auroq-os 2.6.6 → 2.6.8

package/.auroq-core/core-config.yaml

@@ -1,7 +1,7 @@
 project:
   name: "Auroq OS"
   type: greenfield
-  version: 2.6.6
+  version: 2.6.8
   installedAt: '2026-03-16'
 
 ide:

package/.claude/hooks/ahi/security.cjs

@@ -53,11 +53,15 @@ function safePath(file) {
     cursor = path.dirname(cursor);
   }
 }
-function powershell(script, input) {
+// Windows only. The vault logic lives in win-vault.ps1, shipped as plain readable text next to this file:
+// no encoded command, no script text built here. Data goes through stdin as UTF-8; the answer is hex on stdout.
+// The script is started by relative name from its own folder, so quotes, brackets or apostrophes in the
+// student's folder names never reach the PowerShell command line.
+function powershell(action, input) {
   // Windows PowerShell 5.1 must build its own module path when launched through Node/pwsh 7.
   // Keep the caller's environment unchanged, including differently cased Windows names.
   const env = Object.fromEntries(Object.entries(process.env).filter(([name]) => name.toLowerCase() !== 'psmodulepath'));
-  const result = spawnSync('powershell.exe', ['-NoLogo', '-NoProfile', '-NonInteractive', '-EncodedCommand', Buffer.from(`$ErrorActionPreference='Stop'; $PSModuleAutoLoadingPreference='None'; ${script}`, 'utf16le').toString('base64')], { input, env, encoding: 'utf8', timeout: 5000, windowsHide: true, maxBuffer: 65536 });
+  const result = spawnSync('powershell.exe', ['-NoLogo', '-NoProfile', '-NonInteractive', '-ExecutionPolicy', 'Bypass', '-File', '.\\win-vault.ps1', action], { cwd: __dirname, input, env, encoding: 'utf8', timeout: 5000, windowsHide: true, maxBuffer: 65536 });
   if (result.status !== 0 || result.error) throw new Error('SECURE_STORAGE_UNAVAILABLE');
   return result.stdout.trim();
 }
@@ -65,10 +69,10 @@ function protectMany(dirs) {
   const unique = [...new Set(dirs)]; if (!unique.length) return;
   for (const dir of unique) { safePath(dir); fs.mkdirSync(dir, { recursive: true, mode: 0o700 }); }
   if (process.platform === 'win32') {
-    // Core .NET APIs avoid the variable cold cost of preparing PowerShell cmdlet modules.
+    // Core .NET APIs (win-vault.ps1) avoid the variable cold cost of preparing PowerShell cmdlet modules.
     // Keep the exact same private DACL: current owner + SYSTEM, no inherited external access.
-    const encoded = unique.map(dir => `'${Buffer.from(dir).toString('base64')}'`).join(',');
-    powershell(`$sid=[Security.Principal.WindowsIdentity]::GetCurrent().User; foreach($encoded in @(${encoded})){ $p=[Text.Encoding]::UTF8.GetString([Convert]::FromBase64String($encoded)); $acl=[Security.AccessControl.DirectorySecurity]::new(); $acl.SetOwner($sid); $acl.SetAccessRuleProtection($true,$false); foreach($s in @($sid,[Security.Principal.SecurityIdentifier]::new('S-1-5-18'))){ $rule=[Security.AccessControl.FileSystemAccessRule]::new($s,[Security.AccessControl.FileSystemRights]::FullControl,[Security.AccessControl.InheritanceFlags]'ContainerInherit,ObjectInherit',[Security.AccessControl.PropagationFlags]::None,[Security.AccessControl.AccessControlType]::Allow); [void]$acl.AddAccessRule($rule) }; [void][IO.Directory]::SetAccessControl($p,$acl) }`);
+    // The script confirms with "ok <count>": an empty or truncated .ps1 exits 0 without doing anything, and must not pass for success.
+    if (powershell('protect', unique.map(dir => path.resolve(dir)).join('\n')) !== `ok ${unique.length}`) throw new Error('SECURE_STORAGE_UNAVAILABLE');
   } else {
     for (const dir of unique) {
       fs.chmodSync(dir, 0o700);
@@ -119,14 +123,19 @@ function keyFor(ctx, create = false) {
     const file = path.join(ctx.accountDir, 'key.dpapi');
     if (!fs.existsSync(file)) {
       if (!create) throw new Error('SECURE_STORAGE_UNAVAILABLE');
-      const wrapped = powershell("[void][Reflection.Assembly]::Load('System.Security, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a'); $b=[byte[]]::new(32); $rng=[Security.Cryptography.RandomNumberGenerator]::Create(); try { $rng.GetBytes($b); [Console]::Write([Convert]::ToBase64String([Security.Cryptography.ProtectedData]::Protect($b,$null,[Security.Cryptography.DataProtectionScope]::CurrentUser))) } finally { $rng.Dispose(); [Array]::Clear($b,0,$b.Length) }");
+      const created = powershell('create-key');
+      if (!/^(?:[a-f0-9]{2})+$/.test(created)) throw new Error('SECURE_STORAGE_UNAVAILABLE');
+      const wrapped = Buffer.from(created, 'hex').toString('base64');
       if (!/^[A-Za-z0-9+/]+={0,2}$/.test(wrapped) || Buffer.from(wrapped, 'base64').length < 32) throw new Error('SECURE_STORAGE_UNAVAILABLE');
       try { atomic(file, wrapped, true); } catch (e) { if (e.code !== 'EEXIST') throw e; }
     }
     safePath(file);
-    const wrapped = fs.readFileSync(file, 'utf8');
-    const raw = powershell("[void][Reflection.Assembly]::Load('System.Security, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a'); $b=[Convert]::FromBase64String([Console]::In.ReadToEnd().Trim()); $plain=[Security.Cryptography.ProtectedData]::Unprotect($b,$null,[Security.Cryptography.DataProtectionScope]::CurrentUser); try { [Console]::Write([Convert]::ToBase64String($plain)) } finally { [Array]::Clear($plain,0,$plain.Length) }", wrapped);
-    const key = Buffer.from(raw, 'base64'); if (key.length !== 32) throw new Error('SECURE_STORAGE_UNAVAILABLE'); return key;
+    // key.dpapi keeps its original format: the DPAPI blob as base64 text. Only hex goes through the PowerShell side.
+    const wrapped = fs.readFileSync(file, 'utf8').trim();
+    if (wrapped.length % 4 !== 0 || !/^[A-Za-z0-9+/]+={0,2}$/.test(wrapped)) throw new Error('SECURE_STORAGE_UNAVAILABLE');
+    const raw = powershell('open-key', Buffer.from(wrapped, 'base64').toString('hex'));
+    if (!/^[a-f0-9]{64}$/.test(raw)) throw new Error('SECURE_STORAGE_UNAVAILABLE');
+    return Buffer.from(raw, 'hex');
   }
   throw new Error('UNSUPPORTED_OS_KEYSTORE');
 }

package/.claude/hooks/ahi/win-vault.ps1

@@ -0,0 +1,102 @@
+# win-vault.ps1 - cofre local do Auroq OS no Windows (captura AHI).
+#
+# Faz so isto, no computador do proprio aluno, e nada mais:
+#   protect     deixa as pastas recebidas privadas: so o dono da conta do Windows e o SISTEMA
+#               acessam, sem heranca de permissao de fora.
+#   create-key  gera uma chave aleatoria de 32 bytes e a protege com o DPAPI do Windows
+#               (escopo do usuario atual: so este usuario, neste computador, consegue abrir).
+#   open-key    abre com o DPAPI uma chave que o create-key protegeu antes.
+#
+# Nao acessa a rede, nao baixa nem executa codigo de fora, nao inicia outros programas e nao grava
+# arquivo nenhum: so troca a permissao das pastas recebidas (protect) ou escreve o resultado na
+# saida padrao. Quem chama e o security.cjs, desta mesma pasta, por -File, passando a acao como
+# argumento. Os dados entram por stdin em UTF-8 (uma pasta por linha em protect; a chave protegida
+# em hex em open-key) e a resposta sai por stdout: "ok N" em protect (N pastas protegidas) e a chave
+# em hex nas outras duas. Qualquer erro, ou resposta fora desse formato, e tratado pelo security.cjs
+# como cofre indisponivel (falha fechada).
+#
+# Usa so a API do .NET, sem cmdlets: preparar os modulos do PowerShell numa maquina fria passava
+# do limite de 5 segundos do security.cjs.
+param([string]$Action)
+
+$ErrorActionPreference = 'Stop'
+$PSModuleAutoLoadingPreference = 'None'
+
+# stdin em bytes crus, lidos como UTF-8: o console do Windows usa outra codificacao (OEM) e
+# estragaria o acento no nome da pasta do aluno.
+function Get-StdinText {
+  $stream = [Console]::OpenStandardInput()
+  $buffer = [IO.MemoryStream]::new()
+  try { $stream.CopyTo($buffer) } finally { $stream.Dispose() }
+  return [Text.UTF8Encoding]::new($false).GetString($buffer.ToArray())
+}
+
+function ConvertTo-Hex([byte[]]$Bytes) {
+  return [BitConverter]::ToString($Bytes).Replace('-', '').ToLowerInvariant()
+}
+
+function ConvertFrom-Hex([string]$Hex) {
+  if ($Hex.Length -eq 0 -or ($Hex.Length % 2) -ne 0) { throw 'hex invalido' }
+  $bytes = [byte[]]::new([int]($Hex.Length / 2))
+  for ($i = 0; $i -lt $bytes.Length; $i++) { $bytes[$i] = [Convert]::ToByte($Hex.Substring(2 * $i, 2), 16) }
+  return , $bytes
+}
+
+function Protect-Folders([string]$Text) {
+  $owner = [Security.Principal.WindowsIdentity]::GetCurrent().User
+  $system = [Security.Principal.SecurityIdentifier]::new('S-1-5-18')
+  $count = 0
+  foreach ($line in $Text.Split([char[]]@([char]10), [StringSplitOptions]::RemoveEmptyEntries)) {
+    $folder = $line.TrimEnd([char]13)
+    if ($folder.Length -eq 0) { continue }
+    # Caminho relativo seria resolvido a partir da pasta do hook, nao da pasta do aluno.
+    if (-not [IO.Path]::IsPathRooted($folder)) { throw 'caminho nao absoluto' }
+    $acl = [Security.AccessControl.DirectorySecurity]::new()
+    $acl.SetOwner($owner)
+    $acl.SetAccessRuleProtection($true, $false)
+    foreach ($who in @($owner, $system)) {
+      $rule = [Security.AccessControl.FileSystemAccessRule]::new($who, [Security.AccessControl.FileSystemRights]::FullControl, [Security.AccessControl.InheritanceFlags]'ContainerInherit,ObjectInherit', [Security.AccessControl.PropagationFlags]::None, [Security.AccessControl.AccessControlType]::Allow)
+      [void]$acl.AddAccessRule($rule)
+    }
+    [void][IO.Directory]::SetAccessControl($folder, $acl)
+    $count++
+  }
+  if ($count -eq 0) { throw 'nenhuma pasta recebida' }
+  [Console]::Write("ok $count")
+}
+
+function Import-DpapiAssembly {
+  [void][Reflection.Assembly]::Load('System.Security, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a')
+}
+
+function New-ProtectedKey {
+  Import-DpapiAssembly
+  $key = [byte[]]::new(32)
+  $random = [Security.Cryptography.RandomNumberGenerator]::Create()
+  try {
+    $random.GetBytes($key)
+    $wrapped = [Security.Cryptography.ProtectedData]::Protect($key, $null, [Security.Cryptography.DataProtectionScope]::CurrentUser)
+    [Console]::Write((ConvertTo-Hex $wrapped))
+  } finally {
+    $random.Dispose()
+    [Array]::Clear($key, 0, $key.Length)
+  }
+}
+
+function Open-ProtectedKey([string]$Text) {
+  Import-DpapiAssembly
+  $wrapped = ConvertFrom-Hex $Text.Trim()
+  $key = [Security.Cryptography.ProtectedData]::Unprotect($wrapped, $null, [Security.Cryptography.DataProtectionScope]::CurrentUser)
+  try {
+    [Console]::Write((ConvertTo-Hex $key))
+  } finally {
+    [Array]::Clear($key, 0, $key.Length)
+  }
+}
+
+switch ($Action) {
+  'protect' { Protect-Folders (Get-StdinText) }
+  'create-key' { New-ProtectedKey }
+  'open-key' { Open-ProtectedKey (Get-StdinText) }
+  default { throw 'acao desconhecida' }
+}

package/.claude/rules/titulo-da-barra.md

@@ -0,0 +1,9 @@
+# Título da conversa na barra de status
+
+A barra de status do Claude Code (embaixo da caixa de mensagem) mostra, em amarelo, o título da conversa. Quem escreve esse título é você.
+
+- Na primeira resposta de cada conversa, grave em silêncio, uma única vez, um título de 3 a 5 palavras em português sobre o tema central:
+  `node ~/.auroq/barra/barra.cjs titulo "Título em português"`
+- Não avise o expert, não comente o comando e não troque o título por causa de tarefa lateral (o primeiro fica).
+- Se o comando falhar ou o arquivo não existir, ignore e siga a conversa normalmente.
+- Vale só no Claude Code. No Codex, no Grok e em outras IAs, não rode.

package/CHANGELOG.md

@@ -1,3 +1,26 @@
+## 2.6.8 — 2026-10-16
+
+### Barra de status do Claude Code igual à do Euriler
+
+- Pedido do Euriler: a barra que ele usa embaixo da caixa de mensagem do Claude Code vira padrão do aluno, em qualquer terminal (Mac e Windows) e dentro do app Auroq OS. Quatro linhas: modelo, esforço, título da conversa, situação do Claude e tempo da sessão; pasta e branch; contexto usado e cache; uso de 5 h e da semana com o tempo até renovar, e a data.
+- Quem desenha é o `ccstatusline` 2.2.30 (MIT, sem dependências), travado como dependência exata do pacote. `instalar`, `manutencao` e `clone` copiam o motor para `~/.auroq/barra/ccstatusline`, gravam `~/.auroq/barra/barra.cjs` e o layout `~/.auroq/barra/ccstatusline.json`, e ligam `statusLine` no `~/.claude/settings.json` mexendo só nessa chave (permissões, hooks e o resto ficam). Sem rede na hora de desenhar; nada de `npx ccstatusline@latest`.
+- Nunca troca uma barra que o aluno já tinha. Ocupa o lugar só quando está vazio, quando já é a nossa ou quando é o leitor de uso do app Auroq OS/Orca (que não desenha nada). Dentro do app, a barra repassa o mesmo JSON para o leitor do app, então o painel de uso continua ao vivo. Se o aluno tirar a barra, a manutenção não põe de volta; `~/.auroq/sem-barra` desliga de vez. Layout mexido pelo aluno fica.
+- Título da conversa: nova regra `.claude/rules/titulo-da-barra.md` faz o Claude gravar, uma vez por conversa, um título de 3 a 5 palavras (`node ~/.auroq/barra/barra.cjs titulo "..."`), guardado por sessão do Claude Code (`CLAUDE_CODE_SESSION_ID`), sem depender de `ps` (funciona no Windows). Títulos com mais de 7 dias são apagados.
+- Qualquer falha da barra vira aviso na instalação e barra vazia na tela; o resto do sistema segue igual.
+- Testes novos (`tests/barra.test.mjs`): instalação no HOME, preservação do settings, barra do aluno intocada, troca do leitor do app, aluno que tirou a barra, desligamento, settings quebrado, layout do aluno, título por sessão, pintura das 4 linhas pelo ccstatusline e repasse ao app. Prova no Windows pelo cmd, Git Bash e PowerShell em `.github/workflows/barra-windows.yml`. Provado também com o Claude Code de verdade num terminal: a barra aparece e o título gravado pela IA entra nela.
+- Mantem `arcane-mcp@0.7.0`. Instaladores do repositorio preparados para 2.6.8.
+
+## 2.6.7 — 2026-10-16
+
+### Antivírus Kaspersky não bloqueia mais a atualização no Windows
+
+- Uma aluna com Kaspersky não conseguiu atualizar: o antivírus barrou o arquivo `security.cjs` do cofre local da captura (alerta "Cavalo de Troia", análise heurística) e a instalação parou. Era falso positivo, mas o jeito de chamar o PowerShell lembrava um programa malicioso: o comando ia embaralhado em base64, e o mesmo arquivo trocava permissões de pasta.
+- Agora o PowerShell roda um script legível e versionado, `.claude/hooks/ahi/win-vault.ps1`, chamado por arquivo. Caminhos e dados vão por entrada padrão, nada embaralhado na linha de comando. O arquivo tem comentário dizendo tudo o que faz: deixa as pastas do AHI privadas (dono + SISTEMA, sem herança) e protege a chave local com o DPAPI do Windows. Não usa rede, não baixa nada e não executa texto de fora.
+- Segurança igual à anterior: mesma permissão privada, mesma proteção DPAPI do usuário atual, limite de 5 segundos e falha fechada (sem cofre, nada é gravado). O `key.dpapi` mantém o formato; quem já tinha chave guardada continua abrindo e a chave nova abre nas versões antigas.
+- A manutenção (`atualiza o sistema`) leva o `win-vault.ps1` junto, antes do `security.cjs`, e o inventário de integridade passa a exigi-lo.
+- Testes novos (`tests/ahi-windows-vault.test.mjs`): nenhum arquivo publicado pode voltar a usar comando do PowerShell em base64; o script é ASCII, sem rede e sem base64; o contrato com o PowerShell (argumentos, pasta, entrada, falha fechada); no Windows de verdade, compatibilidade do `key.dpapi` nos dois sentidos e pastas com apóstrofo, colchetes e acento.
+- Mantem `arcane-mcp@0.7.0`. Instaladores do repositorio preparados para 2.6.7.
+
 ## 2.6.6 — 2026-10-03
 
 ### Squad Edição Euriliana no Pack

package/README.md

@@ -246,13 +246,13 @@ agents/             → Seu exercito (companion, workers, minds, squads)
 
 ## Observabilidade e integridade do motor
 
-Apos publicacao, `npx -y auroq-os@2.6.6 doctor` mostra a fila local segura e os comandos pinados de
-manutencao/diagnostico. `npx -y auroq-os@2.6.6 manutencao` preserva o caminho existente
+Apos publicacao, `npx -y auroq-os@2.6.8 doctor` mostra a fila local segura e os comandos pinados de
+manutencao/diagnostico. `npx -y auroq-os@2.6.8 manutencao` preserva o caminho existente
 de consentimento legado, studentFiles, customizacoes e dados do negocio. Nao ha
 migracao forcada. O registro MCP aponta para `arcane-mcp@0.7.0` — o pin mora no campo
 `arcaneMcpPin` do package.json (fonte unica; o servidor le o mesmo campo no npm).
 `npm run release:verify` recusa publicar com um pin que o npm nao resolva.
-Os instaladores do repositorio ficam preparados para 2.6.6; as copias publicas so recebem
+Os instaladores do repositorio ficam preparados para 2.6.8; as copias publicas so recebem
 a versao apos os gates nativos e a verificacao do tarball publicado.
 O pacote inclui `lib/runtime-integrity.json`: inventario SHA-256 gerado depois da montagem da casca, verificavel com `npm run integrity:verify` dentro do pacote extraido. Ele comprova consistencia do conteudo; nao e uma assinatura de autoria.
 

package/bin/auroq-os.js

@@ -1549,6 +1549,29 @@ function opcoesDeLoginDeTeste() {
 }
 
 // ─── INSTALACAO ──────────────────────────────────────────
+// Barra de status do Claude Code (2.6.8): a mesma do Euriler, no HOME do aluno. Nunca derruba a
+// instalacao: sem a barra o sistema funciona igual, entao qualquer falha vira aviso.
+function ligarBarraDeStatus() {
+  step('Ligando a barra de status do Claude Code...');
+  try {
+    const r = require('../lib/barra').instalarBarra();
+    const textos = {
+      'ligada': 'Barra de status ligada (vale em todo terminal do Claude Code)',
+      'atualizada': 'Barra de status em dia',
+      'em-dia': 'Barra de status em dia',
+      'barra-do-aluno': 'Voce ja tem uma barra de status propria no Claude Code; ficou como estava',
+      'tirada-pelo-aluno': 'Barra de status desligada por voce; ficou desligada',
+      'desligada': 'Barra de status desligada neste computador (~/.auroq/sem-barra)',
+    };
+    if (textos[r.estado]) success(textos[r.estado]);
+    else warn(`Barra de status nao ligada (${r.estado}${r.detalhe ? `: ${r.detalhe}` : ''})`);
+    return r;
+  } catch (e) {
+    warn(`Barra de status nao ligada (${String(e && e.message || e).split(/\r?\n/)[0].slice(0, 200)}). O resto funciona normal.`);
+    return null;
+  }
+}
+
 async function init({ pasta = null, maintenance = false, modoAgente = false, migrarMcp = false } = {}) {
   if (maintenance && (pasta || !(await fs.pathExists(path.join(process.cwd(), '.auroq-core'))))) {
     throw falhaMarcada('pasta', 'Manutencao exige a raiz de um negocio existente, sem --pasta. Primeira instalacao pela plataforma.');
@@ -1745,10 +1768,12 @@ async function init({ pasta = null, maintenance = false, modoAgente = false, mig
     '.claude/rules/operacao-autonoma.md',
     '.claude/rules/custom-do-aluno.md',
     '.claude/rules/puxar-e-entregar.md',
+    '.claude/rules/titulo-da-barra.md', // 2.6.8 — a IA grava o titulo da barra de status
 
     // Hooks
     '.claude/hooks/synapse-engine.cjs',
     '.claude/hooks/ahi-capture.cjs',
+    '.claude/hooks/ahi/win-vault.ps1', // 2.6.7 — antes do security.cjs, que o chama
     '.claude/hooks/ahi/security.cjs',
     '.claude/hooks/ahi/runtime.cjs',
     '.claude/hooks/ahi/worker.cjs',
@@ -2069,6 +2094,8 @@ async function init({ pasta = null, maintenance = false, modoAgente = false, mig
   step('Protegendo segredos...');
   await applySecretProtections(targetDir);
 
+  ligarBarraDeStatus();
+
   // ─── Fase 7: Health check rapido
   step('Verificando integridade...');
   await runHealthChecks(targetDir);
@@ -2252,6 +2279,8 @@ async function clone(repoArg) {
   step('Protegendo segredos...');
   await applySecretProtections(destDir);
 
+  ligarBarraDeStatus();
+
   // ─── Fase 6: Dependencias (nao viajam no git — de proposito)
   step('Instalando dependencias...');
   try {

package/installer/install.ps1

@@ -589,7 +589,7 @@ function Invoke-AuroqLogin {
   # sucesso. Usado como pergunta de sim/nao, ele dizia "voce ja estava logado"
   # pra quem nunca logou, pulava o portao e deixava a conta sem acesso chegar ate
   # a criacao da pasta.
-  & (Get-AuroqNpx) -y auroq-os@2.6.6 check-access
+  & (Get-AuroqNpx) -y auroq-os@2.6.8 check-access
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'login' 'recusado'
     Write-Host ''
@@ -677,7 +677,7 @@ function Invoke-AuroqInit {
   if ($env:AUROQ_INSTALL_DRY_RUN) { Write-AuroqOk 'Sistema - seria montado aqui'; return }
 
   Set-Location $script:AuroqPastaAlvo
-  & (Get-AuroqNpx) -y auroq-os@2.6.6 instalar
+  & (Get-AuroqNpx) -y auroq-os@2.6.8 instalar
   if ($LASTEXITCODE -ne 0) {
     Write-AuroqLog 'init' 'falhou'
     Write-AuroqErro 'A montagem do sistema parou no meio.' 'Rode o mesmo comando de novo. Se repetir, mande pro suporte o arquivo install.log da pasta .auroq.'

package/installer/install.sh

@@ -219,9 +219,9 @@ auroq_tem_terminal() {
 # recebem pedaco do script no lugar da resposta dele.
 auroq_npx_aluno() {
   if [ -t 0 ]; then
-    npx -y auroq-os@2.6.6 "$@"
+    npx -y auroq-os@2.6.8 "$@"
   else
-    npx -y auroq-os@2.6.6 "$@" < /dev/tty
+    npx -y auroq-os@2.6.8 "$@" < /dev/tty
   fi
 }
 

package/lib/barra/barra.cjs

@@ -0,0 +1,149 @@
+#!/usr/bin/env node
+'use strict';
+// Barra de status do Claude Code do aluno (2.6.8). Mora em ~/.auroq/barra/barra.cjs e e o
+// `statusLine.command` do ~/.claude/settings.json: vale em qualquer terminal e no app Auroq OS.
+//
+//   node barra.cjs                 desenha a barra (o Claude Code manda o JSON da sessao na entrada)
+//   node barra.cjs titulo "Texto"  grava o titulo da conversa (uma vez por sessao; a IA chama)
+//   node barra.cjs topico          pedaco da barra: o titulo desta sessao
+//   node barra.cjs data            pedaco da barra: "sex 16/10 11:39"
+//
+// Quem desenha e o ccstatusline (MIT, versao travada, copiado pelo `auroq-os` para ./ccstatusline).
+// Nada aqui usa rede. Qualquer falha sai em silencio: barra vazia, nunca erro na tela do aluno.
+const fs = require('node:fs');
+const os = require('node:os');
+const path = require('node:path');
+const { spawn } = require('node:child_process');
+
+const PASTA = __dirname;
+const TITULOS = path.join(PASTA, 'titulos');
+const MOTOR = path.join(PASTA, 'ccstatusline', 'dist', 'ccstatusline.js');
+const LAYOUT = path.join(PASTA, 'ccstatusline.json');
+const SESSAO_VALIDA = /^[A-Za-z0-9._-]{1,128}$/;
+const SETE_DIAS_MS = 7 * 24 * 60 * 60 * 1000;
+
+function lerEntrada() {
+  return new Promise(resolve => {
+    if (process.stdin.isTTY) return resolve('');
+    const partes = [];
+    process.stdin.on('data', p => partes.push(p));
+    process.stdin.on('end', () => resolve(Buffer.concat(partes).toString('utf8')));
+    process.stdin.on('error', () => resolve(''));
+  });
+}
+
+function sessaoDoJson(texto) {
+  try {
+    const id = JSON.parse(texto).session_id;
+    return typeof id === 'string' && SESSAO_VALIDA.test(id) ? id : null;
+  } catch {
+    return null;
+  }
+}
+
+function arquivoDoTitulo(sessao) {
+  return path.join(TITULOS, `${sessao}.txt`);
+}
+
+function gravarTitulo(texto) {
+  const sessao = process.env.CLAUDE_CODE_SESSION_ID;
+  const titulo = String(texto || '').replace(/[\r\n\t]+/g, ' ').replace(/[\u0000-\u001f\u007f]/g, '').trim().slice(0, 60);
+  if (!titulo || !sessao || !SESSAO_VALIDA.test(sessao)) return;
+  fs.mkdirSync(TITULOS, { recursive: true });
+  const alvo = arquivoDoTitulo(sessao);
+  // Uma vez por sessao: o primeiro titulo fica, como o do Euriler.
+  try {
+    fs.writeFileSync(alvo, `${titulo}\n`, { flag: 'wx' });
+  } catch (e) {
+    if (e.code !== 'EEXIST') throw e;
+  }
+  limparTitulosVelhos();
+}
+
+function limparTitulosVelhos() {
+  const limite = Date.now() - SETE_DIAS_MS;
+  for (const nome of fs.readdirSync(TITULOS)) {
+    const arquivo = path.join(TITULOS, nome);
+    try {
+      if (fs.statSync(arquivo).mtimeMs < limite) fs.unlinkSync(arquivo);
+    } catch {}
+  }
+}
+
+function mostrarTitulo(entrada) {
+  const sessao = sessaoDoJson(entrada);
+  if (!sessao) return '';
+  try {
+    const primeira = fs.readFileSync(arquivoDoTitulo(sessao), 'utf8').split(/\r?\n/)[0] || '';
+    return [...primeira].slice(0, 40).join('');
+  } catch {
+    return '';
+  }
+}
+
+const DIAS = ['dom', 'seg', 'ter', 'qua', 'qui', 'sex', 'sáb'];
+function dataCurta(agora = new Date()) {
+  const dois = n => String(n).padStart(2, '0');
+  return `${DIAS[agora.getDay()]} ${dois(agora.getDate())}/${dois(agora.getMonth() + 1)} ${dois(agora.getHours())}:${dois(agora.getMinutes())}`;
+}
+
+// Dentro do app Auroq OS (ou do Orca), o app usa a statusLine para ler o uso da conta ao vivo.
+// A barra ocupou esse lugar, entao repassa o mesmo JSON para o script do app, sem esperar por ele.
+function scriptDoApp() {
+  if (!process.env.ORCA_PANE_KEY || (!process.env.ORCA_AGENT_HOOK_PORT && !process.env.ORCA_AGENT_HOOK_ENDPOINT)) return null;
+  const nome = process.platform === 'win32' ? 'claude-statusline.cmd' : 'claude-statusline.sh';
+  const pastas = [];
+  if (process.env.ORCA_AGENT_HOOK_ENDPOINT) pastas.push(path.dirname(process.env.ORCA_AGENT_HOOK_ENDPOINT));
+  pastas.push(path.join(os.homedir(), '.auroq-os', 'agent-hooks'), path.join(os.homedir(), '.orca', 'agent-hooks'));
+  for (const pasta of pastas) {
+    const alvo = path.join(pasta, nome);
+    if (fs.existsSync(alvo)) return alvo;
+  }
+  return null;
+}
+
+function repassarAoApp(entrada) {
+  const alvo = scriptDoApp();
+  if (!alvo || !entrada) return;
+  try {
+    const filho = process.platform === 'win32'
+      ? spawn(process.env.ComSpec || 'cmd.exe', ['/d', '/c', alvo], { stdio: ['pipe', 'ignore', 'ignore'], windowsHide: true, detached: true })
+      : spawn('/bin/sh', [alvo], { stdio: ['pipe', 'ignore', 'ignore'], detached: true });
+    filho.on('error', () => {});
+    filho.stdin.on('error', () => {});
+    filho.stdin.end(entrada);
+    filho.unref();
+  } catch {}
+}
+
+function desenhar(entrada) {
+  return new Promise(resolve => {
+    if (!fs.existsSync(MOTOR)) return resolve();
+    let filho;
+    try {
+      filho = spawn(process.execPath, [MOTOR, '--config', LAYOUT], { stdio: ['pipe', 'inherit', 'ignore'], windowsHide: true });
+    } catch {
+      return resolve();
+    }
+    filho.on('error', () => resolve());
+    filho.on('close', () => resolve());
+    filho.stdin.on('error', () => {});
+    filho.stdin.end(entrada);
+  });
+}
+
+async function principal() {
+  const [modo, ...resto] = process.argv.slice(2);
+  if (modo === 'titulo') return gravarTitulo(resto.join(' '));
+  if (modo === 'data') return process.stdout.write(dataCurta());
+  const entrada = await lerEntrada();
+  if (modo === 'topico') return process.stdout.write(mostrarTitulo(entrada));
+  repassarAoApp(entrada);
+  await desenhar(entrada);
+}
+
+if (require.main === module) {
+  principal().catch(() => {}).finally(() => { process.exitCode = 0; });
+}
+
+module.exports = { dataCurta, sessaoDoJson, mostrarTitulo, gravarTitulo, scriptDoApp };

package/lib/barra/ccstatusline.json

@@ -0,0 +1,198 @@
+{
+  "version": 4,
+  "lines": [
+    [
+      {
+        "id": "l1-model",
+        "type": "model",
+        "color": "brightCyan",
+        "bold": true,
+        "rawValue": true
+      },
+      {
+        "id": "l1-effort",
+        "type": "thinking-effort",
+        "color": "magenta"
+      },
+      {
+        "id": "l1-skill",
+        "type": "skills",
+        "color": "brightBlack",
+        "metadata": {
+          "hide": "empty"
+        }
+      },
+      {
+        "id": "l1-topic",
+        "type": "custom-command",
+        "color": "yellow",
+        "commandPath": "{{BARRA}} topico",
+        "timeout": 1000
+      },
+      {
+        "id": "l1-flex",
+        "type": "flex-separator"
+      },
+      {
+        "id": "l1-status",
+        "type": "claude-status",
+        "color": "brightBlack"
+      },
+      {
+        "id": "l1-clock-ico",
+        "type": "custom-text",
+        "customText": "⏱",
+        "color": "brightYellow",
+        "merge": "no-padding"
+      },
+      {
+        "id": "l1-clock",
+        "type": "session-clock",
+        "color": "brightYellow",
+        "rawValue": true
+      }
+    ],
+    [
+      {
+        "id": "l2-cwd",
+        "type": "current-working-dir",
+        "color": "blue",
+        "metadata": {
+          "abbreviateHome": "true"
+        }
+      },
+      {
+        "id": "l2-branch",
+        "type": "git-branch",
+        "color": "green",
+        "metadata": {
+          "hide": "no-git"
+        }
+      },
+      {
+        "id": "l2-changes",
+        "type": "git-changes",
+        "color": "yellow",
+        "metadata": {
+          "hide": "zero"
+        }
+      }
+    ],
+    [
+      {
+        "id": "l3-ctx",
+        "type": "context-bar",
+        "color": "brightMagenta"
+      },
+      {
+        "id": "l3-flex",
+        "type": "flex-separator"
+      },
+      {
+        "id": "l3-cache",
+        "type": "cache-timer",
+        "color": "brightBlack",
+        "metadata": {
+          "ttlSeconds": "3600"
+        }
+      }
+    ],
+    [
+      {
+        "id": "l4-5h-lbl",
+        "type": "custom-text",
+        "customText": "5h ",
+        "color": "brightBlack",
+        "merge": "no-padding",
+        "metadata": {
+          "hide": "merge-target-hidden"
+        }
+      },
+      {
+        "id": "l4-5h",
+        "type": "session-usage",
+        "color": "brightGreen",
+        "rawValue": true,
+        "metadata": {
+          "hide": "no-data"
+        }
+      },
+      {
+        "id": "l4-5hr-lbl",
+        "type": "custom-text",
+        "customText": "↻ ",
+        "color": "brightBlack",
+        "merge": "no-padding",
+        "metadata": {
+          "hide": "merge-target-hidden"
+        }
+      },
+      {
+        "id": "l4-5hr",
+        "type": "reset-timer",
+        "color": "brightBlack",
+        "rawValue": true,
+        "metadata": {
+          "hide": "no-data"
+        }
+      },
+      {
+        "id": "l4-sep1",
+        "type": "separator",
+        "character": "|"
+      },
+      {
+        "id": "l4-wk-lbl",
+        "type": "custom-text",
+        "customText": "semana ",
+        "color": "brightBlack",
+        "merge": "no-padding",
+        "metadata": {
+          "hide": "merge-target-hidden"
+        }
+      },
+      {
+        "id": "l4-wk",
+        "type": "weekly-usage",
+        "color": "brightRed",
+        "rawValue": true,
+        "metadata": {
+          "hide": "no-data"
+        }
+      },
+      {
+        "id": "l4-wkr-lbl",
+        "type": "custom-text",
+        "customText": "↻ ",
+        "color": "brightBlack",
+        "merge": "no-padding",
+        "metadata": {
+          "hide": "merge-target-hidden"
+        }
+      },
+      {
+        "id": "l4-wkr",
+        "type": "weekly-reset-timer",
+        "color": "brightBlack",
+        "rawValue": true,
+        "metadata": {
+          "hide": "no-data"
+        }
+      },
+      {
+        "id": "l4-flex",
+        "type": "flex-separator"
+      },
+      {
+        "id": "l4-date",
+        "type": "custom-command",
+        "color": "brightBlack",
+        "commandPath": "{{BARRA}} data",
+        "timeout": 1000
+      }
+    ]
+  ],
+  "flexMode": "full",
+  "colorLevel": 3,
+  "defaultPadding": " "
+}

package/lib/barra/index.js

@@ -0,0 +1,127 @@
+'use strict';
+// Barra de status do Claude Code do aluno (2.6.8): a mesma barra do Euriler (modelo, esforco,
+// titulo da conversa, pasta, branch, contexto, cache, uso de 5 h e da semana, data), em qualquer
+// terminal do Mac ou do Windows e dentro do app Auroq OS.
+//
+// O que faz, sempre no HOME do aluno (nunca na pasta do negocio):
+//   - copia o ccstatusline travado (MIT, sem dependencias) para ~/.auroq/barra/ccstatusline;
+//   - grava ~/.auroq/barra/barra.cjs (quem roda a cada pintura) e o layout ccstatusline.json;
+//   - liga `statusLine` no ~/.claude/settings.json, mexendo so nessa chave.
+// Nunca troca uma barra que o aluno ja tinha. Ocupa o lugar so quando ele esta vazio, quando ja e
+// a nossa ou quando e o leitor de uso do app Auroq OS/Orca (que nao desenha nada; a barra repassa
+// o JSON para ele). Se o aluno tirar a barra depois, ela nao volta. `~/.auroq/sem-barra` desliga.
+const fs = require('node:fs');
+const os = require('node:os');
+const path = require('node:path');
+const crypto = require('node:crypto');
+
+const VERSAO_CCSTATUSLINE = '2.2.30';
+const AQUI = __dirname;
+
+const ehNossa = comando => /[\\/]\.auroq[\\/]barra[\\/]barra\.cjs/.test(comando);
+const ehDoApp = comando => /agent-hooks[\\/]+claude-statusline/.test(comando);
+const sha = texto => crypto.createHash('sha256').update(texto).digest('hex');
+
+function gravarAtomico(arquivo, conteudo) {
+  const tmp = `${arquivo}.${process.pid}.tmp`;
+  fs.writeFileSync(tmp, conteudo);
+  fs.renameSync(tmp, arquivo);
+}
+
+function lerJson(arquivo) {
+  try {
+    return JSON.parse(fs.readFileSync(arquivo, 'utf8').replace(/^/, ''));
+  } catch {
+    return null;
+  }
+}
+
+function origemPadrao() {
+  return path.dirname(require.resolve('ccstatusline/package.json'));
+}
+
+function copiarMotor(origem, destino) {
+  const versao = lerJson(path.join(origem, 'package.json'))?.version;
+  if (versao !== VERSAO_CCSTATUSLINE) throw new Error(`ccstatusline ${versao || 'ausente'} no pacote; esperado ${VERSAO_CCSTATUSLINE}`);
+  const jaTem = lerJson(path.join(destino, 'package.json'))?.version === VERSAO_CCSTATUSLINE
+    && fs.existsSync(path.join(destino, 'dist', 'ccstatusline.js'));
+  if (jaTem) return false;
+  // Monta ao lado e troca de uma vez: uma sessao aberta nunca le o motor pela metade.
+  const novo = `${destino}.novo-${process.pid}`;
+  fs.rmSync(novo, { recursive: true, force: true });
+  fs.mkdirSync(path.join(novo, 'dist'), { recursive: true });
+  for (const arquivo of ['package.json', 'LICENSE', path.join('dist', 'ccstatusline.js')]) {
+    if (fs.existsSync(path.join(origem, arquivo))) fs.copyFileSync(path.join(origem, arquivo), path.join(novo, arquivo));
+  }
+  const velho = `${destino}.velho-${process.pid}`;
+  try {
+    if (fs.existsSync(destino)) fs.renameSync(destino, velho);
+    fs.renameSync(novo, destino);
+  } catch {
+    // Windows com o motor aberto por outra sessao: copia por cima.
+    if (fs.existsSync(velho) && !fs.existsSync(destino)) fs.renameSync(velho, destino);
+    fs.cpSync(novo, destino, { recursive: true, force: true });
+  }
+  fs.rmSync(novo, { recursive: true, force: true });
+  fs.rmSync(velho, { recursive: true, force: true });
+  return true;
+}
+
+function instalarBarra({
+  home = os.homedir(),
+  claudeDir = process.env.CLAUDE_CONFIG_DIR || path.join(home, '.claude'),
+  origem = null,
+} = {}) {
+  if (fs.existsSync(path.join(home, '.auroq', 'sem-barra'))) return { estado: 'desligada' };
+
+  const pasta = path.join(home, '.auroq', 'barra');
+  const script = path.join(pasta, 'barra.cjs').split(path.sep).join('/');
+  // Aspas servem ao cmd.exe e aos shells POSIX; caminho com aspas, $, crase ou quebra de linha fica de fora.
+  if (/["\r\n`$%]/.test(script)) return { estado: 'caminho-nao-suportado', detalhe: script };
+  const comando = `node "${script}"`;
+
+  fs.mkdirSync(pasta, { recursive: true });
+  const motorNovo = copiarMotor(origem || origemPadrao(), path.join(pasta, 'ccstatusline'));
+  gravarAtomico(path.join(pasta, 'barra.cjs'), fs.readFileSync(path.join(AQUI, 'barra.cjs')));
+
+  // Layout: o nosso, a menos que o aluno tenha mexido no que gravamos da ultima vez.
+  const registroPath = path.join(pasta, 'instalacao.json');
+  const registro = lerJson(registroPath) || {};
+  const layoutPath = path.join(pasta, 'ccstatusline.json');
+  const layout = fs.readFileSync(path.join(AQUI, 'ccstatusline.json'), 'utf8').split('{{BARRA}}').join(comando.replace(/"/g, '\\"'));
+  const layoutAtual = fs.existsSync(layoutPath) ? fs.readFileSync(layoutPath, 'utf8') : null;
+  const layoutDoAluno = layoutAtual !== null && registro.layoutSha && sha(layoutAtual) !== registro.layoutSha && sha(layoutAtual) !== sha(layout);
+  if (!layoutDoAluno && layoutAtual !== layout) gravarAtomico(layoutPath, layout);
+
+  const settingsPath = path.join(claudeDir, 'settings.json');
+  let settings = {};
+  if (fs.existsSync(settingsPath)) {
+    settings = lerJson(settingsPath);
+    if (!settings || typeof settings !== 'object' || Array.isArray(settings)) {
+      return { estado: 'settings-ilegivel', detalhe: settingsPath };
+    }
+  }
+  const atual = settings.statusLine && typeof settings.statusLine.command === 'string' ? settings.statusLine.command : '';
+  let estado;
+  if (!atual) estado = registro.ligadaEm ? 'tirada-pelo-aluno' : 'ligada';
+  else if (ehNossa(atual)) estado = 'em-dia';
+  else if (ehDoApp(atual)) estado = 'ligada';
+  else estado = 'barra-do-aluno';
+
+  const desejada = { type: 'command', command: comando, padding: 0, refreshInterval: 10 };
+  if (estado === 'ligada' || (estado === 'em-dia' && JSON.stringify(settings.statusLine) !== JSON.stringify({ ...settings.statusLine, ...desejada }))) {
+    fs.mkdirSync(claudeDir, { recursive: true });
+    gravarAtomico(settingsPath, `${JSON.stringify({ ...settings, statusLine: { ...(estado === 'em-dia' ? settings.statusLine : {}), ...desejada } }, null, 2)}\n`);
+    if (estado === 'em-dia') estado = 'atualizada';
+  }
+
+  const novoRegistro = {
+    versaoCcstatusline: VERSAO_CCSTATUSLINE,
+    layoutSha: layoutDoAluno ? registro.layoutSha : sha(layout),
+    ligadaEm: registro.ligadaEm || (estado === 'ligada' ? new Date().toISOString() : undefined),
+  };
+  gravarAtomico(registroPath, `${JSON.stringify(novoRegistro, null, 2)}\n`);
+  return { estado, comando, motorNovo, layoutDoAluno: Boolean(layoutDoAluno) };
+}
+
+module.exports = { instalarBarra, ehNossa, ehDoApp, VERSAO_CCSTATUSLINE };

package/lib/runtime-integrity.json

@@ -2,7 +2,7 @@
   "schema": 1,
   "algorithm": "sha256",
   "scope": "packaged-runtime-and-cascas",
-  "version": "2.6.6",
+  "version": "2.6.8",
   "files": [
     {
       "path": ".auroq-core/constitution.md",
@@ -10,7 +10,7 @@
     },
     {
       "path": ".auroq-core/core-config.yaml",
-      "sha256": "ebd8a96492b433bd4b37475920233989ec2a69f383d67f4af1e130e6e52cc052"
+      "sha256": "1a2d275b50ead64cb01a6befd9b070a545ec957e4738caff8121df7284eb4a4a"
     },
     {
       "path": ".auroq-core/core/synapse/context/context-builder.js",
@@ -178,7 +178,11 @@
     },
     {
       "path": ".claude/hooks/ahi/security.cjs",
-      "sha256": "dc27db1392acd0abd8102490860bfad6a94276bbc92f63e086dc997dbe6b208c"
+      "sha256": "ff8b4f7069a0a17506e4ea75aeb6cc0fd40cebe350e2e59048372380f059a3c6"
+    },
+    {
+      "path": ".claude/hooks/ahi/win-vault.ps1",
+      "sha256": "b3332d3387ed2eea0990bd589cdf0213623e7e30b4daa187bb2930948bbdac29"
     },
     {
       "path": ".claude/hooks/ahi/worker.cjs",
@@ -206,7 +210,7 @@
     },
     {
       "path": "bin/auroq-os.js",
-      "sha256": "793af8782292df5d108944ec1696b46a028455fef9c6d62b800a51e731ace1c6"
+      "sha256": "dd043094b3b7999bd96e6de9d62f176530b88b287861c865b498be90469290a5"
     },
     {
       "path": "lib/ahi/client.mjs",
@@ -224,6 +228,18 @@
       "path": "lib/auth.js",
       "sha256": "5f1ddefbf2d4b9005e562380b40525e5bf823641e05a7bdb71568e15a5179869"
     },
+    {
+      "path": "lib/barra/barra.cjs",
+      "sha256": "30fa51fd3561b8da7e17dd9b35fd55739d0a33d358dbbd99583f6b0eec1b576e"
+    },
+    {
+      "path": "lib/barra/ccstatusline.json",
+      "sha256": "590573ff67c95cac2294f987789a4646cca6ccf0e85bc558fa6af22d0608296e"
+    },
+    {
+      "path": "lib/barra/index.js",
+      "sha256": "a72edfd62af60bfb5b314300a618cbb3fc8e7e30b9092ecb83ff366a776fee90"
+    },
     {
       "path": "lib/codex-windows.cjs",
       "sha256": "d6307d0106bad3e69142052d6450cef3f6252544049d3f3340aec55fc99005d1"
@@ -258,7 +274,7 @@
     },
     {
       "path": "package.json",
-      "sha256": "e595250e2aec2457f0017693cbe86ec291bc2f764e9da8c7af762c455e67cd4e"
+      "sha256": "c1425f8e2aad837ac27f75503c376c19fbb0787d7dcec19bbc1bc5456dcc5a34"
     },
     {
       "path": "scripts/build-pack.mjs",
@@ -278,7 +294,7 @@
     },
     {
       "path": "scripts/runtime-integrity.mjs",
-      "sha256": "af0cb75622dcf4c049da3fc053817087648a86fc31df3be4762e974279eb87a3"
+      "sha256": "d2d6d30fa3a288c019a4f7e6d06ba25742775258e5631466e48a9aeb55d030c5"
     },
     {
       "path": "scripts/sync-codex-skills.mjs",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "auroq-os",
-  "version": "2.6.6",
+  "version": "2.6.8",
   "arcaneMcpPin": "0.7.0",
   "description": "Auroq OS — Sistema Operacional de IA para Experts",
   "bin": {
@@ -19,7 +19,7 @@
     "auroq:sync:codex:check": "npm run sync:codex:check",
     "auroq:validate": "npm run validate:hybrid",
     "validate:hybrid": "node scripts/validate-hybrid.mjs",
-    "lint": "node --check bin/auroq-os.js && node --check lib/auth.js && node --check lib/diagnostico.js && node --check lib/credentials.js && node --check lib/onepassword.js && node --check lib/supabase.js && node --check scripts/sync-codex-skills.mjs && node --check scripts/validate-hybrid.mjs && node --check scripts/prepack-casca.mjs && node --check scripts/postpack-casca.mjs && node --check scripts/assert-mcp-pin.mjs && node --check lib/telemetry.mjs && node --check scripts/synapse-hashes.mjs && node --check lib/ahi/historico.mjs && node --check .claude/hooks/ahi-capture.cjs && node --check .claude/hooks/ahi/security.cjs && node --check .claude/hooks/ahi/runtime.cjs && node --check .claude/hooks/ahi/worker.cjs && node --check lib/ahi/install.cjs && node --check lib/codex-windows.cjs && node --check .claude/hooks/ahi/auth-config.cjs && node --check lib/ahi/client.mjs && node --check scripts/build-pack.mjs && node --check scripts/assert-native-release.mjs && node --check scripts/runtime-integrity.mjs && node --check scripts/pack-state.mjs",
+    "lint": "node --check bin/auroq-os.js && node --check lib/barra/index.js && node --check lib/barra/barra.cjs && node --check lib/auth.js && node --check lib/diagnostico.js && node --check lib/credentials.js && node --check lib/onepassword.js && node --check lib/supabase.js && node --check scripts/sync-codex-skills.mjs && node --check scripts/validate-hybrid.mjs && node --check scripts/prepack-casca.mjs && node --check scripts/postpack-casca.mjs && node --check scripts/assert-mcp-pin.mjs && node --check lib/telemetry.mjs && node --check scripts/synapse-hashes.mjs && node --check lib/ahi/historico.mjs && node --check .claude/hooks/ahi-capture.cjs && node --check .claude/hooks/ahi/security.cjs && node --check .claude/hooks/ahi/runtime.cjs && node --check .claude/hooks/ahi/worker.cjs && node --check lib/ahi/install.cjs && node --check lib/codex-windows.cjs && node --check .claude/hooks/ahi/auth-config.cjs && node --check lib/ahi/client.mjs && node --check scripts/build-pack.mjs && node --check scripts/assert-native-release.mjs && node --check scripts/runtime-integrity.mjs && node --check scripts/pack-state.mjs",
     "typecheck": "npm run validate:hybrid",
     "test": "node --test tests/*.test.mjs",
     "release:verify": "node scripts/assert-mcp-pin.mjs && node scripts/assert-native-release.mjs",
@@ -57,6 +57,7 @@
   ],
   "dependencies": {
     "@supabase/supabase-js": "^2.103.0",
+    "ccstatusline": "2.2.30",
     "fs-extra": "^11.3.0",
     "js-yaml": "^4.3.2",
     "prompts": "^2.4.2"

package/scripts/runtime-integrity.mjs

@@ -27,7 +27,7 @@ export const REQUIRED_FILES = [
   '.claude/commands/AuroqOS/agents/ops.md', '.claude/commands/auroq-companion.md',
   '.claude/hooks/synapse-engine.cjs', '.claude/hooks/auroq-sync.cjs',
   '.claude/hooks/ahi-capture.cjs', '.claude/hooks/ahi/runtime.cjs',
-  '.claude/hooks/ahi/security.cjs', '.claude/hooks/ahi/worker.cjs', '.claude/hooks/ahi/auth-config.cjs',
+  '.claude/hooks/ahi/security.cjs', '.claude/hooks/ahi/win-vault.ps1', '.claude/hooks/ahi/worker.cjs', '.claude/hooks/ahi/auth-config.cjs',
 ];
 const PROTECTED_TREES = ['lib/', '.auroq-core/core/synapse/', '.claude/hooks/'];
 const FORBIDDEN_PREFIXES = ['business/', 'docs/knowledge/', 'casca/', '.git/', '.pack-casca-backup/'];