gennady 0.8.4-next.1 → 0.8.4-next.3

package/README.md

@@ -8,6 +8,12 @@ CLI-инструмент для работы с git-изменениями, merg
 
 ---
 
+## 🧭 SDD-фреймворк
+
+Проект развивается по **Spec-Driven Development**: сперва спека, потом тикеты, потом код с независимым аудитом. Как пользоваться скиллами и в какой последовательности — в [**едином гайде `docs/sdd-flow.md`**](docs/sdd-flow.md). Справочники: [скиллы](ai/skills/README.md) · [директивы](ai/directives/sdd/README.md).
+
+---
+
 ## ⚡ Быстрый старт
 
 ```bash
@@ -233,6 +239,57 @@ npx gennady lint ./src --autofix --verbose
 
 ---
 
+### ✅ `verify`
+
+Стек-агностичные верификационные гейты: **одна команда для любого стека**. Плагины: `node` (гейты из npm-скриптов `package.json`), `golang` (`go generate` — drift-контроль кодогенерации до сборки, `go build`, `go vet`, `gofmt -l`, `golangci-lint`, `go test`) и `anystack` (без встроенных гейтов: весь список задаётся в `stack.anystack.extraGates` — для экзотических стеков). Стек определяется автоматически; в одном репозитории может быть активно несколько стеков.
+
+```bash
+# План без запуска — начните с этого в незнакомом репозитории
+npx gennady verify --plan
+
+# Гейты по изменениям относительно базовой ветки (по умолчанию)
+npx gennady verify
+
+# Явная цель / весь репозиторий / подмножество гейтов
+npx gennady verify internal/userapi
+npx gennady verify --all
+npx gennady verify --only=build,vet
+npx gennady verify --skip=lint
+```
+
+**Опции:**
+
+- `--plan`, `--dry-run`: показать детекцию, диагностику и план, ничего не запуская
+- `--all` / `--changed`: весь репозиторий / изменённые пакеты (по умолчанию)
+- `--only=<a,b>` / `--skip=<a,b>`: подмножество гейтов — `stack:gate` или короткое `gate` (все активные стеки)
+- `--stack=<id>`: одноразовый `stack.use` (`anystack` | `golang` | `node`)
+- `--root=<path>`, `--json`
+
+**Конфиг репозитория** — секция `stack` в `gennady.yaml` (коммитится; личные `.gennadyrc` deep-merge'атся поверх, per-key провенанс виден в `--plan`): переопределения и расширения встроенных плагинов, чтобы разные репозитории не порождали разные команды:
+
+```yaml
+stack:
+  use: [golang]
+  golang:
+    skipGates: [lint]
+    overrideGates:
+      test: { argv: [make, test], timeout: 15m }
+      build: { env: { GOPROXY: 'https://goproxy.example.com/' } }
+    extraGates:
+      - { id: tidy-drift, argv: [go, mod, tidy, -diff], timeout: 5m }
+      # Полный канонический codegen-прогон: skip по умолчанию, адресно перед мерджем
+      # через `verify --only=golang:canonical-generate`; driftMeansFailure: true = drift-гейт.
+      - { id: canonical-generate, argv: [make, generate], driftMeansFailure: true, timeout: 5m }
+```
+
+**Цикл кодогенерации:** гейт `golang:generate` исполняет `go generate` в реплике рабочего дерева и падает со списком разъехавшихся файлов; `gennady fix golang:generate` материализует результат в реальном дереве для коммита. Работает и с закоммиченным, и с gitignored сгенерированным кодом.
+
+**Контракт:** RUN-ALL (все гейты выполняются, отказы накапливаются); SUPPRESS-ON-SUCCESS (успешные гейты молчат); гейты **не изменяют** рабочее дерево — и это принудительно: все гейты исполняются в эфемерной реплике дерева (одна на прогон), мутация без `driftMeansFailure: true` — статус `VIOLATION`, реальное дерево не затрагивается по построению; отказ инструмента (паника линтера, недоступный module proxy) помечается `ENV_FAIL` — это не findings по коду. Таймаут — обязательный per-gate (дефолты у плагина, override в конфиге); глобального нет. Невалидный конфиг останавливает команду до запуска гейтов. Коды выхода: `0` всё прошло · `1` гейт упал · `4` неверный вызов/конфиг · `5` стек не распознан.
+
+Подробнее: [`specs/stack/stack.spec.md`](specs/stack/stack.spec.md), [`plugins/golang/directives/infra/golang-setup.xml`](plugins/golang/directives/infra/golang-setup.xml), навык `sdd-infra-golang`.
+
+---
+
 ### 🗯️ `alt-opinion`
 
 Мульти-модельные мнения с опциональным синтезом.

package/ai/directives/coding/README.md

@@ -11,8 +11,12 @@ Distinct from:
 ## Currently available
 
 - [`typescript-rules.xml`](typescript-rules.xml) — TypeScript writing conventions.
+- [`result-conventions.xml`](result-conventions.xml) — Result/Error-handling conventions: `isErr`, `must`, `success`/`fail` (v1.2).
 - [`svelte5-runes.xml`](svelte5-runes.xml) — Svelte 5 runes: $state, $derived, $effect, $props, template syntax. **Inherits typescript-rules.**
 - [`sveltekit-rules.xml`](sveltekit-rules.xml) — SvelteKit fullstack: routing, load, form actions, hooks, $app modules. **Inherits svelte5-runes + typescript-rules.**
+- [`uikit-component-svelte.xml`](uikit-component-svelte.xml) — Svelte-реализация UIKit-компонентов: data-attributes, css-tokens, file-structure, a11y, token-overrides.
+- [`uikit-component-storybook.xml`](uikit-component-storybook.xml) — Storybook-обвязка UIKit-компонентов: hierarchy, play-function, a11y-audit, spec-mirror.
+- [`uikit-spec-drafting.xml`](uikit-spec-drafting.xml) — Драфтинг UI-спек: extraction-result, token-mapping, variant-grouping, bdd-generation, a11y-defaults.
 
 ## Planned
 

package/ai/directives/infra/README.md

@@ -9,3 +9,5 @@
 | `git-setup.xml`        | Настройка git: .gitignore, ветки, коммиты, хуки, secrets            |
 | `nodejs-npm-setup.xml` | Node.js runtime: .nvmrc, engines, один package manager              |
 | `storybook-setup.xml`  | Storybook + MCP server: агентная установка, манифесты, Vitest addon |
+
+> Go-тулчейн вынесен в стек-плагин: [`plugins/golang/directives/infra/golang-setup.xml`](../../../plugins/golang/directives/infra/golang-setup.xml) — stack-плагин, немутирующие гейты, скоуп, `.gennadyrc`.

package/ai/directives/infra/eslint-setup.xml

@@ -391,7 +391,7 @@
     <Step id="WF_2_HANDLE_REMAINING_FINDINGS">Non-zero exit = finding remains after `--fix`. The finding belongs to a motivated non-autofix rule. Read the rule's explanatory comment in `eslint.config.ts`, fix the code accordingly, re-run. Disable comments NOT an option.</Step>
     <Step id="WF_3_PROPOSE_RULE_CHANGES_VIA_AUDIT">To add or remove a rule, run audit protocol (`PT_RULE_AUDIT_PROTOCOL`): inspect `meta.fixable`, route into autofix or motivated-non-autofix, draft explanatory comment, dry-run, present evidence + diff. Wait for explicit operator confirmation. Severity at registration always `'error'`.</Step>
     <Step id="WF_4_KEEP_THE_CONFIG_AUDITABLE">Editing `eslint.config.ts`: preserve one-block-per-concern shape. Every `'error'` rule trivially autofixable or carries explanatory comment; every `'off'` after preset spread carries one-line reason; no `'warn'` anywhere.</Step>
-    <Step id="WF_5_VERIFY_AND_FINALIZE">Before closing a task: `npm run lint:fix && npm run typecheck && npm test` all green AND `git diff` shows only the intended change. Any environment blocker → declared EXPLICITLY in the ticket.</Step>
+    <Step id="WF_5_VERIFY_AND_FINALIZE">Before closing a task: the read-only pipeline `npm run lint && npm run typecheck && npm test` all green AND `git diff` shows only the intended change. Verification observes, never mutates: if lint reports autofixable findings, run the explicit fixer step (`npm run lint:fix`, or `gennady fix` where wired) first, review its diff, then re-run the read-only pipeline. Any environment blocker → declared EXPLICITLY in the ticket.</Step>
   </WorkflowOutline>
 
   <VerificationHooks>

package/ai/directives/knowledge.xml

@@ -23,7 +23,7 @@
         <Preconditions>specs/[scope]/[scope].spec.md with scope-type=product or library</Preconditions>
       </SddModuleDecomposition>
       <SddTaskScaffolding>
-        <File>ai/directives/sdd/task-scaffolding.directive.xml</File>
+        <File>ai/directives/sdd/scaffold.directive.xml</File>
         <Purpose>Builds DAG of compact task tickets from scope graph. Each ticket includes BDD, Effective Rules, Verification, Execution Log template.</Purpose>
         <Triggers>all scope specs ready · break into tasks · build DAG · produce execution plan · scaffold tickets</Triggers>
         <SkipWhen>module specs lack contracts · discovery or module-decomp not closed · tasks already generated</SkipWhen>

package/ai/directives/sdd/README.md

@@ -1,29 +1,51 @@
 # SDD — Spec-Driven Development
 
-Фреймворк для разработки через спецификации. Каждая директива запускается в **изолированной сессии** и производит самостоятельный артефакт.
+> 🧭 **Начать стоит с [единого гайда по SDD Flow](../../../docs/sdd-flow.md)** — там сценарии по шагам,
+> от новичка до продвинутого, с диаграммами. Здесь — справочник директив и потока.
+
+Фреймворк для разработки через спецификации. Каждая директива запускается в **изолированной сессии** и производит самостоятельный артефакт. Директивы читаются агентами напрямую (см. скиллы `ai/skills/sdd-*`).
 
 ## Поток
 
+```mermaid
+flowchart LR
+    A[setup] --> B[discovery]
+    B --> C{product / library?}
+    C -->|да| D[module-decomposition]
+    C -->|нет| E
+    D --> E[scaffold]
+    E --> F["sdd-execute / sdd-execute-batch"]
+    F --> G[audit]
+    G -->|FAIL| F
+```
+
 ```
-setup ──► discovery ──► module-decomposition? ──► task-scaffolding ──► sdd-execute (orchestrator) ──► audit
-           (per scope)    (library/product only)    (convergence)        │
-                                                                         ├─► phase-subagent (P1, P2, ...)
-                                                                         │   under phase-execution-protocol
-                                                                         │
-                                                                         └─► audit-subagent
-                                                                             (auto-dispatched after Round close)
+setup ──► discovery ──► module-decomposition? ──► scaffold ──► sdd-execute (orchestrator) ──► audit
+           (per scope)    (library/product only)                │
+                                                                 ├─► phase-subagent (P1, P2, ...)
+                                                                 │   under phase-execution-protocol
+                                                                 └─► audit-subagent
 ```
 
+Параллельно основному потоку: `sdd-critic` (критика спек/тасков до исполнения), `sdd-check`
+(read-only верификация дерева), `sdd-continue`/`sdd-fix` (итерация).
+
 ## Директивы
 
-| Директива                            | Что делает                                                                  | Входные данные              | Выходные данные                           |
-| ------------------------------------ | --------------------------------------------------------------------------- | --------------------------- | ----------------------------------------- |
-| `setup.directive.xml`                | Создаёт/обновляет портал проекта — Vision и Scope Graph                     | Намерение оператора         | `specs/README.md`                         |
-| `discovery.directive.xml`            | Проектирует scope: vision, архитектура, инструменты, Bootstrap Requirements | Название scope + scope-type | `specs/<scope>/<scope>.spec.md`           |
-| `module-decomposition.directive.xml` | Декомпозирует scope на модули (только library/product)                      | scope-spec                  | `specs/<scope>/<module>/<module>.spec.md` |
-| `task-scaffolding.directive.xml`     | Строит DAG task-тикетов с Phases Overview, BDD, правилами per phase         | Все scope-specs             | `tasks/<scope>/*.task-NN.md`              |
-| `phase-execution-protocol.xml`       | Выполняет ОДНУ фазу одного тикета (диспетчится `sdd-execute` оркестратором) | Phase ID + ticket + Handoff | Изменения в Target Files фазы + лог-блок  |
-| `audit.directive.xml`                | Проверяет выравнивание: spec ↔ тикет ↔ код; маппит finding-ы на фазы        | Закрытый Round + код        | Эфемерный отчёт + `phases_to_fix`         |
+| Директива                            | Что делает                                                                          | Входные данные              | Выходные данные                                 |
+| ------------------------------------ | ----------------------------------------------------------------------------------- | --------------------------- | ----------------------------------------------- |
+| `setup.directive.xml`                | Создаёт/обновляет портал проекта — Vision и Scope Graph (sole owner)                | Намерение оператора         | `specs/README.md`                               |
+| `discovery.directive.xml`            | Проектирует scope: vision, архитектура, инструменты; режимы greenfield/refine/pivot | Название scope + scope-type | `specs/<scope>/<scope>.spec.md`                 |
+| `module-decomposition.directive.xml` | Декомпозирует scope на модули (только library/product)                              | scope-spec                  | `specs/<scope>/<module>/<module>.spec.md`       |
+| `scaffold.directive.xml`             | Строит DAG task-тикетов с Phases Overview, BDD, правилами per phase                 | Все scope-specs             | `tasks/README.md`, `tasks/<scope>/*.task-NN.md` |
+| `phase-execution-protocol.xml`       | Выполняет ОДНУ фазу одного тикета (диспетчится `sdd-execute` оркестратором)         | Phase ID + ticket + Handoff | Изменения в Target Files фазы + лог-блок        |
+| `audit.directive.xml`                | Проверяет выравнивание: spec ↔ тикет ↔ код; маппит finding-ы на фазы                | Закрытый Round + код        | Вердикт + `phases_to_fix`                       |
+| `critic.directive.xml`               | Оркестратор многораундовой критики спек/тасков (min 3 / max 5 раундов)              | Артефакт (спека/таск)       | Доработанный артефакт / вердикт CLEAN           |
+| `critic-protocol.xml`                | Изолированный критик-сабагент: read-only, только артефакт + родительская спека      | Артефакт                    | Находки (отчёт)                                 |
+| `fix.directive.xml`                  | Findings → классификация → план → фиксы → reopen → execute → verify                 | Находки (ревью/аудит/check) | Исправления + переоткрытые тикеты               |
+| `interview-protocol.xml`             | Движок интервью оператора: coverage map, один вопрос за сообщение                   | scope-type + focus          | Закрытая карта покрытия + ответы                |
+| `visual-vocabulary.xml`              | Cheat-sheet диаграмм: ASCII в чате / mermaid в спеках                               | Контекст авторинга          | Выбор диаграммы                                 |
+| `svelte-ui-discovery.directive.xml`  | Компонент-спека `.ui.spec.md` из Figma SVG (component-level, дополняет flow)        | Имя компонента + SVG        | `specs/<scope>/components/<name>.ui.spec.md`    |
 
 Оркестрация — через SKILL-ы (`sdd-execute`, `sdd-execute-batch`). Они читают только заголовок тикета + Phases Overview и диспетчат phase-subagent-ов; никогда не выполняют сами.
 

package/ai/skills/README.md

@@ -1,8 +1,11 @@
 # ai/skills — AI-навыки для агентов
 
-15 навыков (13 SDD + alt-opinion + workspace-permission-setup) для Specification-Driven Development, мульти-модельного анализа и настройки автономной среды.
+> 🧭 **Единый гайд по SDD-воркфлоу (сценарии по шагам, диаграммы): [docs/sdd-flow.md](../../docs/sdd-flow.md).**
+> Здесь — справочник навыков: типовые сценарии вызова и паттерны исполнения.
 
-> `sdd-hooks-install` (хуки live-прогресса для `sdd-execute`) и `workspace-permission-setup` мигрированы в хранилище из `~/.claude/skills` — теперь под git и деплоятся через `sync-skills`.
+Навыки для Specification-Driven Development, мульти-модельного анализа и настройки автономной среды: SDD-семейство (`sdd-*`) плюс agent-inbox, alt-opinion, prd-interview и workspace-permission-setup. Стековые специализации (например, `sdd-infra-golang`) живут в `plugins/<stack>/skills/` и синхронизируются тем же `sync-skills`.
+
+> `workspace-permission-setup` мигрирован в хранилище из `~/.claude/skills` — теперь под git и деплоится через `sync-skills`.
 
 ---
 
@@ -11,7 +14,8 @@
 ### 1. Спроектировать новый модуль с нуля
 
 ```bash
-npx gennady sync-skills
+npx gennady sync          # директивы (обязательно первым)
+npx gennady sync-skills   # навыки
 ```
 
 Затем в агенте: «@sdd-setup создай проект» → «@sdd-discover спроектируй scope vcs-client» → «@sdd-module-decomposition разбей на модули» → «@sdd-scaffold сгенерируй таски» → «@sdd-critic проверь таски» → «@sdd-execute TSK-01»
@@ -127,8 +131,15 @@ ai/skills/<name>/
 
 ## Синхронизация в проекты
 
+> ⚠️ **Порядок важен:** сначала директивы, потом навыки. Скиллы — тонкие клиенты над директивами из
+> `ai/directives/`, поэтому `npx gennady sync-skills` без предварительного `npx gennady sync` развернёт
+> навыки, которым нечего загружать.
+
 ```bash
-# Синхронизировать все навыки
+# 1. Директивы: ai/directives/ (из npm-пакета в проект)
+npx gennady sync
+
+# 2. Навыки: ai/skills/ → .claude/skills/ проекта
 npx gennady sync-skills
 
 # Предпросмотр

package/ai/skills/sdd-execute/scripts/README.md

@@ -35,7 +35,7 @@ Or broader:
 | `sdd`                | Command dispatcher (single entry point)                                                                                                                                                                                                                                                                              |
 | `extract-section.sh` | Extract `<!--SECTION:NAME-->...<!--/SECTION:NAME-->` block from markdown                                                                                                                                                                                                                                             |
 | `lint-artifacts.sh`  | Run gennady DBC AST contract lint; parse output reliably                                                                                                                                                                                                                                                             |
-| `verify.sh`          | Three-gate verification: typecheck + gennady DBC lint + forbidden-construct grep                                                                                                                                                                                                                                     |
+| `verify.sh`          | Verification gate. Delegates to `gennady verify` (stack plugins: anystack + golang + node, `.gennadyrc` overrides); legacy npm-script heuristic remains as fallback                                                                                                                                                                                                                                     |
 | `check-blockers.sh`  | Detect unresolved BLOCKER entries in ticket Execution Log per `AX_BLOCKER_RESOLUTION_TRAIL`                                                                                                                                                                                                                          |
 | `scan.sh`            | Emit comprehensive project snapshot ([HEADER]/[TASKS]/[TRACKERS]/[SPECS]/[WARNINGS]/[SUMMARY]). Designed so triage skills make ONE call instead of many ad-hoc find/grep. Surfaces suspicious states automatically (DONE+placeholders, DONE+active-blocker, anchor mismatch, unparseable Status, broken spec links). |
 | `check.sh`           | Deterministic mechanical checks — [TASKID] (collisions, orphan `@tasks`), [TRACKER_SYNC] (ticket Meta.Status vs tracker row), [HEADERS] (`--files` mode). Single source of mechanical truth shared by `sdd-check` (whole tree) and `sdd-audit` (scoped via `--task`/`--files`). Exit 0 clean / 3 findings / 2 structural / 4 bad-invocation. |
@@ -82,6 +82,6 @@ These scripts know nothing about any specific project. They expect:
 - A markdown file with anchored sections (for `extract`).
 - A TypeScript file to lint (for `lint`).
 - A ticket file with `## 7. Execution Log` section (for `check-blockers`).
-- A working directory with `npm` and `tsc` available (for `verify`).
+- For `verify`: a runnable `gennady` (on PATH, or a checkout at `$GENNADY_HOME`); fallback needs `npm` + `node`.
 
 If the project doesn't satisfy these expectations, scripts emit actionable diagnostics; they never silently fail.

package/ai/skills/sdd-execute/scripts/__tests__/verify-delegation.test.ts

@@ -0,0 +1,119 @@
+// @file: Tests for verify.sh delegation probe and the legacy classifier's mutation screen.
+// @consumers: CI
+// @tasks: TSK-96
+
+import { describe, it } from 'node:test';
+import assert from 'node:assert/strict';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { execFileSync, spawnSync } from 'node:child_process';
+import { fileURLToPath } from 'node:url';
+
+const SCRIPTS_DIR = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '..');
+const VERIFY_SH = path.join(SCRIPTS_DIR, 'verify.sh');
+const CLASSIFIER = path.join(SCRIPTS_DIR, 'classify-scripts.js');
+
+/** @purpose Create a temp fixture with files, run fn, clean up. */
+function withFixture<T>(files: Record<string, string>, fn: (dir: string) => T): T {
+  const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'verify-sh-'));
+  try {
+    for (const [rel, content] of Object.entries(files)) {
+      const target = path.join(dir, rel);
+      fs.mkdirSync(path.dirname(target), { recursive: true });
+      fs.writeFileSync(target, content);
+    }
+    return fn(dir);
+  } finally {
+    fs.rmSync(dir, { recursive: true, force: true });
+  }
+}
+
+/** @purpose Run verify.sh in dir with a fake `gennady` binary shadowing PATH. */
+function runVerify(dir: string, fakeGennady: string): { status: number | null; out: string } {
+  const bin = path.join(dir, '_bin');
+  fs.mkdirSync(bin, { recursive: true });
+  const fake = path.join(bin, 'gennady');
+  fs.writeFileSync(fake, fakeGennady);
+  fs.chmodSync(fake, 0o755);
+  // GENNADY_HOME points at an empty dir so the dev-checkout path cannot rescue the probe.
+  const proc = spawnSync('bash', [VERIFY_SH, 'target.txt'], {
+    cwd: dir,
+    encoding: 'utf-8',
+    env: { ...process.env, PATH: `${bin}:${process.env.PATH}`, GENNADY_HOME: bin },
+  });
+  return { status: proc.status, out: `${proc.stdout}${proc.stderr}` };
+}
+
+describe('verify.sh capability probe', () => {
+  it('delegates to a gennady whose `verify --plan --json` emits JSON', () => {
+    withFixture({ 'target.txt': 'x' }, (dir) => {
+      const { status, out } = runVerify(
+        dir,
+        '#!/usr/bin/env bash\n' +
+          'if [[ "$1" == "verify" ]]; then\n' +
+          '  case "$*" in *"--plan"*) echo "{}"; exit 0;; esac\n' +
+          '  echo "DELEGATED: $*"; exit 0\n' +
+          'fi\n' +
+          'echo "Usage: gennady <command>"; exit 0\n'
+      );
+
+      assert.equal(status, 0, out);
+      assert.match(out, /DELEGATED: verify target\.txt/);
+    });
+  });
+
+  it('does not delegate to an older gennady that answers everything with its help and exit 0', () => {
+    withFixture(
+      {
+        'target.txt': 'x',
+        // The only npm script is mutating: the legacy fallback must screen it out,
+        // never run it as a gate (the pre-fix behavior rewrote the tree and passed).
+        'package.json': '{"name":"x","scripts":{"lint":"eslint . --fix"}}',
+      },
+      (dir) => {
+        const { out } = runVerify(
+          dir,
+          '#!/usr/bin/env bash\necho "Usage: gennady <command>"\nexit 0\n'
+        );
+
+        assert.ok(!out.includes('DELEGATED'), `must not delegate: ${out}`);
+        assert.ok(!out.includes('ALL_GATES_PASS'), `mutating script must not pass as a gate: ${out}`);
+        assert.match(out, /NO_SCRIPTS_DISCOVERED/);
+      }
+    );
+  });
+});
+
+describe('classify-scripts.js mutation screen', () => {
+  it('classifies --fix/--autofix/--write bodies as mutating and never selects them', () => {
+    withFixture(
+      {
+        'package.json': JSON.stringify({
+          name: 'x',
+          scripts: {
+            lint: 'eslint . --fix',
+            format: 'prettier --write .',
+            'lint:contracts': 'gennady lint --autofix src/',
+            test: 'vitest run',
+          },
+        }),
+      },
+      (dir) => {
+        const parsed = JSON.parse(execFileSync('node', [CLASSIFIER, dir], { encoding: 'utf-8' })) as {
+          scripts: Array<{ name: string; classes: string[] }>;
+          selected: Record<string, string>;
+        };
+
+        for (const name of ['lint', 'format', 'lint:contracts']) {
+          const entry = parsed.scripts.find((script) => script.name === name);
+          assert.deepEqual(entry?.classes, ['mutating'], name);
+        }
+        assert.equal(parsed.selected.lint, undefined);
+        assert.equal(parsed.selected.format, undefined);
+        assert.equal(parsed.selected.gennady, undefined);
+        assert.equal(parsed.selected.test, 'test');
+      }
+    );
+  });
+});

package/ai/skills/sdd-execute/scripts/classify-scripts.js

@@ -18,7 +18,13 @@ function hasCategory(body, category) {
   return patterns[category] ? patterns[category].test(body) : false;
 }
 
+// Same screen the node stack plugin applies (plugins/node/node-plugin.ts): a script
+// that rewrites the tree is a fixer, never a verification gate (D-STACK-005).
+const MUTATING_FLAG_RE = /(^|\s)--(fix|autofix|write)(?:[=\s]|$)/;
+
 function classify(name, body) {
+  if (MUTATING_FLAG_RE.test(body)) return ['mutating'];
+
   const isUmbrellaName = /^(check|ci-check|check:all|verify)$/.test(name);
   if (isUmbrellaName && body.length > 0) return ['umbrella'];
 

package/ai/skills/sdd-execute/scripts/classify-scripts.ts

@@ -13,7 +13,15 @@
 import { readFileSync } from 'node:fs';
 import { resolve } from 'node:path';
 
-type ScriptClass = 'typecheck' | 'gennady' | 'lint' | 'test' | 'format' | 'umbrella' | 'unknown';
+type ScriptClass =
+  | 'typecheck'
+  | 'gennady'
+  | 'lint'
+  | 'test'
+  | 'format'
+  | 'umbrella'
+  | 'mutating'
+  | 'unknown';
 
 interface ScriptEntry {
   name: string;
@@ -36,7 +44,13 @@ function hasCategory(body: string, category: string): boolean {
   return patterns[category]?.test(body) ?? false;
 }
 
+// Same screen the node stack plugin applies (plugins/node/node-plugin.ts): a script
+// that rewrites the tree is a fixer, never a verification gate (D-STACK-005).
+const MUTATING_FLAG_RE = /(^|\s)--(fix|autofix|write)(?:[=\s]|$)/;
+
 function classify(name: string, body: string): ScriptClass[] {
+  if (MUTATING_FLAG_RE.test(body)) return ['mutating'];
+
   const isUmbrellaName = /^(check|ci-check|check:all|verify)$/.test(name);
   if (isUmbrellaName && body.length > 0) return ['umbrella'];
 

package/ai/skills/sdd-execute/scripts/verify.sh

@@ -1,5 +1,5 @@
 #!/usr/bin/env bash
-# @file: Smart verification gate — auto-discovers npm scripts via heuristic, runs them.
+# @file: Smart verification gate — delegates to `gennady verify` (stack plugins), legacy npm fallback.
 # @consumers: phase agents (STEP_5_VERIFY); orchestrators; CI hooks
 # @contract: AX_BASH_NO_SILENT_EMPTY. All discovered gates MUST pass for exit 0.
 #            RUN-ALL: every gate executes regardless of previous failures.
@@ -7,6 +7,10 @@
 #            On all-pass: single line "[verify] ALL_GATES_PASS (N/N)". Exit 0.
 #            On any-fail: each failed gate dumps its command + exit code + captured output. Exit 1.
 #
+#            Preferred path is `gennady verify` — the stack-agnostic plugin system
+#            (node + golang, .gennadyrc overrides). The npm classifier below remains
+#            as a fallback for environments where gennady itself is not runnable.
+#
 # Usage:
 #   verify.sh <file1> [<file2> ...]
 #
@@ -14,7 +18,7 @@
 #   0  — all gates PASS
 #   1  — one or more gates failed
 #   4  — bad invocation
-#   5  — environment failure
+#   5  — environment failure / no stack detected
 
 set -uo pipefail
 
@@ -34,6 +38,61 @@ EOF
   exit 4
 fi
 
+for file in "$@"; do
+  if [[ ! -f "$file" ]]; then
+    echo "[$PROG] FILE_NOT_FOUND: $file"
+    exit 4
+  fi
+done
+
+# -----------------------------------------------------------
+# Step 0: Delegate to `gennady verify` (stack plugin system)
+#
+# Handles node AND golang repos through one interface, honours
+# .gennadyrc stack overrides. File targets are forwarded — the
+# golang plugin narrows to their packages; the node plugin runs
+# its repo-level scripts either way.
+# -----------------------------------------------------------
+
+# Repo root of the gennady checkout: scripts → sdd-execute → skills → ai → root.
+GENNADY_HOME="${GENNADY_HOME:-$SCRIPT_DIR/../../../..}"
+
+# Capability probe: an older installed gennady without `verify` prints its generic
+# help and exits 0, silently swallowing the delegation. Probe the machine surface,
+# not the human help table: `verify --plan --json` emits JSON (command exists, planned,
+# exit 0), or exits 4/5 (command exists and ran: bad config / no stack). A gennady that
+# is BROKEN (clipped deps, too-old Node, wrong arch) exits 1/126/127 with no JSON —
+# delegating to it would `exec` the same broken binary and hide the working checkout and
+# npm fallback below. So delegate ONLY on a positive capability signal, never on a bare
+# non-zero. A `timeout` guards a hung binary from blocking verify forever.
+run_probe() {
+  if command -v timeout &>/dev/null; then
+    timeout 10 gennady verify --plan --json 2>/dev/null
+  elif command -v gtimeout &>/dev/null; then
+    gtimeout 10 gennady verify --plan --json 2>/dev/null
+  else
+    gennady verify --plan --json 2>/dev/null
+  fi
+}
+if command -v gennady &>/dev/null; then
+  probe_out="$(run_probe)"
+  probe_exit=$?
+  if [[ "${probe_out:0:1}" == "{" || $probe_exit -eq 4 || $probe_exit -eq 5 ]]; then
+    exec gennady verify "$@"
+  fi
+fi
+
+# Checkout path: use the checkout's own tsx — npx would hit the registry, which
+# sandboxed/corp environments block.
+GENNADY_TSX="$GENNADY_HOME/node_modules/.bin/tsx"
+if [[ -x "$GENNADY_TSX" && -f "$GENNADY_HOME/cli/gennady.ts" ]]; then
+  exec "$GENNADY_TSX" "$GENNADY_HOME/cli/gennady.ts" verify "$@"
+fi
+
+# -----------------------------------------------------------
+# Legacy fallback: npm-script heuristic (gennady not runnable)
+# -----------------------------------------------------------
+
 if ! command -v npm &>/dev/null; then
   echo "[$PROG] ENV_MISSING: npm not in PATH"
   exit 5
@@ -44,13 +103,6 @@ if ! command -v node &>/dev/null; then
   exit 5
 fi
 
-for file in "$@"; do
-  if [[ ! -f "$file" ]]; then
-    echo "[$PROG] FILE_NOT_FOUND: $file"
-    exit 4
-  fi
-done
-
 # -----------------------------------------------------------
 # Step 1: Discover scripts via heuristic (silent)
 # -----------------------------------------------------------
@@ -79,8 +131,11 @@ for cls in ['typecheck','gennady','lint','test','format']:
 " 2>/dev/null)
 
 if [[ -z "$discovered" ]]; then
-  echo "[$PROG] NO_SCRIPTS_DISCOVERED"
-  exit 0
+  # Zero discovered gates verifies nothing — it must not read as success, exactly as the
+  # delegated `gennady verify` reports ZERO_GATES with exit 1 (this file's own contract:
+  # "All discovered gates MUST pass for exit 0"; an empty set satisfies that vacuously).
+  echo "[$PROG] NO_SCRIPTS_DISCOVERED: nothing to verify — declare gates in gennady.yaml or add npm scripts"
+  exit 1
 fi
 
 # -----------------------------------------------------------

package/ai/skills/sdd-infra/SKILL.md

@@ -6,8 +6,10 @@ compatibility: opencode
 
 1. **Extract intent.** Operator wants to bootstrap or evolve infrastructure scope. Scope-type is fixed: `infrastructure`. Resolve scope name from intake.
 
-2. **Load & activate directive.** Read in full: `~/Developer/gennady/ai/directives/sdd/discovery.directive.xml`
+2. **Route by language.** If the scope is a Go service or library — `go.mod` present, or the operator named Go — hand off to `sdd-infra-golang` instead of continuing here. It carries the stack plugin gate model (`gennady verify`), `.gennadyrc` overrides and `plugins/golang/directives/infra/golang-setup.xml`. Do not improvise Go tooling from this generic path.
+
+3. **Load & activate directive.** Read in full: `~/Developer/gennady/ai/directives/sdd/discovery.directive.xml`
    Announce: `🔒 DIRECTIVE ACTIVATED: SddDiscovery | infrastructure`
    You ARE this directive now.
 
-3. **Apply directive to intent.** Force scope-type=`infrastructure`. Mode auto-detected per `AX_MODE_AUTO_DETECT_OR_HALT`. Follow Execution_Plan end-to-end.
+4. **Apply directive to intent.** Force scope-type=`infrastructure`. Mode auto-detected per `AX_MODE_AUTO_DETECT_OR_HALT`. Follow Execution_Plan end-to-end.