oxe-cc 1.0.0 → 1.3.0

package/.github/prompts/oxe-update.prompt.md

@@ -10,7 +10,7 @@ oxe_tool_profile: write_bounded
 oxe_confidence_policy: explicit
 oxe_context_tier: standard
 oxe_contract_version: 2.0.0
-oxe_semantics_hash: 49332cbd409f2ac6
+oxe_semantics_hash: afa0ff72a118df58
 ---
 
 <!-- oxe-reasoning-contract:start -->
@@ -24,7 +24,7 @@ oxe_semantics_hash: 49332cbd409f2ac6
 - **Política de confiança:** explícita
 - **Tier de contexto padrão:** padrão
 - **Versão do contrato:** 2.0.0
-- **Checksum semântico:** `49332cbd409f2ac6`
+- **Checksum semântico:** `afa0ff72a118df58`
 - **Entrada de contexto prioritária:** `.oxe/context/packs/update.md` e `.oxe/context/packs/update.json`
 - **Regra pack-first:** ler o context pack primeiro; se estiver stale, incompleto ou ausente, cair para leitura direta com fallback explícito.
 - **Inspeção estruturada:** `oxe-cc context inspect --workflow update --json`
@@ -39,6 +39,6 @@ oxe_semantics_hash: 49332cbd409f2ac6
 
 Executa o workflow **OXE update**. Lê e segue **integralmente**:
 
-`oxe/workflows/update.md` (na raiz do repositório em contexto; ou `.oxe/workflows/update.md` se a instalação aninhou os workflows)
+`.oxe/workflows/update.md` (na raiz do repositório em contexto; ou `..oxe/workflows/update.md` se a instalação aninhou os workflows)
 
 Na prática: na raiz do projeto, correr **`npx oxe-cc update --check`**, depois (se aplicável) **`npx oxe-cc update`** ou **`npx oxe-cc update --if-newer`**, e por fim **`npx oxe-cc doctor`**.

package/.github/prompts/oxe-validate-gaps.prompt.md

@@ -11,7 +11,7 @@ oxe_tool_profile: review_heavy
 oxe_confidence_policy: explicit
 oxe_context_tier: standard
 oxe_contract_version: 2.0.0
-oxe_semantics_hash: 27d51ac144da4c1c
+oxe_semantics_hash: 69e3f79ec51160e1
 ---
 
 <!-- oxe-reasoning-contract:start -->
@@ -25,7 +25,7 @@ oxe_semantics_hash: 27d51ac144da4c1c
 - **Política de confiança:** explícita
 - **Tier de contexto padrão:** padrão
 - **Versão do contrato:** 2.0.0
-- **Checksum semântico:** `27d51ac144da4c1c`
+- **Checksum semântico:** `69e3f79ec51160e1`
 - **Entrada de contexto prioritária:** `.oxe/context/packs/validate-gaps.md` e `.oxe/context/packs/validate-gaps.json`
 - **Regra pack-first:** ler o context pack primeiro; se estiver stale, incompleto ou ausente, cair para leitura direta com fallback explícito.
 - **Inspeção estruturada:** `oxe-cc context inspect --workflow validate-gaps --json`
@@ -40,6 +40,6 @@ oxe_semantics_hash: 27d51ac144da4c1c
 
 Executa o workflow **OXE validate-gaps** no repositório atual. Lê e aplica **integralmente**:
 
-`oxe/workflows/validate-gaps.md`
+`.oxe/workflows/validate-gaps.md`
 
 Requer `VERIFY.md` e `PLAN.md` já existentes. Texto adicional: foco opcional em tarefa **Tn** ou critério **A***.

package/.github/prompts/oxe-verify.prompt.md

@@ -11,7 +11,7 @@ oxe_tool_profile: review_heavy
 oxe_confidence_policy: explicit
 oxe_context_tier: standard
 oxe_contract_version: 2.0.0
-oxe_semantics_hash: 442bb4594208d058
+oxe_semantics_hash: 8b47625394eec62a
 ---
 
 <!-- oxe-reasoning-contract:start -->
@@ -25,7 +25,7 @@ oxe_semantics_hash: 442bb4594208d058
 - **Política de confiança:** explícita
 - **Tier de contexto padrão:** padrão
 - **Versão do contrato:** 2.0.0
-- **Checksum semântico:** `442bb4594208d058`
+- **Checksum semântico:** `8b47625394eec62a`
 - **Entrada de contexto prioritária:** `.oxe/context/packs/verify.md` e `.oxe/context/packs/verify.json`
 - **Regra pack-first:** ler o context pack primeiro; se estiver stale, incompleto ou ausente, cair para leitura direta com fallback explícito.
 - **Inspeção estruturada:** `oxe-cc context inspect --workflow verify --json`
@@ -34,12 +34,15 @@ oxe_semantics_hash: 442bb4594208d058
 - Se não houver findings, declarar isso explicitamente e listar riscos residuais.
 - **Seções esperadas:** Findings · Perguntas abertas · Riscos residuais · Resumo
 - **Bloqueios formais:** missing:state
+- **Caminho runtime padrão:** `oxe-cc runtime verify --dir <projeto>` → `oxe-cc runtime project --dir <projeto>`
+- **Artefatos canónicos primários:** `.oxe/runs/<run_id>/verification-manifest.json` · `.oxe/runs/<run_id>/residual-risk-ledger.json` · `.oxe/runs/<run_id>/evidence-coverage.json` · `VERIFY.md projetado`
+- **Fallback runtime:** Se runtime verify não estiver disponível, declarar fallback explícito para a verificação manual; se retornar partial, usar os gaps explícitos como backlog da revisão.
 - **Referência canónica:** `oxe/workflows/references/reasoning-review.md`
 
 <!-- oxe-reasoning-contract:end -->
 
 Executa o workflow **OXE verify**. Lê e aplica **integralmente**:
 
-`oxe/workflows/verify.md` (na raiz do repositório em contexto)
+`.oxe/workflows/verify.md` (na raiz do repositório em contexto)
 
 Se o utilizador indicar uma tarefa `Tn`, restringe a verificação a essa tarefa.

package/.github/prompts/oxe-workstream.prompt.md

@@ -11,7 +11,7 @@ oxe_tool_profile: write_bounded
 oxe_confidence_policy: explicit
 oxe_context_tier: standard
 oxe_contract_version: 2.0.0
-oxe_semantics_hash: 82d171363381cc0d
+oxe_semantics_hash: 380bd0a3f3620845
 ---
 
 <!-- oxe-reasoning-contract:start -->
@@ -25,7 +25,7 @@ oxe_semantics_hash: 82d171363381cc0d
 - **Política de confiança:** explícita
 - **Tier de contexto padrão:** padrão
 - **Versão do contrato:** 2.0.0
-- **Checksum semântico:** `82d171363381cc0d`
+- **Checksum semântico:** `380bd0a3f3620845`
 - **Entrada de contexto prioritária:** `.oxe/context/packs/workstream.md` e `.oxe/context/packs/workstream.json`
 - **Regra pack-first:** ler o context pack primeiro; se estiver stale, incompleto ou ausente, cair para leitura direta com fallback explícito.
 - **Inspeção estruturada:** `oxe-cc context inspect --workflow workstream --json`
@@ -40,6 +40,6 @@ oxe_semantics_hash: 82d171363381cc0d
 
 Executa o workflow **OXE workstream** no repositório atual. Lê e aplica **integralmente** o ficheiro no workspace:
 
-`oxe/workflows/workstream.md`
+`.oxe/workflows/workstream.md`
 
 Usa o texto adicional desta mensagem como subcomando e contexto.

package/.github/prompts/oxe.prompt.md

@@ -1,7 +1,7 @@
 ---
 name: oxe
 agent: agent
-description: OXE — Entrada universal: próximo passo / roteamento / help dos 8 comandos essenciais
+description: OXE — Entrada universal: próximo passo / roteamento / help da trilha OXE
 argument-hint: "[contexto em linguagem natural | 'help' | vazio para próximo passo]"
 oxe_workflow_slug: oxe
 oxe_reasoning_mode: status
@@ -11,7 +11,7 @@ oxe_tool_profile: read_heavy
 oxe_confidence_policy: explicit
 oxe_context_tier: standard
 oxe_contract_version: 2.0.0
-oxe_semantics_hash: d7f65cd3f77b0abc
+oxe_semantics_hash: 4a8d0d23c56065a7
 ---
 
 <!-- oxe-reasoning-contract:start -->
@@ -25,7 +25,7 @@ oxe_semantics_hash: d7f65cd3f77b0abc
 - **Política de confiança:** explícita
 - **Tier de contexto padrão:** padrão
 - **Versão do contrato:** 2.0.0
-- **Checksum semântico:** `d7f65cd3f77b0abc`
+- **Checksum semântico:** `4a8d0d23c56065a7`
 - **Entrada de contexto prioritária:** `.oxe/context/packs/oxe.md` e `.oxe/context/packs/oxe.json`
 - **Regra pack-first:** ler o context pack primeiro; se estiver stale, incompleto ou ausente, cair para leitura direta com fallback explícito.
 - **Inspeção estruturada:** `oxe-cc context inspect --workflow oxe --json`
@@ -40,6 +40,6 @@ oxe_semantics_hash: d7f65cd3f77b0abc
 
 Executa o workflow **OXE** (entrada universal) no repositório atual. Lê e aplica **integralmente**:
 
-`oxe/workflows/oxe.md`
+`.oxe/workflows/oxe.md`
 
-`$ARGUMENTS`: vazio → próximo passo; texto → roteamento; "help" → 8 comandos essenciais.
+`$ARGUMENTS`: vazio → próximo passo; texto → roteamento; "help" → trilha principal + trilha avançada.

package/AGENTS.md

@@ -9,38 +9,53 @@ Este repositório empacota o fluxo **OXE** (spec-driven, artefatos em `.oxe/`).
 
 ---
 
-## Os 8 comandos essenciais
+## Trilha principal (6 comandos)
 
 ```
-/oxe              → onde estou / o que faço / help
-/oxe-obs          → registrei algo importante (incorporado automaticamente)
+/oxe              → onde estou / o que faço / help / perguntas situacionais
 /oxe-quick        → tarefa pequena, sem cerimônia
-/oxe-scan         → mapeia o projeto (ou atualiza se já mapeado)
 /oxe-spec         → nova feature: perguntas → requisitos → roteiro
+                    flags: --refresh, --full, --research, --deep, --ui
 /oxe-plan         → tarefas por onda (--agents para multi-agente)
 /oxe-execute      → implementar (A: 1 sessão | B: por onda | C: por tarefa)
-/oxe-verify       → validar (camadas 5+6 opcionais via config)
+                    flags: --note, --debug, --deep-diagnosis, --checkpoint, --iterative
+/oxe-verify       → validar e fechar o ciclo (retro automática)
+                    flags: --gaps, --security, --ui, --pr, --diff, --skip-retro
 ```
 
-## Escape hatches (aparecem quando necessários)
+## Trilha avançada
 
 ```
-/oxe-retro        → retrospectiva: 3–5 lições → .oxe/LESSONS.md
-/oxe-forensics    → diagnóstico de falha persistente ou estado corrompido
-/oxe-debug        → diagnóstico técnico inline (integrado ao execute)
-/oxe-loop         → retry iterativo de onda até verify passar
-/oxe-security     → auditoria OWASP Top 10 filtrada pelo stack
-/oxe-research     → spike, mapa de sistema, engenharia reversa
-/oxe-validate-gaps → auditoria de cobertura de testes
-/oxe-discuss      → decisões D-NN antes do plano (discuss_before_plan: true)
-/oxe-route        → traduz linguagem natural → comando OXE
-/oxe-compact      → refresh do mapa de codebase
-/oxe-checkpoint   → snapshot nomeado de sessão
-/oxe-ui-spec      → contrato UI/UX derivado da SPEC
-/oxe-ui-review    → auditoria de implementação UI
-/oxe-review-pr    → revisão de PR/diff
-/oxe-project      → milestone + workstream + checkpoint em um comando
-/oxe-update       → atualiza workflows para a versão mais recente
+/oxe-session      → criar, alternar, retomar, fechar ou migrar sessões OXE
+/oxe-dashboard    → visão web para revisão de equipe e aprovação do plano
+```
+
+## Administrativa / plataforma
+
+```
+/oxe-capabilities → catálogo nativo de capabilities
+/oxe-skill        → skills OXE via @<id>
+oxe-cc azure      → provider Azure local-first
+```
+
+## Comandos legados (v1.1.0 — funcionam com aviso de migração)
+
+```
+/oxe-ask          → incorporado por /oxe "pergunta"
+/oxe-scan         → incorporado por /oxe-spec --refresh / --full
+/oxe-research     → incorporado por /oxe-spec --research
+/oxe-ui-spec      → incorporado por /oxe-spec --ui
+/oxe-obs          → incorporado por /oxe-execute --note
+/oxe-debug        → incorporado por /oxe-execute --debug
+/oxe-forensics    → incorporado por /oxe-execute --deep-diagnosis
+/oxe-checkpoint   → incorporado por /oxe-execute --checkpoint
+/oxe-loop         → incorporado por /oxe-execute --iterative
+/oxe-validate-gaps → incorporado por /oxe-verify --gaps
+/oxe-security     → incorporado por /oxe-verify --security
+/oxe-ui-review    → incorporado por /oxe-verify --ui
+/oxe-review-pr    → incorporado por /oxe-verify --pr
+/oxe-retro        → incorporado por /oxe-verify (retro automática)
+/oxe-project      → incorporado por /oxe-session milestone|workstream
 ```
 
 ## Profiles de execução (`profile` em `.oxe/config.json`)
@@ -72,12 +87,12 @@ Blueprints em `.oxe/plan-agents.json` (schema 3). Protocolo inter-agente: `oxe/w
 ## Integrações IDE
 
 - **Cursor:** slash commands em `~/.cursor/commands/` (gerados por `npm run sync:cursor`)
-- **GitHub Copilot (VS Code):** prompt files em `.github/prompts/` + `.github/copilot-instructions.md`
+- **GitHub Copilot (VS Code):** prompt files em `.github/prompts/` + `.github/copilot-instructions.md`
 - **Claude Code:** commands em `~/.claude/commands/`
 - **OpenCode / Gemini / Codex / Windsurf / Antigravity:** via `oxe-cc --all-agents`
 
-## Instruções para agentes de IA
-
-Quando o utilizador pedir uma etapa OXE por linguagem natural, seguir o ficheiro `oxe/workflows/<passo>.md` correspondente **sem atalhar passos**. Ler os artefatos em `.oxe/` antes de qualquer ação — nunca partir de suposições sobre o estado do projeto.
-
-Os wrappers por runtime podem carregar metadata cognitiva (`oxe_reasoning_mode`, `oxe_question_policy`, `oxe_output_contract`, `oxe_tool_profile`, `oxe_confidence_policy`), mas o comportamento canónico continua no workflow. Use essa metadata para adaptar a postura do agente sem bifurcar a lógica do OXE por ferramenta.
+## Instruções para agentes de IA
+
+Quando o utilizador pedir uma etapa OXE por linguagem natural, seguir o ficheiro `oxe/workflows/<passo>.md` correspondente **sem atalhar passos**. Ler os artefatos em `.oxe/` antes de qualquer ação — nunca partir de suposições sobre o estado do projeto.
+
+Os wrappers por runtime podem carregar metadata cognitiva (`oxe_reasoning_mode`, `oxe_question_policy`, `oxe_output_contract`, `oxe_tool_profile`, `oxe_confidence_policy`), mas o comportamento canónico continua no workflow. Use essa metadata para adaptar a postura do agente sem bifurcar a lógica do OXE por ferramenta.

package/CHANGELOG.md

@@ -4,6 +4,199 @@ Todas as versões seguem [Semantic Versioning](https://semver.org/). As mudança
 
 ---
 
+## [1.3.0] — 2026-04-20
+
+### Reasoning Contracts & Semântica Multi-Runtime
+
+- Contratos de raciocínio v2.0.0 (`oxe_contract_version: 2.0.0`) em todos os workflows e wrappers de runtime
+- Novos campos de metadata: `oxe_reasoning_mode`, `oxe_question_policy`, `oxe_output_contract`, `oxe_tool_profile`, `oxe_confidence_policy`, `oxe_context_tier`
+- `oxe_semantics_hash` (SHA-256 16 chars) para detecção de drift semântico entre IDEs
+- Módulo `bin/lib/oxe-runtime-semantics.cjs` gerencia o contrato canônico: `buildReasoningContractBlock()`, `buildContextTiers()`, `auditRuntimeTargets()`, `computeSemanticsHash()`
+- `auditRuntimeTargets()` varre Copilot prompts, commands e Cursor commands e reporta divergências entre wrappers e o contrato canônico
+- Prompts e commands sincronizados para todos os runtimes: Cursor, GitHub Copilot, Claude Code, OpenCode, Codex, Gemini CLI, Windsurf, Antigravity
+
+### Novos Módulos bin/lib
+
+- **`oxe-dashboard.cjs`** — servidor HTTP local (porta 9000), `loadDashboardContext()`, API REST com `/api/health/status`, `/api/plan/info`, `/api/runtime/gates/{id}/status`, `/api/runtime/gates/resolve`; suporte a PLAN-REVIEW.md com comentários e status de aprovação
+- **`oxe-runtime-semantics.cjs`** — gestão de metadados de workflow e contratos de raciocínio: `getWorkflowContract()`, `getAllWorkflowContracts()`, `validateWorkflowContractsRegistry()`, `buildContextPackPaths()`, `buildReasoningContractBlock()`, `splitFrontmatter()`, `parseFrontmatterMap()`
+- **`oxe-operational.cjs`** expandido — monitoramento de agents, gates, evidências e estado de run com maior granularidade
+- **`oxe-project-health.cjs`** expandido — métricas de saúde: test scores, coverage, violations, integração Copilot
+
+### Comandos e Superfície
+
+- **`oxe-ship`** — cria commit local guiado por `SPEC.md`, `PLAN.md` e `VERIFY.md`; disponível em todos os runtimes suportados
+- **`oxe-skill`** — gestão e composição de skills com roles `@executor` e `@researcher`
+- Contrato de raciocínio declarado em todos os workflows: `discovery`, `planning`, `execution`, `review`, `status`
+- Regra pack-first em todos os wrappers: lê `.oxe/context/packs/<slug>.md` antes de cair para leitura direta
+
+### Testes e Cobertura
+
+- Novos testes unitários para `oxe-runtime-semantics.cjs`: 31 testes cobrindo todas as 19 funções exportadas
+- Novos testes para `oxe-plugins.cjs`: 28 testes para `loadPlugins`, `runHook`, `validatePlugins`, `initPluginsDir`, `resolvePluginSources`
+- Novos testes para `oxe-security.cjs`: `checkPathSafety`, `scanFileForSecrets`, `scanDirForSecretFiles`, `validatePlanPaths`
+- Cobertura de linhas: **80.28% → 82.28%** (superando threshold de 82%)
+- Total: **383 testes** passando (root + runtime)
+
+---
+
+## [1.2.1] — 2026-04-18
+
+### Branding, Semântica e Empacotamento
+
+- remove referências remanescentes ao framework legado dos workflows e do diagnóstico de integração Copilot
+- alinha `package.json`, `package-lock.json`, banner CLI e README para `1.2.1`
+- corrige deriva semântica do workflow `ship`, registrando-o no contrato canônico multi-runtime
+- adiciona prompt files de `ship` para Copilot/Cursor
+- remove o comando `auto` da superfície pública do OXE
+- remove o comando `intel` da superfície pública do OXE
+- reposiciona `ship` para fechar o ciclo com commit local guiado por `SPEC.md`, `PLAN.md` e `VERIFY.md`
+
+---
+
+## [1.2.0] — 2026-04-18
+
+### Runtime Hardening & Robustez (Fases 1–9)
+
+**Fase 1 — Runtime Hardening**
+
+- `RunJournal` persistido em `.oxe/runs/{runId}/journal.json`: gravado a cada onda, atualizado no pause/cancel
+- `Scheduler.pause()` agora grava journal e retorna `status: 'paused'` em vez de apenas setar flag in-memory
+- `Scheduler.recover(runId, ctx, graph)` — retoma run pausado pelo journal; pula nós já completados
+- `Scheduler.getJournal()` e `Scheduler.loadJournal(projectRoot, runId)` para inspeção
+- `RunState` expandido: `retryCounts`, `policyDecisions`, `pendingGates`, `resolvedGates`, `verificationStatus`, `evidenceRefs`, `toolFailures`
+- Reducer: handlers para `RetryScheduled`, `PolicyEvaluated`, `GateRequested`, `GateResolved`, `VerificationStarted`, `VerificationCompleted`, `ToolFailed`, `EvidenceCollected`
+- Helpers: `getRetryCount`, `getPolicyDecision`, `getVerificationStatus`, `getEvidenceRefs`, `getToolFailures`
+
+**Fase 2 — Policy, Side Effects e Security**
+
+- `SideEffectClass` enum: `read_fs|write_fs|spawn_process|network_call|git_mutation|db_change|secret_access|infra_operation`
+- `AutonomyTier` type: `L0|L1|L2|L3` — tier controla quais side effects são permitidos automaticamente
+- `NodePolicyConfig` com `mutation_budget` e `autonomy_tier`
+- `EnvironmentGuardrail` com `protected_paths`, `protected_branches`, `require_human_gate_on`
+- Guardrails default: paths `.env`, `package.json`, `.oxe/config.json`; gate automático para `infra_operation`, `db_change`, `secret_access`
+- `PolicyEngine.withGuardrail(g)` para customizar guardrails por projeto
+- `side_effect_class` e `autonomy_tier` em `PolicyWhenClause` para regras direcionadas
+
+**Fase 3 — Verify Operational**
+
+- `VerificationManifest` formal: persistido em `.oxe/runs/{runId}/verification-manifest.json`
+- `VerificationProfile`: `quick|standard|critical` — controla quais `FailureClass` geram riscos residuais
+- `FailureClass` taxonomy: `deterministic|flaky|timeout|env_setup|policy_failure|evidence_missing`
+- `classifyFailure(result)` — classifica automaticamente cada `CheckResult`
+- `buildManifest(runId, results, options)` — compila manifest por work item, onda ou run
+- `ResidualRiskLedger` persistido em `.oxe/runs/{runId}/residual-risks.json`
+- `buildRiskLedger(runId, manifest)` — gera ledger de riscos residuais a partir do manifest
+
+**Fase 4 — Delivery Native**
+
+- `MergeGateEvaluator.evaluate(runResult, manifest, ledger)` — avalia se run está pronto para merge
+- Bloqueios: tarefas failed/blocked, verificação falha, riscos `high`/`critical`
+- `PromotionPipeline.promote(runResult, manifest, ledger, opts)` — cria PR draft via `gh`, persiste `RunPRLink`
+- `PromotionPipeline.buildPRBody(...)` — corpo do PR com resumo, verificação e riscos residuais
+- `RunPRLink` persistido em `.oxe/runs/{runId}/pr-link.json`
+
+**Fase 5 — Context Engineering Avançado**
+
+- `ContextPackStore`: `savePack`, `loadPack`, `markStale`, `isStale`, `listPackMeta` — packs persistidos em `.oxe/runs/{runId}/context-pack-{workItemId}.json`
+- `ContextPackMeta` com `estimated_tokens`, `stale`, `stale_reason`
+- `diffPacks(before, after)` — detecta added/removed/score_changed entre versões de pack
+- Índice global por run em `context-packs.index.json`
+
+**Fase 6 — Decision Engine / Seniority**
+
+- `DecisionEngine.evaluate(input)` — avalia policy, gate, retry budget, risk, lesson match e retorna `DecisionRecord` com `type`, `seniority`, `confidence` e `rationale`
+- Tipos de decisão: `proceed|retry|escalate_gate|skip|abort|promote_lesson`
+- `SeniorityLevel`: `junior|standard|senior|expert` derivado da confidence
+- `appendDecision`, `loadDecisionLog`, `queryDecisions` — log persistido em `.oxe/runs/{runId}/decisions.json`
+
+**Fase 7 — Multi-Agent Robusto**
+
+- `AgentRegistry` com heartbeat tracking por agente
+- `registry.beat(id, currentTask)` — atualiza last_seen e status
+- `registry.isAlive(id)` — detecta timeout configurável por instância
+- `registry.timedOut()` / `registry.liveAgents()` — filtragem por liveness
+- `registry.failover(fallbackAgentId)` — reassigna tasks de agentes expirados para fallback
+- `registry.setStatus(id, status)` — transições manuais de estado
+
+**Fase 8 — ABI Estável de Plugins**
+
+- `PluginManifest` com `abi_version`, `capabilities`, declared providers
+- `extractManifest(plugin)` — extrai manifest de qualquer `OxePlugin`
+- `validatePlugin(plugin)` — retorna `{ valid, errors, warnings }` com checagem de nome, semver, providers
+- `isAbiCompatible(version)` — garante compatibilidade de major version
+- `sandboxInvoke(fn, timeoutMs)` — execução com timeout e isolamento de erro para plugins
+
+**Fase 9 — Enterprise Operations**
+
+- `AuditTrail` — registro imutável NDJSON em `.oxe/AUDIT-TRAIL.ndjson`
+- 14 tipos de ação auditáveis: `run_started`, `secret_accessed`, `infra_mutation`, `merge_approved`, etc.
+- Severity automática por ação (`info|warn|critical`)
+- `AuditTrail.query(filter)` — filtra por action/severity/runId/since
+- `RunQuota` — `createQuota`, `consumeQuota`, `checkQuota` para limitar work_items, mutations e retries por run
+
+### Testes
+
+- Runtime: **266 testes** (↑ de 145 pré-robustez)
+- Root: 321 testes (sem regressões)
+- Total: **587 testes** passando
+
+---
+
+## [1.1.0] — 2026-04-18
+
+### Mudança de superfície (simplificação estratégica de produto)
+
+**Trilha principal reduzida a 6 comandos**
+
+O OXE agora se comporta como um framework guiado por etapas. A superfície pública foi reorganizada em três níveis:
+
+**Trilha principal (6 comandos):**
+- `/oxe` — entrada universal (absorve ask, next, route, help)
+- `/oxe-quick` — modo nano sem cerimônia
+- `/oxe-spec` — spec com flags: `--refresh`, `--full`, `--research`, `--ui`
+- `/oxe-plan` — planejamento test-first
+- `/oxe-execute` — implementação com flags: `--note`, `--debug`, `--deep-diagnosis`, `--checkpoint`, `--iterative`
+- `/oxe-verify` — validação e fechamento com flags: `--gaps`, `--security`, `--ui`, `--pr`, `--diff`, `--skip-retro`
+
+**Trilha avançada:** `/oxe-session` (absorve project, milestone, workstream), `/oxe-dashboard`
+
+**Administrativa:** `/oxe-capabilities`, `/oxe-skill`, `oxe-cc azure`
+
+### Depreciado (v1.1.0)
+
+Os seguintes comandos foram incorporados por estágios principais e continuam funcionando com aviso de migração:
+
+| Comando | Novo destino |
+|---------|-------------|
+| `/oxe-ask` | `/oxe "pergunta"` |
+| `/oxe-scan` | `/oxe-spec --refresh` |
+| `/oxe-research` | `/oxe-spec --research` |
+| `/oxe-ui-spec` | `/oxe-spec --ui` |
+| `/oxe-obs` | `/oxe-execute --note` |
+| `/oxe-debug` | `/oxe-execute --debug` |
+| `/oxe-forensics` | `/oxe-execute --deep-diagnosis` |
+| `/oxe-checkpoint` | `/oxe-execute --checkpoint` |
+| `/oxe-loop` | `/oxe-execute --iterative` |
+| `/oxe-validate-gaps` | `/oxe-verify --gaps` |
+| `/oxe-security` | `/oxe-verify --security` |
+| `/oxe-ui-review` | `/oxe-verify --ui` |
+| `/oxe-review-pr` | `/oxe-verify --pr` |
+| `/oxe-retro` | `/oxe-verify` (retro automática) |
+| `/oxe-project` | `/oxe-session milestone\|workstream` |
+| `/oxe-compact` | `/oxe-spec --refresh` |
+| `/oxe-next` | `/oxe` (sem argumento) |
+| `/oxe-route` | `/oxe "intenção"` |
+| `/oxe-milestone` | `/oxe-session milestone` |
+| `/oxe-workstream` | `/oxe-session workstream` |
+
+### Novos comportamentos
+
+- **Retro automática:** `/oxe-verify` executa automaticamente retrospectiva ao fechar (`--skip-retro` para desativar)
+- **Pergunta situacional inline:** `/oxe "pergunta"` substitui `/oxe-ask`
+- `/oxe-session` agora suporta `milestone` e `workstream` como subcomandos
+
+---
+
 ## [0.8.0] — 2026-04-14
 
 ### Adicionado