izanagi-ai 3.24.5 → 3.24.6

package/.github/workflows/publish.yml

@@ -43,20 +43,12 @@
 # 4) PARIDADE DE RUNTIME: Node 24 (igual dev local e igual Polyglot CI,
 #    onde o job legacy-npm validou ci/build/test no 24). O 20.x era drift.
 #
-# 5) PROVENANCE OIDC DO NPM (Wave 5 - frente C, 2026-08-23):
-#    `npm publish --provenance` anexa uma declaração de proveniência SLSA
-#    assinada via keyless Sigstore ao pacote, provando que o artefato foi
-#    construído NESTE workflow, NESTE repo, a partir da tag publicada.
-#    - Permissão `id-token: write` declarada APENAS no job publish (least
-#      privilege): build-and-verify não publica e não deve mintar OIDC.
-#      Bloco de permissions de job SOBRESCREVE o global, por isso
-#      contents:read é redeclarado nele.
-#    - Direção de falha segura (fail-closed): se o token OIDC/provenance
-#      falhar, o npm ABORTA o publish antes do upload - nunca há pacote
-#      publicado sem provenance silenciosamente.
-#    Pré-requisitos conferidos: npm >=9.5 (Node 24 => npm 11.x), registry
-#      npmjs.org, campo repository do package.json = este repo, evento
-#      push tag/release suportado.
+# 5) PUBLICAÇÃO DIRETA:
+#    O npm passou a tratar `npm publish --provenance` como staged publishing
+#    em versões recentes, deixando o pacote pendente de aprovação 2FA e fazendo
+#    o workflow parecer verde sem atualizar o dist-tag latest. Este CD usa
+#    publicação direta autenticada por NPM_TOKEN; o gate build-and-verify
+#    continua sendo obrigatório antes do upload.
 # =============================================================================
 
 name: Publish to NPM
@@ -96,14 +88,9 @@ jobs:
     needs: build-and-verify
     runs-on: ubuntu-latest
     timeout-minutes: 10
-    # Least privilege no nível de JOB (não global): id-token:write é exigido
-    # pelo provenance OIDC do npm e vale só aqui. Este bloco SOBRESCREVE o
-    # permissions do topo do workflow para este job - por isso contents:read
-    # é redeclarado (checkout continua funcionando). build-and-verify segue
-    # herdando apenas contents:read do escopo global.
+    # O job publica somente depois do gate e precisa apenas ler o checkout.
     permissions:
       contents: read
-      id-token: write
     steps:
       # actions/checkout@v7
       - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1
@@ -135,8 +122,6 @@ jobs:
           fi
       - name: Publish (only if version is new)
         if: steps.version_guard.outputs.already_published == 'false'
-        # --provenance: exige id-token:write (acima). Fail-closed: sem OIDC
-        # válido o npm aborta ANTES do upload - nunca publica sem assinatura.
-        run: npm publish --access public --provenance
+        run: npm publish --access public
         env:
           NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

package/.manifest

@@ -1,11 +1,11 @@
 {
   "name": "izanagi-ai",
-  "version": "3.24.5",
+  "version": "3.24.6",
   "description": "Izanagi AI - Modular Skill-Oriented AI Prompt & Agent Framework for Autonomous Software Engineering",
   "author": "Pedro Henrique Sanches Leal",
   "license": "MIT",
   "homepage": "https://github.com/pedrohenriquesanchesleal4-debug/izanagi-ai#readme",
-  "generatedAt": "2026-09-23T13:45:06.355Z",
+  "generatedAt": "2026-09-23T13:53:44.870Z",
   "agents": [
     {
       "id": "adversarial-critic",

package/README.md

@@ -1,6 +1,6 @@
 # Izanagi AI
 
-> **v3.24.5** · npm estável: **3.24.0**. Runtime de execução de trabalho orientado a agentes. **Executa sem API key e sem modelo local**: se você já tem o `claude` (Claude Code CLI) instalado e autenticado, `izanagi run` faz trabalho de verdade usando essa autenticação, por subprocesso.
+> **v3.24.6** · npm estável: **3.24.0**. Runtime de execução de trabalho orientado a agentes. **Executa sem API key e sem modelo local**: se você já tem o `claude` (Claude Code CLI) instalado e autenticado, `izanagi run` faz trabalho de verdade usando essa autenticação, por subprocesso.
 >
 > Arquitetura: **Commander** → contrato de tarefa → roteamento por papel (por TAREFA, não por run) → grafo → verificação por evidência → healing → replan → memória. O run **lê o projeto** antes de decidir e **entrega arquivo** no fim, os dois por nós de tool com permissão declarada. Todo teto declarado (tokens, custo, tempo, retries, agentes, tool calls, concorrência, allowlist de tool) **é aplicado e tem teste que mede o teto**; `Ctrl-C` cancela o run e o `resume` retoma do último batch gravado. 22 agentes especializados, catálogo de skills v2, CLI publicada no npm (`izanagi-ai`), SDK programático e **topologia poliglota** (Rust · Go · Python · TypeScript) ao lado do runtime legado.
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "izanagi-ai",
-  "version": "3.24.5",
+  "version": "3.24.6",
   "description": "Izanagi AI - Modular Skill-Oriented AI Prompt & Agent Framework for Autonomous Software Engineering",
   "main": "./dist/index.js",
   "module": "./dist/index.js",