agent-master-devsecops 0.0.0-stage → 5.1.0

package/docs/CHANGELOG.md

@@ -0,0 +1,112 @@
+# CHANGELOG (Livro-Razão Imutável de Entregas)
+
+Este documento é estritamente **APPEND-ONLY**. Nenhuma linha deve ser reordenada ou excluída. Toda entrega é registrada ao final com data, tipo, escopo, descrição e justificativa técnica.
+
+2026-10-19 [INIT] @repo Provisionamento do repositório dedicado privado agent-master-devsecops no GitHub | why: hub centralizado universal para evolução e distribuição de agentes autônomos
+2026-10-19 [FEAT] @agents Reunião e catalogação dos 5 agentes especializados: Mestre Universal, DevSecOps Lead, Melhoria Contínua, Revisor Independente e SRE/Observabilidade | why: especialização de papéis de engenharia
+2026-10-19 [FEAT] @docs/ARCHITECTURE.md Especificação formal da topologia multi-agente, barramento de eventos, handovers automáticos e os 5 loops de governança | why: coordenação autônoma entre agentes
+2026-10-19 [RULE] @docs/RULES.md Universalização das 13 Regras de Ouro de Engenharia para qualquer stack e issue tracker | why: interoperabilidade total com qualquer projeto
+2026-10-19 [DOCS] @README.md Elaboração de manual completo com fluxograma, matriz de transição, guias de conexão para outras LLMs e prompt de ativação universal | why: portabilidade plug-and-play imediata
+2026-10-19 [DONE] @agents/ universalizar personas e remover completamente 100% das referências ao projeto TranscriBR | why: segregação total de governança para uso agnóstico em qualquer LLM (AGDEV-29)
+2026-10-19 [DONE] @scripts/bootstrap_cli.js Implementação do instalador universal one-line com auto-detecção de IDEs e tool MCP agent_bootstrap_environment (AGDEV-26)
+2026-10-19 [DONE] @scripts/magic_prompt_generator.js Gerador de Magic Prompt (< 900 tokens), Web Bookmarklet de 1 clique e tool MCP agent_generate_magic_prompt (AGDEV-27)
+2026-10-19 [DONE] @scripts/web_inspector.js Servidor HTTP leve Web Dashboard & Playground do Agent Master com rotas REST e tool MCP agent_inspector_info (AGDEV-28)
+2026-10-19 [DOCS] @README.md Atualização master do README com guias de onboarding zero-atrito (PowerShell, Bash, npx), Web Bookmarklet, Dashboard local e catálogo das 17 tools MCP (AGDEV-30)
+2026-10-19 [FEAT] @scripts/credential_healthcheck.js Healthcheck interativo e solicitação proativa de credenciais GitHub CLI e Atlassian (Jira e Confluence) com tools MCP agent_check_credentials e agent_configure_credentials | why: erradicar falhas silenciosas do Tríplice Registro em novos ambientes (AGDEV-31)
+2026-10-19 [FEAT] @scripts/install.ps1 blindar todos os vetores de instalação (install.ps1, install.sh, bootstrap_cli.js, init_cli.js, CANONICAL_MODULAR_ENTERPRISE_PROMPT.md, README.md, MAGIC_PROMPT.md) com solicitação compulsória de credenciais Atlassian e GitHub CLI | why: assegurar que em qualquer novo projeto ou projeto em andamento, em qualquer computador, o agente exija os logins sem omissão silenciosa (AGDEV-32)
+2026-10-19 [REFACTOR] @CANONICAL_ENTERPRISE_PROMPT.md Consolidação dos prompts de instalação e especificação enterprise em arquivo unificado na raiz de .agents-hub/ com remoção de arquivos dispersos em agents/ e docs/ | why: centralizar a ativação universal enterprise com pureza de nomenclatura (FIT-2)
+2026-10-19 [DOCS] @CANONICAL_ENTERPRISE_PROMPT.md Unificação de agents/README.md e docs/README.md com CANONICAL_ENTERPRISE_PROMPT.md em documento único na raiz de .agents-hub/ | why: eliminar redundâncias de documentação e manter catálogo único e canônico (FIT-2)
+2026-10-19 [DOCS] @README.md Unificação final de CANONICAL_ENTERPRISE_PROMPT.md com README.md em arquivo único canônico de instruções e governança na raiz de .agents-hub/ | why: prover ponto único de entrada de documentação, catálogo e prompt enterprise (FIT-2)
+2026-10-19 [REFACTOR] @docs/ENGINEERING_RULES.md Renomeação de docs/RULES.md para docs/ENGINEERING_RULES.md e atualização de todas as referências cruzadas na suíte | why: padronização semântica e assertividade do contrato de regras de engenharia (FIT-2)
+2026-10-19 [SECURITY] @scripts/atlassian_sync_action.js Erradicação definitiva de vazamento de credenciais pessoais, eliminação de fallbacks estáticos de email e domínio tenant, sanitização do healthcheck e blindagem de SAST/PR Reviewer com bloqueio automático de hardcoded secrets (FIT-2)
+
+
+
+
+
+2026-10-20 [FEAT] @agents/AGENT_UIUX.md Criação do 6º agente canônico AGENT_UIUX (Design System, Heurísticas de Nielsen, WCAG 2.1 AA e Core Web Vitals) e sincronização do ecossistema multiagente (ARCHITECTURE.md, CI, scripts de instalação e orquestração) | why: segregação de responsabilidades e especialização em experiência do usuário e acessibilidade (AGDEV-33)
+2026-10-20 [FEAT] @scripts/jira_kanban_standardizer.js Restauração do padronizador kanban (A fazer, Em andamento, Concluído), reintegração das ferramentas MCP agent_standardize_kanban e agent_full_dev_pipeline, conexão ao multi_agent_orchestrator e ampliação para 61 testes unitários aprovados | why: blindar a automação programática do modo full-dev nos 3 kanbans universais (AGDEV-34)
+2026-10-20 [FEAT] @scripts/atlassian_sync_action.js Sincronização automatizada de Remote Links Git-Jira (commits, branches e PRs) via API v3 oficial com deduplicação por globalId, sincronização retroativa (--retroactive), parametrização dos segredos de CI no GitHub Actions e formalização da Regra 15 (Imutabilidade de Requisitos & Validação Compulsória de Segredos e Ferramentas) com módulo credentials_guard.js, tool MCP agent_validate_rule15 e 67 testes aprovados | why: garantir vinculação direta no painel e links do Jira e imunidade contra perda de requisitos ou falhas silenciosas de credenciais (AGDEV-35)
+2026-10-21 [RELEASE] @release Lançamento da versão 3.6.0 com suíte canônica de 6 agentes, servidor MCP e tríplice registro (AGDEV-38)
+2026-10-21 [FEAT] @scripts/fast_feature_scaffold.js Otimização extrema de latência, scaffolding atômico de features em 1 turno (< 25ms), hot-state cache e AST Skeletonizer (AGDEV-39)
+2026-10-21 [FEAT] @docs/ADR-007 Homologação de arquitetura de alta performance e mitigação de gargalos de contexto (AGDEV-40)
+2026-10-21 [CHORE] @scripts/ Atualização de catálogo de modelos e parâmetros de custo/latência (AGDEV-41)
+2026-10-21 [RULE] @docs/ENGINEERING_RULES.md Implementação das Regras 17 e 18: Descoberta dinâmica de modelos, roteamento multimodal e integridade de output (AGDEV-42)
+2026-10-21 [REFACTOR] @docs/playbooks/ Transformação da máquina de estados do circuit breaker para texto linear determinístico (AGDEV-43)
+2026-10-21 [REFACTOR] @scripts/credentials_guard.js Consolidação arquitetural de scripts, unificação do credentials guard e remoção de redundâncias (AGDEV-44)
+2026-10-21 [REFACTOR] @scripts/jira_manager.js Unificação do jira_manager com kanban canônico e time-tracking automático (AGDEV-45)
+2026-10-21 [FEAT] @agents/AGENT_QA.md Ativação do QA como Shift-Left Gatekeeper, saneamento do IDEAS.md e correção de parser MCP (AGDEV-46)
+2026-10-21 [FEAT] @scripts/domain_idea_miner.js Implementação do Minerador Automático de Ideias de Domínio (domain_idea_miner.js) e tool MCP agent_mine_domain_ideas (AGDEV-48)
+2026-10-21 [CLEANUP] @docs/ Saneamento de integridade documental e remoção do arquivo docs/GUIA_DO_CLIENTE.md (AGDEV-49)
+2026-10-21 [RELEASE] @package.json Lançamento da versão v3.9.0 Enterprise com suíte de 105 testes, auto-provisionamento bimodal da Tríade e sincronização upstream (AGDEV-50)
+2026-10-21 [FEAT] @scripts/pr_reviewer.js Auto-merge autônomo no GitHub Actions com permissão contents: write e publicação de pareceres pelo AGENT_QA (AGDEV-50)
+2026-10-21 [DOCS] @README.md Remoção da seção redundante de novidades da v3.6.0 em favor da documentação canônica no Confluence (AGDEV-39)
+2026-10-21 [DOCS] @README.md Refatoração do cabeçalho institucional com badges de status e tabela de especificações canônicas (AGDEV-39)
+2026-10-21 [DOCS] @README.md Reformulacao didatica do guia de instalacao rapida no README para usuarios iniciantes (AGDEV-39)
+2026-10-21 [REFACTOR] @README.md Higienizacao de terminologia institucional, remocao de buzzwords e estandardizacao da Triade de Governanca (AGDEV-39)
+2026-10-21 [DOCS] @README.md Remocao de instrucoes detalhadas de autenticacao interativa do GitHub CLI (AGDEV-39)
+2026-10-21 [DOCS] @README.md Unificacao da secao Prompt Master Canônico ao topico de Uso via Web (AGDEV-39)
+2026-10-21 [DOCS] @README.md Atualizacao tecnica das secoes 2 a 8, inclusao da Regra 16 e catalogo completo de 36 ferramentas MCP (AGDEV-40)
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão das Regras Fundamentais 18 a 22 (Native Tool First Principle, Backlog & Sprint First Gate, Baseline DevSecOps Blindada com --ignore-scripts, DoD Técnico com Testes de Integração e Renderização Confluence Storage Format Nativo) | why: blindar a autonomia dos agentes contra criação indevida de scripts locais, violações de CI/CD e desvios de processo ágil (AGDEV-42)
+2026-10-21 [FEAT] @scripts/mcp_server.js Expansão dos metadados da ferramenta MCP agent_get_rule e agent_eval_harness para cobrir o catálogo expandido de 24 regras | why: suporte à consulta dinâmica e avaliação contínua de conformidade (AGDEV-42)
+2026-10-21 [RELEASE] @package.json Lançamento da versão v3.10.0 com 24 Regras Fundamentais de Engenharia e governança DevSecOps blindada (AGDEV-42)
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão da Regra Fundamental 23 (Descoberta Compulsória de Ticket Jira & Proibição Estrita de Identificadores Alucinados - Traceability Verification First Gate) | why: eliminar adivinhação de tickets, garantir rastreabilidade determinística e consulta prévia obrigatória ao Jira antes da criação de branches e commits
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão da Regra Fundamental 24 (Auto-Auditoria Compulsória Pré-Execução & Validação por Linters Nativos - Pre-Flight Self-Compliance Gate) | why: vetar que o agente dependa do usuário como muleta de conformidade e exigir auto-validação em linters nativos (branch, commit, SAST) antes de qualquer proposição
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão da Regra Fundamental 25 (Ciclo Fechado Compulsório de Pós-Merge & Tríplice Fechamento - Post-Merge Full Lifecycle Closure Gate) | why: eliminar o abandono pós-merge, obrigando transição para Concluído no Jira, publicação de ADR no Confluence e git pull na main local (AGDEV-43)
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão da Regra Fundamental 26 (Consolidação Canônica em Página Única & Proibição de Sub-Páginas Fragmentadas no Confluence - Single-Ledger Confluence Integrity & ADR Inspection First Gate) | why: vetar criação de sub-páginas filhas que desorganizam o espaço, obrigando inspeção prévia da numeração de ADRs e anexo no livro-razão consolidado (AGDEV-44)
+2026-10-21 [FEAT] @scripts/atlassian_sync_action.js Sincronização automática bidirecional de Remote Links para páginas do Confluence e ADRs no Jira (AGDEV-45)
+2026-10-21 [FEAT] @docs/ENGINEERING_RULES.md Inclusão da Regra Fundamental 27 (Rastreabilidade Visual Compulsória na Interface Web do Jira - UI-Visible Web Links Gate) e normalização de Links da Web no motor Atlassian (AGDEV-46)
+2026-10-21 [RELEASE] @package.json Lançamento da versão v4.0.0 Enterprise com os 7 Princípios Canônicos de Engenharia, suíte de 7 agentes especialistas, eliminação de auto-merge cego no CI e desacoplamento offline-first (AGDEV-47)
+2026-10-21 [REFACTOR] @docs/ENGINEERING_RULES.md Consolidação das 27 regras inflacionadas nos 7 Princípios Canônicos Universais com redução de 86% de footprint de prompt e mapeamento retrocompatível no servidor MCP (AGDEV-47)
+2026-10-21 [REFACTOR] @agents/ Enxugamento dos prompts dos 7 agentes para especificações lean (< 120 linhas), eliminando redundâncias didáticas e focando em contratos de handover e autoridade de veto (AGDEV-47)
+2026-10-21 [SECURITY] @scripts/sast_scanner.js Refinamento do scanner SAST com imunidade a falsos positivos em comentários, mantendo bloqueio rigoroso a segredos reais (AGDEV-47)
+2026-10-21 [CI] @.github/workflows/autonomous_pr_reviewer.yml Remoção da flag --auto-merge no revisor autônomo e adoção de permissões de menor privilégio (contents: read) (AGDEV-47)
+2026-10-21 [FEAT] @scripts/smart_onboarding.js Implementação de modo degradado gracioso offline-first no Gate da Tríade para viabilizar desenvolvimento local sem travas (AGDEV-47)
+2026-10-22 [REFACTOR] @scripts/ Migração definitiva da raiz de scripts para subpastas funcionais limpas (auditors/, core/, integrations/, bin/, mcp/), eliminando stubs e raiz poluída com 100% dos testes verdes (I-1 / AGDEV-47)
+2026-10-22 [REFACTOR] @agents/compact/ Expurgo definitivo da pasta agents/compact/ e desacoplamento do universal_packager.js para geração dinâmica de prompt sob demanda via context_compressor.js sem redundância em disco
+2026-10-22 [FEAT] @scripts/mcp/ Criação das 5 Meta-Ferramentas Canônicas (agent_governance, agent_audit, agent_review, agent_pipeline, agent_telemetry) e ativação dos perfis MCP 'consolidated' e 'lean', reduzindo o overhead de tokens de schema para LLMs em ~77% mantendo 100% de compatibilidade retroativa (131 testes unitários + 11 adversários aprovados)
+2026-10-22 [FIX] @scripts/core/fast_feature_scaffold.js Correção de resolução de módulos TypeScript (import type, extensões .ts e auto-geração de tsconfig.json NodeNext), viabilizando execução nativa em Node 22/24 com --experimental-strip-types
+2026-10-22 [FEAT] @scripts/auditors/code_quality_auditor.js Eliminação de falsos positivos em callbacks assíncronos/streams (sanitização de templates, maxNesting=6 e método auditFile), paridade com scanFile do SAST e definição do perfil MCP 'consolidated' como padrão operacional
+2026-10-22 [FIX] @scripts/core/fast_feature_scaffold.js Erradicação de parameter properties em construtores TypeScript (compatibilidade estrita Node 22/24 strip-types), suporte a campos dinâmicos spec.fields, camada Repository (DDD), crypto.randomUUID() e auto-geração de package.json com type: module. Criação da suíte VaultShield em saida/ com servidor HTTP nativo e testes de integração de ponta a ponta 100% verdes (143 testes na suíte geral)
+2026-10-22 [FEAT] @scripts/core/fast_feature_scaffold.js Suporte completo à stack Python/FastAPI (Pydantic v2 & Pytest), adapter relacional ACID Sqlite nativo (node:sqlite DatabaseSync) em TypeScript e guardas de validação de runtime sem dependências. Expurgo do protótipo experimental saida/ e consolidação de 144 testes verdes gerais.
+2026-10-22 [FEAT] @scripts/core/fast_feature_scaffold.js Implementação de 4 pilares de resiliência de produção no scaffolding: (1) SQLite com WAL Mode e busy_timeout=5000 para alta concorrência; (2) Type Guard com validação estrita de tipos primitivos em runtime; (3) Idempotência nativa no Controller com header x-idempotency-key e cache de replay; (4) Helper parseJsonBodySafe com stream draining via req.resume() e status 413 contra DoS. Blindagem de web_inspector.js e expansão para 134 testes unitários + 11 adversários 100% verdes.
+2026-10-22 [FEAT] @scripts/core/fast_feature_scaffold.js Calibração adaptativa por Perfil Arquitetural (standard vs enterprise bancário): suporte a livro-razão criptográfico SHA-256 (ImmutableLedger), relatório de conformidade PCI-DSS, idempotência durável e SQLite WAL. Expansão para 136 testes unitários + 11 adversários 100% verdes.
+2026-10-22 [FEAT] @scripts/core/architecture_advisor.js & @scripts/mcp/ Motor de Consultoria Arquitetural Agnóstica & Engenharia de Valor (agent_recommend_architecture): avaliação imparcial de trade-offs (Monólito Modular, Clean Architecture, Hexagonal, Event-Driven, Microsserviços e Web Leve), matriz de riscos com alerta anti-overengineering e plano de entrega de valor de ponta a ponta (requisitos à produção). Atualização do Princípio 7 e expansão da suíte para 147 testes unitários + 11 adversários 100% verdes (158 testes totais).
+2026-10-22 [REFACTOR] @architecture & @toolchain Refatoração de Paradigma e Industrialização do Framework: (1) Reversão de papéis entre LLM e Código Determinístico: arranco de 1.600 linhas de templates procedurais toscos (eliminação de repositórios em memória com sync.RWMutex em Go), introdução do compilador formal de contratos arquiteturais (FeatureArchitectureContract), geração de prompts especializados de alta densidade e fiscalização estrita via toolchains nativas do host (node --test, go vet, cargo check, python -m compileall) sem injeção de shell intermediário (safeCliRunner imune a CVE-2024-27980 e DEP0190); (2) Eliminação de heurísticas ingênuas no ArchitectureAdvisor, adotando análise formal ATAM (Architecture Tradeoff Analysis Method) e Architecture Fitness Functions; (3) SAST Industrial: integração de primeira classe com Semgrep CLI (semgrep scan --config auto --json) com fallback limpo e auditável; (4) SCA Industrial: integração com npm audit nativo (--json) e Trivy CLI com detecção de CVEs reais e fallback determinístico; (5) Observabilidade: alinhamento canônico W3C TraceContext e exportação OTLP HTTP JSON v1 (/v1/traces) com hooks para @opentelemetry/api oficial. Total de 149 testes unitários + 11 adversários 100% verdes (160 testes gerais).
+2026-10-22 [RELEASE] @enterprise Lançamento da versão v4.1.0 Enterprise com os 10 Princípios Canônicos de Engenharia de Software & Governança (Princípio 8: BDD/Invariantes de Requisitos, Princípio 9: ADR/Anti-Hype de Arquitetura, Princípio 10: Double-Loop Kaizen de Processos), saneamento de heurísticas ingênuas em ast_skeletonizer, domain_idea_miner e sre_remediation_engine, e sincronização integral de agentes (160 testes gerais 100% verdes).
+2026-10-22 [RELEASE] @enterprise Lançamento da versão v5.0.0 Enterprise: Dynamic Knowledge Gateway & Authoritative API Augmentation (ADR-008). Implementação da arquitetura Tri-Tier Grounding: Tier 1 (Authoritative Live APIs: OSV.dev, start.spring.io, W3C Specs), Tier 2 (Local Hot Cache em SQLite WAL nativo node:sqlite com latência < 1ms) e Tier 3 (Catálogo Determinístico Embutido de Contingência Offline). Implementação do Zero Egress Data Leakage Guardrail (veto pré-flight de tokens, credenciais, emails e código). Adição da ferramenta MCP agent_ground_knowledge e sub-ação na meta-ferramenta agent_governance. Integração de auditoria com base OSV em sca_dependency_auditor.js (auditWithOsvApi), enriquecimento de W3C WAI-ARIA em a11y_auditor.js, suporte a Java 21 LTS com Virtual Threads e Records em fast_feature_scaffold.js, e grounding de lifecycles LTS em architecture_advisor.js. Suíte geral expandida com 100% dos testes verdes e zero dependências npm externas.
+2026-10-22 [RELEASE] @enterprise Lançamento da versão v5.1.0 Enterprise: Industrialização DevSecOps Real com Padrão OASIS SARIF v2.1.0 (sarif_engine.js com geração, parsing, validação de schema e interoperabilidade com Semgrep, CodeQL e Trivy), Autonomous Auto-Remediation Engine em Ciclo OODA (autonomous_remediation_engine.js com síntese cirúrgica de patches para CWE-78 e CWE-89, execução de testes automatizados do host e Rollback Atômico em caso de regressão), nova ferramenta MCP agent_remediate_code e sub-ação remediate_code na meta-ferramenta agent_audit, Parser DOM/AST Estrutural no a11y_auditor.js, Reality Check físico de Toolchains do Host no architecture_advisor.js, e homologação de 170 testes unitários de ponta a ponta 100% verdes (npm test).
+2026-10-22 [REFACTOR] @scripts/auditors/a11y_auditor.js Refatoração de Paradigma Funcional e Programação Defensiva: substituição de regexes frágeis por tokenizador linear O(N) imune a ReDoS (CWE-1333) e falsos positivos em comentários HTML/JSX; desacoplamento das 7 regras WCAG 2.1 AA em predicados funcionais puros de alta densidade; imutabilidade estrutural com Object.freeze; integração nativa com OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e despacho via MCP qa_handlers com argumento format. Expansão da suíte para 176 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/code_quality_auditor.js Refatoração de Paradigma Funcional e Programação Defensiva: implementação de scanner léxico linear O(N) imune a ReDoS (CWE-1333) e falsos positivos em strings/templates multilinhas com interpolação ${...}; eliminação de contagem duplicada de 'else if' na métrica ciclomática de McCabe v(G); detecção robusta de anti-patterns (EMPTY_CATCH multilinha com comentários internos conforme Regra 5, EMPTY_FINALLY, DEBUGGER_STATEMENT e PENDING_TODO); exportação nativa em OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e suporte a filePath e format no MCP qa_handlers. Expansão da suíte para 182 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/contract_test_validator.js Refatoração de Paradigma Funcional e Programação Defensiva: implementação da classe canônica ContractTestValidator com algoritmo de detecção de Drift (Shadow APIs e Unimplemented Endpoints) em O(N+M) via indexação Map; normalização defensiva de rotas com supressão de query strings e trailing slashes; auditoria de completude OpenAPI (missingResponses, missingSummaries, parâmetros de rota ausentes em parameters); checagem de operações de mutação desprotegidas (OWASP API2 e API9); exportação oficial em OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e despacho via MCP qa_handlers com suporte a format: 'sarif'. Expansão da suíte para 187 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/eval_harness.js Refatoração de Paradigma Funcional e Programação Defensiva: implementação da classe canônica LlmEvalHarness com catálogo imutável EVAL_CRITERIA alinhado aos 10 Princípios Canônicos de Engenharia de Software & Governança da v5.1; tratamento defensivo de entradas nulas e vazias; exportação nativa em OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e despacho via MCP qa_handlers com suporte a format: 'sarif'. Expansão da suíte para 192 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/git_hygiene_linter.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica GitHygieneLinter com validação estrita da Regra 11 e Princípio 3 (Rastreabilidade Tríplice); subprocessos Git blindados com timeout de 3.000ms e isolamento defensivo; suporte unificado a tags canônicas ([FEAT], [FIX], [REFACTOR], etc.) e tags estruturais ([GOV], [CD], [SETUP], [RELEASE], [INIT]); validação de ação substantiva (>= 3 caracteres); exportação nativa em OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e despacho via MCP qa_handlers com suporte a format: 'sarif'. Expansão da suíte para 197 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/pr_reviewer.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica PrReviewer; subprocessos Git/gh protegidos com timeout de 10.000ms e maxBuffer de 15MB; alinhamento do relatório canônico à conformidade formal com os 10 Princípios do AGENT QA; cálculo defensivo de Blast Radius e Quórum Humano; FinOps Diff Pruning com economia mensurável de tokens; exportação oficial em OASIS SARIF v2.1.0 (auditToSarif) para GitHub Code Scanning; e despacho via MCP qa_handlers com suporte a format: 'sarif'. Expansão da suíte para 204 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/sast_scanner.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica SastScanner com regras imutáveis em profundidade (Object.freeze); modo híbrido industrial com Semgrep CLI e fallback determinístico embutido; catálogo expandido de regras OWASP/CWEs (CWE-78, CWE-89, CWE-1333, CWE-79, CWE-95, CWE-22, CWE-798 secrets/email/tenant); tolerância robusta a entradas nulas, não-strings e buffers hostis; relatório executivo formatReport; exportação oficial em OASIS SARIF v2.1.0 (scanCodeToSarif, scanToSarif); e suporte a targetPath e format: 'sarif' no MCP qa_handlers. Expansão da suíte para 211 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/auditors/sca_dependency_auditor.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ScaDependencyAuditor com catálogo imutável em profundidade (RESTRICTIVE_LICENSES e KNOWN_VULNERABLE_PACKAGES); arquitetura multi-tier industrial (npm audit, Trivy CLI, OSV.dev Live API e catálogo determinístico de contingência); detecção de wildcards e licenças copyleft tóxicas; tratamento defensivo em resolveManifest; relatório executivo formatReport; exportação oficial em OASIS SARIF v2.1.0 (auditToSarif); e despacho via MCP qa_handlers. Expansão da suíte para 218 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/bin/bootstrap_cli.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica BootstrapCli com catálogo de arquivos canônicos imutável (Object.freeze); proteção de subprocessos commandExists contra hang e DoS com timeout estrito de 3.000ms e windowsHide; isolamento rigoroso de plataformas IDE (AGDEV-41); supressão limpa de arquivos duplicados em modo submódulo (Regra 16); relatório executivo formatReport em Markdown padronizado; renderização canônica v5.1 alinhada aos 10 Princípios Canônicos e 7 agentes soberanos; e tolerância total a parâmetros nulos ou inválidos. Expansão da suíte para 222 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/bin/domain_idea_miner.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica DomainIdeaMiner com catálogo declarativo imutável IDEA_RULES (Object.freeze); computação em O(1) de contexto sintático por arquivo com predicados puros; erradicação de varreduras lineares repetitivas; programação defensiva estrita contra entradas nulas ou caminhos inválidos; gerador de relatório executivo formatReport em Markdown; exportação oficial no padrão OASIS SARIF v2.1.0 (mineToSarif); e integração de format: 'sarif' no MCP handleMineDomainIdeas. Expansão da suíte para 226 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/bin/smart_onboarding.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica SmartOnboarding; erradicação de duplicação massiva de código entre verifyTriadGateSync e verifyTriadGate (DRY); constantes congeladas em profundidade (IGNORED_DIRS, BUILD_MANIFESTS e STACK_SIGNATURES); catálogo declarativo de assinaturas tecnológicas; tratamento defensivo para entradas nulas/inválidas com fallback seguro para GREENFIELD; relatório executivo formatReport em Markdown; exportação oficial em OASIS SARIF v2.1.0 (auditTriadToSarif); e suporte a format: 'sarif' no MCP handleVerifyTriadGate. Expansão da suíte para 231 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/bin/web_inspector.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica WebInspector; cabeçalhos de segurança defensivos (nosniff, DENY); unificação DRY de respostas e erros HTTP (sendJson e sendError); sanitização de payload JSON; gerador de relatório executivo formatReport em Markdown; exportação oficial no padrão OASIS SARIF v2.1.0 (auditTelemetryToSarif); e integração de format: 'sarif' no MCP handleInspectorInfo. Expansão da suíte para 233 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/integrations/atlassian_client.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica AtlassianClient com métodos fluentes (get, post, put, delete, request); eliminação de código morto (execSync); sanitização robusta de domínio com split defensivo contra paths acidentais; suporte a timeout configurável (30s) e tratamento anti-hang em requestAtlassian; suporte a tokens Bearer/PAT; relatório executivo formatReport em Markdown sem vazamento de segredos em texto plano (Regra 15); auditoria oficial em OASIS SARIF v2.1.0 (auditToSarif); suporte a format: 'sarif' no MCP handleCheckCredentials; e 100% de retrocompatibilidade com a suíte de credenciais e onboarding. Expansão da suíte para 258 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/integrations/atlassian_sync_action.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica AtlassianSyncAction com métodos de Remote Links Git-Jira; integração DRY com AtlassianClient e requestAtlassian eliminando fetch global e timeouts vulneráveis; extração case-insensitive de chaves Jira suportando branches minúsculas; extração pura de syncCurrentContext; relatório executivo formatReport em Markdown; auditoria oficial no padrão OASIS SARIF v2.1.0 (auditSyncToSarif); suporte a format: 'sarif' no MCP handleSyncAtlassian; e 100% de retrocompatibilidade com GitHub Actions CI/CD e Tríade. Expansão da suíte para 282 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/integrations/confluence_sync.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ConfluenceSync; expansão do parser nativo Markdown para Confluence Storage Format XHTML com tabelas Markdown completas (th/td), listas ordenadas (ol), blockquotes com formatação inline e isolamento seguro de CDATA contra quebras por sequence injection; unificação DRY de criação/atualização de páginas e links remotos Jira; gerador de relatório executivo formatReport em Markdown; auditoria oficial no padrão OASIS SARIF v2.1.0 (auditSyncToSarif); 100% de retrocompatibilidade com scripts legados, GitHub Actions e Tríplice Registro; e expansão da suíte para 307 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/integrations/credentials_guard.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica CredentialsGuard; utilitário puro de mascaramento defensivo maskSecret contra vazamento de segredos (CWE-798 / CWE-200); helpers funcionais puros de merge e proteção em .env e .gitignore (Regra 15); relatório executivo formatReport em Markdown com badges de conformidade; auditoria oficial no padrão OASIS SARIF v2.1.0 (auditToSarif) cobrindo RULE-SEC-015, RULE-SEC-016 e RULE-SEC-017; suporte a format: 'sarif' no MCP handleValidateRule15; e expansão da suíte para 317 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/integrations/jira_manager.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica JiraManager; normalização declarativa dos 3 Kanbans canônicos (A fazer, Em andamento, Concluído); sanitização defensiva de chaves redundantes em títulos; validação estrita de limites de WIP e saturação de fluxo; filtro de sanidade anti-overengineering (Regra 14); parser tolerante de Backlog Local offline-first; relatório executivo formatReport em Markdown; auditoria oficial no padrão OASIS SARIF v2.1.0 (auditToSarif) com RULE-KANBAN-001, RULE-KANBAN-002 e RULE-KANBAN-003; suporte a format: 'sarif' no MCP handleFullDevPipeline; e expansão da suíte para 338 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/atlassian_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica AtlassianHandlers; helpers funcionais puros de construção determinística de resposta JSON-RPC 2.0 (buildSuccessResponse e buildErrorResponse com DRY total); tratamento defensivo com try/catch isolado por handler contra crash no servidor MCP; suporte universal a saídas OASIS SARIF v2.1.0 e Markdown executivo; 100% de compatibilidade com as 5 ferramentas Atlassian (agent_sync_atlassian, agent_check_credentials, agent_configure_credentials, agent_standardize_kanban, agent_full_dev_pipeline) e meta-ferramentas MCP; e expansão da suíte para 361 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/core_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica CoreHandlers; helpers funcionais puros buildSuccessResponse e buildErrorResponse (DRY total); parser funcional extractNextIdea para leitura defensiva de IDEAS.md; suporte nativo a OASIS SARIF v2.1.0 em handleFullDevStatus (RULE-DEV-001) e auditoria de gates; proteção com try/catch em todos os 9 handlers de governança e arquitetura (agent_full_dev_status, agent_orchestrate_event, agent_inspector_info, agent_smart_onboarding, agent_verify_triad_gate, agent_set_mcp_profile, agent_mine_domain_ideas, agent_recommend_architecture, agent_ground_knowledge); e expansão da suíte para 381 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/qa_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica QaHandlers; helpers funcionais puros de construção determinística de resposta JSON-RPC 2.0 (buildSuccessResponse e buildErrorResponse com DRY total); elevação de handleAuditCode ao padrão oficial OASIS SARIF v2.1.0 com createSarifReport e regras RULE-SEC-094, RULE-SEC-798 e RULE-SEC-116; suporte a filePath e sanitização de diffs; isolamento defensivo com try/catch em todos os 10 handlers (agent_audit_code, agent_review_pr, agent_sast_scan, agent_audit_quality, agent_audit_a11y, agent_lint_git_hygiene, agent_audit_dependencies_sca, agent_validate_api_contract, agent_eval_harness, agent_remediate_code) e meta-ferramentas MCP com códigos JSON-RPC padronizados (-32602 e -32603); e expansão da suíte para 397 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/rules_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica RulesHandlers; helpers funcionais puros de construção determinística de resposta JSON-RPC 2.0 (buildSuccessResponse e buildErrorResponse com DRY total); catálogo LEGACY_RULES_MAP imutável em profundidade (Object.freeze); cache em memória reativo para docs/ENGINEERING_RULES.md; suporte nativo a OASIS SARIF v2.1.0 em handleGetRule e handleValidateIdea com createSarifReport e regras RULE-IDEA-001 e RULE-IDEA-002; isolamento defensivo com try/catch em todos os handlers (agent_get_rule, agent_validate_idea, agent_validate_rule15) e meta-ferramenta agent_governance; e expansão da suíte para 407 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/scaffold_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ScaffoldHandlers; helpers funcionais puros de construção determinística de resposta JSON-RPC 2.0 (buildSuccessResponse e buildErrorResponse com DRY total); elevação de handleExtractCodeSkeleton, handleScaffoldFeature e handleBootstrapEnvironment ao padrão oficial OASIS SARIF v2.1.0 com createSarifReport; isolamento defensivo com try/catch em todos os 7 handlers (agent_generate_ide_plugins, agent_compress_context, agent_export_universal_bundle, agent_bootstrap_environment, agent_generate_magic_prompt, agent_extract_code_skeleton, agent_scaffold_feature) e meta-ferramenta agent_pipeline; e expansão da suíte para 417 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/handlers/sre_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica SreHandlers; helpers funcionais puros de construção determinística de resposta JSON-RPC 2.0 (buildSuccessResponse e buildErrorResponse com DRY total); elevação de handleOtelTrace, handlePerfBenchmark, handleCircuitBreaker, handleSreTelemetry e handleSreRemediate ao padrão oficial OASIS SARIF v2.1.0 com createSarifReport (RULE-PERF-001, RULE-PERF-002, RULE-CIRCUIT-OPEN, RULE-SRE-001); isolamento defensivo com try/catch em todos os 5 handlers com códigos JSON-RPC padronizados (-32602 e -32603); suporte a traceparent W3C, flamegraph ASCII, formato Prometheus puro e JSON estruturado; e expansão da suíte para 425 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/resources_registry.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ResourcesRegistry; catálogo imutável em profundidade RESOURCE_DEFINITIONS (Object.freeze); helpers funcionais puros de envelope JSON-RPC 2.0 (buildSuccessResponse, buildErrorResponse e buildResourceContentResponse com DRY total); resolução imune a Path Traversal (CWE-22); paridade estrita entre leituras síncronas e assíncronas; registro dinâmico de recursos em runtime (registerResource); auditoria oficial em OASIS SARIF v2.1.0 (auditToSarif) cobrindo RULE-RES-001 e RULE-RES-002; relatório executivo formatReport em Markdown; e expansão da suíte para 433 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/server.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica McpServer; centralização DRY do despachante JSON-RPC 2.0 em método dispatch único eliminando redundância entre processMessage e processMessageAsync; injeção de streams de E/S customizadas em startServer/start com ciclo de vida stopServer/stop; suporte nativo ao método ping e notificações MCP; tratamento defensivo estrito de erros JSON-RPC (-32600 Invalid Request, -32601 Method Not Found, -32700 Parse Error); auditoria oficial em OASIS SARIF v2.1.0 (auditToSarif) com RULE-MCP-001 e RULE-MCP-002; relatório executivo formatReport em Markdown; e expansão da suíte para 439 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/tool_handlers.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ToolHandlers; fábrica funcional pura createMetaToolHandler eliminando duplicação switch/case nas 5 meta-ferramentas consolidadas (DRY total); desempacotador determinístico extractPayload; tratamento defensivo try/catch contra falhas síncronas e assíncronas com mapeamento JSON-RPC (-32601, -32602, -32603); registro dinâmico de ferramentas em runtime (registerHandler); auditoria oficial em OASIS SARIF v2.1.0 (auditToSarif) cobrindo RULE-TOOL-001; relatório executivo formatReport em Markdown; e expansão da suíte para 445 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp/tools_registry.js Refatoração de Paradigma Funcional e Programação Defensiva: consolidação da classe canônica ToolsRegistry; imutabilidade estrutural em profundidade com Object.freeze em todas as 44 ferramentas e perfis; proteção contra Prototype Pollution com hasOwnProperty.call; indexação e lookup O(1) de ferramentas e perfis; registro dinâmico em runtime (registerTool e registerProfile); auditoria oficial em OASIS SARIF v2.1.0 (auditToSarif) cobrindo RULE-TOOL-001, RULE-TOOL-002 e RULE-REG-001; relatório executivo formatReport em Markdown; 100% de retrocompatibilidade com getActiveTools, setMcpProfile, getActiveProfile, TOOLS, META_TOOLS e ALL_TOOLS; e expansão da suíte para 450 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/mcp_server.js Refatoração de Paradigma Funcional e Interface CLI Enterprise: consolidação do ponto de entrada canônico e fachada do servidor MCP; analisador funcional puro de argumentos CLI parseArgs com suporte a flags (--profile, --sarif, --report, --list-tools, --list-profiles, --version, --help); execução desacoplada com injeção de I/O em runCli viabilizando testes unitários sem crash; suporte nativo a graceful shutdown com tratamento defensivo de SIGINT e SIGTERM; reexportação integral de toda a API pública da classe McpServer; e expansão da suíte para 455 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @scripts/core/ Refatoração de Paradigma Funcional, Expansão Multilíngue e Padronização OASIS SARIF v2.1.0 nos Motores do Core: (1) ast_skeletonizer.js com suporte nativo a Go 1.22+ e Rust 2021, programação defensiva e SARIF (auditToSarif); (2) context_compressor.js encapsulado na classe canônica ContextCompressor, alinhado aos 10 Princípios Canônicos da v5.1 e SARIF; (3) magic_prompt_generator.js alinhado aos 10 Princípios e SARIF; (4) hot_state_cache.js, perf_benchmark.js, circuit_breaker.js, otel_tracer.js, universal_packager.js, sre_remediation_engine.js e multi_agent_orchestrator.js com exportação nativa em OASIS SARIF v2.1.0 e formatReport executivo; e expansão da suíte para 459 testes canônicos 100% verdes.
+2026-10-22 [REFACTOR] @test/ Reestruturação Física da Pasta de Testes em Topologia de Espelhamento Simétrico (Symmetric Mirroring Architecture): eliminação do anti-pattern God Directory com a migração dos 37 arquivos de teste da raiz de test/ para 5 subdiretórios modulares simétricos a scripts/ (test/auditors/, test/bin/, test/core/, test/integrations/, test/mcp/); refatoração de todos os imports relativos e caminhos de fixtures; atualização do script package.json para descoberta recursiva nativa (node --test) e adição de scripts granulares (test:auditors, test:bin, test:core, test:integrations, test:mcp); conformidade estrita com o Princípio 2 (Single Source of Truth & Pure Architecture) e Princípio 4 (Testing Rigor); preservação integral de 100% de cobertura com 459 testes automatizados verdes.
+
+
+
+

package/docs/ENGINEERING_RULES.md

@@ -0,0 +1,56 @@
+# DEV RULES v5.0: OS 10 PRINCÍPIOS CANÔNICOS DE ENGENHARIA DE SOFTWARE & GOVERNANÇA
+
+Especificação canônica universal de engenharia de software, elicitação de requisitos, rastreabilidade tríplice, DevSecOps e Grounding Oficial para sistemas multi-agente e desenvolvimento autônomo.
+
+---
+
+## 1. Os 10 Princípios Canônicos de Engenharia (v5.0 Enterprise)
+
+1. **Princípio 1: Verdade Factual & Evidência Empírica (Zero Alucinações):**
+   Baseie cada fato em evidências reais da sessão atual (arquivo lido, saída real de terminal, diff auditado). Nunca forje chamadas de ferramentas, saídas de comandos ou execuções de testes. Declare que um comando rodou apenas com a saída real em mãos; caso contrário, use `Não rodei: <comando>`. É terminantemente proibido adivinhar, supor ou interpolar identificadores externos (chaves de tickets Jira, IDs de ADRs ou metadados de API) sem prévia consulta determinística à fonte da verdade.
+
+2. **Princípio 2: Escopo Mínimo, Modificação Estrita & Proibição de Truncamento:**
+   Altere estritamente o que foi solicitado, seus respectivos testes automatizados e os livros-razão de memória, um incremento atômico por vez. É proibido mutilar, comprimir ou truncar saídas de código (`// resto aqui`, imports omitidos ou fluxos de exceção ignorados). Todo código gerado deve ser 100% completo, compilável e executável. Exclusões de arquivos, force-push ou reescrita de histórico exigem autorização explícita do usuário.
+
+3. **Princípio 3: Rastreabilidade Tríplice, Higiene Git & Governança Contínua:**
+   Toda entrega técnica deve ser estritamente rastreável nos três pilares (Git, Backlog e Documentação). Toda branch de tarefa deve conter a chave do ticket: exclusivamente `<TICKET>` (ex.: `PROJ-123`) ou `<TICKET>-slug-semantico` (ex.: `PROJ-123-auth-jwt` ou `LOCAL-001-setup`), banindo terminantemente prefixos legados como `feature/`, `feat/`, `fix/` ou `chore/`. Todo commit segue compulsoriamente o padrão `[<TICKET>] - <Ação em português>` (ex.: `[PROJ-1] - Setup inicial e governança`), banindo Conventional Commits (`feat:`, `fix:`) ou commits sem ticket. No Jira ou Backlog Local, o summary deve ser limpo e descritivo; links Confluence devem ser registrados na interface web. A conclusão de tarefas exige o fechamento do ciclo pós-merge (atualização de status no Kanban, registro de ADR e sincronização local).
+
+4. **Princípio 4: Qualidade Técnica & Definition of Done com Testes de Integração:**
+   Nenhum card, endpoint ou lógica de negócio é considerado concluído sem evidência empírica de teste automatizado associado no repositório (cobrindo caminho feliz e casos de borda). Quando um check falhar, corrija a causa-raiz: é proibido desabilitar testes, mascarar lints, usar `--no-verify`, `@ts-ignore` ou tipos frouxos (`any`). O ciclo de auto-correção opera com teto de até 3 tentativas antes de solicitar mediação técnica.
+
+5. **Princípio 5: DevSecOps, Ferramentas Nativas & Zero Egress Data Leakage:**
+   A segurança opera no modelo shift-left contínuo: proibição absoluta de credenciais, chaves privadas ou tokens em texto plano no código. Comandos de instalação em pipelines CI/CD devem conter compulsoriamente `--ignore-scripts`, e permissões de workflows devem adotar o menor privilégio (`contents: read`). Adote o princípio *Native Tool First*: consulte e utilize ferramentas MCP e utilitários canônicos (`gh`, `npm`, `git`) em vez de poluir o repositório com scripts descartáveis de infraestrutura. Toda consulta a APIs externas deve passar pelo *Zero Egress Data Leakage Guardrail* (ADR-008), vetando pré-flight o vazamento de segredos corporativos, tokens de API ou trechos de código-fonte antes de qualquer saída de rede.
+
+6. **Princípio 6: Observabilidade, Telemetria OTLP & Auto-Remediação Ativa:**
+   O ecossistema expõe métricas no padrão canônico do Prometheus (`/metrics`) e opera com telemetria contínua W3C TraceContext. Spans devem ser exportados para endpoints OTLP HTTP/JSON reais. Falhas transitórias em APIs de LLM externas devem ser interceptadas via Circuit Breaker determinístico com chaveamento automático para provedores de fallback (OpenAI, Anthropic, Groq, Ollama) e tratamento de rate limits (HTTP 429). Anomalias de heap ou latência disparam auto-cura antes que causem indisponibilidade.
+
+7. **Princípio 7: Onboarding Bimodal, Grounding Tri-Tier & Consultoria Arquitetural Imparcial:**
+   O framework opera como consultor de engenharia de software sênior de ponta a ponta: "Linguagens são ferramentas. Pessoas são ideias." O agente fundamenta suas decisões e scaffolds em especificações e documentações oficiais vivas (W3C WAI-ARIA, OSV.dev, Spring Initializr, Javadoc, DevDocs) através da arquitetura Tri-Tier: Tier 1 (APIs Oficiais com Circuit Breakers e timeouts estritos), Tier 2 (Cache Local Hot SQLite WAL com latência < 1ms) e Tier 3 (Catálogo Determinístico Embutido de Contingência Offline), mantendo autonomia total em ambientes sem internet ou air-gapped. Diagnostica requisitos com análise formal ATAM, avalia trade-offs técnicos (Monólito Modular, Clean Architecture, Hexagonal, Event-Driven, Microsserviços ou Web Leve) e recomenda a melhor opção para a necessidade real, alertando friamente contra overengineering e runtimes obsoletos. Respeita qualquer preferência do usuário e viabiliza a execução daquela stack com máxima excelência. Em modo Greenfield gera o Walking Skeleton compilável; em modo Brownfield realiza engenharia reversa sem assumir nada em branco. Caso credenciais da Tríade não estejam disponíveis, opera em modo local desacoplado (`MODO_LOCAL_OFFLINE`) sem travas.
+
+8. **Princípio 8: Engenharia de Requisitos, Bounded Context & Critérios de Aceite Invariantes (BDD-First):**
+   Nenhuma linha de código de produção é gerada antes da formalização dos requisitos. Todo requisito deve ser explicitamente decomposto em: (1) Bounded Context (fronteira estrita do que está dentro e o que terminantemente NÃO pertence ao escopo); (2) Invariantes de Domínio (regras e restrições que o sistema jamais pode permitir que entrem em estado inválido); (3) Critérios de Aceitação Formais em formato BDD (*Given / When / Then*), cobrindo o caminho feliz, fluxos alternativos e falhas de negócio controladas. É terminantemente proibido assumir requisitos ambíguos sem formalizar seus contratos ou consultar a especificação.
+
+9. **Princípio 9: Tomada de Decisão Técnica Justificada, Anti-Complexidade Acidental & ADR Compulsória (Trade-off First):**
+   "A melhor linha de código é a que não precisa ser escrita." Toda decisão estrutural (adoção de dependência externa, novo banco de dados, mensageria, broker assíncrono ou escolha de framework) deve justificar seu custo operacional, de latência e de manutenção frente ao valor entregue. Proibição estrita de arquitetura orientada a hype. Se a biblioteca padrão ou uma solução simples (ex.: SQLite WAL nativo, processo local, monólito modular) resolve o problema com robustez, a introdução de camadas adicionais é vetada. Decisões arquiteturais estruturais devem ser registradas em ADR (*Architecture Decision Record*) com trade-offs explícitos (prós, contras e custos).
+
+10. **Princípio 10: Aprimoramento Contínuo do Modus Operandi (Double-Loop Kaizen & Root Cause Analysis):**
+    Corrigir o bug cura o sintoma; corrigir o processo extirpa a causa-raiz. Toda falha identificada pelo usuário, pelo QA ou pelas esteiras de verificação deve passar por análise de causa-raiz (*5 Porquês*). O agente é proibido de apenas aplicar um patch pontual no código: deve obrigatoriamente diagnosticar a lacuna metodológica ou de teste que permitiu que o erro existisse e atualizar os gates de verificação, testes adversários, linters ou checklists para que aquela classe inteira de falha seja **estruturalmente impossível de se repetir**.
+
+---
+
+## 2. Protocolo Operacional & Ciclo de Execução
+
+### Fluxo do Tríplice Registro & Governança Dual-Agent
+1. **Git / GitHub:** Desenvolver na branch `<TICKET>` ou `<TICKET>-slug` -> Executar testes locais -> Commit `[<TICKET>] - <Ação em português>` -> Abrir Pull Request formal via `gh pr create` -> CI verde (`.github/workflows/ci.yml`) -> Conselho Dual-Agent valida Blast Radius e emite aprovação formal via `gh pr review --approve` -> Auto-merge seguro agendado na fila da branch main.
+2. **Issue Tracker (Jira / Backlog Local):** Mover card para 'Em andamento' antes de iniciar código; ao finalizar, mover para 'Concluído' com resumo factual do que foi implementado.
+3. **Wiki / Confluence:** Registrar novas decisões de arquitetura em ADRs no repositório local (`docs/adr/`) e sincronizar assincronamente com Confluence.
+
+### Protocolo Offline-First (`MODO_LOCAL_OFFLINE`)
+- Se `ATLASSIAN_API_TOKEN`, `ATLASSIAN_EMAIL` ou `ATLASSIAN_DOMAIN` estiverem ausentes, o sistema entra em `MODO_LOCAL_OFFLINE`.
+- O trabalho de código, testes, refatoração e documentação local continua 100% desbloqueado via `docs/LOCAL_BACKLOG.md`.
+- Metadados de rastreabilidade são acumulados localmente no `CHANGELOG.md` para posterior sincronização.
+
+### Gestão da Memória Local & Backlog
+- **`CHANGELOG.md`:** Livro-razão append-only imutável. Formato: `YYYY-MM-DD [TYPE] @where what | why: reason`. Tipos: `[DONE]`, `[FAIL]`, `[DECISION]`, `[RULE]`, `[REFACTOR]`.
+- **`STATE.md`:** Estado ativo da sessão em menos de 30 linhas (Meta, Feito, Próximo, Bloqueios, Regras e Ideias).
+- **`IDEAS.md`:** Backlog rotativo com no máximo 10 ideias de alto impacto: `- I-<n> [SPEED|CODE|RISK|USER] <título> | evidence: <arquivo:linha> | value: <ganho> | cost: <S, M, L>`.

package/docs/IDEAS.md

@@ -0,0 +1,17 @@
+# IDEAS (Backlog Vivo de Oportunidades & Inovação de Domínio)
+
+Este documento registra o backlog rotativo de melhorias e hipóteses técnicas em aberto, auditadas pelo **AGENT_QA (Shift-Left Gatekeeper)** e estritamente aderentes à **Regra 14 (Filtro de Sanidade Contextual)** e às especificações de `docs/ENGINEERING_RULES.md`.
+
+---
+
+## 🎯 Backlog Aberto de Domínio (Até 10 Itens Ordenados por Valor)
+
+- I-1 [SPEED] Modularizar scripts/mcp_server.js e introduzir processamento assíncrono concorrente (status: concluído na v3.10.0 com scripts/mcp/) | evidence: scripts/mcp_server.js modularizado em scripts/mcp/ com processMessageAsync não-bloqueante concorrente | value: redução de latência e alta manutenibilidade | cost: M
+- I-2 [RISK] Integrar auditoria OSV/npm audit real no sca_dependency_auditor.js | evidence: auditor estático de dependências | value: detecção contínua de CVEs de produção | cost: S
+- I-3 [CODE] Testes de Contrato OpenAPI e Schemas JSON para validação contínua de endpoints | evidence: validação de esquemas REST | value: garantia inviolável de retrocompatibilidade de ferramentas e APIs | cost: M
+
+---
+
+## 📜 Histórico de Infraestrutura Concluída (Entregas do Agent Master)
+
+> **Nota de Governança (Regra 14):** As 15 hipóteses de infraestrutura do agente (I-1 a I-15: Servidor MCP, CLI, Revisor de PRs, Tracers, Circuit Breaker, etc.) foram concluídas, homologadas e arquivadas no livro-razão imutável [docs/CHANGELOG.md](./CHANGELOG.md). O `IDEAS.md` permanece dedicado exclusivamente ao backlog vivo do produto do usuário.

package/docs/LOCAL_BACKLOG.md

@@ -0,0 +1,20 @@
+# Backlog Ágil Local (Git-Native & Offline-First)
+
+Este arquivo é o livro-razão canônico de governança ágil para projetos que operam sem conexão com o Jira/Atlassian Cloud.
+Segue os 3 Kanbans canônicos: **A fazer**, **Em andamento** e **Concluído**, respeitando o limite de WIP <= 2.
+
+---
+
+## A fazer (TODO)
+- [ ] [LOCAL-007] Preparar pipeline de homologação em nuvem pública (Vercel, AWS ou Fly.io)
+
+## Em andamento (DOING)
+(Nenhuma tarefa no momento — WIP limpo)
+
+## Concluído (DONE)
+- [x] [LOCAL-001] Implementar consolidação das regras de engenharia em 10 princípios canônicos (v4.1 Enterprise)
+- [x] [LOCAL-002] Otimizar exportação de prompts para ferramentas externas (Claude, Windsurf, Cursor) via context_compressor
+- [x] [LOCAL-003] Governança Dual-Agent e modo Offline-First no pipeline de desenvolvimento
+- [x] [LOCAL-004] Reorganização modular da pasta scripts (arquitetura limpa: auditors, core, integrations, bin, mcp)
+- [x] [LOCAL-005] Persistência real em SQLite nativo no MultiAgentOrchestrator
+- [x] [LOCAL-006] Suíte adversária de fuzzing extremo e resiliência a ReDoS

package/docs/STATE.md

@@ -0,0 +1,111 @@
+# STATE (Quadro de Execução Ativo)
+
+**Goal:** Centralizar, evoluir e disponibilizar universalmente a suíte canônica de 7 agentes autônomos de Engenharia de Software, Arquitetura, UX/UI & Design Systems, DevSecOps, Infraestrutura Real, Confiabilidade (SRE), Gestão Ágil e Governança de Software.
+
+**Done:**
+- Provisionamento do repositório dedicado privado `agent-master-devsecops` no GitHub.
+- Estruturação modular das pastas `/agents` e `/docs`.
+- Catalogação dos 7 agentes altamente especializados:
+  1. `AGENT_ORCHESTRATOR` (Staff Software Engineer Lead, Solution Architect & TPO)
+  2. `AGENT_UIUX` (Product Designer, UX Architect & Design System Lead)
+  3. `AGENT_DEVSECOPS` (Staff Developer, Clean Code & Security Shift-Left)
+  4. `AGENT_QA` (Senior SDET, Adversarial Testing & Independent Veto Authority)
+  5. `AGENT_INFRA` (Lead Infrastructure, Real Networking, Docker & CI/CD)
+  6. `AGENT_SCRUM` (Agile Coach, Product Owner, Flow Metrics & PDCA/Ishikawa)
+  7. `AGENT_SRE` (Lead Site Reliability Engineer, Observability CNCF & Self-Healing)
+- Especificação formal da topologia multi-agente, handovers e teto de retries em `docs/ARCHITECTURE.md`.
+- Consolidação dos 10 Princípios Canônicos de Engenharia de Software & Governança em `docs/ENGINEERING_RULES.md` (v4.1 Enterprise):
+  - Princípio 8: Engenharia de Requisitos, Bounded Context & Critérios de Aceite Invariantes (BDD-First / Given-When-Then).
+  - Princípio 9: Tomada de Decisão Técnica Justificada, Anti-Complexidade Acidental & ADR Compulsória (Trade-off First / Anti-Hype).
+  - Princípio 10: Aprimoramento Contínuo do Modus Operandi (Double-Loop Kaizen & Análise de Causa-Raiz).
+- Saneamento de Heurísticas Ingênuas e Honestidade Técnica de Módulos:
+  - `ast_skeletonizer.js`: sanitização estrita de strings e comentários antes de balanceamento de chaves (imune a quebras por caracteres `{}` em templates literais).
+  - `domain_idea_miner.js`: erradicação de buscas por substrings em português; adoção de regex de identificadores de domínio agnósticos e internacionalizados.
+  - `sre_remediation_engine.js`: redefinição honesta como Telemetria de Processo Node.js e Controlador de Ciclo de Vida de Memória (formato Prometheus / heap management), eliminando a fantasia de SRE 24/7.
+  - Alinhamento integral dos agentes (`AGENT_ORCHESTRATOR`, `AGENT_QA`, `AGENT_DEVSECOPS`) e servidor MCP (`rules_handlers.js`) para suportar os 10 Princípios Canônicos.
+- Formalização do prompt canônico de ativação universal no `README.md` consolidado.
+- Configuração de esteira CI/CD no GitHub Actions com auditorias reais de SAST, Qualidade de Código e Higiene Git.
+- Implementação de exportador OTLP HTTP/JSON real em `scripts/otel_tracer.js` com teste automatizado de rede local.
+- Circuit breaker multi-provedor (OpenAI, Anthropic, Groq, Ollama) com failover real e tratamento de HTTP 429 em `scripts/circuit_breaker.js`.
+- Modularização assíncrona concorrente em `scripts/mcp/` e migração definitiva para subpastas funcionais (`auditors/`, `core/`, `integrations/`, `bin/`) com `scripts/mcp_server.js` na raiz como lançador limpo (Ideia I-1 [SPEED]).
+- Desacoplamento gracioso offline-first no Gate 16 da Tríade (`scripts/bin/smart_onboarding.js`).
+- Enxugamento dos prompts dos 7 agentes em `agents/` para especificações enxutas (< 120 linhas), eliminando 75% da redundância didática.
+- Expurgo definitivo da pasta `agents/compact/` e desacoplamento de `scripts/core/universal_packager.js` para geração dinâmica sob demanda via `context_compressor.js`.
+- Consolidação do servidor MCP com 5 Meta-Ferramentas Canônicas (`agent_governance`, `agent_audit`, `agent_review`, `agent_pipeline`, `agent_telemetry`) e perfis `consolidated`/`lean` (economia de ~77% de overhead de tokens de schema para LLMs).
+- Homologação de 149 testes unitários gerais + 11 testes adversários de fuzzing extremo (160 testes gerais 100% verdes).
+- Consultoria Arquitetural Agnóstica & Engenharia de Valor Real (Princípio 7):
+  - Novo motor `scripts/core/architecture_advisor.js` e tool MCP `agent_recommend_architecture`: diagnóstico de requisitos e recomendação imparcial de arquitetura com análise de trade-offs (Monólito Modular, Clean Architecture, Hexagonal, Event-Driven, Microsserviços e Web Leve) e alerta anti-overengineering.
+  - Schemas MCP 100% abertos sem enums restritivos para `stack`, `profile` ou `persona`.
+  - Suporte nativo a ecossistemas múltiplos: Go (Golang 1.22+), Rust (2021), Node/TypeScript (Clean DDD & SQLite WAL), Python (FastAPI), Java (Spring Boot 3), Web Vanilla Zero-Dependency e Sintetizador Universal Poliglota para qualquer stack arbitrária (C#, Elixir, Kotlin, etc.).
+  - Ciclo de Engenharia Ponta a Ponta: do levantamento de requisitos ao sistema online funcionando, seguro e gerando valor real sem prejuízos.
+
+- Industrialização do Framework & Inversão de Papéis (Código Determinístico vs LLM Especialista):
+  - Inversão de Papéis Consolidada: código determinístico compila contratos arquiteturais agnósticos formais (`FeatureArchitectureContract`), orquestra LLMs especialistas poliglotas dinâmicas e fiscaliza a conformidade via toolchains nativas instaladas no host (`node --test`, `go vet`, `cargo check`, `python -m compileall`) com runner seguro imune a command injection e sem warnings (`DEP0190`).
+  - Arranco dos Templates Procedurais: expurgo de mais de 1.000 linhas de strings repetitivas e erradicação de implementações fictícias (como repositórios em memória toscos com `sync.RWMutex` em Go), substituídas por interfaces puras, `context.Context` e contratos arquiteturais formais.
+  - SAST Industrial: integração de primeira classe com Semgrep CLI (`semgrep scan --config auto --json`) com fallback embutido auditável.
+  - SCA Industrial: integração nativa com `npm audit --json` e Trivy CLI (`trivy fs --format json`) com mapeamento de CVEs reais e fallback estático de conformidade de licenças.
+  - Observabilidade OpenTelemetry: conformidade canônica com W3C TraceContext (`traceparent`), exportação OTLP HTTP JSON v1 (`/v1/traces`) e hooks de interoperabilidade com a SDK oficial `@opentelemetry/api`.
+  - Homologação Completa: 149 testes unitários + 11 testes adversários de fuzzing extremo (160 testes gerais 100% verdes em 1.7s).
+
+- Dynamic Knowledge Gateway & Authoritative API Augmentation (v5.0.0 Enterprise / ADR-008):
+  - Tri-Tier Grounding Architecture:
+    - Tier 1: Authoritative Live APIs (`api.osv.dev`, `start.spring.io`, `w3c.org`, `endoflife.date`) protegidas por Circuit Breakers individuais e timeouts de 2.500ms.
+    - Tier 2: Local Hot Cache persistente em SQLite nativo WAL (`knowledge_cache.db`), respondendo consultas em sub-milissegundos (< 1ms).
+    - Tier 3: Catálogo Determinístico Embutido de Contingência Offline, garantindo autonomia operacional 100% offline em ambientes restritos (air-gapped).
+  - Zero Egress Data Leakage Guardrail: inspeção estrita pré-flight que bloqueia e veta qualquer saída não intencional de API keys (OpenAI, GitHub, AWS), tokens Bearer, chaves privadas, senhas, e-mails corporativos e blocos multilinhas de código-fonte antes de qualquer requisição externa.
+  - Auditoria SCA Enriquecida: método `auditWithOsvApi` em `sca_dependency_auditor.js` conectando a base oficial de CVEs do OSV.dev com fallback gracioso.
+  - Acessibilidade Grounded: enriquecimento de `a11y_auditor.js` com links e especificações oficiais W3C WAI-ARIA.
+  - Arquitetura & Scaffolding Java 21 LTS: blueprint dinâmico em `fast_feature_scaffold.js` e `architecture_advisor.js` com suporte a Virtual Threads (Project Loom), Java Records e Spring Boot 3.3+.
+  - Nova Tool MCP: `agent_ground_knowledge` e sub-ação `ground_knowledge` na meta-ferramenta `agent_governance`.
+  - Homologação Completa: 160 testes unitários + 78 testes de motores isolados 100% verdes com zero dependências npm externas.
+
+- Superação Prática das Fragilidades do Core & Industrialização DevSecOps (v5.1.0):
+  - Parser DOM/AST Funcional e Defensivo no `a11y_auditor.js`: refatoração completa com predicados puros, nós imutáveis, tokenizador linear O(N) imune a ReDoS (CWE-1333) e resistente a arrow functions/URLs com barras, sanitização prévia de comentários HTML/JSX (zero falsos positivos) e exportação nativa em OASIS SARIF v2.1.0 (`auditToSarif`).
+  - Motor Funcional de Qualidade de Código & McCabe no `code_quality_auditor.js`: refatoração com scanner léxico linear O(N), cálculo de complexidade ciclomática v(G) exato sem duplicação de `else if`, imunidade a palavras-chave dentro de strings/templates literais com `${...}`, detecção de `EMPTY_CATCH` multilinha com comentários internos (Regra 5), `EMPTY_FINALLY`, `DEBUGGER_STATEMENT` e exportação oficial em OASIS SARIF v2.1.0 (`auditToSarif`).
+  - Validador de Contratos OpenAPI & Drift de API no `contract_test_validator.js`: refatoração com a classe `ContractTestValidator`, normalização defensiva de rotas (`normalizeRoutePath`), detecção de Shadow APIs (OWASP API9) e Unimplemented Endpoints em O(N+M) via indexação Map, checagem de parâmetros de rota ausentes e operações desprotegidas (OWASP API2), e exportação nativa em OASIS SARIF v2.1.0 (`auditToSarif`).
+  - Harness de Avaliação e Benchmark Empírico de LLMs no `eval_harness.js`: refatoração com a classe `LlmEvalHarness`, catálogo imutável `EVAL_CRITERIA` alinhado aos 10 Princípios Canônicos, programação defensiva contra entradas nulas ou vazias, exportação oficial em OASIS SARIF v2.1.0 (`auditToSarif`) e suporte a `format: 'sarif'` no MCP `qa_handlers`.
+  - Reality Check de Toolchains do Host no `architecture_advisor.js`: diagnóstico físico automático de compiladores disponíveis no PATH (`node`, `go`, `rustc`, `javac`, `python`, `docker`), alertando com transparência caso a stack solicitada não possua ambiente instalado localmente.
+  - Padrão Industrial SARIF v2.1.0 (`scripts/core/sarif_engine.js`): motor de geração, parsing, validação de schema e merge de relatórios OASIS SARIF v2.1.0 interoperável com Semgrep, CodeQL, Trivy, GitHub Code Scanning e VS Code SARIF Viewer. Exportação nativa em `sast_scanner.js` (`scanToSarif`), `sca_dependency_auditor.js` (`auditToSarif`), `a11y_auditor.js` (`auditToSarif`), `code_quality_auditor.js` (`auditToSarif`), `contract_test_validator.js` (`auditToSarif`), `eval_harness.js` (`auditToSarif`) e ferramentas MCP (`format: "sarif"`).
+  - Autonomous Auto-Remediation Engine em Ciclo OODA (`scripts/core/autonomous_remediation_engine.js`): agente de autocura adaptativa que analisa issues SARIF, sintetiza patches cirúrgicos no disco (mitigação de CWE-78 via `execFile` e CWE-89 via Prepared Statements), executa os testes automatizados do host e realiza Rollback Atômico automático se os testes quebrarem.
+  - Linter de Higiene Git & Governança da Regra 11 no `git_hygiene_linter.js`: refatoração funcional com a classe canônica `GitHygieneLinter`, isolamento de subprocessos Git com timeout rigoroso de 3.000ms, suporte unificado a tags estruturais e canônicas, validação de descrições substantivas (>= 3 chars), exportação oficial em OASIS SARIF v2.1.0 (`auditToSarif`) e despacho via MCP `qa_handlers` com suporte a `format: 'sarif'`.
+  - Revisor Autônomo de Pull Requests & Governança Dual-Agent no `pr_reviewer.js`: refatoração funcional com a classe canônica `PrReviewer`, proteção de subprocessos Git/gh com timeout de 10.000ms e maxBuffer de 15MB, relatório canônico alinhado à conformidade dos 10 Princípios do AGENT QA, cálculo resiliente de Blast Radius, FinOps Diff Pruning, exportação oficial em OASIS SARIF v2.1.0 (`auditToSarif`) e despacho via MCP `qa_handlers` com suporte a `format: 'sarif'`.
+  - Motor Canônico SAST & Detecção de Segredos no `sast_scanner.js`: refatoração funcional e defensiva com regras imutáveis em profundidade (`Object.freeze`), suporte a modo híbrido (Semgrep CLI + motor heurístico embutido), detecção estrita de OWASP Top 10 e CWEs (CWE-78, CWE-89, CWE-1333, CWE-79, CWE-95, CWE-22, CWE-798 secrets/email/tenant), tolerância a entradas nulas/hostis, gerador de relatório executivo `formatReport`, exportação oficial em OASIS SARIF v2.1.0 (`scanCodeToSarif`, `scanToSarif`) e suporte a `targetPath` no MCP `qa_handlers`.
+  - Auditor de Composição de Software (SCA) & Conformidade de Licenças no `sca_dependency_auditor.js`: refatoração com a classe canônica `ScaDependencyAuditor`, regras e licenças copyleft imutáveis em profundidade (`Object.freeze`), modo híbrido multi-tier (npm audit, Trivy CLI, OSV.dev Live API e catálogo determinístico de contingência), detecção de wildcards, gerador de relatório executivo `formatReport`, exportação oficial em OASIS SARIF v2.1.0 (`auditToSarif`) e despacho via MCP `qa_handlers`.
+  - Onboarding Universal & CLI Bootstrap no `scripts/bin/bootstrap_cli.js`: consolidação da classe canônica `BootstrapCli`, catálogo de arquivos canônicos imutável (`Object.freeze`), proteção de subprocessos `commandExists` contra hang com timeout de 3.000ms e `windowsHide: true`, isolamento de IDEs sem ativação espúria de `.vscode` (AGDEV-41), modo submódulo limpo sem duplicação de pastas (Regra 16), gerador de relatório executivo `formatReport` em Markdown, renderização canônica v5.1 e tratamento defensivo total.
+  - Scanner de Oportunidades & Ideação de Domínio no `scripts/bin/domain_idea_miner.js`: consolidação da classe canônica `DomainIdeaMiner`, catálogo declarativo imutável `IDEA_RULES` (`Object.freeze`), computação de contexto sintático por arquivo em O(1), erradicação de buscas lineares repetitivas, programação defensiva estrita contra entradas nulas ou inválidas, gerador de relatório executivo `formatReport` em Markdown, exportação oficial no padrão OASIS SARIF v2.1.0 (`mineToSarif`) e integração de `format: 'sarif'` no MCP `core_handlers`.
+  - Onboarding Bimodal & Gate da Tríade no `scripts/bin/smart_onboarding.js`: consolidação da classe canônica `SmartOnboarding`, unificação e erradicação de duplicação entre `verifyTriadGateSync` e `verifyTriadGate` (DRY), catálogo declarativo de assinaturas de stack e manifestos imutáveis (`Object.freeze`), tratamento defensivo com fallback para GREENFIELD, gerador de relatório executivo `formatReport` em Markdown, exportação oficial no padrão OASIS SARIF v2.1.0 (`auditTriadToSarif`) e despacho via MCP `core_handlers`.
+  - Web Dashboard & Inspector Local no `scripts/bin/web_inspector.js`: consolidação da classe canônica `WebInspector`, cabeçalhos de segurança HTTP defensivos (`nosniff`, `DENY`), unificação DRY de respostas e erros HTTP (`sendJson` e `sendError`), sanitização de payloads de entrada, gerador de relatório executivo `formatReport` em Markdown, exportação oficial no padrão OASIS SARIF v2.1.0 (`auditTelemetryToSarif`) e suporte a `format: 'sarif'` no MCP `core_handlers`.
+  - Cliente Unificado da Tríade & Governança no `scripts/integrations/atlassian_client.js`: consolidação da classe canônica `AtlassianClient`, métodos fluentes (`get`, `post`, `put`, `delete`, `request`), eliminação de código morto (`execSync`), sanitização robusta de domínio com split defensivo contra URLs com caminhos, timeout configurável de 30s contra hangs de rede, suporte a tokens Bearer/PAT, relatório executivo `formatReport` em Markdown com proteção estrita de segredos (Regra 15), exportação oficial no padrão OASIS SARIF v2.1.0 (`auditToSarif`) e suporte a `format: 'sarif'` no MCP `atlassian_handlers` (`agent_check_credentials`).
+  - Sincronizador de Remote Links Git-Jira no `scripts/integrations/atlassian_sync_action.js`: consolidação da classe canônica `AtlassianSyncAction`, integração DRY com `AtlassianClient`/`requestAtlassian` com timeout e anti-hang, extração case-insensitive de chaves Jira suportando branches minúsculas, desacoplamento puro de `syncCurrentContext`, gerador de relatório executivo `formatReport` em Markdown, exportação oficial no padrão OASIS SARIF v2.1.0 (`auditSyncToSarif`) e suporte a `format: 'sarif'` no MCP `atlassian_handlers` (`agent_sync_atlassian`).
+  - Sincronizador & Parser Confluence Storage Format no `scripts/integrations/confluence_sync.js`: consolidação da classe canônica `ConfluenceSync`, expansão do parser nativo Markdown para XHTML com suporte a tabelas Markdown completas (`<th>`/`<td>`), listas ordenadas (`<ol>`), blockquotes enriquecidos e isolamento imune de sequências CDATA (`]]]]><![CDATA[>`); unificação DRY de criação/atualização de páginas e links remotos Jira; gerador de relatório executivo `formatReport` em Markdown; auditoria oficial no padrão OASIS SARIF v2.1.0 (`auditSyncToSarif`); e 100% de retrocompatibilidade com CI/CD e Tríplice Registro.
+  - Guardião de Credenciais & Imutabilidade da Regra 15 no `scripts/integrations/credentials_guard.js`: consolidação da classe canônica `CredentialsGuard`, mascaramento seguro de tokens com `maskSecret`, helpers funcionais puros de merge e isolamento de `.env` e `.gitignore`, gerador de relatório executivo `formatReport` em Markdown, auditoria oficial no padrão OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-SEC-015`, `RULE-SEC-016`, `RULE-SEC-017`), suporte a `format: 'sarif'` no MCP `rules_handlers` (`agent_validate_rule15`) e 100% de retrocompatibilidade com o ecossistema.
+  - Gestor de Kanban, Sprints & Pipeline Full Dev no `scripts/integrations/jira_manager.js`: consolidação da classe canônica `JiraManager`, normalização declarativa dos 3 Kanbans canônicos (`A fazer`, `Em andamento`, `Concluído`), sanitização de summaries, monitoramento de WIP limits e alertas de saturação, filtro de sanidade de backlog anti-overengineering (Regra 14), suporte a backlog local offline-first em `docs/LOCAL_BACKLOG.md`, relatório executivo `formatReport` em Markdown, auditoria oficial no padrão OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-KANBAN-001`, `RULE-KANBAN-002`, `RULE-KANBAN-003`) e suporte a `format: 'sarif'` no MCP `atlassian_handlers` (`agent_full_dev_pipeline`).
+  - Despachante MCP Atlassian & Governança no `scripts/mcp/handlers/atlassian_handlers.js`: consolidação da classe canônica `AtlassianHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), isolamento defensivo com try/catch por handler, suporte universal a formatos JSON, SARIF v2.1.0 e Markdown executivo para as 5 ferramentas Atlassian (`agent_sync_atlassian`, `agent_check_credentials`, `agent_configure_credentials`, `agent_standardize_kanban`, `agent_full_dev_pipeline`) e meta-ferramentas MCP.
+  - Despachante MCP Core & Roteamento da Tríade no `scripts/mcp/handlers/core_handlers.js`: consolidação da classe canônica `CoreHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), isolamento defensivo com try/catch em todos os 9 handlers com códigos JSON-RPC padronizados (-32602 e -32603), parser funcional `extractNextIdea` para `docs/IDEAS.md`, suporte a SARIF v2.1.0 (`RULE-DEV-001`) em `handleFullDevStatus`, e 100% de retrocompatibilidade com `tool_handlers.js` e as meta-ferramentas MCP.
+  - Despachante MCP QA & Auditoria DevSecOps no `scripts/mcp/handlers/qa_handlers.js`: consolidação da classe canônica `QaHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), isolamento defensivo com try/catch em todos os 10 handlers com códigos JSON-RPC padronizados (-32602 e -32603), elevação de `handleAuditCode` ao padrão oficial OASIS SARIF v2.1.0 com `createSarifReport` (`RULE-SEC-094`, `RULE-SEC-798`, `RULE-SEC-116`), suporte flexível a `codeDiff`, `code`, `codeContent` e `filePath`, e 100% de retrocompatibilidade com `tool_handlers.js` e as meta-ferramentas `agent_audit` e `agent_review`.
+  - Despachante MCP Regras & Governança no `scripts/mcp/handlers/rules_handlers.js`: consolidação da classe canônica `RulesHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), catálogo `LEGACY_RULES_MAP` imutável em profundidade (`Object.freeze`), cache em memória reativo para `docs/ENGINEERING_RULES.md`, suporte nativo a OASIS SARIF v2.1.0 em `handleGetRule` e `handleValidateIdea` com `createSarifReport` (`RULE-IDEA-001` e `RULE-IDEA-002`), isolamento defensivo com try/catch em todos os handlers (`agent_get_rule`, `agent_validate_idea`, `agent_validate_rule15`) e 100% de retrocompatibilidade com `tool_handlers.js` e a meta-ferramenta `agent_governance`.
+  - Despachante MCP Scaffolding & Geração de Código no `scripts/mcp/handlers/scaffold_handlers.js`: consolidação da classe canônica `ScaffoldHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), isolamento defensivo com try/catch em todos os 7 handlers com códigos JSON-RPC padronizados (-32602 e -32603), elevação de `handleExtractCodeSkeleton`, `handleScaffoldFeature` e `handleBootstrapEnvironment` ao padrão oficial OASIS SARIF v2.1.0 com `createSarifReport`, e 100% de retrocompatibilidade com `tool_handlers.js` e a meta-ferramenta `agent_pipeline`.
+  - Despachante MCP SRE & Resiliência no `scripts/mcp/handlers/sre_handlers.js`: consolidação da classe canônica `SreHandlers`, helpers puros `buildSuccessResponse` e `buildErrorResponse` (DRY total), isolamento defensivo com try/catch em todos os 5 handlers com códigos JSON-RPC padronizados (-32602 e -32603), elevação de `handleOtelTrace`, `handlePerfBenchmark`, `handleCircuitBreaker`, `handleSreTelemetry` e `handleSreRemediate` ao padrão oficial OASIS SARIF v2.1.0 com `createSarifReport` (`RULE-PERF-001`, `RULE-PERF-002`, `RULE-CIRCUIT-OPEN`, `RULE-SRE-001`), suporte nativo a formato Prometheus puro, traceparent W3C, flamegraphs ASCII e 100% de retrocompatibilidade com `tool_handlers.js` e a meta-ferramenta `agent_telemetry`.
+  - Catálogo de Recursos MCP & Documentação Viva no `scripts/mcp/resources_registry.js`: consolidação da classe canônica `ResourcesRegistry`, catálogo imutável em profundidade `RESOURCE_DEFINITIONS` (`Object.freeze`), helpers funcionais puros de envelope JSON-RPC 2.0 (DRY total), proteção estrita contra Path Traversal (CWE-22), paridade síncrona/assíncrona, registro dinâmico de recursos em runtime, auditoria oficial em OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-RES-001` e `RULE-RES-002`), relatório executivo `formatReport` em Markdown e 100% de retrocompatibilidade com `scripts/mcp/server.js` e todos os handlers.
+  - Servidor MCP Nativo & Dispatcher Assíncrono no `scripts/mcp/server.js`: consolidação da classe canônica `McpServer`, unificação DRY do despachante JSON-RPC 2.0 (`dispatch`), injeção de streams de E/S customizadas em `start` com controle de ciclo de vida (`stop`), suporte a ping e notificações, mapeamento estrito de erros JSON-RPC (-32600, -32601, -32700), auditoria oficial em OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-MCP-001` e `RULE-MCP-002`), relatório executivo `formatReport` em Markdown e 100% de retrocompatibilidade com `scripts/mcp_server.js`.
+  - Despachante Mestre O(1) de Ferramentas no `scripts/mcp/tool_handlers.js`: consolidação da classe canônica `ToolHandlers`, fábrica funcional pura `createMetaToolHandler` (DRY total nas 5 meta-ferramentas), normalização determinística de payload `extractPayload`, blindagem defensiva try/catch contra falhas síncronas/assíncronas com mapeamento de erros JSON-RPC (-32601, -32602, -32603), registro dinâmico de ferramentas em runtime, auditoria oficial em OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-TOOL-001`), relatório executivo `formatReport` em Markdown e 100% de retrocompatibilidade.
+  - Catálogo Canônico de Ferramentas MCP & Perfis no `scripts/mcp/tools_registry.js`: consolidação da classe canônica `ToolsRegistry`, congelamento estrito em profundidade (`Object.freeze`) de todas as 44 ferramentas e perfis canônicos, blindagem contra Prototype Pollution (`hasOwnProperty.call`), indexação Map e lookup O(1) (`getTool`, `hasTool`), registro dinâmico em runtime (`registerTool` e `registerProfile`), auditoria oficial em OASIS SARIF v2.1.0 (`auditToSarif` / `RULE-TOOL-001`, `RULE-TOOL-002`, `RULE-REG-001`), relatório executivo `formatReport` em Markdown e 100% de retrocompatibilidade com `getActiveTools`, `setMcpProfile`, `getActiveProfile`, `TOOLS`, `META_TOOLS` e `ALL_TOOLS`.
+  - Ponto de Entrada Canônico & CLI Enterprise no `scripts/mcp_server.js`: consolidação da fachada pública e binário principal do servidor MCP com analisador puro `parseArgs`, suporte a flags (`--profile`, `--sarif`, `--report`, `--list-tools`, `--list-profiles`, `--version`, `--help`), executor com injeção de I/O `runCli`, graceful shutdown (`SIGINT`/`SIGTERM`), reexportação integral de toda a API pública de `scripts/mcp/server.js` e 100% de retrocompatibilidade com `package.json` (`main`, `bin`, `scripts`).
+  - Suíte dos Motores do Core em `scripts/core/`: modernização e alinhamento aos 10 Princípios Canônicos da v5.1 e SARIF v2.1.0 em todos os 15 módulos do núcleo (suporte a Go e Rust em `ast_skeletonizer.js`, encapsulamento e in-memory export em `context_compressor.js`, atualização dos 10 Princípios em `magic_prompt_generator.js`, e métodos oficiais `auditToSarif` e `formatReport` em `hot_state_cache.js`, `perf_benchmark.js`, `circuit_breaker.js`, `otel_tracer.js`, `universal_packager.js`, `sre_remediation_engine.js` e `multi_agent_orchestrator.js`).
+  - Reestruturação Física da Pasta de Testes em Topologia de Espelhamento Simétrico (`test/`): erradicação do anti-pattern God Directory através da migração dos 37 arquivos de teste para 5 subpastas modulares espelhando `scripts/` (`test/auditors/`, `test/bin/`, `test/core/`, `test/integrations/`, `test/mcp/`), simplificação do `package.json` para descoberta recursiva nativa (`node --test`), scripts granulares (`test:auditors`, `test:bin`, `test:core`, `test:integrations`, `test:mcp`) e 100% dos 459 testes automatizados homologados verdes.
+  - Suíte Canônica DevSecOps: 459 testes unitários de ponta a ponta 100% verdes (`npm test`) com zero dependências externas.
+
+**Now:**
+- Estabilidade e robustez dos motores canônicos de governança, auditoria SARIF e autocura autônoma do agent-master-devsecops.
+- Arquitetura de testes perfeitamente simétrica em 5 domínios (`auditors`, `bin`, `core`, `integrations`, `mcp`).
+- Suíte completa de 459 testes canônicos verdes em ~3.2s via `npm test` e runners granulares.
+
+**Next:**
+- Subir a versão oficial v5.1.0 para o repositório upstream (origin/main).
+- Expandir novos templates AST de autocura para CWE-79 (XSS contextual) e CWE-22 (Path Traversal).
+
+**Blockers:** nenhum
+**Failed:** nenhum
+**Rules:** vide `docs/ENGINEERING_RULES.md` (10 Princípios Canônicos)
+**Ideas:** vide `docs/IDEAS.md`
+

package/docs/playbooks/PLAYBOOK_CIRCUIT_BREAKER_LLM.md

@@ -0,0 +1,58 @@
+# ⚡ PLAYBOOK DE SRE: CIRCUIT BREAKER INTELIGENTE MULTI-PROVEDOR PARA LLMS
+
+---
+playbook: sre-circuit-breaker-llm
+versao: 1.0.0
+proprietario: Agente SRE & Observabilidade (AGENT_SRE.md)
+referencia: AGDEV-9 (I-10) / Padrão de Engenharia de Resiliência Michael Nygard
+---
+
+## 🎯 1. OBJETIVO & ESCOPO
+Este playbook estabelece a estratégia de continuidade de negócio e tolerância a falhas para agentes de inteligência artificial diante de instabilidades de provedores de LLM externos (erros HTTP 429 - Rate Limit, 503 - Service Unavailable, 504 - Gateway Timeout ou latência excessiva).
+
+---
+
+## 🔄 2. MÁQUINA DE ESTADOS DO CIRCUIT BREAKER (TRANSIÇÃO LINEAR DE FLUXO)
+
+Cada provedor de IA possui seu próprio disjuntor com 3 estados canônicos, operando através de uma sequência linear determinística em texto:
+
+1. **Estado Inicial: CLOSED (Fechado - Operação Normal)**
+   - O tráfego de requisições flui normalmente para o provedor primário.
+   - Cada chamada bem-sucedida mantém o circuito fechado e zera o contador de erros.
+   - Chamadas com falha consecutiva (erros HTTP 429, 500, 502, 503, 504 ou timeout) incrementam o contador.
+   - **Gatilho de Transição:** Ao atingir o limite de 3 falhas consecutivas (`failureThreshold >= 3`), o estado transita linearmente para **OPEN**.
+
+2. **Estado de Proteção: OPEN (Aberto - Circuito Rompido)**
+   - O tráfego para este provedor é bloqueado de forma imediata (Fail-Fast local), sem efetuar chamadas de rede externas.
+   - Toda requisição é desviada instantaneamente para o próximo provedor da cadeia de fallback.
+   - Um temporizador de recuperação (`recoveryTimeout`) de 30 segundos é iniciado.
+   - **Gatilho de Transição:** Quando o tempo decorrido atinge ou supera 30 segundos (`tempo >= 30s`), o estado avança linearmente para **HALF_OPEN**.
+
+3. **Estado de Sondagem: HALF_OPEN (Meio-Aberto - Teste de Recuperação)**
+   - O circuito autoriza uma única requisição de teste para avaliar se o provedor remoto se recuperou da instabilidade.
+   - **Bifurcação Linear de Retorno:**
+     - **Caso de Sucesso:** Se a requisição de teste for concluída com êxito, o disjuntor é rearmado, o contador de falhas é resetado para zero e o estado retorna para **CLOSED**.
+     - **Caso de Falha:** Se a requisição de teste falhar, o disjuntor desarma novamente, o temporizador de cooldown de 30 segundos é reiniciado e o estado retorna para **OPEN**.
+
+---
+
+## ⛓️ 3. CADEIA CANÔNICA DE FALLBACK MULTI-PROVEDOR
+A ordem de comutação automática respeita a relação de capacidade, latência e custo:
+
+1. **Primário (Fronteira Analítica)**: Anthropic (`claude-3-5-sonnet`) / OpenAI (`gpt-4o`)
+   - Em caso de HTTP 429 ou 5xx após 3 tentativas:
+2. **Secundário (Alta Velocidade / Fallback de Fronteira)**: Groq (`llama-3.3-70b-versatile` / `deepseek-r1-distill-llama-70b`)
+   - Em caso de falha de conexão:
+3. **Terciário (Resiliência Local / Offline)**: Ollama (`qwen2.5-coder:7b` / `llama3.1:8b`)
+   - Execução local em hardware do desenvolvedor com o prompt compactado de alta densidade (`node scripts/core/context_compressor.js --print`).
+
+---
+
+## 📊 4. OBSERVABILIDADE & ALERTAS PROMETHEUS
+O módulo expõe as seguintes métricas canônicas:
+- `llm_circuit_breaker_state{provider="anthropic"}`: 0=CLOSED, 1=OPEN, 2=HALF_OPEN
+- `llm_circuit_breaker_fallbacks_total{from="anthropic",to="groq"}`: contador acumulado de chaveamentos
+- `llm_provider_latency_seconds{provider="groq"}`: histograma de latência
+
+### Alerta SRE: `LLMAllCircuitsOpen`
+Se todos os provedores da cadeia estiverem com circuito `OPEN`, o agente emite notificação de severidade CRÍTICA no Jira e ativa o modo local estrito.

package/docs/playbooks/PLAYBOOK_OPENTELEMETRY_TRACING.md

@@ -0,0 +1,58 @@
+# 📡 PLAYBOOK DE SRE: TRACING DISTRIBUÍDO COM OPENTELEMETRY & ANÁLISE DE FLAMEGRAPHS
+
+---
+playbook: sre-opentelemetry-tracing
+versao: 1.0.0
+proprietario: Agente SRE & Observabilidade (AGENT_SRE.md)
+referencia: AGDEV-24 (I-8) / RFC W3C TraceContext
+---
+
+## 🎯 1. OBJETIVO & ESCOPO
+Este playbook estabelece o procedimento operacional padrão (SOP) para instrumentação, propagação de contexto de rastreamento distribuído e diagnóstico de latência crítica em requisições lentas (P95/P99) utilizando a especificação **OpenTelemetry (OTel)** e **W3C TraceContext**.
+
+---
+
+## 🌐 2. PADRÃO W3C TRACECONTEXT (`traceparent`)
+Toda requisição externa, chamada entre microserviços ou handover entre agentes DEVE propagar o cabeçalho canônico:
+
+```http
+traceparent: 00-4bf92f3577b34da6a3ce929d0e0e4736-00f067aa0ba902b7-01
+              │  └───────────────┬────────────────┘ └───────┬──────┘ └─┬┘
+           Versão             Trace ID                   Span ID      Flags (01 = Sampled)
+```
+
+1. **Trace ID (16 bytes / 32 hex chars)**: Identificador único global da transação.
+2. **Span ID (8 bytes / 16 hex chars)**: Identificador da operação específica em execução.
+3. **Parent Span ID**: Vincula a sub-operação à operação chamadora para montagem do DAG de execução.
+
+---
+
+## 🔥 3. ANÁLISE DE FLAMEGRAPHS & GARGALOS (CRITICAL PATH)
+A visualização em Flamegraph permite identificar visualmente onde o tempo da requisição foi consumido:
+
+```text
+=== FLAMEGRAPH DISTRIBUÍDO [Trace: 6be1fab9a7fb6cef75cb1eb13e532b47] (105ms) ===
+[01] █████████ architect_plan (25ms)
+[02] ██████████████████████ devsecops_implementation (60ms) [GARGALO: 57%]
+[03] █████ revisor_audit (15ms)
+[04] ████████████████████████████████████████ user_goal_execution (105ms)
+```
+
+### Regras de Classificação de Gargalo:
+- **CRÍTICA**: Span individual consome $\ge 70\%$ do tempo total da transação.
+- **ALTA**: Span individual consome entre $40\%$ e $69\%$ do tempo total.
+- **MÉDIA**: Span individual excede 50ms em chamadas de I/O de banco de dados ou RPCs.
+
+---
+
+## 🛠️ 4. FLUXO OPERACIONAL DE AUTO-REMEDIAÇÃO SRE
+Quando o alerta de latência P99 (`LatencyDegradedP99 > 500ms`) for disparado no Prometheus:
+
+1. **Localização do Trace**: Consultar os spans com `status.code === 'ERROR'` ou maior duração no Tempo/Jaeger via `traceId`.
+2. **Isolamento de Causa-Raiz (RCA)**:
+   - Se o span for de banco de dados (`db.system === 'sqlite' | 'postgres'`): inspecionar queries sem índice ou contenção de lock.
+   - Se o span for de LLM (`model.provider === 'openai' | 'groq'`): verificar latência de rede e acionar Circuit Breaker (I-10).
+   - Se o span for de compilação ou build: escalonar recursos de CPU/RAM.
+3. **Ação Automatizada**:
+   - Purgar caches intermediários ou conexões travadas.
+   - Registrar incidente rastreável no Jira com o flamegraph ASCII anexado.