jarvis-ai-framework 2.1.1 → 3.2.0

package/bin/lib/vcs/create-issue.js

@@ -1,43 +1,59 @@
 import { readFileSync, existsSync } from "node:fs";
+import { fileURLToPath } from "node:url";
 import { createIssue, parseRepoUrl } from "./api.js";
 
-function arg(name, fallback = "") {
-  const idx = process.argv.indexOf(`--${name}`);
-  if (idx === -1) return fallback;
-  return process.argv[idx + 1] || fallback;
-}
+/**
+ * Abre uma issue via adapter (GitLab/GitHub/Bitbucket).
+ * Usada por `jarvis vcs create-issue` e pelo skill `jarvis-report-issue`.
+ * @param {Object} options
+ * @param {string} options.repo - URL ou `org/repo` do repositório
+ * @param {string} options.title - Título da issue
+ * @param {string} options.bodyFile - Path de um arquivo com o corpo em markdown
+ */
+export async function runCreateIssue({ repo, title, bodyFile }) {
+  if (!title || !bodyFile || !repo) {
+    console.error(
+      "Uso: jarvis vcs create-issue --repo <url-ou-path> --title <titulo> --body-file <path>"
+    );
+    process.exit(1);
+  }
 
-const title = arg("title");
-const bodyFile = arg("body-file");
-const repo = arg("repo");
+  let repoUrl = repo.trim();
+  if (!/^https?:\/\//.test(repoUrl) && !repoUrl.includes("@")) {
+    const hostGuess = (process.env.VERSION_CONTROL || "gitlab").toLowerCase();
+    const host =
+      hostGuess === "github"
+        ? "github.com"
+        : hostGuess === "bitbucket"
+          ? "bitbucket.org"
+          : "gitlab.com";
+    repoUrl = `https://${host}/${repoUrl.replace(/^\/+/, "")}`;
+  }
 
-if (!title || !bodyFile || !repo) {
-  console.error(
-    "Uso: create-issue.js --repo <url-ou-path> --title <titulo> --body-file <path>",
-  );
-  process.exit(1);
-}
+  const body = existsSync(bodyFile) ? readFileSync(bodyFile, "utf-8") : "";
 
-let repoUrl = repo.trim();
-if (!/^https?:\/\//.test(repoUrl) && !repoUrl.includes("@")) {
-  const hostGuess = (process.env.VERSION_CONTROL || "gitlab").toLowerCase();
-  const host =
-    hostGuess === "github"
-      ? "github.com"
-      : hostGuess === "bitbucket"
-        ? "bitbucket.org"
-        : "gitlab.com";
-  repoUrl = `https://${host}/${repoUrl.replace(/^\/+/, "")}`;
+  try {
+    const result = await createIssue(repoUrl, { title, body });
+    parseRepoUrl(repoUrl);
+    console.log(`✅ Issue aberto: ${result.url}`);
+    console.log(JSON.stringify(result));
+  } catch (err) {
+    console.error(err.message);
+    process.exit(1);
+  }
 }
 
-const body = existsSync(bodyFile) ? readFileSync(bodyFile, "utf-8") : "";
+function arg(name, fallback = "") {
+  const idx = process.argv.indexOf(`--${name}`);
+  if (idx === -1) return fallback;
+  return process.argv[idx + 1] || fallback;
+}
 
-try {
-  const result = await createIssue(repoUrl, { title, body });
-  parseRepoUrl(repoUrl);
-  console.log(`✅ Issue aberto: ${result.url}`);
-  console.log(JSON.stringify(result));
-} catch (err) {
-  console.error(err.message);
-  process.exit(1);
+// Compatibilidade: continua funcionando como `node bin/lib/vcs/create-issue.js --repo ...`
+if (fileURLToPath(import.meta.url) === process.argv[1]) {
+  await runCreateIssue({
+    title: arg("title"),
+    bodyFile: arg("body-file"),
+    repo: arg("repo"),
+  });
 }

package/bin/lib/vcs/create-merge.js

@@ -1,43 +1,59 @@
 import { execSync } from "node:child_process";
 import { readFileSync } from "node:fs";
+import { fileURLToPath } from "node:url";
 import { createMergeRequest, parseRepoUrl } from "./api.js";
 
+/**
+ * Abre um MR/PR via adapter (GitLab/GitHub/Bitbucket, pelo hostname do remote).
+ * Usada por `jarvis vcs create-merge` e, diretamente, por `eng.pr`.
+ * @param {Object} options
+ * @param {string} options.source - Branch de origem
+ * @param {string} options.target - Branch de destino
+ * @param {string} options.title - Título do MR/PR
+ * @param {string} [options.bodyFile] - Path de um arquivo com a descrição
+ * @param {string} [options.repo] - URL do repo (padrão: `git remote get-url origin`)
+ */
+export async function runCreateMerge({ source, target, title, bodyFile, repo }) {
+  if (!source || !target || !title) {
+    console.error(
+      "Uso: jarvis vcs create-merge --source <branch> --target <branch> --title <titulo> [--body-file path] [--repo url]"
+    );
+    process.exit(1);
+  }
+
+  const repoUrl = repo || execSync("git remote get-url origin", { encoding: "utf-8" }).trim();
+  const description = bodyFile ? readFileSync(bodyFile, "utf-8") : "";
+
+  try {
+    const result = await createMergeRequest(repoUrl, {
+      source,
+      target,
+      title,
+      description,
+    });
+    const parsed = parseRepoUrl(repoUrl);
+    const noun = parsed.vendor === "gitlab" ? "MR" : "PR";
+    console.log(`✅ ${noun} criado: ${result.url}`);
+    console.log(JSON.stringify(result));
+  } catch (err) {
+    console.error(err.message);
+    process.exit(1);
+  }
+}
+
 function arg(name, fallback = "") {
   const idx = process.argv.indexOf(`--${name}`);
   if (idx === -1) return fallback;
   return process.argv[idx + 1] || fallback;
 }
 
-const source = arg("source");
-const target = arg("target");
-const title = arg("title");
-const bodyFile = arg("body-file");
-const repoArg = arg("repo");
-
-if (!source || !target || !title) {
-  console.error(
-    "Uso: create-merge.js --source <branch> --target <branch> --title <titulo> [--body-file path] [--repo url]",
-  );
-  process.exit(1);
-}
-
-const repoUrl =
-  repoArg ||
-  execSync("git remote get-url origin", { encoding: "utf-8" }).trim();
-const description = bodyFile ? readFileSync(bodyFile, "utf-8") : "";
-
-try {
-  const result = await createMergeRequest(repoUrl, {
-    source,
-    target,
-    title,
-    description,
+// Compatibilidade: continua funcionando como `node bin/lib/vcs/create-merge.js --source ...`
+if (fileURLToPath(import.meta.url) === process.argv[1]) {
+  await runCreateMerge({
+    source: arg("source"),
+    target: arg("target"),
+    title: arg("title"),
+    bodyFile: arg("body-file"),
+    repo: arg("repo"),
   });
-  const parsed = parseRepoUrl(repoUrl);
-  const noun = parsed.vendor === "gitlab" ? "MR" : "PR";
-  console.log(`✅ ${noun} criado: ${result.url}`);
-  console.log(JSON.stringify(result));
-} catch (err) {
-  console.error(err.message);
-  process.exit(1);
 }

package/bin/lib/vcs/fetch-raw.js

@@ -1,30 +1,42 @@
+import { fileURLToPath } from "node:url";
 import { fetchRawFile } from "./api.js";
 
-const filePath = process.argv[2];
-const ref = process.argv[3] || "main";
-const repo = process.env.CENTRAL_DOCS_REPO;
+/**
+ * Busca o conteúdo bruto de um arquivo no central-docs via adapter.
+ * Usada por `jarvis vcs fetch-raw`.
+ * @param {string} filePath - Path do arquivo dentro do repo central-docs
+ * @param {string} [ref] - Branch/ref (padrão: "main")
+ */
+export async function runFetchRaw(filePath, ref = "main") {
+  const repo = process.env.CENTRAL_DOCS_REPO;
 
-if (!filePath) {
-  console.error("Uso: fetch-raw.js <file-path> [ref]");
-  process.exit(1);
-}
-if (!repo) {
-  console.error("CENTRAL_DOCS_REPO não definido");
-  process.exit(1);
-}
-
-try {
-  const content = await fetchRawFile(repo, filePath, ref);
-  process.stdout.write(content);
-} catch (err) {
-  if (err.code === 404) {
-    console.error(`⚠️  Arquivo não encontrado no central-docs: ${filePath}`);
-    process.exit(2);
+  if (!filePath) {
+    console.error("Uso: jarvis vcs fetch-raw <file-path> [ref]");
+    process.exit(1);
   }
-  if (err.code === 401 || err.code === 403) {
-    console.error("❌ Token sem permissão para acessar o repositório");
+  if (!repo) {
+    console.error("CENTRAL_DOCS_REPO não definido");
     process.exit(1);
   }
-  console.error(err.message);
-  process.exit(1);
+
+  try {
+    const content = await fetchRawFile(repo, filePath, ref);
+    process.stdout.write(content);
+  } catch (err) {
+    if (err.code === 404) {
+      console.error(`⚠️  Arquivo não encontrado no central-docs: ${filePath}`);
+      process.exit(2);
+    }
+    if (err.code === 401 || err.code === 403) {
+      console.error("❌ Token sem permissão para acessar o repositório");
+      process.exit(1);
+    }
+    console.error(err.message);
+    process.exit(1);
+  }
+}
+
+// Compatibilidade: continua funcionando como `node bin/lib/vcs/fetch-raw.js <file-path> [ref]`
+if (fileURLToPath(import.meta.url) === process.argv[1]) {
+  await runFetchRaw(process.argv[2], process.argv[3] || "main");
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "jarvis-ai-framework",
-  "version": "2.1.1",
+  "version": "3.2.0",
   "description": "Jarvis framework",
   "type": "module",
   "bin": {
@@ -10,8 +10,12 @@
     "postinstall": "node bin/postinstall.js",
     "prepublishOnly": "echo 'Publishing jarvis-framework...'",
     "publish:gitlab": "npm publish",
-    "test:comandos": "node test/test-comandos-docs.js",
-    "test:filtro": "node --test test/profile-filter.test.js test/token-report.test.js test/flow-map.test.js"
+    "test:comandos": "node test/comandos-docs.test.js",
+    "test:filtro": "node --test test/profile-filter.test.js test/token-report.test.js test/flow-map.test.js test/env-loader.test.js test/sync-engine.test.js test/vcs-api.test.js test/fetch-file.test.js test/publish-file.test.js",
+    "lint": "eslint bin/ test/",
+    "lint:fix": "eslint bin/ test/ --fix",
+    "format": "prettier --write bin/ test/",
+    "format:check": "prettier --check bin/ test/"
   },
   "files": [
     "bin/",
@@ -45,11 +49,16 @@
   "bugs": {
     "url": "https://github.com/phelipperibeiro/jarvis-framework/issues"
   },
-  "dependencies": {},
   "engines": {
     "node": ">=18.0.0"
   },
   "devDependencies": {
-    "sharp": "^0.34.5"
+    "@eslint/js": "^9.39.5",
+    "eslint": "^9.39.5",
+    "eslint-config-prettier": "^10.1.8",
+    "prettier": "^3.9.9"
+  },
+  "dependencies": {
+    "commander": "^13.1.0"
   }
 }

package/rules/engineering/eng-rules.md

@@ -26,7 +26,7 @@ env_file: "@/ENV.md"
     O arquivo ENV.md não existe ou está incompleto.
     Por favor, execute `/jarvis-init` para configurar o ambiente antes de continuar.
     ```
-  - **Listas de especializações (presentes, podem estar vazias)**: `BACKEND_SPECIALIZATIONS` e `FRONTEND_SPECIALIZATIONS` devem **existir** no `ENV.md`. Lista **vazia** é válida (só o skill base). Variável **ausente** interrompe o comando de backend ou de frontend e orienta o Upgrade do `/jarvis-init`. Detalhes e mensagens em `eng.specializations-rules.md`.
+  - **Listas de especializações (presentes, podem estar vazias)**: `BACKEND_SPECIALIZATIONS`, `FRONTEND_SPECIALIZATIONS`, `QA_SPECIALIZATIONS`, `DATA_SPECIALIZATIONS`, `AUTOMATION_SPECIALIZATIONS` e `PLATFORM_SPECIALIZATIONS` devem **existir** no `ENV.md`. Lista **vazia** é válida (só o skill base). Variável **ausente** interrompe o comando daquela área e orienta o Upgrade do `/jarvis-init` — mas só quando um comando daquela área específica é executado (igual já valia pra backend/frontend; não bloqueia comando de uma área não tocada). Detalhes e mensagens em `eng.specializations-rules.md`.
   - **Skills sem área**: skill instalado sem `metadata.area` reconhecida bloqueia o comando, e skill pedido que não existe gera aviso. Detalhes e mensagens em `eng.skills-rules.md`.
 
 - **🔧 VARIÁVEL `$IDE` - DETECÇÃO AUTOMÁTICA DA PASTA DA IDE**

package/rules/engineering/eng-security-rules.md

@@ -7,7 +7,10 @@ env_file: "@/ENV.md"
 # Regras de Seguranca para Engenharia
 
 Regras de seguranca aplicaveis a todo o fluxo de engenharia — do planejamento ao merge.
-Toda implementacao deve seguir estas regras por padrao, sem necessidade de invocar o skill `eng-security-cybersecurity` explicitamente.
+Toda implementacao deve seguir estas regras por padrao. Seguranca de codigo de aplicacao ja e
+padrao embutido nas bases `eng-backend`/`eng-frontend`; seguranca de infraestrutura e fundamentos
+de seguranca da informacao (risco, ameacas, identidade, resposta a incidente, GRC, privacidade)
+ficam no `eng-platform` (temas 9 e 13).
 
 ---
 
@@ -103,21 +106,22 @@ O agente DEVE incluir no checklist de pre-PR as seguintes verificacoes de segura
 
 Se o PR toca em areas sensiveis (auth, sessions, RBAC, CORS, CSP, permissoes), o agente DEVE:
 1. Adicionar label `security` ao PR
-2. Recomendar ao usuario executar `/eng.security-review` antes do merge
+2. Seguir o gate de seguranca inline do `eng.pre-pr` (sanitizacao, auth guards, headers, secrets scan, `npm audit`) antes do merge
 
 ---
 
 ## Fase: eng.pr (Merge)
 
-- PRs com label `security` devem ter review de seguranca aprovado (manual ou via `/eng.security-review`)
+- PRs com label `security` devem ter review de seguranca aprovado manualmente antes do merge
 - Nunca aprovar PR com secret detectado no diff — sem excecoes
 - Se o PR adiciona endpoint publico, documentar justificativa no description do PR
 
 ---
 
-## Fronteira Read-Only (Analise de Seguranca)
+## Analise Read-Only de Seguranca
 
-Os skills de seguranca (`eng-security-threat-model`, `eng.security-audit`, `eng-security-triage`) operam em **modo estatico apenas**:
+Qualquer analise de ameacas, auditoria ou investigacao de seguranca feita pelo agente opera em
+**modo estatico apenas**:
 
 - Leem codigo-fonte, historico git e relatorios fornecidos pelo usuario
 - **Nunca** executam, buildam, fuzzam ou modificam o codigo-alvo
@@ -130,11 +134,11 @@ Os skills de seguranca (`eng-security-threat-model`, `eng.security-audit`, `eng-
 
 Usar `jarvis-context-detect` para calibrar a profundidade da analise de seguranca:
 
-| Nivel de risco | Criterio | Estrategia | Tokens (estimado) |
-|---|---|---|---|
-| **Baixo** — PR comum | Logica de negocio sem superficie sensivel | Single-pass, sem fan-out | ~15k (main thread) |
-| **Medio** — PR sensivel | Toca auth, sessions, RBAC, CORS, CSP, PII, fluxo financeiro, criptografia | Fan-out por area + single-vote | ~80k (subagentes isolados) |
-| **Alto** — Audit completo | Usuario invoca `/eng.security-audit` explicitamente | Fan-out + multi-voto (3 votos por achado) | ~200k-1M (subagentes isolados) |
+| Nivel de risco | Criterio | Estrategia |
+|---|---|---|
+| **Baixo** — PR comum | Logica de negocio sem superficie sensivel | Single-pass, sem fan-out |
+| **Medio** — PR sensivel | Toca auth, sessions, RBAC, CORS, CSP, PII, fluxo financeiro, criptografia | Fan-out por area + single-vote |
+| **Alto** — Auditoria completa | Usuario pede uma auditoria dedicada do projeto | Fan-out + multi-voto (3 votos por achado) |
 
 O peso do token fica em subagentes isolados — janela da sessao principal nao lota.
 PR comum sem risco identificado = zero token extra (so as rules, que ja ficam carregadas).
@@ -149,23 +153,21 @@ As regras acima se aplicam a TODOS os engenheiros. A responsabilidade escala com
 |----------|---------------------------|
 | JUNIOR, PLENO | Seguir as regras. Em duvida de seguranca, consultar senior/TL — nao bloqueia a entrega se o risco for registrado |
 | SENIOR, SPECIALIST | Seguir + revisar seguranca de PRs do squad quando solicitado |
-| TECH LEAD, HEAD | Seguir + garantir que `/eng.security-review` foi executado em PRs com label `security`. Decidir se escala incidente |
+| TECH LEAD, HEAD | Seguir + garantir que o gate de seguranca do `eng.pre-pr` foi seguido em PRs com label `security`. Decidir se escala incidente |
 | CTO | Seguir + visao de compliance (LGPD/GDPR) e risco organizacional. Aprovar excecoes de seguranca |
 
 ---
 
-## Quando escalar para o agente SENTINEL
+## Quando o risco excede estas regras
 
-O agente de engenharia (ATHENA) deve recomendar o uso do agente SENTINEL (`eng.cybersecurity.agent.md`) quando:
+O agente de engenharia (ATHENA) deve sinalizar explicitamente ao usuario e pedir revisao humana quando:
 
 - Vulnerabilidade conhecida (CVE) afeta uma dependencia do projeto
-- Auditoria de seguranca completa e solicitada
+- Auditoria de seguranca completa e solicitada (sem skill dedicado hoje — se for recorrente, considere criar uma especializacao em `PLATFORM_SPECIALIZATIONS`)
 - Incidente de seguranca em producao
 - Feature envolve fluxo financeiro, PII ou auth complexa (OAuth, MFA)
 - Duvida sobre impacto de seguranca que excede o escopo das regras acima
 
-> O skill `/eng-security-cybersecurity` pode ser invocado diretamente para consulta rapida sem ativar o agente completo.
-
 ---
 
 ## Nunca

package/rules/engineering/eng.bump-rules.md

@@ -23,5 +23,6 @@ Corrigir bugs sem alterar feature pretendida.
 Pequenas melhorias de performance.
 Atualizações de documentação ou mudanças de metadata.
 
-Altere a versão no pyproject.toml.
-Então, execute `uv sync --all-extras` para regenerar o lock file.
+Altere a versão em `package.json`.
+Então, execute `npm install` para regenerar o `package-lock.json`.
+Adicione uma entrada em `CHANGELOG.md` para a nova versão, seguindo o formato [Keep a Changelog](https://keepachangelog.com/).

package/rules/engineering/eng.docs-scraping-rules.md

@@ -19,7 +19,7 @@ Aplicável sempre que um robô novo for implementado, um bug estrutural for reso
 #### Localização
 
 - Sempre criar em `docs/engineering/robots/{robot-tag}-robot.md`
-- Exemplos: `docs/engineering/robots/ba-robot.md`, `docs/engineering/robots/sp-robot.md`
+- Exemplos: `docs/engineering/robots/consulta-orgao-robot.md`, `docs/engineering/robots/extrator-dados-robot.md`
 
 #### Conteúdo obrigatório
 
@@ -30,8 +30,8 @@ Todo arquivo `{robot-tag}-robot.md` deve conter:
 | **Visão Geral** | O que o robô coleta e o que **não** coleta (limitações por design) |
 | **Fluxo de Execução** | Sequência de chamadas HTTP com URLs completas de cada etapa |
 | **Fontes de Dados** | Cada fonte (PDF, HTML, API) com mapeamento de campos/colunas |
-| **Campos Extraídos** | Tabela por `situation` (ex: IMPOSTA vs AGUARDANDO IMPOSICAO) — quais campos existem em cada uma e a fonte |
-| **Limitações Conhecidas** | Campos indisponíveis na fonte do DETRAN/órgão — documentar por que não é possível extrair |
+| **Campos Extraídos** | Tabela por `situation` (ex: CONCLUIDO vs PENDENTE) — quais campos existem em cada uma e a fonte |
+| **Limitações Conhecidas** | Campos indisponíveis na fonte do sistema/órgão externo — documentar por que não é possível extrair |
 | **Histórico de Bugs** | Bugs resolvidos com referência ao Jira key, sintoma, causa e fix aplicado |
 | **Checklist de Troubleshooting** | Tabela: sintoma → causa provável → ação |
 
@@ -39,7 +39,7 @@ Todo arquivo `{robot-tag}-robot.md` deve conter:
 
 - Ao implementar um robô novo
 - Ao resolver qualquer bug estrutural (ex: campo retornando vazio, matching falho)
-- Ao fazer descobertas relevantes sobre o comportamento do site-alvo (ex: estrutura de colunas HTML, campos disponíveis por situação de multa)
+- Ao fazer descobertas relevantes sobre o comportamento do site-alvo (ex: estrutura de colunas HTML, campos disponíveis por situação do registro)
 - Sempre referenciar o Jira key no histórico de bugs
 
 ### Proibido

package/rules/engineering/eng.integrations-rules.md

@@ -8,8 +8,8 @@ O Jarvis não assume Jira, GitLab ou Slack. Leia `$IDE/ENV.md` e despache pelo a
 
 | Variável | Vendors | Adapter |
 |----------|---------|---------|
-| `TASK_MANAGER` | jira, linear, github, asana | `bin/lib/tasks/comment.js` |
-| `VERSION_CONTROL` | gitlab, github, bitbucket | `bin/lib/vcs/` |
+| `TASK_MANAGER` | jira, linear, github, asana | `jarvis tasks comment` |
+| `VERSION_CONTROL` | gitlab, github, bitbucket | `jarvis vcs create-merge` / `create-issue` / `fetch-raw` |
 | `MESSAGE_COMUNICATOR` | slack, discord, teams | runtime `communicator/` |
 
 `{TASK_MANAGER_KEY}` = id da tarefa. Com board, é o id do card. Sem board, é o número de controle do usuário.
@@ -34,7 +34,9 @@ Com board definido, se o key não veio nos argumentos, perguntar o id do card na
 
 ## Comentário no card
 
-Só se `TASK_MANAGER` estiver preenchido com um vendor. Freelance → pular.
+Só se `TASK_MANAGER` estiver preenchido com um vendor. Freelance → pular. Falha no comentário não bloqueia o workflow.
+
+Comentar **somente** em eventos relevantes: (a) **desvio do plano** (mudança de direção, fase bloqueada), (b) **auditoria do Advisor** (as questões do `architecture.md` com as opções junto da escolha), (c) **bloqueio** com valor de rastreabilidade (ex.: pré-PR reprovado), (d) **link do MR**, uma única vez. **Nunca** comentar início ou fim de etapa ("Iniciando…", "concluído…"): o acompanhamento fica no fluxo e no PR.
 
 ```
 /eng-global-task-comment {TASK_MANAGER_KEY} {mensagem}
@@ -43,7 +45,7 @@ Só se `TASK_MANAGER` estiver preenchido com um vendor. Freelance → pular.
 ## MR / PR
 
 ```
-node bin/lib/vcs/create-merge.js --source BRANCH --target BRANCH --title "..." --body-file path
+jarvis vcs create-merge --source BRANCH --target BRANCH --title "..." --body-file path
 ```
 
 Vendor pelo hostname de `git remote get-url origin` (ou `VERSION_CONTROL`).

package/rules/engineering/eng.skills-rules.md

@@ -10,7 +10,7 @@ Garantir que todo skill instalado tenha uma área reconhecida e avisar a pessoa,
 
 Vale para todo comando `eng.*` e seus agentes, **ao iniciar**. A pasta de skills considerada é `$IDE/skills/`.
 
-**Áreas reconhecidas:** `qa`, `data`, `ai`, `frontend`, `backend`, `security`, `scraper`, `devops`, `global`, `product`.
+**Áreas reconhecidas:** `qa`, `data`, `ai`, `frontend`, `backend`, `automation`, `devops`, `platform`, `global`, `product`.
 
 ## Regras
 

package/rules/engineering/eng.specializations-rules.md

@@ -1,6 +1,6 @@
 > **Applies to:** HUB: all | POSITION: all | AREA: ENGINEERING | SQUAD: all
 
-# Regras de Especializações por Stack
+# Regras de Especializações por Área
 
 ## Objetivo
 
@@ -8,12 +8,25 @@ Fazer todo comando `eng.*` carregar o **skill base** da área mais as **especial
 
 ## Escopo
 
-Vale para qualquer comando `eng.*` e seus agentes, **ao iniciar um trabalho de backend** (APIs, autenticação, workers, banco de dados, servidor) **ou de frontend** (componentes, interface, estilos, estado). Se o trabalho envolve as duas áreas, aplique a regra a cada uma. Se não é de nenhuma das duas, não carregue nada.
+Vale para qualquer comando `eng.*` e seus agentes, ao iniciar um trabalho que seja claramente de uma destas áreas. Se o trabalho envolve mais de uma, aplique a regra a cada uma. Se não é de nenhuma, não carregue nada.
+
+| Área | Indicadores de quando se aplica |
+|------|----------------------------------|
+| backend | APIs, autenticação, workers, banco de dados, servidor |
+| frontend | Componentes, interface, estilos, estado |
+| qa | Testes, cobertura, quality gates, planejamento de testes |
+| data | Pipelines, ETL/ELT, modelagem, contratos de dados, qualidade de dados |
+| automation | RPA (robôs, automação de browser/fluxos de trabalho), web scraping, crawling, parsing |
+| platform | Infraestrutura, cloud, IaC, contêineres, CI/CD, observabilidade, SRE, segurança de infra, FinOps |
 
 | Área | Variável no `ENV.md` | Skill base |
 |------|----------------------|------------|
 | backend | `BACKEND_SPECIALIZATIONS` | `eng-backend` |
 | frontend | `FRONTEND_SPECIALIZATIONS` | `eng-frontend` |
+| qa | `QA_SPECIALIZATIONS` | `eng-qa` |
+| data | `DATA_SPECIALIZATIONS` | `eng-data` |
+| automation | `AUTOMATION_SPECIALIZATIONS` | `eng-automation` |
+| platform | `PLATFORM_SPECIALIZATIONS` | `eng-platform` |
 
 ## Regras
 
@@ -53,8 +66,9 @@ Vale para qualquer comando `eng.*` e seus agentes, **ao iniciar um trabalho de b
 
 ## Exceções
 
-- Áreas além de backend e frontend não têm lista (evolução futura).
-- Skills de outras áreas não passam por esta regra.
+- `ai`, `devops`, `global` e `product` ainda não têm lista — fora do escopo desta regra até que apareça necessidade real (evolução futura).
+- Skills dessas áreas não passam por esta regra.
+- A área `security` foi descontinuada (2026-10-05): não existe mais skill própria nem lista. Segurança de infraestrutura e fundamentos de segurança da informação entram em `PLATFORM_SPECIALIZATIONS`; segurança de código de aplicação já é padrão embutido em `eng-backend`/`eng-frontend`. Ver `skills/security-skills-deleted.md`.
 
 ## Referências
 

package/rules/engineering/frontend/eng.frontend-rules.md

@@ -88,10 +88,7 @@ Aplica-se quando a linguagem do projeto tem tipagem estática ou contratos expl
 
 ### Ferramentas disponíveis no framework
 
-- **TestSprite** (`/eng-qa-testsprite`): se estiver instalado no projeto, usá-lo para gerar e executar testes de componente e de ponta a ponta — ele gera planos de teste e código automaticamente.
-  Verificar: `ls node_modules/@testsprite 2>/dev/null || cat package.json | grep testsprite`
-- **Stagehand** (`/eng-scraper-robot-builder`, `/eng-qa-e2e`): para testes de ponta a ponta em linguagem natural ou automação de fluxos complexos, descrevendo o fluxo em português.
-  Verificar: `cat package.json | grep stagehand`
+- **Especialização de testes automatizados registrada em `QA_SPECIALIZATIONS`** (via a base `/eng-qa`): se o projeto tiver uma, usá-la para gerar e executar testes de componente e de ponta a ponta.
 
 > Quando qualquer dessas ferramentas estiver disponível no projeto, **preferir sobre a implementação manual** — reduz o custo de manutenção e aumenta a cobertura mais rápido.
 

package/rules/engineering/qa/eng.qa.cypress-standards-rules.md

@@ -6,7 +6,7 @@ Convenções obrigatórias para a escrita e manutenção da suíte de testes E2E
 Estas regras são carregadas automaticamente pelo `warm-up` quando `HUB=QA`.
 
 > **Fonte de verdade**: este arquivo define o padrão para toda a sessão.
-> A skill `eng-qa-cypress-e2e` assume que estas regras foram carregadas — não as redescobre.
+> A especialização de Cypress registrada em `QA_SPECIALIZATIONS` assume que estas regras foram carregadas — não as redescobre.
 
 ---
 

package/rules/engineering/rpa/eng.rpa-rules.md

@@ -174,17 +174,13 @@ Documentar o resultado no `{robot-tag}-robot.md` na seção de Visão Geral.
 - Executar manualmente antes do PR em ambiente com acesso ao sistema-alvo
 - Não incluir no pipeline de CI sem ambiente controlado
 
-### TestSprite (recomendado para fluxos de UI)
+### Validação E2E (recomendada para fluxos de UI)
 
-Quando o robô interage com interface visual (browser headless), usar o skill `eng-qa-testsprite` para gerar e executar testes do fluxo de automação:
-
-```
-/eng-qa-testsprite
-```
+Quando o robô interage com interface visual (browser headless), usar a especialização de testes automatizados registrada em `QA_SPECIALIZATIONS` (via a base `eng-qa`) para gerar e executar testes do fluxo de automação:
 
 - Útil para validar que o fluxo completo (login → navegação → extração) continua funcionando após mudanças
 - Complementa os testes unitários com validação end-to-end contra o sistema-alvo em ambiente controlado
-- Referência: `$IDE/skills/eng-qa-testsprite/SKILL.md`
+- Referência: `$IDE/skills/eng-qa/SKILL.md`
 
 ---
 
@@ -225,6 +221,5 @@ com justificativa explícita. Exceções recorrentes devem ser propostas como at
 ## Referências
 
 - `$IDE/rules/engineering/eng.docs-scraping-rules.md` — padrão de documentação de robôs
-- `$IDE/skills/eng-scraper/SKILL.md` — skill de scraping (Puppeteer, Playwright, ETL)
-- `$IDE/skills/eng-scraper-robot-builder/SKILL.md` — skill de automação via Stagehand
+- `$IDE/skills/eng-automation/SKILL.md` — skill base de automação (+ especializações em `AUTOMATION_SPECIALIZATIONS`)
 - `$IDE/agents/engineering/eng.rpa.agent.md` — agente especializado RPA (ARACHNE)

package/rules-on-demand/engineering/eng.pre-pr-rules.md

@@ -94,6 +94,6 @@ O workflow **deve sempre** terminar com:
    - 🟡 Yellow: pode abrir PR com ressalvas documentadas
    - 🔴 Red: bloqueado — listar o que impede o PR
 
-2. **Comentário no card** com o status final (via `/eng-global-task-comment`) — pular se freelance
+2. **Comentário no card só se a validação reprovar** (🔴 RED, bloqueio), com o motivo (via `/eng-global-task-comment`) — pular se freelance; GREEN e YELLOW não comentam
 
 3. **Aguardar permissão explícita** do usuário para prosseguir para `/eng.pr`

package/rules-on-demand/engineering/eng.start-rules.md

@@ -44,6 +44,8 @@ O workflow **só é considerado completo** após:
 2. O usuário revisar o documento
 3. O usuário **aprovar explicitamente** para prosseguir
 
+**Exceção (Advisor):** se o usuário escolheu usar o Advisor no início do `eng.start`, as questões em aberto são decididas pela sugestão dele e o gate segue a autonomia do `context.md`: com `autonomia: alta` o `start` apresenta o resumo e segue para o `eng.plan` sem aguardar; com `média` ou `baixa`, a aprovação explícita continua obrigatória.
+
 ---
 
 ## Comportamento Esperado