@zaip-ai/cli 3.0.0 → 3.2.0

package/templates/.agents/runtime/checksums.sha256

@@ -1,11 +1,11 @@
 b146bd0c7c60b1ab43c4f71e0b1d2262c6df6da6f7053a0425f834ccb77a6b48  LICENSE
 bc02cba77e8d51e5c580f43668863dc868eda66f1ff663bfaa49fcf3ca16320e  THIRD_PARTY_NOTICES.md
-2985be8b28d3ade858e8d8fb4bc22f565b1bf6020dff982dce141f7721b9999c  VERSION
-ea4542bdeaee90694dd1402fa015026af0e8f7d11cce0d36bd6b7384971476a8  bin/zaip.mjs
-c22da8ce06147f89a055bad9bb7800085768c9fc263728db5fb54e069825e052  manifest.json
+33bdaf9e2d6bcbde2e4e613e865e403f8fe21fc621078d34c30b0bdc7f68d903  VERSION
+b1a09bfc88d679b61a3cceee499bd9e425dac9138a3df58e0f9659a85cc3781c  bin/zaip.mjs
+bc20fdf9f7e63f5babf4314c4292874ff13a1e8f15e33303e33ae5a5a8ebb189  manifest.json
 7f89219d7c567c82a51679ad136d84364bded7ac659492537e125d33b1d58a7a  migrations/001-layout-v1.json
 5f8c48b286d0b44d8fbb57a9a5d009a8a500439aa3148d750b8f193f72995c9f  migrations/002-layout-v2.json
 2d738247131a923ea6e3a32d0d1d6de763866fd96a8a8dc75d127a343809b0aa  pnpm-lock.sha256
-d04ab7db3df0f713e1805e4bd0b735015c46e1108e2bb2fc1ef0ee4ac5790b7e  provenance.json
-f6dc78ff791e700d82cc2dc76a76898849c1d6f4b9a7f283e5840e80e52479aa  sbom.cdx.json
+19460b9687fec09ec858d3142e56caf9218c3b695dcaed625af2ddec11cb8232  provenance.json
+bbe98dd24ef9132f5d89f57db90756a77d55e8042ea2d2cb52f82d936571a47e  sbom.cdx.json
 b3ffedf9e146be802a15b4009f33e031dec3071ca1525e12c67606fd964a3067  schemas/contracts.schema.json

package/templates/.agents/runtime/manifest.json

@@ -1,7 +1,7 @@
 {
   "schemaVersion": 2,
   "name": "zaip-aios",
-  "version": "3.0.0",
+  "version": "3.2.0",
   "node": ">=22",
   "files": [
     "LICENSE",

package/templates/.agents/runtime/provenance.json

@@ -2,10 +2,10 @@
   "schema_version": 1,
   "statement_type": "self_reported_build_integrity",
   "authenticity": "unverified",
-  "version": "3.0.0",
+  "version": "3.2.0",
   "source_origin": "zaip-aios:local-build",
   "lockfile_sha256": "f8557f3600849eb880b8f245b63b80fed9a3e9addf2c5f2c6d492547af900219",
-  "sbom_sha256": "f6dc78ff791e700d82cc2dc76a76898849c1d6f4b9a7f283e5840e80e52479aa",
-  "runtime_sha256": "f6b7e8a96164b8597d41077e8bd913beb40ae0407a88ec60b221ce08eee73bb5",
-  "statement_sha256": "64b394412fc8d6a391a88a1175c5edb8c2042f71054972b4cd37e6b163380bd2"
+  "sbom_sha256": "bbe98dd24ef9132f5d89f57db90756a77d55e8042ea2d2cb52f82d936571a47e",
+  "runtime_sha256": "7eccbcf4fb108a7e226bf72fd483de197ac8397b1a3ccdb6cd5988fcb8afbdae",
+  "statement_sha256": "c838e8e9a828f925f9c32179876c078fdbec58bef0bab9c2a5339f22da6a9bce"
 }

package/templates/.agents/runtime/sbom.cdx.json

@@ -6,7 +6,7 @@
     "component": {
       "type": "application",
       "name": "zaip-aios",
-      "version": "3.0.0"
+      "version": "3.2.0"
     }
   },
   "components": [

package/templates/.agents/skills/zaip-skill-config/SKILL.md

@@ -9,6 +9,18 @@ Use esta skill para pedidos como “me ajude a configurar meu projeto”, “pri
 
 Escopo de configuração: nome, timezone, stack, clients, tracking e destinos de deploy; Rules locais pertencem a `$zaip-skill-rules`.
 
+## Onboarding após instalação
+
+Uma resposta afirmativa a “Gostaria de ajuda com a configuração inicial do projeto?” ativa esta skill, tanto após a instalação quanto após o setup GitHub. Leia a configuração existente, explique em linguagem simples o que pode ser personalizado e faça uma entrevista curta antes de editar:
+
+- Nome e finalidade do projeto, fuso horário e preferências já existentes.
+- Stack e partes necessárias da aplicação, clientes Codex/Claude e acompanhamento de uso/custos.
+- Destinos e branches de deploy, apenas quando pertinentes ao projeto.
+
+Agrupe até cinco perguntas necessárias por turno; mostre os valores atuais para que o usuário possa mantê-los e não solicite novamente escolhas já respondidas. O aceite da ajuda inicia a entrevista, sem autorizar credenciais, recursos externos ou valores presumidos. Não peça segredos no chat. Explique as dependências somente das opções escolhidas e encaminhe às skills específicas deste procedimento.
+
+Depois de aplicar e validar as escolhas autorizadas, informe o que foi configurado e encerre o onboarding de instalação, sem outro CTA de setup, publicação automática ou retorno à pergunta sobre GitHub. Se houver recusa ou adiamento, encerre sem insistência; se houver falha, descreva a pendência sem declarar configuração concluída.
+
 1. Confirme que ZAIP-AIOS já está instalado por meio de `.agents/config/project.yaml`. Se estiver ausente, explique que a instalação é um pré-requisito e encaminhe para `$zaip-skill-setup`; não instale nem reinstale durante a configuração.
 2. Leia `.agents/config/project.yaml`, o schema vigente e somente as Rules ligadas ao ajuste solicitado; não existe comando `config set`, portanto edite o YAML canônico diretamente.
 3. Para primeiros passos, apresente as opções de personalização pertinentes antes de alterar valores e só aplique a configuração autorizada pelo usuário.

package/templates/.agents/skills/zaip-skill-github-deploy/references/release-identity.md

@@ -28,17 +28,22 @@ Consumer repositories remain GitHub-only and independent. Recognize the framewor
 
 Publishing a GitHub Release in this framework triggers its npm workflow. Report this consequence in the GitHub publication scope and follow the configured pipeline through terminal status; no second npm skill or local publication step is needed. A push-only request does not create a Release or publish npm. A successful GitHub Release with failed/unobserved npm checks is a partial result.
 
-`qualify-cli.yml` runs on pushes to the configured validation (`beta` npm channel) and human-promoted
-production (`latest` npm channel) branches. It qualifies the exact SHA and uploads one tested TGZ plus
-a receipt. Other branch pushes do not qualify a release. For an authorized manual qualification retry,
-dispatch that workflow on the candidate's configured branch with its exact current head `sha` and
-matching `npm_channel`. Qualification is read-only; it does not publish npm or create a Release.
-
-Before creating or resuming a draft Release, require the installed `github-readiness.mjs` command with `--repository zaip-ai/zaip-aios --sha <sha> --branch <configured-release-branch> --workflow-path .github/workflows/qualify-cli.yml --checks-json '["receipt"]'` to report ready.
-The publisher independently checks the latest qualifying run and attempt, workflow path, repository,
-SHA, channel, receipt lifetime and artifact digests. It waits for a pending qualification, refuses a
-failed or missing one, and consumes the approved TGZ without repeating source tests or builds.
-Receipts expire after seven days; a changed candidate requires new qualification. Preserve required
-GitHub checks and investigate their failures, rather than replacing passing evidence with another AI review.
+`qualify-cli.yml` is manual-only. It does not run on every push. For an explicitly
+requested extended qualification, dispatch it on the configured branch with the exact
+current head `sha` and matching `npm_channel`. This extended path qualifies source
+and the runtime matrix; it does not publish npm or create a Release.
+
+With explicitly enabled `ZAIP_LOCAL_RELEASE_ENABLED=true`, guarded delivery uses
+the signed local `full-v2` receipt and enrolled public trust. It does not require a
+legacy `qualify-cli.yml` receipt or a private-draft pilot. GitHub verifies the
+published assets and runs one read-only exact-TGZ installation/doctor smoke before
+the separate npm publication job. Source tests and full qualification remain local.
+
+Only when the reduced path is disabled does the legacy publisher require
+`github-readiness.mjs` with `--workflow-path .github/workflows/qualify-cli.yml`
+and `--checks-json '["receipt"]'` for the exact repository, SHA, branch and channel.
+It verifies the qualifying run/attempt, receipt lifetime and artifact digests.
+Missing or failed evidence never permits fallback publication. Receipts have a
+maximum seven-day lifetime; a changed candidate requires new qualification.
 
 Only the qualified GitHub Actions workflow may publish `@zaip-ai/cli` to npm. Never run `npm publish`, `pnpm publish`, or an equivalent local publication command. The workflow must bind the publication to the exact qualified SHA, tag, package version, and artifact digest.

package/templates/.agents/skills/zaip-skill-github-setup/SKILL.md

@@ -7,6 +7,12 @@ description: Configure Git, GitHub, and folder-scoped SSH when requested; setup
 
 Configure the requested Git/GitHub state idempotently while preserving unrelated repositories and identities. Separate setup, first commit, and publication so that creating or configuring a repository cannot push by accident.
 
+## Installation onboarding
+
+An affirmative response to the installation question “Gostaria de ajuda para configurar o GitHub?” selects this skill. First explain the relevant setup options below and inspect the existing state. Ask concise questions only for missing choices: the intended Git identity, an existing repository URL or the owner/name/visibility for a new repository, and the preferred authentication method. Never ask for private keys or tokens in chat. Ask key-path and passphrase questions only when creating a requested key. Do not initialize Git, create a remote, change identity, or make a first commit merely because the user accepted help; apply the choices once supplied.
+
+After the requested GitHub setup succeeds and is verified, summarize the observed changes and end with exactly: **Gostaria de ajuda com a configuração inicial do projeto?** An affirmative response selects `$zaip-skill-config`, which explains configuration options and asks the necessary questions before editing. If setup is incomplete, report the actual pending step rather than claiming completion. A refusal or request to defer ends installation onboarding without repeated offers or automatic setup.
+
 ## Select the requested mode
 
 Support these independent modes:
@@ -78,7 +84,7 @@ An explicit request for initialization or first commit authorizes `git add -A` a
 
 ## Publish only when explicit
 
-When the same user request explicitly includes deploy/push, read and follow `../zaip-skill-github-deploy/SKILL.md` after setup succeeds. Otherwise finish with the exact push command the user may authorize later.
+When the same user request explicitly includes deploy/push, read and follow `../zaip-skill-github-deploy/SKILL.md` after setup succeeds. Otherwise do not publish. During installation onboarding, end with the project-configuration CTA above; outside onboarding, provide the exact push command only when relevant to the requested setup.
 
 ## Verify and report
 

package/templates/.agents/skills/zaip-skill-setup/SKILL.md

@@ -25,6 +25,18 @@ Create the disposable dashboard database only from canonical `.agents/records` a
 7. Após a instalação, use `$zaip-skill-dev-environment` para inventariar apenas nomes e presença de pré-requisitos. Para configurar o projeto, personalizar perfis Codex ou seguir os primeiros passos, use `$zaip-skill-config`.
 8. A instalação deixa `beta` como ramo padrão de frontend, backend e banco, mas não cria uma branch Supabase hospedada, integração GitHub, credencial ou custo adicional. A configuração protegida de migrations é uma escolha posterior e explícita pelo `$zaip-skill-config`.
 
+## Resumo e onboarding de instalação
+
+- Git, identidade de autor, repositório, commit inicial e GitHub configurado não são pré-requisitos para instalar. Não interrompa a instalação para configurá-los; os requisitos de Git para executar entregas continuam sendo verificados pelo runtime.
+- Após a instalação, apresente um resumo curto com a versão efetivamente instalada, contagens observadas de arquivos adicionados/preservados/sobrescritos, resultado do Dashboard SQLite, resultado do `doctor --json` e estado local do GitHub. Não copie versão, contagens ou sucesso de exemplos; dry-run e etapas não executadas não comprovam instalação ou validação.
+- A versão deve ser um link Markdown clicável para a versão instalada no npm: `[VERSÃO](https://www.npmjs.com/package/@zaip-ai/cli/v/VERSÃO)`. Obtenha VERSÃO dos metadados/resultados da instalação, nunca de `latest` ou de um valor fixo.
+- Use o diagnóstico local do instalador: Git disponível, repositório, identidade efetiva e remote GitHub identificável. Um remote sozinho não comprova autenticação. Estado ausente ou inconclusivo encaminha para configurar GitHub; não imprima credenciais nem valores sensíveis.
+- Termine a resposta bem-sucedida com exatamente uma pergunta, sem texto depois dela:
+  - GitHub pendente: **Gostaria de ajuda para configurar o GitHub?** Explique antes que essa configuração pode ficar para depois.
+  - GitHub configurado localmente: **Gostaria de ajuda com a configuração inicial do projeto?**
+- No terminal, o CTA é apenas texto e não mantém o processo esperando entrada. No chat, uma resposta afirmativa à última pergunta ativa a skill correspondente: `$zaip-skill-github-setup` ou `$zaip-skill-config`. O aceite inicia a explicação das opções e as perguntas necessárias; não autoriza valores presumidos ou publicação.
+- Depois do setup GitHub concluído, ofereça a configuração do projeto. Depois da configuração do projeto concluída, encerre o onboarding. Recusa ou adiamento encerra a oferta atual sem insistência, novas perguntas ou configuração automática; preserve a possibilidade de retomada por pedido posterior.
+
 Esta skill não executa nem descreve upgrade, migração ou rollback como ações primárias. Esses fluxos somente podem ser encaminhados às skills `zaip-update` ou `zaip-rollback` quando estiverem disponíveis e forem aplicáveis; elas não são uma dependência portátil desta skill.
 
 ## Perfis Codex ZAIP-AIOS

package/templates/.agents/zaip-aios/README.md

@@ -64,10 +64,11 @@ Consulte [qualidade e release](guides/26-qualidade-e-release.md) para distinguir
 checks locais, CI e aprovação de produção. Documentação não autoriza publicação
 nem reabertura de entregas históricas bloqueadas.
 
-## Novidades em preparação para v3
+## Funcionamento da linha v3
 
-A documentação descreve `autonomy-v1` sem declarar release publicada.
-Os manifests deste checkout identificam o candidato `3.0.0`. Novos templates usam
+A documentação descreve `autonomy-v1`; publicação e qualificação devem ser
+confirmadas pelos artefatos da release, não apenas pela versão deste checkout.
+Os manifests deste checkout identificam o candidato `3.2.0`. Novos templates usam
 Equilibrado e `execution.runtime: managed`: PRDs/SPECs gerenciados e tarefas
 avulsas preferencialmente diretas. Configurações legadas sem essa opção mantêm
 o default manual do schema; salvar configuração não inicia execução.

package/templates/.agents/zaip-aios/VERSION

@@ -1 +1 @@
-3.0
+3.2

package/templates/.agents/zaip-aios/guides/20-instalacao-detalhada.md

@@ -5,9 +5,12 @@ Este guia descreve o modelo de lifecycle V2 no layout V3. Durante a transição,
 ## Pré-requisitos
 
 - Node.js 22.16.0 ou superior, conforme o requisito do pacote, com `node:sqlite` disponível;
-- Git;
 - permissões de escrita no repositório consumidor.
 
+Git, identidade de autor, repositório, commit inicial e configuração do GitHub
+podem ser preparados depois da instalação. O runtime exige Git e histórico local
+antes de iniciar entregas; essa exigência não bloqueia `init`.
+
 O consumidor não precisa compilar o monorepo nem instalar pnpm para executar
 o runtime distribuído. No checkout mantenedor, use o pnpm fixado em
 `packageManager` (11.12.0 neste snapshot), com `corepack pnpm` quando disponível.
@@ -30,6 +33,24 @@ instalador; nos exemplos de lifecycle deste guia, `zaip ...` é uma abreviação
 de `node .agents/runtime/bin/zaip.mjs ...` no projeto consumidor. Use o caminho
 explícito para evitar colisão entre os dois CLIs.
 
+### Resumo e próximos passos
+
+A instalação informa a versão instalada com link para sua página no npm,
+contagens reais de arquivos e resultados de SQLite e `doctor`. O link usa
+`https://www.npmjs.com/package/@zaip-ai/cli/v/<versão-instalada>`.
+
+Quando o GitHub ainda precisa de configuração, a última pergunta é:
+**Gostaria de ajuda para configurar o GitHub?**
+Se a configuração local já estiver identificada, a pergunta será:
+**Gostaria de ajuda com a configuração inicial do projeto?**
+Configuração local não comprova autenticação remota.
+
+No terminal, a pergunta é textual: o comando encerra normalmente. No chat,
+responder “sim” encaminha à skill de GitHub ou de configuração do projeto.
+A skill apresenta o que pode configurar e coleta as escolhas antes de editar.
+Concluído o GitHub, oferece a configuração do projeto; concluído o projeto,
+encerra o onboarding. Uma recusa ou adiamento encerra a oferta sem insistência.
+
 ### Manuais e seleção de modelos
 
 Antes de usar os comandos de desenvolvimento abaixo, consulte os manuais instalados

package/templates/.agents/zaip-aios/guides/26-qualidade-e-release.md

@@ -191,13 +191,19 @@ Testes passando comprovam validação técnica. Maturidade formal máxima exige
 
 Ausência de uma dessas provas permanece explícita; não é convertida em sucesso.
 
-## Novidades da v3 e qualificação pendente
+## Linha v3: implementação, qualificação e publicação
 
-As fontes em preparação incluem presets, diário durável por Task, replanejamento
-governado, relay de decisão Gui e configuração no Dashboard. Os manifests
-continuam em 2.6.0; este guia não promove versão nem certifica produção.
+A v3.0 foi publicada como `@zaip-ai/cli@3.0.0`, no commit
+`ffc6c13867ec703211b7bba90c26b10a105c19fb`. Presets, diário durável por Task,
+replanejamento governado, relay da decisão Gui e configuração no Dashboard estão
+implementados. A publicação possui qualificação local do candidato; não equivale
+a certificar todo workload de produção nem a concluir o PRD histórico.
 
-Para qualificar essas novidades, preserve um candidato único e comprove:
+Consulte a [matriz de implementação e prova](https://github.com/zaip-ai/zaip-aios/blob/main/docs/quality/v3-delivery-status.md).
+A versão atual vem dos manifests e de `.agents/zaip-aios/VERSION`; cada manutenção
+gera novo candidato e recibo, sem reutilizar aprovação ou mover a tag anterior.
+
+Para qualificar uma nova candidata dessa linha, preserve um SHA único e comprove:
 
 - Essencial 4/1 sem Astra automático, Equilibrado 10/3 e Persistente sem teto;
 - reservas antes do provider, replay/restart sem reset e resultado desconhecido
@@ -218,7 +224,12 @@ altera silenciosamente matrizes de CI publicadas. Relatórios de candidatos
 anteriores, testes simulados de modelos e evidência local não certificam
 o candidato final nem seu uso em produção.
 
-O [guia 19](19-assurance-e-autonomia.md) registra duas fronteiras ainda
-importantes: controle preventivo só no despacho gerenciado e compatibilidade
-do trabalho avulso direto com a barreira de executor capturado. Uma revisão
-documental não resolve esses limites por declaração.
+O [guia 19](19-assurance-e-autonomia.md) registra as fronteiras atuais: controle
+preventivo de cotas/modelos somente no despacho gerenciado; avulsa direta exige
+autorização explícita desde a captura e identidade observada, sem executor
+cerimonial. Revisão aplicável, Evidence e Gui continuam obrigatórios.
+
+O benchmark comparativo histórico T08 permanece sem aprovação. Otimizações
+com testes de correção e uma release publicada não comprovam economia ou SLA.
+Não repita automaticamente a matriz histórica falha: preserve o diagnóstico e
+defina uma medição independente com artefatos identificados e falhas observadas.