bmad-plus 0.22.0 → 0.23.0

package/CHANGELOG.md

@@ -5,6 +5,25 @@ All notable changes to BMAD+ will be documented in this file.
 The format is based on [Keep a Changelog](https://keepachangelog.com/en/1.1.0/),
 and this project adheres to [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
 
+## [0.23.0] - 2026-10-17
+
+### Added
+
+- **Pack intake** (`bmad-plus intake check|plan|record|render`, skill `bmad-plus-intake`). A pack declares the questions it needs answered before it acts (`intake.yaml`: sections, kinds, must-haves with the risk of not knowing, defaults, the artifact each answer feeds). `plan` says what is still missing and the next batch to ask, must-haves first and a few at a time; `record` writes only what the user gave, marks what they do not know, and never invents; `render` writes the brief that becomes the contract for everything the pack does next. The build validates every declared intake with the same contract the CLI uses.
+- **Swarm runtime** (`bmad-plus swarm init|briefs|check|save|tally|inspect|plan`, skill `bmad-plus-swarm`). A pack declares a swarm (a panel dealt deterministically from a profile, a jury of listed lenses, or a fanout of units with disjoint write scopes); the CLI deals the cards under a seed, renders one brief per unit, validates each sub-agent's answer file, tallies rates, counts, verbatim quotes and numbers over valid answers only, and exports a fanout as a durable Nexus plan. A new `swarm` block in `_bmad/config.yaml` sets the budget of sub-agents a run may use before the host asks (26 by default) and keeps paid media generation out of any budget. The host spawns the sub-agents; the CLI never calls a model and never answers for a unit.
+- **Skill packs in the registry.** `uses_skills` names the skills an agent drives (rendered on its roster line as `drives:`); `external_module` takes a pack's skills from a pinned npm package the installer copies into `.agents/skills/` with a version check; `pipelines` declares ordered workflow or agent steps with a checkpoint gate each, rendered step by step in the generated instructions; `intake` names the pack's intake file. All four are validated at build time.
+- **Design pack (Atelier).** The design engine published as `design-skill` (three skills: `design`, `design-review`, `redesign`, with their reference modules) joins every installation as a referenced package, driven by the Atelier persona through an intake first. The pack ships a sealed evaluation, a shipping test and its trigger block; `pack-animated` stays until the brand-site pack supersedes it.
+- **Trigger gate** (`npm run check:triggers`, Platform workflow). `role-triggers.yaml` may only name Core agents, pack personas and declared pipelines; a role needs patterns, and a pattern repeated within one agent is refused.
+
+### Changed
+
+- Nexus runs a pack's declared pipeline after its intake and runs swarms through `bmad-plus swarm` within the configured budget; autopilot's Discovery starts with the intake of every pack involved. The generated instructions tell an agent to read the `SKILL.md` of every skill it drives before acting.
+- `bmad-plus install` lists every selected pack's files before writing any, so an unresolvable external module leaves the project untouched.
+
+### Fixed
+
+- `bmad-plus uninstall` removes the skills copied from an external module (found by the 0.23.0 acceptance run: the three Atelier skills stayed in `.agents/skills/` after uninstall). Edited copies stay, as for every other managed file, and nothing is removed when the package can no longer be compared.
+
 ## [0.22.0] - 2026-09-29
 
 ### Added

package/README.md

@@ -1,8 +1,8 @@
 # BMAD+
 
-[![Version](https://img.shields.io/badge/version-0.22.0-blue)](https://www.npmjs.com/package/bmad-plus)
+[![Version](https://img.shields.io/badge/version-0.23.0-blue)](https://www.npmjs.com/package/bmad-plus)
 
-**Version 0.22.0** · Node.js `>=20.0.0` · MIT
+**Version 0.23.0** · Node.js `>=20.0.0` · MIT
 
 Project-local AI development workflows with clear roles, shared context, safe updates and coding-tool adapters
 
@@ -35,7 +35,7 @@ Run the installer. Select the adapters for the AI tools you use and the packs yo
 **In your project terminal:**
 
 ```sh
-npx bmad-plus@0.22.0 install
+npx bmad-plus@0.23.0 install
 ```
 
 The installer creates the agent instructions, shared project spine and selected tool adapters. Optional packs may need additional runtimes or API access.
@@ -98,6 +98,7 @@ Read the changes and test results. The assistant follows the permissions and cap
 | Dev Studio | Specialized roles and workflows for product planning, design, engineering and documentation. |
 | Backup | Instructions and utilities for timestamped backups, restoration and rotation. |
 | Animated | A focused workflow for creating video-driven scrolling websites. |
+| Design | Atelier, the design engine: build, audit and redesign interfaces under checkable rules, with an intake first. |
 
 ## Examples
 
@@ -151,6 +152,16 @@ Zecher, update this project’s memory from the changes and checks we actually c
 
 Expected result: a concise current context, a dated session handoff and a restart prompt that identifies the next unfinished task.
 
+### Design a screen with Atelier
+
+Use with the optional Design pack installed. Atelier asks its questions first, then follows checkable rules.
+
+```text
+Atelier, run the design read for the invoice list of my app, build the screen, and end with the pre-flight verdict.
+```
+
+Expected result: the recorded design read, the screen with every state covered, and the pre-flight verdict quoted as the last line.
+
 ### Read a test run without guessing
 
 Use when a person has completed or stopped an acceptance run.
@@ -171,18 +182,17 @@ Read AGENTS.md and the available project memory. Summarize the last verified sta
 
 Expected result: a short, evidence-based restart. Project notes are useful context and still need to be checked against the current work.
 
-## What’s new in 0.22.0
+## What’s new in 0.23.0
 
-What leaves your machine, declared and checked
+Ask first, then swarm
 
-BMAD+ now declares every way it sends data or starts a process, and its CI refuses anything undeclared. The recipe page and the SEO report load nothing from other sites, OSINT calls are HTTPS-only, and Shield gains an evidence-bound assurance case and an AI processing register. Nothing changes in how you install or update.
+A pack now declares the questions it needs answered before it acts, and Nexus can run a swarm of sub-agents, a simulated panel or a jury, within a budget you set. Atelier, the design engine, joins as the tenth pack. Installing and updating work as before.
 
-- The registry states what BMAD+ sends, to whom, when and with which consent; SECURITY.md shows it and the installed agent instructions summarise it. A build check fails when a network call or a started process is not declared. BMAD+ has no telemetry, and the update check can be turned off.
-- The acceptance page no longer loads Google Fonts or anything from another site, so opening it tells no one you did. The build refuses a page that would, and a real browser checks every request of a run. The SEO HTML report opens offline too.
-- The Google API key of the SEO pack travels in a request header, never in a URL, and is hidden from error messages. OSINT provider calls refuse anything but HTTPS and never follow a redirect to another host.
-- SEO screenshots reach only the address that was checked: Chromium resolves nothing else, and redirects or resources pointing elsewhere are blocked and listed.
-- Shield: bmad-plus assurance builds a security case whose evidence can only be a check that actually ran, recorded in a tamper-evident ledger; bmad-plus ai-register keeps a register of the AI tools a project uses and warns about any it has not recorded; six review rules name the compliance controls a change touches.
-- The MCP server closes SSE streams cleanly when a client leaves or the server stops, and accepts token dates with a time-zone offset.
+- bmad-plus intake asks a pack’s questions a few at a time, marks the must-haves, proposes defaults, records what you do not know with its risk, and renders the brief that becomes the contract for what the pack does next. Nothing in it is invented.
+- bmad-plus swarm deals simulated units from a profile under a seed, writes one brief per sub-agent, validates every answer file, counts only valid answers, and states that simulated buyers are not customers. The swarm block in _bmad/config.yaml sets how many sub-agents run before the assistant asks you; paid media generation always asks.
+- The registry now records which skills an agent drives, which npm package a pack’s skills come from, which pipeline steps and gates a pack declares and which intake it runs. The generated instructions carry all of it, so nothing is typed twice.
+- Design pack: Atelier, built from the design-skill package, interviews you with a design read, then builds, audits or redesigns an interface under checkable rules. The installer copies its three skills with their reference modules, and doctor checks them.
+- A trigger gate refuses auto-activation rules that name an agent or a pipeline the registry does not know, and the installer writes nothing when a pack’s files cannot all be listed first.
 
 ## Version History
 
@@ -190,9 +200,9 @@ These dates identify reviewed CHANGELOG notes, not npm publication dates. The we
 
 | Version | Release-notes date | Reviewed summary |
 | --- | --- | --- |
+| 0.23.0 | 2026-10-17 | A pack now declares the questions it needs answered before it acts, and Nexus can run a swarm of sub-agents, a simulated panel or a jury, within a budget you set. Atelier, the design engine, joins as the tenth pack. Installing and updating work as before. |
 | 0.22.0 | 2026-09-29 | BMAD+ now declares every way it sends data or starts a process, and its CI refuses anything undeclared. The recipe page and the SEO report load nothing from other sites, OSINT calls are HTTPS-only, and Shield gains an evidence-bound assurance case and an AI processing register. Nothing changes in how you install or update. |
 | 0.21.0 | 2026-09-28 | A review now records why it stopped and what it used, writes a check a CI step can read, and resumes on the scope it sealed. The SEO fetcher connects only to addresses it has validated, and the MCP server moves to the official SDK on Python 3.12. Nothing changes in how you install or update. |
-| 0.20.0 | 2026-09-28 | bmad-plus review now hands the reviewer the rules that apply to the changed files, fixes the depth of a review before it starts, compares a review with an earlier one without calling an unchecked finding fixed, and masks credentials in what it writes. Nothing changes in how you install or update. |
 
 [Release history and update guide](https://bmad-plus.rochetta.fr/docs/#changelog) · [All published npm versions](https://www.npmjs.com/package/bmad-plus?activeTab=versions)
 

package/SECURITY.md

@@ -65,7 +65,7 @@ Security researchers who report valid vulnerabilities will be credited in the CH
 - Production npm dependencies are audited before each release; high and critical findings block publication
 - Maintained Python requirements are audited in CI and block publication on known findings
 - The private legacy MCP ML stack has a separate, visible advisory audit and migration backlog; its findings do not describe the npm runtime
-- Minimal dependency footprint (6 runtime dependencies)
+- Minimal dependency footprint (7 runtime dependencies; `design-skill` contributes the skill files BMAD+ copies at install and a linker CLI that BMAD+ never runs)
 - Bundled source notices are included in [THIRD-PARTY-LICENSES.md](THIRD-PARTY-LICENSES.md); npm runtime dependency licenses are recorded in the release SBOM
 
 ### Distribution Security

package/package.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://json.schemastore.org/package.json",
   "name": "bmad-plus",
-  "version": "0.22.0",
+  "version": "0.23.0",
   "description": "Project-local AI development workflows with clear roles, shared context, safe updates and coding-tool adapters",
   "homepage": "https://bmad-plus.rochetta.fr",
   "keywords": [
@@ -30,6 +30,7 @@
     "tools/build/adapters.config.js",
     "tools/build/generate-adapters.js",
     "tools/build/generate.js",
+    "tools/build/intake-contract.js",
     "tools/build/module.template.yaml",
     "tools/build/pack-delivery.js",
     "src/bmad-plus",
@@ -49,6 +50,7 @@
     "build": "node tools/build/generate.js --out tools/cli/lib/packs.js --module-out src/bmad-plus/module.yaml",
     "build:check": "node tools/build/generate.js --check",
     "check:counts": "node tools/build/check-counts.js",
+    "check:triggers": "node tools/build/check-triggers.js",
     "check:counts:full": "jest --coverage=false --silent --json --outputFile=coverage/jest-report.json && node tools/build/check-counts.js --jest-report coverage/jest-report.json",
     "uat:spec": "node src/bmad-plus/skills/bmad-plus-uat/templates/uat-spec-present.mjs --dir recettes",
     "uat:gate": "node src/bmad-plus/skills/bmad-plus-uat/templates/uat-release-gate.mjs --dir recettes --cli tools/cli/bmad-plus-cli.js",
@@ -66,6 +68,7 @@
   "dependencies": {
     "@clack/prompts": "^1.4.0",
     "commander": "^14.0.0",
+    "design-skill": "0.2.1",
     "fs-extra": "^11.3.6",
     "js-yaml": "^5.2.2",
     "picocolors": "^1.1.1",

package/readme-international/README.de.md

@@ -4,9 +4,9 @@
   <a href="../README.md">English</a> | <a href="README.fr.md">Français</a> | <a href="README.es.md">Español</a> | 🌐 <b>Deutsch</b>
 </div>
 
-[![Version](https://img.shields.io/badge/version-0.22.0-blue)](https://www.npmjs.com/package/bmad-plus)
+[![Version](https://img.shields.io/badge/version-0.23.0-blue)](https://www.npmjs.com/package/bmad-plus)
 
-**Version 0.22.0** · Node.js `>=20.0.0` · MIT
+**Version 0.23.0** · Node.js `>=20.0.0` · MIT
 
 Projektlokale KI-Entwicklungsworkflows mit klaren Rollen, gemeinsamem Kontext, sicheren Updates und Adaptern für Coding-Tools.
 
@@ -39,7 +39,7 @@ Starte das Installationsprogramm. Wähle die Adapter deiner KI-Werkzeuge und die
 **Im Terminal deines Projekts:**
 
 ```sh
-npx bmad-plus@0.22.0 install
+npx bmad-plus@0.23.0 install
 ```
 
 Die Installation erstellt Agentenanweisungen, die gemeinsame Projektbasis und die gewählten Adapter. Optionale Packs können weitere Laufzeitumgebungen oder API-Zugänge benötigen.
@@ -102,6 +102,7 @@ Lies die Änderungen und Testergebnisse. Der Assistent arbeitet innerhalb der Re
 | Dev Studio | Spezialisierte Rollen und Workflows für Produktplanung, Design, Entwicklung und Dokumentation. |
 | Backup | Anweisungen und Hilfsprogramme für datierte Sicherungen, Wiederherstellung und Rotation. |
 | Animated | Ein gezielter Workflow für Websites mit videobasierten Scrolleffekten. |
+| Design | Atelier, die Design-Engine: Oberflächen nach prüfbaren Regeln bauen, auditieren und überarbeiten, mit einem Briefing zuerst. |
 
 ## Beispiele
 
@@ -175,18 +176,27 @@ Lies AGENTS.md und die verfügbare Projekterinnerung. Fasse den letzten geprüft
 
 Erwartetes Ergebnis: ein kurzer, belegter Wiedereinstieg. Projektnotizen liefern Kontext und müssen mit dem aktuellen Stand abgeglichen werden.
 
-## Neu in 0.22.0
+### Einen Bildschirm mit Atelier gestalten
 
-Was deinen Rechner verlässt, erklärt und geprüft
+Nutze dies mit dem optionalen Design-Pack. Atelier stellt zuerst seine Fragen und folgt dann prüfbaren Regeln.
 
-BMAD+ erklärt jetzt jede Datenübertragung und jeden Prozess, den es startet, und seine CI lehnt alles Unerklärte ab. Die Abnahmeseite und der SEO-Bericht laden nichts mehr von anderen Websites, OSINT-Aufrufe laufen nur über HTTPS, und Shield erhält einen Sicherheitsnachweis aus ausgeführten Prüfungen und ein Verzeichnis der KI-Verarbeitungen. An Installation und Update ändert sich nichts.
+```text
+Atelier, führe die Design-Analyse für die Rechnungsliste meiner App durch, baue den Bildschirm und schließe mit dem Preflight-Urteil ab.
+```
+
+Erwartetes Ergebnis: die festgehaltene Design-Analyse, der Bildschirm mit allen abgedeckten Zuständen und das Preflight-Urteil als letzte Zeile.
+
+## Neu in 0.23.0
+
+Erst fragen, dann schwärmen
+
+Ein Pack erklärt jetzt, welche Fragen beantwortet sein müssen, bevor es handelt, und Nexus kann einen Schwarm von Unteragenten, ein simuliertes Panel oder eine Jury innerhalb eines von dir gesetzten Budgets ausführen. Atelier, die Design-Engine, kommt als zehntes Pack hinzu. Installation und Update bleiben wie bisher.
 
-- Die Registry gibt an, was BMAD+ sendet, an wen, wann und mit welcher Einwilligung; SECURITY.md zeigt es, und die installierten Agentenanweisungen fassen es zusammen. Eine Build-Prüfung schlägt fehl, wenn ein Netzwerkaufruf oder ein gestarteter Prozess nicht erklärt ist. BMAD+ hat keine Telemetrie, und die Update-Prüfung lässt sich abschalten.
-- Die Abnahmeseite lädt weder Google Fonts noch sonst etwas von einer anderen Website: Wer sie öffnet, verrät das niemandem. Der Build lehnt eine Seite ab, die es täte, und ein echter Browser prüft jede Anfrage eines Durchlaufs. Auch der HTML-SEO-Bericht öffnet sich offline.
-- Der Google-API-Schlüssel des SEO-Packs wird in einem Anfrage-Header übertragen, nie in einer URL, und erscheint in keiner Fehlermeldung. OSINT-Anbieteraufrufe lehnen alles außer HTTPS ab und folgen nie einer Weiterleitung zu einem anderen Host.
-- SEO-Screenshots erreichen nur die geprüfte Adresse: Chromium löst nichts anderes auf, und Weiterleitungen oder Ressourcen, die woanders hinzeigen, werden blockiert und aufgelistet.
-- Shield: bmad-plus assurance erstellt einen Sicherheitsnachweis, dessen Belege nur tatsächlich ausgeführte Prüfungen sein können, festgehalten in einem manipulationssicheren Protokoll; bmad-plus ai-register führt das Verzeichnis der KI-Werkzeuge eines Projekts und warnt vor nicht erfassten; sechs Review-Regeln nennen die Compliance-Kontrollen, die eine Änderung berührt.
-- Der MCP-Server schließt SSE-Streams sauber, wenn ein Client geht oder der Server stoppt, und akzeptiert Token-Daten mit Zeitzonenversatz.
+- bmad-plus intake stellt die Fragen eines Packs in kleinen Gruppen, markiert die Pflichtangaben, schlägt Standardwerte vor, hält fest, was du nicht weißt, samt Risiko, und erzeugt das Briefing, das zum Vertrag für alles Weitere wird. Nichts darin wird erfunden.
+- bmad-plus swarm zieht simulierte Einheiten aus einem Profil mit einem Seed, schreibt ein Briefing pro Unteragent, prüft jede Antwortdatei, zählt nur gültige Antworten und sagt klar, dass simulierte Käufer keine Kunden sind. Der Block swarm in _bmad/config.yaml legt fest, wie viele Unteragenten laufen, bevor der Assistent dich fragt; bezahlte Mediengenerierung fragt immer.
+- Die Registry hält jetzt fest, welche Skills ein Agent führt, aus welchem npm-Paket die Skills eines Packs stammen, welche Pipeline-Schritte und Freigaben ein Pack erklärt und welches Briefing es durchführt. Die erzeugten Anweisungen tragen all das, nichts wird zweimal getippt.
+- Design-Pack: Atelier, gebaut aus dem Paket design-skill, befragt dich mit einer Design-Analyse und baut, prüft oder überarbeitet dann eine Oberfläche nach prüfbaren Regeln. Der Installer kopiert seine drei Skills mit ihren Referenzmodulen, und doctor prüft sie.
+- Ein Trigger-Gate lehnt Regeln zur automatischen Aktivierung ab, die einen der Registry unbekannten Agenten oder eine unbekannte Pipeline nennen, und der Installer schreibt nichts, wenn sich die Dateien eines Packs nicht vorher vollständig auflisten lassen.
 
 ## Versionsverlauf
 
@@ -194,9 +204,9 @@ Diese Daten bezeichnen geprüfte CHANGELOG-Einträge, nicht die Veröffentlichun
 
 | Version | Datum der Notizen | Geprüfte Zusammenfassung |
 | --- | --- | --- |
+| 0.23.0 | 2026-10-17 | Ein Pack erklärt jetzt, welche Fragen beantwortet sein müssen, bevor es handelt, und Nexus kann einen Schwarm von Unteragenten, ein simuliertes Panel oder eine Jury innerhalb eines von dir gesetzten Budgets ausführen. Atelier, die Design-Engine, kommt als zehntes Pack hinzu. Installation und Update bleiben wie bisher. |
 | 0.22.0 | 2026-09-29 | BMAD+ erklärt jetzt jede Datenübertragung und jeden Prozess, den es startet, und seine CI lehnt alles Unerklärte ab. Die Abnahmeseite und der SEO-Bericht laden nichts mehr von anderen Websites, OSINT-Aufrufe laufen nur über HTTPS, und Shield erhält einen Sicherheitsnachweis aus ausgeführten Prüfungen und ein Verzeichnis der KI-Verarbeitungen. An Installation und Update ändert sich nichts. |
 | 0.21.0 | 2026-09-28 | Ein Review hält jetzt fest, warum es angehalten hat und was es verbraucht hat, schreibt eine Prüfung, die ein CI-Schritt lesen kann, und wird auf dem versiegelten Umfang fortgesetzt. Der SEO-Abruf verbindet sich nur mit Adressen, die er geprüft hat, und der MCP-Server wechselt zum offiziellen SDK unter Python 3.12. An Installation und Update ändert sich nichts. |
-| 0.20.0 | 2026-09-28 | bmad-plus review gibt der prüfenden Person jetzt die Regeln, die für die geänderten Dateien gelten, legt die Tiefe eines Reviews vor Beginn fest, vergleicht ein Review mit einem früheren, ohne einen ungeprüften Befund für behoben zu erklären, und schwärzt Zugangsdaten in dem, was es schreibt. An Installation und Update ändert sich nichts. |
 
 [Versionsverlauf und Update-Anleitung](https://bmad-plus.rochetta.fr/de/docs/#changelog) · [Alle veröffentlichten Versionen auf npm](https://www.npmjs.com/package/bmad-plus?activeTab=versions)
 

package/readme-international/README.es.md

@@ -4,9 +4,9 @@
   <a href="../README.md">English</a> | <a href="README.fr.md">Français</a> | 🌐 <b>Español</b> | <a href="README.de.md">Deutsch</a>
 </div>
 
-[![Version](https://img.shields.io/badge/version-0.22.0-blue)](https://www.npmjs.com/package/bmad-plus)
+[![Version](https://img.shields.io/badge/version-0.23.0-blue)](https://www.npmjs.com/package/bmad-plus)
 
-**Versión 0.22.0** · Node.js `>=20.0.0` · MIT
+**Versión 0.23.0** · Node.js `>=20.0.0` · MIT
 
 Flujos de desarrollo con IA propios de cada proyecto, con roles claros, contexto compartido, actualizaciones seguras y adaptadores para herramientas de programación.
 
@@ -39,7 +39,7 @@ Ejecuta el instalador. Selecciona los adaptadores de tus herramientas de IA y lo
 **En la terminal del proyecto:**
 
 ```sh
-npx bmad-plus@0.22.0 install
+npx bmad-plus@0.23.0 install
 ```
 
 El instalador crea las instrucciones de los agentes, la base compartida y los adaptadores seleccionados. Algunos packs opcionales necesitan otros entornos o acceso a API.
@@ -102,6 +102,7 @@ Lee los cambios y los resultados de las pruebas. El asistente sigue los permisos
 | Dev Studio | Roles y flujos especializados en producto, diseño, ingeniería y documentación. |
 | Backup | Instrucciones y utilidades para copias con fecha, restauración y rotación. |
 | Animated | Un flujo centrado en crear sitios cuyo desplazamiento utiliza vídeo. |
+| Design | Atelier, el motor de diseño: construir, auditar y rediseñar interfaces con reglas verificables, empezando por una entrevista. |
 
 ## Ejemplos
 
@@ -175,18 +176,27 @@ Lee AGENTS.md y la memoria de proyecto disponible. Resume el último estado veri
 
 Resultado esperado: una reanudación breve y fundamentada. Las notas aportan contexto que debe contrastarse con el trabajo actual.
 
-## Novedades de la 0.22.0
+### Diseñar una pantalla con Atelier
 
-Lo que sale de tu máquina, declarado y comprobado
+Úsalo con el paquete opcional Design instalado. Atelier hace primero sus preguntas y luego sigue reglas comprobables.
 
-BMAD+ declara ahora cada envío de datos y cada proceso que inicia, y su CI rechaza todo lo que no esté declarado. La página de aceptación y el informe SEO ya no cargan nada de otros sitios, las llamadas OSINT van solo por HTTPS, y Shield incorpora un caso de seguridad basado en pruebas ejecutadas y un registro de tratamientos de IA. Nada cambia en la instalación ni en la actualización.
+```text
+Atelier, haz la lectura de diseño de la lista de facturas de mi aplicación, construye la pantalla y termina con el veredicto de la comprobación previa.
+```
+
+Resultado esperado: la lectura de diseño registrada, la pantalla con todos sus estados cubiertos y el veredicto de la comprobación previa citado como última línea.
+
+## Novedades de la 0.23.0
+
+Preguntar primero, luego el enjambre
+
+Un paquete declara ahora las preguntas que necesita respondidas antes de actuar, y Nexus puede lanzar un enjambre de subagentes, un panel simulado o un jurado, dentro de un presupuesto que tú fijas. Atelier, el motor de diseño, se incorpora como décimo paquete. Instalar y actualizar funcionan como antes.
 
-- El registro indica qué envía BMAD+, a quién, cuándo y con qué consentimiento; SECURITY.md lo muestra y las instrucciones instaladas para los agentes lo resumen. Una comprobación de build falla cuando una llamada de red o un proceso iniciado no está declarado. BMAD+ no tiene telemetría, y la comprobación de actualizaciones se puede desactivar.
-- La página de aceptación ya no carga Google Fonts ni nada de otro sitio: abrirla no se lo comunica a nadie. El build rechaza una página que lo hiciera, y un navegador real controla cada petición de una ejecución. El informe HTML de SEO también se abre sin conexión.
-- La clave de API de Google del pack SEO viaja en una cabecera de la petición, nunca en una URL, y no aparece en los mensajes de error. Las llamadas a proveedores OSINT rechazan todo lo que no sea HTTPS y nunca siguen una redirección a otro host.
-- Las capturas de pantalla SEO solo alcanzan la dirección comprobada: Chromium no resuelve nada más, y las redirecciones o recursos que apuntan a otro lugar se bloquean y se enumeran.
-- Shield: bmad-plus assurance construye un caso de seguridad cuyas pruebas solo pueden ser comprobaciones realmente ejecutadas, anotadas en un registro a prueba de manipulaciones; bmad-plus ai-register mantiene el registro de herramientas de IA de un proyecto y avisa de las que no figuran; seis reglas de revisión nombran los controles de cumplimiento que toca un cambio.
-- El servidor MCP cierra limpiamente los flujos SSE cuando un cliente se va o el servidor se detiene, y acepta fechas de token con desfase horario.
+- bmad-plus intake hace las preguntas de un paquete de pocas en pocas, marca las imprescindibles, propone valores por defecto, anota lo que no sabes con su riesgo y redacta el brief que se convierte en el contrato de todo lo que el paquete hace después. Nada en él se inventa.
+- bmad-plus swarm reparte unidades simuladas a partir de un perfil con una semilla, escribe un brief por subagente, valida cada archivo de respuesta, cuenta solo las respuestas válidas y deja claro que los compradores simulados no son clientes. El bloque swarm de _bmad/config.yaml fija cuántos subagentes se lanzan antes de que el asistente te pregunte; la generación de medios de pago siempre pregunta.
+- El registro anota ahora qué habilidades conduce un agente, de qué paquete npm proceden las habilidades de un paquete, qué pasos de pipeline y qué puertas declara y qué cuestionario ejecuta. Las instrucciones generadas lo recogen todo, así que nada se escribe dos veces.
+- Paquete Design: Atelier, construido a partir del paquete design-skill, te entrevista con una lectura de diseño y luego construye, audita o rediseña una interfaz con reglas comprobables. El instalador copia sus tres habilidades con sus módulos de referencia, y doctor las comprueba.
+- Una puerta de disparadores rechaza las reglas de activación automática que nombran un agente o un pipeline que el registro no conoce, y el instalador no escribe nada cuando los archivos de un paquete no pueden listarse todos primero.
 
 ## Historial de versiones
 
@@ -194,9 +204,9 @@ Estas fechas identifican las notas revisadas del CHANGELOG, no las fechas de pub
 
 | Versión | Fecha de las notas | Resumen revisado |
 | --- | --- | --- |
+| 0.23.0 | 2026-10-17 | Un paquete declara ahora las preguntas que necesita respondidas antes de actuar, y Nexus puede lanzar un enjambre de subagentes, un panel simulado o un jurado, dentro de un presupuesto que tú fijas. Atelier, el motor de diseño, se incorpora como décimo paquete. Instalar y actualizar funcionan como antes. |
 | 0.22.0 | 2026-09-29 | BMAD+ declara ahora cada envío de datos y cada proceso que inicia, y su CI rechaza todo lo que no esté declarado. La página de aceptación y el informe SEO ya no cargan nada de otros sitios, las llamadas OSINT van solo por HTTPS, y Shield incorpora un caso de seguridad basado en pruebas ejecutadas y un registro de tratamientos de IA. Nada cambia en la instalación ni en la actualización. |
 | 0.21.0 | 2026-09-28 | Una revisión registra ahora por qué se detuvo y qué consumió, escribe un control que un paso de CI puede leer y se reanuda sobre el alcance que selló. El descargador SEO solo se conecta a direcciones que ha validado, y el servidor MCP pasa al SDK oficial con Python 3.12. Nada cambia en la instalación ni en la actualización. |
-| 0.20.0 | 2026-09-28 | bmad-plus review ahora entrega a quien revisa las reglas que se aplican a los archivos modificados, fija la profundidad de una revisión antes de empezar, compara una revisión con otra anterior sin dar por corregido un hallazgo no comprobado y oculta las credenciales en lo que escribe. Nada cambia en la instalación ni en la actualización. |
 
 [Historial de versiones y guía de actualización](https://bmad-plus.rochetta.fr/es/docs/#changelog) · [Todas las versiones publicadas en npm](https://www.npmjs.com/package/bmad-plus?activeTab=versions)
 

package/readme-international/README.fr.md

@@ -4,9 +4,9 @@
   <a href="../README.md">English</a> | 🌐 <b>Français</b> | <a href="README.es.md">Español</a> | <a href="README.de.md">Deutsch</a>
 </div>
 
-[![Version](https://img.shields.io/badge/version-0.22.0-blue)](https://www.npmjs.com/package/bmad-plus)
+[![Version](https://img.shields.io/badge/version-0.23.0-blue)](https://www.npmjs.com/package/bmad-plus)
 
-**Version 0.22.0** · Node.js `>=20.0.0` · MIT
+**Version 0.23.0** · Node.js `>=20.0.0` · MIT
 
 Des workflows de développement IA propres à chaque projet, avec des rôles clairs, un contexte partagé, des mises à jour sûres et des adaptateurs pour vos outils de code.
 
@@ -39,7 +39,7 @@ Lancez l’installateur. Sélectionnez les adaptateurs de vos outils IA et les p
 **Dans le terminal du projet :**
 
 ```sh
-npx bmad-plus@0.22.0 install
+npx bmad-plus@0.23.0 install
 ```
 
 L’installateur crée les instructions des agents, le socle partagé et les adaptateurs sélectionnés. Certains packs facultatifs nécessitent d’autres environnements ou des accès API.
@@ -102,6 +102,7 @@ Relisez les changements et les résultats des tests. L’assistant suit les auto
 | Dev Studio | Des rôles et workflows spécialisés en produit, design, ingénierie et documentation. |
 | Backup | Des instructions et utilitaires pour les sauvegardes horodatées, la restauration et la rotation. |
 | Animated | Un workflow dédié à la création de sites dont le défilement s’appuie sur la vidéo. |
+| Design | Atelier, le moteur de design : construire, auditer et refondre des interfaces selon des règles vérifiables, interview d’abord. |
 
 ## Exemples
 
@@ -175,18 +176,27 @@ Lis AGENTS.md et la mémoire de projet disponible. Résume le dernier état vér
 
 Résultat attendu : une reprise courte et fondée sur des éléments vérifiés. Les notes apportent du contexte, à confronter au travail actuel.
 
-## Nouveautés de la 0.22.0
+### Concevoir un écran avec Atelier
 
-Ce qui sort de votre machine, déclaré et vérifié
+À utiliser avec le pack Design facultatif installé. Atelier pose d’abord ses questions, puis suit des règles vérifiables.
 
-BMAD+ déclare désormais chaque envoi de données et chaque processus qu’il lance, et sa CI refuse tout ce qui n’est pas déclaré. La page de recette et le rapport SEO ne chargent plus rien depuis d’autres sites, les appels OSINT passent uniquement en HTTPS, et Shield gagne un dossier de sécurité fondé sur des preuves exécutées et un registre des traitements IA. Rien ne change dans l’installation ou la mise à jour.
+```text
+Atelier, fais la lecture design de la liste des factures de mon application, construis l’écran et termine par le verdict de pré-vol.
+```
+
+Résultat attendu : la lecture design enregistrée, l’écran avec tous ses états couverts, et le verdict de pré-vol cité en dernière ligne.
+
+## Nouveautés de la 0.23.0
+
+Demander d’abord, puis lancer l’essaim
+
+Un pack déclare désormais les questions auxquelles il lui faut une réponse avant d’agir, et Nexus peut lancer un essaim de sous-agents, un panel simulé ou un jury, dans un budget que vous fixez. Atelier, le moteur de design, devient le dixième pack. Installation et mise à jour ne changent pas.
 
-- Le registre indique ce que BMAD+ envoie, à qui, quand et avec quel consentement ; SECURITY.md l’affiche et les instructions installées pour les agents le résument. Une vérification de build échoue quand un appel réseau ou un processus lancé n’est pas déclaré. BMAD+ n’a aucune télémétrie, et la vérification de mise à jour peut être désactivée.
-- La page de recette ne charge plus Google Fonts ni rien d’un autre site : l’ouvrir ne le signale à personne. Le build refuse une page qui le ferait, et un vrai navigateur contrôle chaque requête d’un passage. Le rapport HTML SEO s’ouvre aussi hors ligne.
-- La clé d’API Google du pack SEO voyage dans un en-tête de requête, jamais dans une URL, et n’apparaît pas dans les messages d’erreur. Les appels aux fournisseurs OSINT refusent tout sauf HTTPS et ne suivent jamais une redirection vers un autre hôte.
-- Les captures d’écran SEO n’atteignent que l’adresse vérifiée : Chromium ne résout rien d’autre, et les redirections ou ressources qui pointent ailleurs sont bloquées et listées.
-- Shield : bmad-plus assurance construit un dossier de sécurité dont chaque preuve est une vérification réellement exécutée, consignée dans un journal infalsifiable ; bmad-plus ai-register tient le registre des outils IA d’un projet et signale ceux qui n’y figurent pas ; six règles de revue nomment les contrôles de conformité qu’un changement touche.
-- Le serveur MCP ferme proprement les flux SSE quand un client part ou que le serveur s’arrête, et accepte les dates de jeton avec un décalage horaire.
+- bmad-plus intake pose les questions d’un pack par petits lots, marque les indispensables, propose des valeurs par défaut, note ce que vous ignorez avec le risque associé, et rédige le brief qui devient le contrat de tout ce que le pack fait ensuite. Rien n’y est inventé.
+- bmad-plus swarm tire des unités simulées à partir d’un profil sous une graine, écrit un brief par sous-agent, valide chaque fichier de réponse, ne compte que les réponses valides, et rappelle que des acheteurs simulés ne sont pas des clients. Le bloc swarm de _bmad/config.yaml fixe le nombre de sous-agents lancés avant que l’assistant ne vous demande ; la génération de médias payante demande toujours.
+- Le registre enregistre désormais quelles compétences un agent pilote, de quel paquet npm viennent les compétences d’un pack, quelles étapes de pipeline et quelles portes un pack déclare et quel questionnaire il joue. Les instructions générées portent tout cela, rien n’est tapé deux fois.
+- Pack Design : Atelier, construit à partir du paquet design-skill, vous interroge avec une lecture design, puis construit, audite ou refond une interface selon des règles vérifiables. L’installateur copie ses trois compétences et leurs modules de référence, et doctor les vérifie.
+- Une porte de déclencheurs refuse les règles d’activation automatique qui nomment un agent ou un pipeline inconnu du registre, et l’installateur n’écrit rien quand les fichiers d’un pack ne peuvent pas tous être listés d’abord.
 
 ## Historique des versions
 
@@ -194,9 +204,9 @@ Ces dates identifient les notes relues du CHANGELOG, pas les dates de publicatio
 
 | Version | Date des notes | Résumé relu |
 | --- | --- | --- |
+| 0.23.0 | 2026-10-17 | Un pack déclare désormais les questions auxquelles il lui faut une réponse avant d’agir, et Nexus peut lancer un essaim de sous-agents, un panel simulé ou un jury, dans un budget que vous fixez. Atelier, le moteur de design, devient le dixième pack. Installation et mise à jour ne changent pas. |
 | 0.22.0 | 2026-09-29 | BMAD+ déclare désormais chaque envoi de données et chaque processus qu’il lance, et sa CI refuse tout ce qui n’est pas déclaré. La page de recette et le rapport SEO ne chargent plus rien depuis d’autres sites, les appels OSINT passent uniquement en HTTPS, et Shield gagne un dossier de sécurité fondé sur des preuves exécutées et un registre des traitements IA. Rien ne change dans l’installation ou la mise à jour. |
 | 0.21.0 | 2026-09-28 | Une revue enregistre désormais pourquoi elle s’est arrêtée et ce qu’elle a consommé, écrit un contrôle lisible par une étape de CI, et reprend sur le périmètre qu’elle a scellé. Le récupérateur SEO ne se connecte qu’aux adresses qu’il a validées, et le serveur MCP passe au SDK officiel sous Python 3.12. Rien ne change dans l’installation ou la mise à jour. |
-| 0.20.0 | 2026-09-28 | bmad-plus review donne désormais au relecteur les règles qui s’appliquent aux fichiers modifiés, fixe la profondeur d’une revue avant qu’elle commence, compare une revue avec une précédente sans déclarer corrigée une remarque non vérifiée, et masque les identifiants dans ce qu’il écrit. Rien ne change dans l’installation ou la mise à jour. |
 
 [Historique des versions et guide de mise à jour](https://bmad-plus.rochetta.fr/fr/docs/#changelog) · [Toutes les versions publiées sur npm](https://www.npmjs.com/package/bmad-plus?activeTab=versions)
 

package/src/bmad-plus/agents/agent-orchestrator/SKILL.md

@@ -73,6 +73,8 @@ authorization and completed work when changing depth.
 
 Read `execution_mode` and `checkpoints` from `_bmad/config.yaml` before starting the pipeline. The checkpoint keys are `discovery`, `architecture`, `story`, and `delivery`.
 
+**Pack pipelines.** When the request or the context names a pack that declares `pipelines` in the registry (the spine's facts section counts them on the pack's line and lists each pipeline's steps on a `- Pipelines (<pack>)` line; read the steps there), run that pipeline instead of the generic phases for that pack: its steps in order, each step's `workflow` or `agent` from the pack, each step's `gate` applied with the checkpoint behavior below. When the pack also declares an `intake`, run it first with the `bmad-plus-intake` skill and do not start the first step while a must-have is neither answered nor marked unknown with its risk; the rendered brief is the input of every step.
+
 **Checkpoint behavior** (configurable):
 - `require_approval` (🔴 STOP): Check whether the existing user authorization covers the concrete next action. If approval is still required, present the reviewable checkpoint and wait; do not ask again for an action already authorized. If an external channel is configured and sending is authorized, also notify through it.
 - `notify_only` (🟡 INFO): Report progress in the session and continue. If an external channel is configured and sending is authorized, also notify through it.
@@ -101,7 +103,9 @@ Focuses on: detecting parallelizable tasks, launching agents in parallel, confli
 - **Reallocate**: Agent finishes early → assign next available task
 - **Escalate**: A task exhausts its attempt limit or cannot be reconciled → report the condition, current evidence and preserved changes. Continue independent authorized work when possible. An external notification still needs configuration and authorization.
 
-> 💡 **Auto-activates** when: multiple independent stories are queued, or when `{parallel_execution}` is enabled and batch work is detected.
+**Swarms.** A pack that ships a swarm definition (a panel of simulated units, a jury of lenses, a fanout of disjoint scopes) is run through `bmad-plus swarm` and the `bmad-plus-swarm` skill, one wave of session sub-agents at a time, each reading its brief as its whole instruction; a fanout can instead be exported as a Nexus plan for durable host attempts. Stay within `swarm.budget` from `_bmad/config.yaml`; beyond it, ask the user before `init --approved`. Paid media generation is never covered by that budget.
+
+> 💡 **Auto-activates** when: multiple independent stories are queued, when `{parallel_execution}` is enabled and batch work is detected, or when a pack's swarm is declared or a panel is requested.
 
 When auto-activating a role, **announce it**: "💡 I'm switching to [Role] mode — [reason]. Say 'skip' to stay in current mode."
 

package/src/bmad-plus/data/role-triggers.yaml

@@ -211,6 +211,7 @@ orchestrator:
       contexts:
         - "new_project_idea"
         - "execution_mode_autopilot"
+        - "pack_pipeline_declared"
 
     parallel-supervisor:
       patterns:
@@ -223,6 +224,8 @@ orchestrator:
         - "independent_stories_detected"
         - "multi_task_queue"
         - "parallel_execution_enabled"
+        - "swarm_declared"
+        - "panel_requested"
       reasoning:
         - "stories_have_no_shared_dependencies"
         - "workload_can_be_distributed"
@@ -278,3 +281,34 @@ seo:
         - "competitive_gap_analysis"
       reasoning:
         - "findings_need_prioritized_scoring"
+
+design:
+  default_role: design-engine
+  auto_triggers:
+    design-engine:
+      # Level 1 — Pattern matching (keywords in user request). The persona picks its
+      # role (Builder, Reviewer, Redesigner) from the request; the pack has one agent.
+      # The vocabulary is the pack's own: bare "design", "UI" or "interface" belong to
+      # Forge's architect role and Sentinel's UX review, which coexist with this pack.
+      patterns:
+        - "Atelier"
+        - "/design"
+        - "design tokens"
+        - "maquette"
+        - "wireframe"
+        - "landing page"
+        - "make it look good"
+        - "accessibilité"
+        - "accessibility"
+        - "refonte"
+        - "redesign"
+      # Level 2 — Contextual (situations detected during work)
+      contexts:
+        - "frontend_changes"
+        - "new_page"
+        - "new_component"
+        - "design_tokens_missing"
+      # Level 3 — Reasoning chain (discoveries during execution)
+      reasoning:
+        - "ui_looks_generic"
+        - "accessibility_unverified"

package/src/bmad-plus/module-help.csv

@@ -9,3 +9,5 @@ bmad-plus-agent-shadow,"Talk to Shadow — your OSINT Intelligence Analyst. Inve
 bmad-plus-sync,"Synchronize BMAD+ with upstream BMAD-METHOD. Check for updates, analyze changes via AI, and merge compatible updates. Uses VPS MCP Server for git operations."
 bmad-plus-agent-maker,"Talk to Maker — your Agent Creator. Designs, builds, and packages new BMAD+ compatible agents from a natural language description. Outputs ready-to-integrate packages."
 bmad-plus-uat,"Human acceptance recipes (recette): turn a delivery into a step-by-step page a person plays, read their run, classify every failure, and gate the delivery on it."
+bmad-plus-intake,"Pack intake: ask the questions a pack needs before it acts, in the user's language and a few at a time, record each answer, default or unknown, and render the brief the pack works from."
+bmad-plus-swarm,"Run a swarm of sub-agents under a budget: deal simulated buyers or a jury, brief one sub-agent per unit, file and check their answers, tally them with the disclosure first. Use for panels, juries and fanouts."

package/src/bmad-plus/module.yaml

@@ -35,6 +35,10 @@ install_packs:
       label: 🗂️ Universal Backup — Timestamped ZIP backup with smart exclusions.
     - value: animated
       label: 🎬 Animated Website — Luxury scroll-driven website from video.
+    - value: design
+      label: >-
+        🎨 Design — Atelier builds, audits and redesigns interfaces under checkable rules: intake first,
+        semantic tokens, WCAG AA, every state covered, pre-flight before delivery.
     - value: all
       label: Tout installer
     - value: none
@@ -116,8 +120,10 @@ packs:
       - agent-orchestrator
     skills:
       - bmad-plus-autopilot
+      - bmad-plus-intake
       - bmad-plus-parallel
       - bmad-plus-sync
+      - bmad-plus-swarm
       - bmad-plus-uat
     data:
       - role-triggers.yaml
@@ -332,3 +338,18 @@ packs:
     skills: []
     packDir: pack-animated
     packSrcDir: packs
+  design:
+    name: Design
+    icon: 🎨
+    description: >-
+      Atelier builds, audits and redesigns interfaces under checkable rules: intake first, semantic tokens,
+      WCAG AA, every state covered, pre-flight before delivery.
+    required: false
+    agents:
+      - design-engine
+    skills: []
+    cohabitation_warning: >-
+      Overlaps Sentinel's UX-review role and Dev Studio's Rachel (UX Designer); when this pack is installed
+      its rules govern visual design and accessibility, and the others hand those over.
+    packDir: pack-design
+    packSrcDir: packs