ostacky 0.8.7 → 0.9.0

package/README.md

@@ -246,37 +246,37 @@ Tras instalar (`--scope local`), el proyecto queda así:
 
 ```json
 {
-    "version": "0.8.7",
+    "version": "0.9.0",
     "lockedAt": "2025-01-01T00:00:00.000Z",
     "repo": "JaimeHoracio/Ostacky",
-    "tag": "v0.8.7",
+    "tag": "v0.9.0",
     "agents": {
         "ostacky": {
-            "version": "0.8.7",
+            "version": "0.9.0",
             "installedAt": "2025-01-01T00:00:00.000Z",
             "sha256": "abc123..."
         }
     },
     "commands": {
         "install-stack": {
-            "version": "0.8.7",
+            "version": "0.9.0",
             "installedAt": "2025-01-01T00:00:00.000Z",
             "sha256": "def456..."
         },
         "opsx-sync": {
-            "version": "0.8.7",
+            "version": "0.9.0",
             "installedAt": "2025-01-01T00:00:00.000Z",
             "sha256": "ghi789..."
         }
     },
     "skills": {
-        "brainstorming": { "version": "0.8.7", ... },
-        "execution-mode-evaluation": { "version": "0.8.7", ... },
-        "openspec-propose": { "version": "0.8.7", ... }
+        "brainstorming": { "version": "0.9.0", ... },
+        "execution-mode-evaluation": { "version": "0.9.0", ... },
+        "openspec-propose": { "version": "0.9.0", ... }
     },
     "mcpServers": {
-        "ostacky-controller": { "version": "0.8.7", ... },
-        "openspec": { "version": "0.8.7", ... }
+        "ostacky-controller": { "version": "0.9.0", ... },
+        "openspec": { "version": "0.9.0", ... }
     }
 }
 ```
@@ -308,7 +308,7 @@ Es opcional y solo necesario si algo falló durante la instalación o si querés
 ## Seguridad
 
 - `opencode.jsonc` se versiona en el repo para compartir permisos y MCP de forma reproducible.
-- Las URLs de descarga usan **tags de GitHub** (ej. `v0.8.7`), nunca `main` — instalaciones reproducibles
+- Las URLs de descarga usan **tags de GitHub** (ej. `v0.9.0`), nunca `main` — instalaciones reproducibles
 - Cada path de archivo descargado es validado para prevenir **path traversal**
 - Los archivos incluyen **checksum SHA-256** opcional; si el manifest lo define, el contenido se verifica antes de escribir
 - El cache local (`.opencode/cache/`) también valida integridad al servir archivos cacheados
@@ -324,7 +324,7 @@ Es opcional y solo necesario si algo falló durante la instalación o si querés
 - Variable `OSTACKY_SENSITIVE_PATTERNS` overridea los patrones por defecto (`**/.env*`, `**/.secrets/**`, `**/*.pem`, `**/*.key`, `**/.aws/**`, `**/.ssh/**`, `**/credentials.json`, `**/.npmrc`).
 - Ejemplo: `OSTACKY_SENSITIVE_PATTERNS="**/.env*,**/.secrets/**" bunx ostacky doctor` — `doctor` imprime el patrón efectivo.
 - Allowlist: `.env.example`, `.env.template`, `.env.sample` nunca se bloquean.
-- Fuente única: `src/security.ts` (`SENSITIVE_DEFAULT`, `isSensitive`, `BASH_SENSITIVE_RE`) — `ostacky-plugin.ts` importa de ahí (legacy `ostacky-guard.ts` eliminado, fusionado en el plugin). Ver `doctor` para verificar.
+- Fuente única: `src/security.ts` (`SENSITIVE_DEFAULT`, `isSensitive`, `BASH_SENSITIVE_RE`) — mirrors generados en `assets/plugins/security.ts` y `assets/mcp/ostacky-controller/security.js` vía `bun run scripts/sync-controller-core.ts`; `ostacky-plugin.ts` importa de `./security.ts` (self-contained). Ver `doctor` para verificar.
 
 #### Aislamiento de worktrees (harness-prod-hardening)
 
@@ -365,7 +365,7 @@ CodeGraph está instalado en `.opencode/tools/codegraph/bin/codegraph` y se conf
 | `.opencode/tools/codegraph/bin/codegraph status`                                           | Muestra estado del index y archivos pendientes              |
 | `.opencode/tools/codegraph/bin/codegraph install --target opencode --location local --yes` | Configura CodeGraph para OpenCode y genera AGENTS.md        |
 
-> **Windows:** si ves `Command failed: cmd.exe /d /c call ... codegraph.cmd init -i` durante `npx ostacky install`, es un _warning_ no fatal — el binario se instaló pero el índice no se pudo crear. Reintentá con `npx ostacky install-stack --scope local` o ejecutá manualmente `.opencode\tools\codegraph\bin\codegraph.exe init -i` (o `codegraph.cmd` si no hay `.exe`) dentro del proyecto. Desde v0.8.7 el instalador usa el patrón resiliente de Engram (strip 0 + búsqueda recursiva) y loguea `projectRoot|toolsDir` para diagnosticar scope.
+> **Windows:** si ves `Command failed: cmd.exe /d /c call ... codegraph.cmd init -i` durante `npx ostacky install`, es un _warning_ no fatal — el binario se instaló pero el índice no se pudo crear. Reintentá con `npx ostacky install-stack --scope local` o ejecutá manualmente `.opencode\tools\codegraph\bin\codegraph.exe init -i` (o `codegraph.cmd` si no hay `.exe`) dentro del proyecto. Desde v0.9.0 el instalador usa el patrón resiliente de Engram (strip 0 + búsqueda recursiva) y loguea `projectRoot|toolsDir` para diagnosticar scope.
 
 ## Licencia
 

package/assets/agents/ostacky.md

@@ -1,18 +1,18 @@
 ---
 description: Orquestador principal — rutea por nivel, orquesta CodeGraph + OpenSpec + Superpowers.
 mode: primary
-version: 0.8.7
+version: 0.9.0
 ---
 
-Sos **Ostacky v0.8.7**, orquestás, no implementás. Interpretás, clasificás (0/0+1/1+), ruteás y coordinás.
+Sos **Ostacky v0.9.0**, orquestás, no implementás. Interpretás, clasificás (0/0+1/1+), ruteás y coordinás.
 
-> **Versión:** `0.8.7` (sincronizada desde `package.json` vía `scripts/sync-version.ts`). Cuando te pregunten qué versión tenés, qué versión sos, o `¿qué versión tenés?` / `version` / `¿en qué versión estás?`, respondé exactamente: **"Ostacky v0.8.7"** (o `v0.8.7` si te piden solo el número). No inventes otra versión.
+> **Versión:** `0.9.0` (sincronizada desde `package.json` vía `scripts/sync-version.ts`). Cuando te pregunten qué versión tenés, qué versión sos, o `¿qué versión tenés?` / `version` / `¿en qué versión estás?`, respondé exactamente: **"Ostacky v0.9.0"** (o `v0.9.0` si te piden solo el número). No inventes otra versión.
 
 ## Reglas innegociables
 
 1. **NUNCA te congeles.** Plan B antes de tool, no reintentes fallida.
 2. **CodeGraph primero.** Nunca `rg/grep` para código. `Grep` solo literales.
-3. **El plugin hace cumplir PENDING.** Hard gate en `tool.execute.before`; no llames `check_*` manual.
+3. **El plugin hace cumplir PENDING.** Hard gate en `ctx.tool.hook("execute.before")`; no llames `check_*` manual.
 4. **No edites sin Read fresco.** Nunca cache de turno anterior.
 5. **Una pregunta por turno.** Natural, sin tool, STOP y esperar. Respuesta vinculante.
 
@@ -85,13 +85,13 @@ Router `brainstorming`↔`OpenSpec` por `level`/`estLines`/`fileCount`/`hasAPI`
 
 1. `skill(execution-mode-evaluation)` en memoria, reusa discovery.
 2. Mostrar análisis → `¿Procedo?` → `record_execution_analysis` → `consume_execution_decision`.
-3. Por task: `Read` fresco → plugin valida edición in-process → `edit` → `complete_task`.
+3. Por task: `Read` fresco → plugin valida edición in-process → `edit` → `verifyTask` (genérico: `codegraph:<Symbol>` con `codegraph_codegraph_explore`, `file:<path> contiene <string>` con `Read`/`Grep`, `test:<cmd>` con `shell` acotado — según `— verificar:` de `tasks.md`) → solo si `verifyTask.ok` → `complete_task`. **NUNCA marques `complete_task` a ojo**; si `verifyTask` falla, reintentá el fix.
 
 ### 5. Sync y cierre
 
 1. Tests + review
 2. `saveSessionClose` → `mem_session_summary` + `set_handoff` paralelo
-3. `verifyIntegrity` + `implementation_complete` + `sync_complete`
+3. `verifyIntegrity` → **si `pending.length > 0` NO llames `implementation_complete`**; lista explícita `Te faltan N tasks: [...]` y pide `complete_task`. Solo si `pending === 0` y `staleFiles === 0`, `implementation_complete` → `sync_complete`. **NUNCA llames `implementation_complete` automáticamente con pendientes** — espera a que el usuario complete o escriba literal `"confirmo forzar"` para `force:true` (queda auditado).
 
 ## Guardrails
 
@@ -99,4 +99,4 @@ Router `brainstorming`↔`OpenSpec` por `level`/`estLines`/`fileCount`/`hasAPI`
 - Una pregunta por turno, sin deadlock
 - Fase gate: en EXECUTING/SYNC no volver a DISCOVERY
 - Audit: log antes de gate + `mem_save` solo en gates
-- **Tasks son verificables, no instruccionales:** `tasks.md` SHALL describir `qué` + `cómo verificar` (`bun test`, `grep`, archivo entregado). Nunca SHALL contener instrucciones de comportamiento genéricas (`“sé cuidadoso”, “no inventes”`) — eso vive acá en § Principios y se inyecta automáticamente por tier (ver § Core tiered). Para `Level 0` trivial, tasks SHALL ser de 1 línea sin overhead de honestidad.
+- **Tasks son verificables, no instruccionales (genérico):** `tasks.md` SHALL describir `qué` + `cómo verificar` con formato `— verificar: codegraph:<Symbol> | file:<path> contiene <string> | test:<cmd>` (ej: `— verificar: codegraph:CurrencyContext` o `— verificar: test: bun test tests/domains/settle.test.ts`). El controller parsea `taskVerifications` y `verifyTask` lo re-verifica con `CodeGraph`/`Read`/`test`; `complete_task` solo pasa si `verifyTask.ok`. Nunca SHALL contener instrucciones genéricas (`“sé cuidadoso”`) — eso vive acá. Para `Level 0` trivial, tasks SHALL ser de 1 línea sin overhead.

package/assets/commands/install-stack.md

@@ -5,13 +5,13 @@ agent: build
 
 Instala el stack tecnológico de desarrollo para OpenCode. **IMPORTANTE:** las herramientas se instalan por separado (cada una con su propio CLI/comando). `npx ostacky install` solo instala el agente y commands de Ostacky en `.opencode/`. Este comando (`/install-stack`) es la guía de referencia para la instalación manual completa paso a paso.
 
-**Nota:** A partir de v0.8.7, `npx ostacky install` ya instala automáticamente el stack completo (CodeGraph, OpenSpec, Engram, MCPs bundleados) además del agente y skills. Este comando es útil para instalación manual, verificación, o cuando algo falló y necesita reinstalarse.
+**Nota:** A partir de v0.9.0, `npx ostacky install` ya instala automáticamente el stack completo (CodeGraph, OpenSpec, Engram, MCPs bundleados) además del agente y skills. Este comando es útil para instalación manual, verificación, o cuando algo falló y necesita reinstalarse.
 
 **RESTRICCIÓN ABSOLUTA:** instalar ÚNICAMENTE para OpenCode. Está terminantemente prohibido crear o modificar archivos en `.claude/`, `.kiro/`, `.cursor/`, `.gemini/`, `.codex/`, `.antigravity/`, `.windsurf/` o cualquier otro directorio de plataformas externas.
 
 **Origen del set curado:** el set de 15 skills referenciado en `assets/agents/ostacky.md` está bundleado en `assets/skills/` dentro del paquete npm. La definición del set y su trazabilidad viven en `manifest.json` y `.opencode/ostacky-lock.json`.
 
-## Scope de instalación — local vs global (desde v0.8.7)
+## Scope de instalación — local vs global (desde v0.9.0)
 
 `npx ostacky install` soporta `--scope local|global|auto` (también `--scope=...`):
 
@@ -67,10 +67,12 @@ Verifica que el MCP server esté configurado en `opencode.json` apuntando al bin
 ```json
 {
     "mcp": {
-        "codegraph": {
-            "type": "local",
-            "command": [".opencode/tools/codegraph/bin/codegraph", "serve", "--mcp"],
-            "enabled": true
+        "servers": {
+            "codegraph": {
+                "type": "local",
+                "command": [".opencode/tools/codegraph/bin/codegraph", "serve", "--mcp"],
+                "disabled": false
+            }
         }
     }
 }
@@ -99,10 +101,12 @@ El controller MCP se configura como server local en `opencode.json`. Si el contr
 ```json
 {
     "mcp": {
-        "ostacky-controller": {
-            "type": "local",
-            "command": ["node", ".opencode/mcp/ostacky-controller/index.js"],
-            "enabled": true
+        "servers": {
+            "ostacky-controller": {
+                "type": "local",
+                "command": ["node", ".opencode/mcp/ostacky-controller/index.js"],
+                "disabled": false
+            }
         }
     }
 }
@@ -197,7 +201,7 @@ Leé `opencode.json` (o `opencode.jsonc`) en la raíz del proyecto.
 
 **Eliminá** cualquier entrada `"plugin": ["superpowers@git+https://github.com/obra/superpowers.git"]` (y equivalentes). Las skills ya están provistas por el bundle local, no por el plugin.
 
-**Preservá** sin tocar el bloque `mcp.codegraph` configurado en el Paso 1.
+**Preservá** sin tocar el bloque `mcp.servers.codegraph` configurado en el Paso 1.
 
 **Resultado final esperado** de `opencode.json` (o `opencode.jsonc`):
 
@@ -205,20 +209,22 @@ Leé `opencode.json` (o `opencode.jsonc`) en la raíz del proyecto.
 {
     "$schema": "https://opencode.ai/config.json",
     "mcp": {
-        "codegraph": {
-            "type": "local",
-            "command": [".opencode/tools/codegraph/bin/codegraph", "serve", "--mcp"],
-            "enabled": true
-        },
-        "engram": {
-            "type": "local",
-            "command": [".opencode/tools/engram/bin/engram", "mcp"],
-            "enabled": true
-        },
-        "ostacky-controller": {
-            "type": "local",
-            "command": ["node", ".opencode/mcp/ostacky-controller/index.js"],
-            "enabled": true
+        "servers": {
+            "codegraph": {
+                "type": "local",
+                "command": [".opencode/tools/codegraph/bin/codegraph", "serve", "--mcp"],
+                "disabled": false
+            },
+            "engram": {
+                "type": "local",
+                "command": [".opencode/tools/engram/bin/engram", "mcp"],
+                "disabled": false
+            },
+            "ostacky-controller": {
+                "type": "local",
+                "command": ["node", ".opencode/mcp/ostacky-controller/index.js"],
+                "disabled": false
+            }
         }
     }
 }
@@ -306,10 +312,12 @@ Verificá que `opencode.json` contenga la entrada MCP de Engram apuntando al bin
 ```json
 {
     "mcp": {
-        "engram": {
-            "type": "local",
-            "command": [".opencode/tools/engram/bin/engram", "mcp"],
-            "enabled": true
+        "servers": {
+            "engram": {
+                "type": "local",
+                "command": [".opencode/tools/engram/bin/engram", "mcp"],
+                "disabled": false
+            }
         }
     }
 }

package/assets/docs/ostacky-reference.md

@@ -50,7 +50,7 @@ Allowlist: `.env.example/.template/.sample` nunca bloquea. `extractPathsFromBash
 
 ## Enforcement (plugin)
 
-El plugin hace cumplir `PENDING` en `tool.execute.before`; `lastCheck={revision, result}` cachea ALLOW por revisión, revalida si cambia o >5 tools; `BLOCKED` nunca cacheado. Métricas `stateCheckCount` cuentan checks del plugin (no del LLM).
+El plugin hace cumplir `PENDING` en `ctx.tool.hook("execute.before")`; `lastCheck={revision, result}` cachea ALLOW por revisión, revalida si cambia o >5 tools; `BLOCKED` nunca cacheado. Métricas `stateCheckCount` cuentan checks del plugin (no del LLM).
 
 ## Tiered Behaviour
 
@@ -64,14 +64,22 @@ Principio: **eficacia > recorte** — si recorte rompiera caché y saliera más
 
 ## Security single-source
 
-`src/security.ts` único origen de `SENSITIVE_DEFAULT`/`BASH_SENSITIVE_RE`/`isSensitive`/`extractPathsFromBash`; plugin y guard importan, no copian. `BASH_SENSITIVE_RE` arriba. `OSTACKY_SENSITIVE_PATTERNS` override.
+`src/security.ts` único origen de `SENSITIVE_DEFAULT`/`BASH_SENSITIVE_RE`/`isSensitive`/`extractPathsFromBash` (import `node:crypto`); mirrors generados en `assets/plugins/security.ts` (solo Sensitive guard, sin crypto) y `assets/mcp/ostacky-controller/security.js` vía `bun run scripts/sync-controller-core.ts`. `ostacky-plugin.ts` importa de `./security.ts` self-contained (no `../../src`). `BASH_SENSITIVE_RE` arriba. `OSTACKY_SENSITIVE_PATTERNS` override.
 
 ## Tiered single-source
 
-`src/tiered.ts` único origen de `isTrivial(msg,state)` + `getControllerState(dir)`. Ambos plugins importan lógica idéntica, no duplican regex. Ver `assets/plugins/ostacky-plugin.ts` y `assets/plugins/engram.ts`.
+`src/tiered.ts` único origen de `isTrivial(msg,state)` + `getControllerState(dir)`. `ostacky-plugin.ts` importa de `./tiered.ts` mirror (generado vía `sync-controller-core.ts`), `engram.ts` inlined (misma regex, evita import dinámico). No duplicar regex. Ver `assets/plugins/ostacky-plugin.ts` y `assets/plugins/engram.ts`.
+
+## Controller single-source
+
+`src/controller-core.ts` CANÓNICO para `STATES/TRANSITIONS/DEFAULT_STATE`; mirrors generados en `assets/plugins/controller-core.ts` (TS) y `assets/mcp/ostacky-controller/controller-core.js` (JS strippado) vía `bun run scripts/sync-controller-core.ts` (prebuild). No editar mirrors. `ostacky-plugin.ts` importa de `./controller-core.ts` self-contained.
 
 ## Prompt-efficiency
 
 - `ostacky.md` 109→72 líneas (diet estable cacheable). Tiered vía suffix, no reemplazo `system[0]`.
 - `controller` descriptions <150 chars
 - `MEMORY_INSTRUCTIONS` lazy: siempre pointer (~1 línea) en `system.transform`; full vive en `assets/docs/engram-protocol.md` on-demand via `Read` (ahorro ~1.2k en FULL, trivial ya era pointer)
+
+## Propose Flow (1+)
+
+`openspec-propose` SHALL Paso 0: `getDiscoverySnapshot(query)` + `getEngramDedup` → si miss `codegraph_codegraph_explore` + `engram_mem_search` + `putDiscoverySnapshot` **antes** de `openspec new`. Cita símbolos existentes en `proposal/design`; sin esto dispara `WARN:codegraphBypass` y `design.md` alucina API. Ver `assets/skills/openspec-propose/SKILL.md: Paso 0` y `brainstorming` (router por nivel: `brainstorming` decide 0/0+1/1+, `openspec-explore` es stance sin nivel).

package/assets/mcp/ostacky-controller/controller-core.js

@@ -1,7 +1,6 @@
 /**
  * controller-core — Single source of truth para TRANSITIONS, STATES, DEFAULT_STATE y helpers.
- * Extraído de assets/mcp/ostacky-controller/index.js y assets/plugins/ostacky-plugin.ts
- * para eliminar duplicación (D1). Ambos importan de acá.
+ * Generado desde src/controller-core.ts — NO EDITAR. Ejecutá `bun run scripts/sync-controller-core.ts`.
  */
 
 import { SENSITIVE_DEFAULT } from "./security.js";
@@ -111,6 +110,8 @@ export const DEFAULT_STATE = {
   lastHandoff: null,
   expectedTasks: null,
   expectedTaskCount: null,
+  taskVerifications: null,
+  taskVerificationResults: {},
   auditSeq: 0,
   degraded: false,
   schemaVersion: 2,
@@ -142,6 +143,7 @@ export const DEFAULT_STATE = {
   watchdogEnabled: true,
   ts: Date.now(),
   specNotInSync: false,
+  engramBypassCount: 0,
 };
 
 export function safeJsonStringify(obj, pretty = false) {