@zaip-ai/cli 4.7.0 → 4.9.0

package/templates/.agents/dashboard/packages/local-runtime/src/active-codex-telemetry.test.ts

@@ -17,7 +17,7 @@ afterEach(async () => {
 });
 
 describe("active Codex telemetry capture", () => {
-  it("allows the measured catch-up budget and still rejects incomplete output", async () => {
+  it("bounds one automatic pass and rejects a partial receipt without progress", async () => {
     const root = await runtimeFixture("");
     const execute = vi.fn(async (_file: string, _args: string[], _options: unknown) => ({
       stdout: JSON.stringify({
@@ -26,10 +26,10 @@ describe("active Codex telemetry capture", () => {
       stderr: "",
     }));
     await expect(captureActiveCodexTelemetry(root, root, execute as never)).rejects.toThrow(
-      "incomplete",
+      "bounded pending progress",
     );
     expect(execute.mock.calls[0]?.[2]).toMatchObject({
-      timeout: 600_000,
+      timeout: 120_000,
       windowsHide: true,
       cwd: root,
     });
@@ -77,7 +77,7 @@ describe("active Codex telemetry capture", () => {
 
   it("does not let an empty or stale active index suppress terminal usage capture", async () => {
     const root = await runtimeFixture(
-      "if(!process.argv.includes('--recent') || !process.argv.includes('--drain') || process.argv.includes('--active') || process.argv[process.argv.indexOf('--limit')+1]!=='32') process.exit(8); process.stdout.write(JSON.stringify({telemetry:{mode:'recent_exact_session',complete:true,captured:[{captured:true}]}}));\n",
+      "if(!process.argv.includes('--recent') || process.argv.includes('--drain') || process.argv.includes('--active') || process.argv[process.argv.indexOf('--limit')+1]!=='32') process.exit(8); process.stdout.write(JSON.stringify({telemetry:{mode:'recent_exact_session',complete:true,captured:[{captured:true}]}}));\n",
     );
     await writeFile(
       join(root, ".agents/records/lifecycle/active-work.json"),
@@ -150,7 +150,19 @@ describe("active Codex telemetry capture", () => {
     const root = await runtimeFixture(
       "process.stdout.write(JSON.stringify({telemetry:{mode:'recent_exact_session',complete:false,captured:[]}}));",
     );
-    await expect(captureActiveCodexTelemetry(root)).rejects.toThrow("incomplete");
+    await expect(captureActiveCodexTelemetry(root)).rejects.toThrow("bounded pending progress");
+  });
+  it("reports an examined partial window as pending without inventing missing usage", async () => {
+    const root = await runtimeFixture(
+      "process.stdout.write(JSON.stringify({telemetry:{mode:'recent_exact_session',complete:false,candidate_count:70,processed_count:32,pending_count:38,captured:[{captured:false}]}}));",
+    );
+    await expect(captureActiveCodexTelemetry(root)).resolves.toMatchObject({
+      captured_runs: 0,
+      captured_segments: 0,
+      catch_up_complete: false,
+      pending_runs: 38,
+      skipped_reason: "catch_up_pending",
+    });
   });
   it.each([
     "active_exact_session",

package/templates/.agents/dashboard/packages/local-runtime/src/active-codex-telemetry.ts

@@ -6,13 +6,13 @@ import { lifecycleManifestState } from "./server-lifecycle-diagnostics.js";
 import { dashboardCanonicalSourceRoots } from "./sqlite-read-model-source-fingerprint.js";
 
 const execFileAsync = promisify(execFile);
-// Measured complete catch-up of a 98-Run / 30k-envelope backlog exceeded the
-// old 55s deadline. Keep the UI updating while this finite selection commits;
-// expiry remains a failure and can never promote a partial capture to current.
-export const RECENT_CODEX_CAPTURE_TIMEOUT_MS = 600_000;
+// One automatic pass examines at most 32 Runs. Manual --drain remains separate.
+export const RECENT_CODEX_CAPTURE_TIMEOUT_MS = 120_000;
 
 export type ActiveCodexTelemetryCapture = {
   captured_runs: number;
+  catch_up_complete?: boolean;
+  pending_runs?: number;
   /** The active CLI reports whether a Run changed, not its segment cardinality. */
   captured_segments: number | null;
   manifest_state: "initialized" | "missing" | "invalid";
@@ -23,6 +23,7 @@ export type ActiveCodexTelemetryCapture = {
     | "no_recent_active_runs"
     | "no_recent_runs"
     | "no_new_segments"
+    | "catch_up_pending"
     | null;
   last_capture_at: string;
 };
@@ -61,7 +62,6 @@ export async function captureActiveCodexTelemetry(
         "--recent",
         "--limit",
         "32",
-        "--drain",
         "--disable-codex-raw",
         "--json",
       ],
@@ -74,16 +74,24 @@ export async function captureActiveCodexTelemetry(
       },
     );
     const payload = parseJsonResult(outcome.stdout);
-    const captured = readCaptured(payload);
+    const receipt = readCaptured(payload);
+    const captured = receipt.captured;
     const capturedRuns = captured.filter((item) => item.captured).length;
     return {
       captured_runs: capturedRuns,
+      catch_up_complete: receipt.complete,
+      pending_runs: receipt.pending,
       // Zero is factual for an idle pass. A non-idle pass has no segment count
       // in the CLI contract, so retain unavailable rather than inventing one.
       captured_segments: capturedRuns === 0 ? 0 : null,
       manifest_state: "initialized",
-      skipped_reason:
-        captured.length === 0 ? "no_recent_runs" : capturedRuns === 0 ? "no_new_segments" : null,
+      skipped_reason: !receipt.complete
+        ? "catch_up_pending"
+        : captured.length === 0
+          ? "no_recent_runs"
+          : capturedRuns === 0
+            ? "no_new_segments"
+            : null,
       last_capture_at: new Date().toISOString(),
     };
   } catch (error) {
@@ -117,10 +125,13 @@ export async function captureRepositoryActiveCodexTelemetry(
   const capturedRuns = results.reduce((count, result) => count + result.captured_runs, 0);
   return {
     captured_runs: capturedRuns,
+    catch_up_complete: results.every((result) => result.catch_up_complete !== false),
+    pending_runs: results.reduce((count, result) => count + (result.pending_runs ?? 0), 0),
     captured_segments: capturedRuns === 0 ? 0 : null,
     manifest_state: primary.manifest_state,
-    skipped_reason:
-      capturedRuns > 0
+    skipped_reason: results.some((result) => result.catch_up_complete === false)
+      ? "catch_up_pending"
+      : capturedRuns > 0
         ? null
         : results.some((result) => result.skipped_reason === "no_new_segments")
           ? "no_new_segments"
@@ -138,17 +149,26 @@ function parseJsonResult(stdout: string): unknown {
   }
 }
 
-function readCaptured(payload: unknown): Array<{ captured: boolean }> {
+function readCaptured(payload: unknown): {
+  captured: Array<{ captured: boolean }>;
+  complete: boolean;
+  pending: number;
+} {
   if (typeof payload !== "object" || payload === null) throw new Error("Invalid capture payload");
   const telemetry = (payload as { telemetry?: unknown }).telemetry;
   if (typeof telemetry !== "object" || telemetry === null)
     throw new Error("Invalid capture telemetry");
-  const receipt = telemetry as { mode?: unknown; complete?: unknown };
-  if (receipt.mode !== "recent_exact_session" || receipt.complete !== true)
+  const receipt = telemetry as {
+    mode?: unknown;
+    complete?: unknown;
+    candidate_count?: unknown;
+    pending_count?: unknown;
+  };
+  if (receipt.mode !== "recent_exact_session" || typeof receipt.complete !== "boolean")
     throw new Error("Recent telemetry capture is incomplete");
   const captured = (telemetry as { captured?: unknown }).captured;
   if (!Array.isArray(captured)) throw new Error("Invalid capture entries");
-  return captured.map((item) => {
+  const items = captured.map((item) => {
     if (
       typeof item !== "object" ||
       item === null ||
@@ -157,6 +177,16 @@ function readCaptured(payload: unknown): Array<{ captured: boolean }> {
       throw new Error("Invalid capture entry");
     return { captured: (item as { captured: boolean }).captured };
   });
+  const pending = receipt.complete ? 0 : receipt.pending_count;
+  if (
+    !receipt.complete &&
+    (!Number.isSafeInteger(pending) ||
+      (pending as number) < 1 ||
+      !Number.isSafeInteger(receipt.candidate_count) ||
+      (receipt.candidate_count as number) < items.length + (pending as number))
+  )
+    throw new Error("Recent telemetry capture lacks bounded pending progress");
+  return { captured: items, complete: receipt.complete, pending: pending as number };
 }
 
 function isManifestUninitialized(error: unknown): boolean {

package/templates/.agents/dashboard/packages/local-runtime/src/server.ts

@@ -190,6 +190,7 @@ export function createDashboardApp(
   const projectionRefreshDiagnostics = createProjectionRefreshDiagnostics();
   let activeCaptureFailure: { code: string; occurred_at: string; cause: string } | null = null;
   let activeCapture: ActiveCodexTelemetryCapture | null = null;
+  let activeCapturePending = false;
   let projectionRefreshInFlight: Promise<void> | null = null;
   let projectionRefreshRequested = false;
   const associatedRefreshJobs = new Set<string>();
@@ -270,6 +271,7 @@ export function createDashboardApp(
     onCaptureSuccess: (result) => {
       activeCapture = result;
       activeCaptureFailure = null;
+      activeCapturePending = result.catch_up_complete === false;
     },
     onCaptureFailure: (error) => {
       activeCaptureFailure = {
@@ -280,7 +282,9 @@ export function createDashboardApp(
     },
   });
   const visibleSnapshotState = () =>
-    telemetryRefresh.pending || activeCaptureFailure !== null ? "updating" : snapshotState;
+    telemetryRefresh.pending || activeCaptureFailure !== null || activeCapturePending
+      ? "updating"
+      : snapshotState;
   startSnapshotSynchronization({
     workspaceRoot,
     discoverSourceRoots: () => dashboardCanonicalSourceRoots(workspaceRoot),
@@ -440,7 +444,7 @@ export function createDashboardApp(
         server_pid: process.pid,
         service: "zaip-aios-dashboard",
         status:
-          manifestState === "initialized" && activeCaptureFailure === null
+          manifestState === "initialized" && activeCaptureFailure === null && !activeCapturePending
             ? projectionRefreshDiagnostics.healthStatus
             : "degraded",
         api_version: 2,
@@ -481,7 +485,9 @@ export function createDashboardApp(
         lifecycleManifestState(canonicalFilesystem),
       ]);
       const readinessStatus =
-        manifestState === "initialized" && activeCaptureFailure === null ? "ready" : "degraded";
+        manifestState === "initialized" && activeCaptureFailure === null && !activeCapturePending
+          ? "ready"
+          : "degraded";
       if (isSqliteSnapshot) {
         const revision = readCommittedSnapshotRevision(workspaceRoot);
         if (observedSnapshotRevision !== null && observedSnapshotRevision !== revision) {

package/templates/.agents/dashboard/packages/local-runtime/vitest.config.ts

@@ -0,0 +1,12 @@
+import { availableParallelism } from "node:os";
+import { defineConfig } from "vitest/config";
+
+export default defineConfig({
+  test: {
+    include: ["src/**/*.test.ts", "*.test.mjs"],
+    // This suite uses node:test and is executed explicitly by the package script.
+    exclude: ["dashboard-diagnostics.test.mjs"],
+    maxWorkers: Math.min(4, availableParallelism()),
+    testTimeout: 60_000,
+  },
+});

package/templates/.agents/dashboard/packages/ui/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zaip-ai/dashboard-ui",
-  "version": "4.7.0",
+  "version": "4.9.0",
   "private": true,
   "type": "module",
   "exports": {

package/templates/.agents/dashboard/tests/e2e/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zaip-ai/dashboard-e2e",
-  "version": "4.7.0",
+  "version": "4.9.0",
   "private": true,
   "type": "module",
   "scripts": {

package/templates/.agents/dashboard/tests/e2e/specs/cost-monitor-pagination.spec.ts

@@ -126,12 +126,19 @@ for (const target of targets) {
     const button = tabs.getByRole("button", { exact: true, name: target.tab });
     await requestPage(page, target.sqliteView, 0, 10, () => button.click());
     await page.getByRole("button", { name: "Exportar Excel" }).click();
-    await expect
-      .poll(() => page.evaluate(() => window.__paginationExportProbe.closes), { timeout: 300_000 })
-      .toBe(1);
-    await expect(page.getByText("Exportação concluída.", { exact: true })).toBeVisible({
-      timeout: 30_000,
-    });
+    // Observe the transient success notice while the export runs. Waiting for
+    // the writer first can miss the notice when a busy host delays polling.
+    await Promise.all([
+      expect
+        .poll(() => page.evaluate(() => window.__paginationExportProbe.closes), {
+          timeout: 300_000,
+        })
+        .toBe(1),
+      expect(page.getByText("Exportação concluída.", { exact: true })).toBeVisible({
+        timeout: 300_000,
+      }),
+    ]);
+    expect(await page.evaluate(() => window.__paginationExportProbe.writes)).toBeGreaterThan(0);
     await expect.poll(() => pages.some((entry) => !entry.has_more), { timeout: 30_000 }).toBe(true);
 
     expect(pages.length).toBeGreaterThan(0);

package/templates/.agents/dashboard/tests/e2e/specs/dashboard.spec.ts

@@ -458,7 +458,7 @@ test("filters the all-work board into Tasks, SPECs and PRDs after hydration", as
     await expect(spec.locator(".operations-work-card-counts")).toHaveText(/Tasks \d+\/\d+/);
     await spec.locator(".operations-work-card-open").click();
     await expect(page.getByRole("dialog", { name: "Detalhes do SPEC" })).toBeVisible();
-    await page.getByRole("button", { name: "Fechar" }).click();
+    await page.getByRole("button", { name: "Fechar", exact: true }).click();
   }
 
   await selectWorkBoardType(page, "PRDs", "prd");

package/templates/.agents/design/.zaip-managed.json

@@ -1,6 +1,6 @@
 {
   "schemaVersion": 1,
-  "version": "4.7.0",
+  "version": "4.9.0",
   "files": [
     {
       "path": "DESIGN.md",
@@ -276,7 +276,7 @@
     },
     {
       "path": "apps/catalog/package.json",
-      "sha256": "16b609f2cc84fbca57eac28dbf45969f8969fcac8d3a964a211530a69d76e007"
+      "sha256": "51e5b590cefb6e579380f6bd25aefacecdaae63e0334452d802cfed620ff8626"
     },
     {
       "path": "apps/catalog/public/logo_novo_azul.png",
@@ -408,7 +408,7 @@
     },
     {
       "path": "packages/local-runtime/package.json",
-      "sha256": "f42120a471dd8ea2816129960206cc9952360645e4a3cd6d09cbbe891973cde8"
+      "sha256": "36000642ad5ec75354a48998989c41030e3fc1990998d521ac417bed51595d85"
     },
     {
       "path": "packages/local-runtime/runtime.mjs",

package/templates/.agents/design/apps/catalog/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zaip-ai/design-catalog",
-  "version": "4.7.0",
+  "version": "4.9.0",
   "private": true,
   "type": "module",
   "scripts": {

package/templates/.agents/design/packages/local-runtime/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@zaip-ai/design-local-runtime",
-  "version": "4.7.0",
+  "version": "4.9.0",
   "private": true,
   "type": "module",
   "scripts": {

package/templates/.agents/requirements/autonomous-assurance.md

@@ -4,9 +4,9 @@ id: REQUIREMENTS-AUTONOMOUS-ASSURANCE
 area: autonomous-assurance
 title: Garantia adaptativa e execução autônoma
 status: active
-version: 3
+version: 5
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Garantia adaptativa e execução autônoma
@@ -36,6 +36,15 @@ Entregar uma SPEC ou PRD deve exigir prova no nível do produto planejado, além
 
 O framework deve preservar execução manual como padrão e permitir autonomia somente por configuração explícita.
 
+Esta seção mantém o contrato de compatibilidade do runtime gerenciado legado.
+Configuração ausente resolve para `manual`; novos projetos gerados pela v4
+declaram explicitamente `codex_native`, executado pelo host. O teto legado de
+três tentativas em AC-AUTO-001-06 não substitui os perfis congelados de
+`autonomy.version: 1`: seus limites e critérios de recuperação pertencem a
+RULE-AUTONOMY-DECISION. A presença da configuração, isoladamente, não comprova
+que uma Task possui ledger de recuperação; `task recovery-status` deve informar
+esse estado, mantendo `legacy_or_unmigrated` quando o registro estiver ausente.
+
 - `AC-AUTO-001-01`: ausência de `execution` ou `execution.runtime: manual` materializa o trabalho sem invocar provider; `autonomous` exige provider, modelo, lease e paralelismo limitados.
 - `AC-AUTO-001-02`: o paralelismo efetivo é o menor limite entre projeto, plano, provider e squad. SPECs independentes podem usar Executions-filhas isoladas sob coordenação do PRD, mas locks globais de DAG e write scopes, além do orçamento global, continuam soberanos; SPECs sem elegibilidade permanecem na DAG global.
 - `AC-AUTO-001-03`: cada Task autônoma executa em Git worktree registrada, parte de raiz limpa, produz commit final, altera somente write scopes autorizados e aborta merge conflitante sem deixar merge parcial.
@@ -57,7 +66,25 @@ Aprendizado e alegações de maturidade devem ser derivados de fatos verificáve
 
 O release deve falhar de modo discriminante quando código, distribuição ou evidência não atingirem o contrato publicado.
 
-- `AC-QUALITY-001-01`: release crítico inclui unit, E2E, arquitetura, CQRS, módulos, profile, segurança e testes negativos.
+- `AC-QUALITY-001-01`: release crítico executa testes unitários, E2E, arquitetura, CQRS, módulos, profile, segurança e negativos conforme impacto e riscos do candidato. O gate essencial de distribuição mantém integridade, assinatura, instalação/rollback e smoke do pacote exato; uma suíte completa transversal só é obrigatória quando impacto, finding específico ou perfil explicitamente solicitado a exigir.
 - `AC-QUALITY-001-02`: cobertura usa baseline versionada e ratchet `max(piso, baseline anterior)` com pisos de 80% para lines/functions/statements e 75% para branches.
 - `AC-QUALITY-001-03`: baseline observada abaixo do piso pode ser registrada para transparência, mas não reduz o gate nem torna a release aprovada.
 - `AC-QUALITY-001-04`: release verifica paridade entre fonte canônica, template público e artefato distribuído, além de smoke/cleanroom sobre o candidato exato.
+
+Na criação de PRD, SPEC e AC, selecione por impacto os testes de código e os fluxos
+de dashboard alterados. Integre os contratos modificados antes do release e
+qualifique o pacote completo uma vez no candidato final antes de publicar;
+correções posteriores revalidam as provas afetadas. Reuse Evidence apenas quando
+candidato, ambiente, contrato e impacto ainda coincidirem. Teste de código não
+promove comportamento não observado a prova servida.
+
+Na consolidação 4.9, a Decision
+`DEC-AI-2026-10-03-22-18-TAREFA2-ACEITE-CODIGO-XFQFBLLYRN` delimita a
+Task de recuperação a regressões de código dirigidas por seus deltas, revisão
+independente e finalização. Coleta operacional e configurações sem prova servida
+permanecem `unverified`; testes de código não as promovem a observação servida.
+Integração dos fluxos e contratos alterados pertence à fase de integração; a
+qualificação integral do pacote final ocorre uma vez antes da publicação,
+conforme `DEC-AI-2026-10-03-22-16-QUALIFICACAO-FINAL-UNICA-UPQGEC6JJV`.
+Evidence, candidato exato e controles críticos aplicáveis continuam obrigatórios;
+esta divisão de fases não reaprova snapshots antigos nem dispensa findings reais.

package/templates/.agents/requirements/cloud-hostinger-autonomy.md

@@ -6,7 +6,7 @@ title: Autonomia delimitada para Cloudflare e Hostinger
 status: proposed
 version: 1
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Cloudflare e Hostinger (proposta de requisito)

package/templates/.agents/requirements/comparative-audit.md

@@ -6,7 +6,7 @@ title: Auditoria comparativa e plano de evolução
 status: active
 version: 1
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Auditoria comparativa e plano de evolução

package/templates/.agents/requirements/context-engine.md

@@ -4,9 +4,9 @@ id: REQUIREMENTS-CONTEXT-ENGINE
 area: context-engine
 title: Contexto mínimo, seguro e navegável
 status: active
-version: 8
+version: 9
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Context engine
@@ -37,7 +37,7 @@ Coleções de trabalho devem ser navegadas pelos manifests canônicos compactos
 - `AC-CONTEXT-003-02`: listagens de PRD, SPEC e Task omitem o PreparedPlan completo e retornam somente resumo de preparação.
 - `AC-CONTEXT-003-03`: corpos e eventos JSONL são lidos somente após selecionar IDs específicos.
 - `AC-CONTEXT-003-04`: operações comuns consultam somente manifests lifecycle e `InvocationSummary` canônicos, com paginação cursor-estável; varredura integral de `.agents/records` ou `.agents/data` exige comando e confirmação explícitos.
-- `AC-CONTEXT-003-05`: o dashboard não depende de cache ou projeção local; migrações preservam somente os manifests canônicos Git-native em `.agents/records/lifecycle` e backfill verificável.
+- `AC-CONTEXT-003-05`: registros Git-native e seus manifests em `.agents/records/lifecycle` são a fonte canônica. O dashboard pode consultar SQLite/read model local reconstruível e API como projeções; perda ou rebuild da projeção não altera identidade nem estado canônico. Migração preserva registros e manifests, reconstrói/backfill da projeção com verificação de paridade e não trata cache como fonte de verdade.
 - `AC-CONTEXT-003-06`: `.agents/data` e partições diárias anteriores são fallback legado somente leitura; novas escritas usam `.agents/records/<kind>/<ano>/<mês>`.
 - `AC-CONTEXT-003-07`: `context build` descobre paths e relações antes de ler conteúdo; inventário integral exige comando explícito.
 - `AC-CONTEXT-003-08`: uma consulta com ID lifecycle explícito não incorpora outros itens de `active-work`; fallback de path aceita somente o arquivo V3 canônico existente sem varrer records.

package/templates/.agents/requirements/cost-observability.md

@@ -6,7 +6,7 @@ title: Tokens, custos e cobertura
 status: active
 version: 10
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Cost observability

package/templates/.agents/requirements/dashboard-launch.md

@@ -6,7 +6,7 @@ title: Inicialização e hidratação confiável do dashboard
 status: active
 version: 1
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Inicialização e hidratação confiável do dashboard

package/templates/.agents/requirements/data-export.md

@@ -6,7 +6,7 @@ title: Exportação contextual de dados para Excel
 status: proposed
 version: 2
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Exportação contextual de dados

package/templates/.agents/requirements/design-system.md

@@ -6,7 +6,7 @@ title: Contrato visual e catálogo executável
 status: active
 version: 5
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Design system

package/templates/.agents/requirements/execution-engine.md

@@ -4,9 +4,9 @@ id: REQUIREMENTS-EXECUTION-ENGINE
 area: execution-engine
 title: Preparação, materialização e DAG
 status: active
-version: 11
+version: 13
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Execution engine
@@ -25,6 +25,13 @@ source_release: "4.7.0"
 `execute` deve materializar Changes, Tasks e Execution antes da primeira mutação, preservando snapshot da DAG para retomada e auditoria. A tentativa explícita já pertence à fase `execution`, independentemente de produzir diff.
 
 - `AC-EXEC-002-01`: repetir `execute` não duplica artefatos, e cada tentativa explicitamente iniciada possui Run atribuído.
+
+Se uma definição de SPEC no mesmo turno físico já terminou com Gui e uma
+autorização explícita observada manda executar aquela SPEC pronta, `spec execute`
+pode registrar um segmento lógico sucessor de delivery. A Run de definição
+permanece imutável; claim, alvo e hash da autorização vinculam a sucessora,
+sem dois proprietários ativos ou contagem dupla de uso quando a fronteira de
+tokens não é observável. Sem esses fatos, vale o guard normal de turno único.
 - `AC-EXEC-002-02`: cada Task executável possui dependências e Execution explícitas; Task encerrada como conversa read-only não materializa DAG sintética.
 - `AC-EXEC-002-03`: falha parcial pode ser retomada sem corromper o plano.
 - `AC-EXEC-002-04`: início da fase `execution` não implica mutação; `changed_files` e `result` registram separadamente se houve mudança real e qual foi o desfecho.
@@ -60,3 +67,5 @@ Execuções devem limitar repetição por checkpoints suaves e verificar somente
 - `AC-EXEC-005-05`: a skill de execução exige refresh seletivo e checkpoint compacto ao atingir os budgets suaves.
 - `AC-EXEC-005-06`: quando um plano visível é útil, cada passo começa com `DEFINE:`, `PLAN:`, `EXECUTE:` ou `VERIFY:`, usa somente fases aplicáveis, contém no máximo 5 passos e combina ações triviais; tarefas simples podem omitir o plano.
 - `AC-EXEC-005-07`: checkpoints suaves de contexto são acionados somente por ciclos; telemetria de input não cacheado do provider e contexto observável permanece registrada com sua origem, sem inventar valores ausentes. Checkpoints de segurança por esgotamento de tentativas semânticas são distintos desse contador. Observações de convergência não concedem aprovação nem cancelam trabalho por duração; tempo não observado permanece indisponível.
+
+Para novas avaliações de PRD/SPEC/DAG e release, a política `proportional-acceptance-v1` de `@zaip-ai/specs` exige critério obrigatório rastreável a pedido humano, Requirement ativo ou risco concreto, com aplicabilidade, resultado observável, prova suficiente, responsável e condição de parada. Todos os obrigatórios precisam passar no candidato aplicável; melhoria opcional pendente não bloqueia. Uma Task avulsa conserva o assurance proporcional existente, sem escala nova. Snapshots antigos não são recalculados: adoção retroativa exige migração explícita, versionada e atribuída.

package/templates/.agents/requirements/kanban-dashboard.md

@@ -6,7 +6,7 @@ title: Projeções operacionais e analíticas
 status: active
 version: 14
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Kanban and dashboard

package/templates/.agents/requirements/model-orchestration.md

@@ -6,7 +6,7 @@ title: Seleção automática e observável de modelo e effort
 status: active
 version: 10
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Orquestração de modelos

package/templates/.agents/requirements/public-distribution.md

@@ -4,9 +4,9 @@ id: REQUIREMENTS-PUBLIC-DISTRIBUTION
 area: public-distribution
 title: Distribuição pública e ativação
 status: active
-version: 9
+version: 10
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Distribuição pública e ativação
@@ -44,15 +44,17 @@ Restrições explícitas prevalecem. No init sem force, catálogo oficial legado
 ser atualizado e passa a integrar o lock; catálogo personalizado permanece protegido. Discovery
 gerenciada é uma projeção única, regenerada a partir do catálogo da versão instalada.
 
-## REQ-DIST-003 — Configuração global portátil do Codex
+## REQ-DIST-003 — Hooks do Codex restritos ao projeto
 
-O CLI público deve descobrir o diretório inicial do usuário em execução e reconciliar a proteção
-global do Codex sem apagar preferências, integrações ou identidades canônicas do usuário e sem
-introduzir paths ou identidades locais fixas.
+O CLI público deve instalar a proteção do Codex exclusivamente no projeto em instalação,
+por meio de `.codex/config.toml` e `.codex/hooks`. A migração pode remover hooks globais
+legados comprovadamente pertencentes ao ZAIP após backup recuperável, preservando as demais
+preferências globais, identidades canônicas, integrações e hooks de terceiros. Nenhum caminho
+ou identidade do ambiente de build pode ser fixado no pacote.
 
-- `AC-DIST-003-01`: em uma instalação limpa ou existente, o CLI preserva as configurações globais e identidades canônicas, remove somente aliases `codex_name` obsoletos declarados pelo catálogo instalado e adiciona o hook portátil canônico, sem referência a nome de usuário ou path absoluto do ambiente de build.
-- `AC-DIST-003-02`: se a escrita global falhar, o CLI conclui a instalação do projeto sem ocultar a falha, informa o destino exato e o erro, e mantém na documentação os passos de reconciliação manual que preservam a configuração existente.
-- `AC-DIST-003-03`: a reconciliação substitui todo hook `PreToolUse` identificado como ZAIP por exatamente um bloco canônico e preserva hooks de terceiros; reexecuções são idempotentes.
+- `AC-DIST-003-01`: em instalação limpa ou atualização, o CLI registra exatamente o hook canônico do ZAIP no `.codex/config.toml` do projeto e instala seu script em `.codex/hooks`; não cria nem atualiza hook global como fallback, não altera preferências ou identidades globais e não embute nome de usuário ou caminho absoluto do ambiente de build.
+- `AC-DIST-003-02`: a migração identifica por assinatura/ownership os registros globais legados de hooks do ZAIP, verifica primeiro os hooks canônicos do projeto, produz e verifica backup recuperável antes de remover somente essas entradas reconhecidas da configuração global, e preserva integralmente hooks de terceiros e as demais configurações globais. Se a verificação local falhar, preserva também o hook global legado e relata a pendência; conteúdo global sem prova de ownership permanece intacto para revisão manual.
+- `AC-DIST-003-03`: a instalação e a migração são idempotentes; falha ao gravar o hook do projeto, verificar o backup ou limpar um legado reconhecido é informada com destino, erro, estado parcial e passos de recuperação, sem declarar proteção concluída nem recorrer a um hook global.
 
 ## Verificação
 

package/templates/.agents/requirements/software-architecture.md

@@ -6,7 +6,7 @@ title: Layout modular e limites de código-fonte
 status: active
 version: 5
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Software architecture

package/templates/.agents/requirements/strategic-improvements.md

@@ -6,7 +6,7 @@ title: Melhorias estratégicas de custo, qualidade e resiliência
 status: active
 version: 1
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Melhorias estratégicas de custo, qualidade e resiliência

package/templates/.agents/requirements/work-lifecycle.md

@@ -6,7 +6,7 @@ title: Ciclo de vida do trabalho
 status: active
 version: 26
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Work lifecycle

package/templates/.agents/requirements/zaip-strategic-95.md

@@ -6,7 +6,7 @@ title: Evidências, custo por Task e autonomia por SPEC
 status: active
 version: 1
 source_change: null
-source_release: "4.7.0"
+source_release: "4.9.0"
 ---
 
 # Evidências, custo por Task e autonomia por SPEC

package/templates/.agents/rules/cloud-hostinger-autonomy.md

@@ -17,7 +17,7 @@ domains: [terraform, hostinger, cloudflare, ssh]
 - `.env` na raiz é a fonte local preferida; `.agents/.env` é alternativa configurável. Ambos são ignorados e só fornecem credenciais e identificadores ao subprocesso mínimo. Eles nunca autorizam alvo. Antes de operação remota, confira perfil `autonomous-cloud`, conta+zona Cloudflare, conta Hostinger, IDs das VPS e fingerprints SSH contra a execução ativa. Ausência, diferença ou ambiguidade bloqueia.
 - Quando a Task registrar autorização permanente e o `.env` da raiz contiver identificadores deliberados, descoberta somente de leitura pode derivar e registrar esse escopo antes da configuração; não exija JSON manual nem nova autorização. Fora desse contexto, credencial sem mandato e alvos delimitados permanece insuficiente.
 - Autonomia autorizada pelo usuário começa somente após esse preflight. Não peça a mesma autorização novamente para recursos já delimitados: abrir portas aprovadas, alterar firewall, rotacionar chave, configurar DNS, criar/editar recursos e testar são autônomos dentro da arquitetura e do orçamento aprovados. Nova zona, conta, VPS, destino, plano, datacenter, teto de custo, recurso desconhecido ou efeito irreversível ainda não aprovado exige escopo atualizado.
-- VPS 1 recebe somente ingress público Cloudflare; VPS 2 recebe somente transporte privado autenticado da VPS 1 e administração permitida. Redis, BullMQ, exporters, Grafana, Prometheus, Uptime Kuma e painéis não expõem DNS ou portas públicas. Produção e beta têm dados e redes independentes.
+- Se o contrato de infraestrutura aprovado declarar a topologia de duas VPS, VPS 1 recebe somente ingress público Cloudflare e VPS 2 somente transporte privado autenticado da VPS 1 e administração permitida. Para outra topologia, derive limites de rede do contrato aprovado antes de agir; não crie uma segunda VPS por inferência. Redis, BullMQ, exporters, Grafana, Prometheus, Uptime Kuma e painéis não expõem DNS ou portas públicas. Produção e beta têm dados e redes independentes quando ambos os ambientes estiverem no escopo.
 - O provider Hostinger não prova firewall, malha privada ou configuração de containers. Declare o executor e valide essas camadas por observação; não invente recursos ou campos de provider não verificados.
 - Exija backend remoto com criptografia, versionamento e locking antes de apply compartilhado. Execute `fmt`, `validate`, plano revisado, apply do arquivo de plano e read-after-write. Nunca persista segredo, state, plano binário ou material de chave.
 - Só declare infraestrutura funcional após evidência observada de DNS, TLS, health checks, portas privadas negadas e restauração. Sem acesso/execução observada, reporte apenas validação estática/local.