211b7bba90c26b10a105c19fb`. Presets, diário durável por Task,
+replanejamento governado, relay da decisão Gui e configuração no Dashboard estão
+implementados. A publicação possui qualificação local do candidato; não equivale
+a certificar todo workload de produção nem a concluir o PRD histórico.
 
-Para qualificar essas novidades, preserve um candidato único e comprove:
+Consulte a [matriz de implementação e prova](https://github.com/zaip-ai/zaip-aios/blob/main/docs/quality/v3-delivery-status.md).
+A versão atual vem dos manifests e de `.agents/zaip-aios/VERSION`; cada manutenção
+gera novo candidato e recibo, sem reutilizar aprovação ou mover a tag anterior.
+
+Para qualificar uma nova candidata dessa linha, preserve um SHA único e comprove:
 
 - Essencial 4/1 sem Astra automático, Equilibrado 10/3 e Persistente sem teto;
 - reservas antes do provider, replay/restart sem reset e resultado desconhecido
@@ -218,7 +224,12 @@ altera silenciosamente matrizes de CI publicadas. Relatórios de candidatos
 anteriores, testes simulados de modelos e evidência local não certificam
 o candidato final nem seu uso em produção.
 
-O [guia 19](19-assurance-e-autonomia.md) registra duas fronteiras ainda
-importantes: controle preventivo só no despacho gerenciado e compatibilidade
-do trabalho avulso direto com a barreira de executor capturado. Uma revisão
-documental não resolve esses limites por declaração.
+O [guia 19](19-assurance-e-autonomia.md) registra as fronteiras atuais: controle
+preventivo de cotas/modelos somente no despacho gerenciado; avulsa direta exige
+autorização explícita desde a captura e identidade observada, sem executor
+cerimonial. Revisão aplicável, Evidence e Gui continuam obrigatórios.
+
+O benchmark comparativo histórico T08 permanece sem aprovação. Otimizações
+com testes de correção e uma release publicada não comprovam economia ou SLA.
+Não repita automaticamente a matriz histórica falha: preserve o diagnóstico e
+defina uma medição independente com artefatos identificados e falhas observadas.