agentic-kdd 3.5.2 → 3.5.4

package/CLAUDE.md

@@ -253,6 +253,87 @@ Si el pipeline genera una de estas operaciones:
 4. Solo proceder si el dev responde SÍ explícitamente
 
 
+
+
+## REGRESSION GUARD — Steps 4 y 9 del pipeline aa:
+
+### Step 4 — ANTES del build (Regression Check)
+
+Para TODA tarea aa: que modifique archivos existentes:
+
+1. Identificar archivos del changeset
+2. Consultar protected_behaviors relacionados con esos archivos
+3. Si hay behaviors HIGH confidence:
+   - Correr los test_patterns de ese behavior
+   - Si alguno falla → STOP:
+     "🛑 REGRESSION GUARD: El cambio que vas a hacer rompería [módulo] que
+      estaba funcionando correctamente. Test [pattern] falla actualmente.
+      Arregla eso primero o usa --override-regression si el cambio es intencional."
+4. Si hay behaviors MEDIA confidence → WARN y continúa
+5. Si no hay behaviors → continúa normalmente
+
+### Step 9 — DESPUÉS del ciclo exitoso (Regression Register)
+
+Después de TDD Gate PASS + QA PASS + Preservation Gate PASS:
+
+1. El TDD Gate ya llama registerBehavior() automáticamente
+2. Verificar que behaviors relacionados no fueron silenciosamente rotos
+3. Si verifyAfterTDD() encuentra violations → WARN en el reporte final:
+   "⚠️  REGRESSION: [módulo] muestra signos de regresión. Revisar."
+4. Actualizar last_verified_at de todos los behaviors verificados
+
+### Escalado de confianza
+  pass_count 1-4  → MEDIA  (emerging — warn but don't block)
+  pass_count 5+   → HIGH   (protected — block if broken)
+
+### Comandos disponibles
+  node .agentic/grafo/regression-guard.cjs status
+  node .agentic/grafo/regression-guard.cjs check <file1> <file2>
+  node .agentic/grafo/regression-guard.cjs deprecate <id>
+  node .agentic/grafo/regression-guard.cjs fix <id>
+
+## SPEC GATE — Step 2 del pipeline aa:
+
+Antes del Build step, para TODA tarea aa: que incluya cambios de valores:
+
+1. Extraer valores numéricos y strings del prompt
+2. Verificar contra memoria: ¿existe alguno como regla HIGH/MEDIA confidence?
+3. Si hay contradicción:
+   - HIGH confidence → STOP con mensaje exacto:
+     "⛔ SPEC GATE: '[campo]' en memoria = [valor_memoria] pero el prompt
+      pide [valor_nuevo]. Esto contradice la regla: '[titulo_nodo]'
+      ¿Confirmas que quieres cambiar esta regla de negocio?"
+   - MEDIA confidence → WARN y continúa:
+     "⚠️ SPEC GATE: '[campo]' puede contradecir una regla en memoria.
+      Verificando antes de implementar."
+4. Si no hay contradicción → continúa normalmente
+
+Valores que SIEMPRE se verifican contra memoria:
+  trial_days, trial_period, yearly_discount, password_min,
+  invoice_prefix, max_users, max_api_calls, rate_limit, timeout
+
+## SECURITY GATE — Step 3 del pipeline aa:
+
+Cuando el changeset incluye archivos CRITICAL o SENSITIVE:
+
+CRITICAL: auth.ts, middleware/, .env, secrets, jwt, token
+SENSITIVE: routes/, lib/prisma, collab-manager, harness
+
+Antes del Build step:
+1. Clasificar archivos del changeset por riesgo
+2. Para archivos CRITICAL/SENSITIVE, verificar:
+   a. ¿Hay queries sin filtro tenant_id? → STOP si sí
+   b. ¿Hay cross-tenant access protegido solo con 'admin'? → STOP
+      (admin = tenant-level, superadmin = platform-level)
+   c. ¿Hay JWT bypass o debug flags? → STOP
+   d. ¿Hay reply.status().send() sin return? → WARN
+3. Si hay findings CRITICAL → STOP con reporte completo
+4. Si hay findings HIGH → WARN + continúa con advertencia visible
+5. Si no hay findings → PASS, continúa normalmente
+
+El Security Gate NO reemplaza el audit: seguridad completo.
+Es una verificación rápida antes del Build para los patrones más comunes.
+
 ## ENCADENAMIENTO DE COMANDOS
 
 Si el mensaje tiene esta forma:

package/contract-guard.cjs

@@ -834,7 +834,57 @@ if (require.main === module) {
   }
 }
 
+
+// ─── REGISTER PASSING TESTS (called by TDD Gate automatically) ───────────────
+
+function registerPassingTests(db, params) {
+  const { passed, total, area, command } = params || {};
+  if (!db || !passed || passed === 0) return;
+
+  try {
+    // Ensure verified_contracts table exists
+    db.exec(`
+      CREATE TABLE IF NOT EXISTS verified_contracts (
+        id TEXT PRIMARY KEY,
+        name TEXT NOT NULL,
+        test_file TEXT,
+        module TEXT,
+        status TEXT DEFAULT 'candidate',
+        pass_count INTEGER DEFAULT 0,
+        failure_count INTEGER DEFAULT 0,
+        last_passed_at TEXT,
+        updated_at TEXT DEFAULT (datetime('now')),
+        created_at TEXT DEFAULT (datetime('now'))
+      )
+    `);
+
+    const contractId = `contract_${area || 'global'}_${Date.now()}`;
+    const existing = db.prepare(
+      "SELECT id, pass_count, status FROM verified_contracts WHERE module = ? AND status != 'invalidated' LIMIT 1"
+    ).get(area || 'global');
+
+    if (existing) {
+      const newCount = (existing.pass_count || 0) + 1;
+      const newStatus = newCount >= 7 ? 'protected' : newCount >= 3 ? 'verified' : 'candidate';
+      db.prepare(`
+        UPDATE verified_contracts SET
+          pass_count = ?,
+          status = ?,
+          last_passed_at = datetime('now'),
+          updated_at = datetime('now')
+        WHERE id = ?
+      `).run(newCount, newStatus, existing.id);
+    } else {
+      db.prepare(`
+        INSERT OR IGNORE INTO verified_contracts (id, name, test_file, module, status, pass_count, last_passed_at)
+        VALUES (?, ?, ?, ?, 'candidate', 1, datetime('now'))
+      `).run(contractId, `${area || 'global'} tests (${passed}/${total})`, command || 'npm test', area || 'global');
+    }
+  } catch(e) { /* silent */ }
+}
+
 module.exports = {
+  registerPassingTests,
   migrateSchema,
   ingestFromCycle,
   runPreservationGate,