primocode 10.16.0 → 10.17.1

package/lib/nuvem.js

@@ -352,7 +352,7 @@ function tituloDe(texto) {
  * terminal e simplesmente não sobe. Derrubar o turno de trabalho de alguém
  * porque o histórico não salvou seria trocar um incômodo por um prejuízo.
  */
-function gravador() {
+function gravador({ batizar } = {}) {
     let id = null;
     let titulo = null;
     let contagem = 0;
@@ -381,6 +381,7 @@ function gravador() {
                 const s = await abrir();
                 if (!s) return;                     // sem conta: fica só no local
                 if (!titulo) titulo = tituloDe(pergunta);
+                const nova = !id;                   // só a primeira troca de uma conversa nova ganha título da IA
                 if (!id) {
                     const r = await salvarConversa({ titulo });
                     if (!r.ok) { ultimoErro = r.error; return; }
@@ -396,6 +397,15 @@ function gravador() {
                 // celular. Sem esta volta, a conversa de hoje aparece embaixo
                 // das de semana passada.
                 await salvarConversa({ id, titulo, mensagens: contagem });
+                if (nova && batizar) {
+                    // O título da IA entra depois, num PATCH à parte: se falhar, fica o de antes, sem erro.
+                    let t = null;
+                    try { t = await batizar(pergunta, resposta); } catch { /* fica o título de antes */ }
+                    if (t && t !== titulo) {
+                        const r = await salvarConversa({ id, titulo: t, mensagens: contagem });
+                        if (r.ok) titulo = t;
+                    }
+                }
             });
         },
 

package/lib/outra-pasta.js

@@ -152,7 +152,7 @@ async function pedirTroca(args, { atual = '', subagent = false, trocar = null, r
     const r = await trocar({ caminho: destino, motivo });
     if (!r || !r.ok) {
         return { ok: false, recusado: true,
-            error: (r && r.error) || 'o usuário NÃO quis trocar de pasta. Continue na atual; ler a outra continua liberado.' };
+            error: (r && r.error) || 'o usuário NÃO quis trocar de pasta. Continue na atual; ler a outra pasta NÃO foi liberado.' };
     }
     return { ok: true, caminho: r.caminho || destino, ...(r.memoria ? { memoria: r.memoria } : {}),
         comoUsar: 'a pasta de trabalho agora é esta: caminhos relativos valem a partir dela.' };

package/lib/passagem.js

@@ -0,0 +1,50 @@
+/**
+ * passagem.js — quando o agente PARA sem terminar, ele passa o bastão.
+ *
+ * Visto no SystemOneHarness (harnessrouter, Apache-2.0; só a ideia, código
+ * nosso): ao encerrar sem confiança, o agente grava o estado e o que falta
+ * para quem assumir — em vez de só dizer "parei". Aqui, "quem assume" é a
+ * próxima conversa ("continua"), que lê o memory.md da pasta.
+ *
+ * Antes, a memória guardava `Pedido` + os 500 primeiros caracteres do motivo
+ * ("Usei as 40 voltas…"). A conversa seguinte sabia QUE parou, mas não o que
+ * já existia no disco, o que falhou, nem por onde recomeçar — e relia a pasta
+ * às cegas (ou reescrevia um arquivo que já estava pronto).
+ *
+ * Puro: recebe o registro do pedido (lib/registro.js) e devolve o texto.
+ */
+
+'use strict';
+
+const lista = (xs, n = 12) => {
+    const v = (xs || []).filter(Boolean);
+    return v.length ? v.slice(0, n).join(', ') + (v.length > n ? ` (+${v.length - n})` : '') : '';
+};
+
+/**
+ * @param {{pedido: string, motivo: string, registro?: object, falhasPendentes?: Array<{texto: string}>}} dados
+ * @returns {string} bloco curto, em português, para o memory.md
+ */
+function montar({ pedido, motivo, registro, falhasPendentes = [] }) {
+    const reg = registro || {};
+    const L = [`**Pedido (NÃO concluído):** ${String(pedido || '').replace(/\s+/g, ' ').trim().slice(0, 300)}`,
+        `**Por que parei:** ${String(motivo || 'sem explicação').replace(/\s+/g, ' ').trim().slice(0, 300)}`];
+    const criados = lista(reg.criados), alterados = lista(reg.alterados);
+    if (criados) L.push(`**Já existe no disco (criei):** ${criados}`);
+    if (alterados) L.push(`**Já mudei:** ${alterados}`);
+    const testes = (reg.testes || []).slice(-3).map((t) => `${t.comando}: ${t.ok ? 'passou' : 'FALHOU'}`);
+    if (testes.length) L.push(`**Últimos testes:** ${testes.join(' | ')}`);
+    const falhas = [
+        ...(reg.falhas || []).slice(-3).map((f) => `${f.acao}${f.alvo ? ' ' + f.alvo : ''}: ${f.motivo}`),
+        ...falhasPendentes.slice(-2).map((f) => f.texto),
+    ].map((x) => String(x).replace(/\s+/g, ' ').slice(0, 160));
+    const unicas = [...new Set(falhas)];
+    if (unicas.length) L.push(`**O que falhou:** ${unicas.join(' | ')}`);
+    const arquivosFeitos = !!(criados || alterados);
+    L.push(arquivosFeitos
+        ? '**Ao retomar:** NÃO recomece do zero nem reescreva o que já existe — leia os arquivos acima, confira o que falta contra o pedido e continue de onde parou.'
+        : '**Ao retomar:** nada foi gravado ainda — comece pelo pedido, mas por um caminho diferente do que travou.');
+    return L.join('\n');
+}
+
+module.exports = { montar };

package/lib/perigo.js

@@ -25,6 +25,7 @@
 
 const os = require('os');
 const path = require('path');
+const protecao = require('./protecao');
 
 const MODOS = ['auto', 'perguntar', 'livre', 'plano'];
 const COMANDOS = new Set(['run_shell', 'run_in_new_terminal']);
@@ -122,7 +123,7 @@ function analisarTrecho(palavras, estado) {
     if (cmd === 'sudo' || cmd === 'doas') return 'usa sudo: mexe como administrador no computador inteiro';
     if (cmd === 'cd') { estado.cwd = path.resolve(estado.cwd, expandir(alvos[0] || os.homedir())); return null; }
     if ((cmd === 'sh' || cmd === 'bash' || cmd === 'zsh') && args[0] === '-c' && args[1]) {
-        return analisarComando(args[1], estado.cwd, estado.projeto);
+        return analisarComando(args[1], estado.cwd, estado.projeto, estado.baixados);
     }
     if (cmd === 'rm' || cmd === 'rmdir' || cmd === 'trash') {
         const recursivo = cmd === 'rmdir' || tem(/^-[a-zA-Z]*[rR]|^--recursive$/);
@@ -141,6 +142,7 @@ function analisarTrecho(palavras, estado) {
     }
     if (cmd === 'git') {
         const sub = alvos[0];
+        if (sub === 'add') { const r = protecao.gitAddLevaSegredo(alvos, flags, estado.cwd); if (r) return r; }
         if (sub === 'push' && (tem(/^--force$|^-[a-zA-Z]*f/) || alvos.some((a) => /^\+/.test(a)))) {
             return 'git push --force: reescreve o histórico no GitHub, e o que estava lá some';
         }
@@ -188,7 +190,7 @@ function mexeNoLivro(palavras, cwd) {
     return p.slice(1).some((x) => !/^-/.test(x) && noLivro(x.split(/>>?/)[0]));
 }
 
-function analisarComando(comando, cwd, projeto) {
+function analisarComando(comando, cwd, projeto, baixados = null) {
     const s = String(comando || '');
     // Baixar e rodar na hora: o que roda é o que o site mandar naquele segundo.
     if (/\b(curl|wget)\b[^;&]*\|\s*(sudo\s+)?(env\s+)?(ba|z|da|k)?sh\b/.test(s)) {
@@ -196,11 +198,16 @@ function analisarComando(comando, cwd, projeto) {
     }
     // O mesmo que mcp_conectar, pela porta dos fundos: não pula o portão.
     if (/\bprimocode\s+mcp\s+(conectar|connect|add)\b/.test(s)) return 'instala e roda um servidor MCP de terceiros';
-    const estado = { cwd, projeto, pulandoFlags: false };
+    const estado = { cwd, projeto, pulandoFlags: false, baixados };
     for (const t of trechos(s)) {
         if (mexeNoLivro(t.palavras, estado.cwd)) return 'mexe no livro de ações do PrimoCode (~/.primocode/registro), o registro do que o agente fez';
         const r = analisarTrecho(t.palavras, estado);
         if (r) return r;
+        const prot = protecao.shellEscreveEmProtegido(t.palavras);
+        if (prot) return prot;
+        const baix = protecao.rodaBaixado(t.palavras, estado.cwd, baixados);
+        if (baix) return baix;
+        if (baixados) protecao.baixadosPor(t.palavras).forEach((x) => baixados.add(path.resolve(estado.cwd, x)));
     }
     return null;
 }
@@ -209,13 +216,13 @@ function analisarComando(comando, cwd, projeto) {
  * Esta ação é perigosa?
  * @returns {{perigoso: boolean, motivo: string}}
  */
-function classificar(nome, args, { projectDir } = {}) {
+function classificar(nome, args, { projectDir, baixados = null } = {}) {
     const a = args || {};
     const projeto = path.resolve(projectDir || process.cwd());
-    let motivo = null;
+    let motivo = null, fora = false;
     if (COMANDOS.has(nome)) {
         const cwd = a.cwd ? path.resolve(projeto, expandir(a.cwd)) : projeto;
-        motivo = analisarComando(a.command, cwd, projeto);
+        motivo = analisarComando(a.command, cwd, projeto, baixados);
     } else if (nome === 'mcp_conectar') {
         /* Instala e roda código de terceiro (npx/uvx/docker) com as chaves do
            usuário: sempre pergunta, como o curl | sh. O motivo leva o comando,
@@ -227,9 +234,10 @@ function classificar(nome, args, { projectDir } = {}) {
         const rel = path.relative(projeto, alvo);
         if (rel.startsWith('..') || path.isAbsolute(rel) || /^[a-zA-Z]:[\\/]/.test(String(a.path))) {
             motivo = `mexe num arquivo fora da pasta do projeto (${a.path})`;
-        }
+            fora = true;
+        } else motivo = protecao.motivoDoArquivo(rel);
     }
-    return { perigoso: !!motivo, motivo: motivo || '' };
+    return { perigoso: !!motivo, motivo: motivo || '', fora };
 }
 
 /* Comando que só olha: todo trecho começa por uma palavra de leitura, sem
@@ -250,7 +258,15 @@ function somenteLeitura(comando) {
     });
 }
 
-function novo() { return { liberados: new Set(), negados: new Set() }; }
+function sha256(t) { return require('crypto').createHash('sha256').update(String(t)).digest('hex'); }
+
+function chaveDoPerigo(nome, args) {
+    const a = args || {};
+    if (nome === 'mcp_conectar') return `${nome}\0${JSON.stringify([a.nome, a.comando || a.command, a.args, a.env])}`;
+    return `${nome}\0${JSON.stringify(a)}`;
+}
+
+function novo() { return { liberados: new Set(), negados: new Set(), baixados: new Set() }; }
 
 /* Uma pergunta por vez. Subagentes rodam em paralelo (Promise.all) e dois
    pedidos ao mesmo tempo no mesmo terminal se atropelariam. */
@@ -274,7 +290,7 @@ async function portao(estado, { modo, nome, args, projectDir, subagent = false,
         }
         return { ok: true };
     }
-    const { perigoso, motivo: motivoPerigo } = classificar(nome, args, { projectDir });
+    const { perigoso, motivo: motivoPerigo, fora } = classificar(nome, args, { projectDir, baixados: estado.baixados });
     const tipo = perigoso ? 'perigo' : (m === 'perguntar' && (COMANDOS.has(nome) || nome === 'mcp_usar')) ? 'comando'
         : (m === 'perguntar' && ESCRITAS.has(nome)) ? 'arquivo' : null;
     if (!tipo) return { ok: true };
@@ -287,7 +303,7 @@ async function portao(estado, { modo, nome, args, projectDir, subagent = false,
 
     // Escrever fora da pasta o tools.js já recusa sozinho: perguntar seria
     // pedir um "sim" que não serve para nada.
-    if (perigoso && ESCRITAS.has(nome)) {
+    if (perigoso && fora && ESCRITAS.has(nome)) {
         return recusa(`Recusado: ${motivo}. O PrimoCode só escreve dentro da pasta do projeto — use /dir se a pessoa quiser trabalhar em outra pasta.`);
     }
     if (subagent) {
@@ -300,7 +316,8 @@ async function portao(estado, { modo, nome, args, projectDir, subagent = false,
     // "A sessão inteira" libera o TIPO de pergunta: no perigoso, aquele motivo
     // (um push --force autorizado não autoriza um rm -rf ~); no modo
     // perguntar, os comandos ou as escritas comuns.
-    const liberacao = perigoso ? `perigo:${motivo}` : tipo;
+    // O motivo do mcp_conectar é texto de tela (cortado em 80): a chave leva o comando inteiro.
+    const liberacao = perigoso ? `perigo:${motivo}${nome === 'mcp_conectar' ? ':' + sha256(chaveDoPerigo(nome, args)) : ''}` : tipo;
     if (estado.liberados.has(liberacao)) return { ok: true };
     if (typeof perguntar !== 'function') {
         return recusa(`Recusado: ${motivo}. Isso precisa de autorização e não há ninguém para autorizar neste modo.`);

package/lib/protecao.js

@@ -0,0 +1,134 @@
+/**
+ * protecao.js — três portas que o perigo.js não tinha, vistas no OpenWorker
+ * (andrewyng, MIT) e no repo de skills do Instagram (sergebulaev, MIT).
+ * Reescritas do nosso jeito: nenhum código copiado, só a ideia.
+ *
+ *  1. AUTOPROTEÇÃO. O agente não reescreve, calado, o arquivo que manda nele
+ *     (AGENTS.md, CLAUDE.md, .primocode/hooks.json…). Quem escreve ali muda o
+ *     comportamento de TODAS as próximas sessões, e a pessoa nem vê.
+ *  2. ARQUIVO QUE EXECUTA DEPOIS. `.git/hooks`, `.github/workflows`,
+ *     `.vscode/tasks.json`: o texto que entra ali roda mais tarde, fora desta
+ *     conversa e fora da vista da pessoa.
+ *  3. SEGREDO NO GIT. Uma chave real vazou num repo público porque o `.env`
+ *     foi parar num commit. `git add .env` (ou `git add -A` com um `.env` que
+ *     o .gitignore não cobre) agora pergunta.
+ *  4. PROCEDÊNCIA. Rodar um arquivo que o próprio agente baixou nesta sessão
+ *     (`curl -o x.sh … && bash x.sh`) sempre pergunta: é o `curl | sh` com um
+ *     passo no meio.
+ *
+ * Puro quase todo: o único I/O é ler o .gitignore e ver se o .env existe.
+ */
+
+'use strict';
+
+const fs = require('fs');
+const path = require('path');
+
+const norm = (p) => String(p || '').replace(/\\/g, '/').replace(/^\.\//, '');
+
+/** Esse caminho (relativo ao projeto) muda o agente ou roda depois? → motivo, ou null. */
+function motivoDoArquivo(rel) {
+    const p = norm(rel);
+    const nome = path.posix.basename(p);
+    if (/^(agents|claude|gemini)\.md$/i.test(nome) || nome === '.cursorrules' || /(^|\/)\.github\/copilot-instructions\.md$/.test(p)
+        || /(^|\/)\.(claude|cursor)\/(rules|commands|agents|settings(\.local)?\.json|hooks)/.test(p)
+        || /(^|\/)\.primocode\/(hooks\.json|comandos\/)/.test(p)) {
+        return `mexe num arquivo de regras do agente (${nome}): o que entra ali vale para todas as próximas sessões`;
+    }
+    if (/(^|\/)\.git\/hooks\//.test(p)) return `escreve num gancho do git (${nome}): roda sozinho em todo commit`;
+    if (/(^|\/)\.github\/workflows\//.test(p)) return `escreve num fluxo do GitHub Actions (${nome}): roda nos servidores, com as chaves do repositório`;
+    if (/(^|\/)\.vscode\/tasks\.json$/.test(p)) return 'escreve em .vscode/tasks.json: o editor roda isso quando a pasta é aberta';
+    if (/(^|\/)\.husky\//.test(p)) return `escreve num gancho do husky (${nome}): roda sozinho em todo commit`;
+    return null;
+}
+
+/** Palavra de comando que aponta para arquivo protegido? Tira o `>`/`>>` do começo. */
+function arquivoNaPalavra(w) {
+    const s = String(w).replace(/^\d?>>?/, '');
+    return s ? motivoDoArquivo(s) : null;
+}
+
+const ESCREVEM = new Set(['tee', 'cp', 'mv', 'ln', 'install', 'touch', 'truncate', 'rm', 'rsync', 'dd']);
+/** Um trecho de shell (já em palavras) escreve num arquivo protegido? */
+function shellEscreveEmProtegido(palavras) {
+    if (!palavras.length) return null;
+    const cmd = path.basename(palavras[0]);
+    const redirecionou = palavras.some((w, i) => /^\d?>>?$/.test(w) ? !!(palavras[i + 1] && motivoDoArquivo(palavras[i + 1])) : /^\d?>>?./.test(w) && !!arquivoNaPalavra(w));
+    const sedI = cmd === 'sed' && palavras.some((w) => /^-[a-zA-Z]*i/.test(w) || w === '--in-place');
+    if (!redirecionou && !sedI && !ESCREVEM.has(cmd)) return null;
+    for (let i = 0; i < palavras.length; i++) {
+        const w = palavras[i];
+        const alvo = /^\d?>>?$/.test(w) ? palavras[i + 1] : w;
+        const m = alvo && (/^\d?>>?./.test(alvo) ? arquivoNaPalavra(alvo) : (i > 0 || /^\d?>>?$/.test(w)) ? motivoDoArquivo(alvo) : null);
+        if (m) return m;
+    }
+    return null;
+}
+
+/* ── segredo no git ─────────────────────────────────────────────────── */
+
+const MODELO = /\.(example|sample|template|dist|defaults?)$/i;
+function nomeDeSegredo(alvo) {
+    const nome = path.posix.basename(norm(alvo));
+    if (MODELO.test(nome)) return false;
+    return /^\.env(\.[\w-]+)?$/i.test(nome) || /^id_(rsa|ed25519|ecdsa|dsa)$/.test(nome) || /\.(pem|p12|pfx|key)$/i.test(nome)
+        || /^(credentials?|service-account.*|secrets?)\.(json|ya?ml)$/i.test(nome) || nome === '.npmrc' || nome === '.netrc';
+}
+
+function envFicaDeFora(projeto) {
+    try {
+        const gi = fs.readFileSync(path.join(projeto, '.gitignore'), 'utf8').split('\n').map((l) => l.trim());
+        return gi.some((l) => /^\/?\.env(\*|\.\*)?\/?$/.test(l) || l === '*.env');
+    } catch { return false; }
+}
+
+/** `git add …` leva um segredo? `alvos` já sem as flags. */
+function gitAddLevaSegredo(alvos, flags, projeto) {
+    const lista = alvos.slice(1);
+    const duro = lista.find(nomeDeSegredo);
+    if (duro) return `git add ${duro}: um arquivo de segredo no commit vira chave vazada no GitHub`;
+    const tudo = lista.some((a) => a === '.' || a === '*' || a === ':/') || flags.some((f) => /^(-A|--all|-a)$/.test(f));
+    if (tudo && projeto) {
+        const temEnv = ['.env', '.env.local', '.env.production'].some((n) => { try { return fs.existsSync(path.join(projeto, n)); } catch { return false; } });
+        if (temEnv && !envFicaDeFora(projeto)) return 'git add de tudo, com um .env na pasta que o .gitignore não cobre: a chave iria junto no commit';
+    }
+    return null;
+}
+
+/* ── procedência: o que o agente baixou ─────────────────────────────── */
+
+/** Arquivos que um trecho de shell baixa (curl -o/-O, wget -O/padrão). */
+function baixadosPor(palavras) {
+    const cmd = path.basename(palavras[0] || '');
+    const urls = palavras.filter((w) => /^https?:\/\//i.test(w));
+    const saida = [];
+    if (cmd === 'curl') {
+        for (let i = 1; i < palavras.length; i++) {
+            const w = palavras[i];
+            if ((w === '-o' || w === '--output') && palavras[i + 1]) saida.push(palavras[i + 1]);
+            else if (/^-[a-zA-Z]*O$/.test(w) || w === '--remote-name') urls.forEach((u) => saida.push(path.posix.basename(u.split(/[?#]/)[0])));
+            else if (/^-o./.test(w)) saida.push(w.slice(2));
+        }
+    } else if (cmd === 'wget') {
+        const o = palavras.findIndex((w) => w === '-O' || w === '--output-document');
+        if (o > 0 && palavras[o + 1]) saida.push(palavras[o + 1]);
+        else urls.forEach((u) => saida.push(path.posix.basename(u.split(/[?#]/)[0]) || 'index.html'));
+    }
+    return saida.filter((x) => x && x !== '-');
+}
+
+const INTERPRETES = new Set(['sh', 'bash', 'zsh', 'dash', 'node', 'python', 'python3', 'ruby', 'perl', 'source', '.', 'deno', 'bun', 'npx', 'tsx']);
+/** O trecho roda um arquivo que foi baixado? `baixados` = Set de caminhos absolutos. */
+function rodaBaixado(palavras, cwd, baixados) {
+    if (!baixados || !baixados.size || !palavras.length) return null;
+    const abs = (x) => path.resolve(cwd, String(x));
+    const cmd = palavras[0];
+    let alvo = null;
+    if (INTERPRETES.has(path.basename(cmd))) alvo = palavras.slice(1).find((w) => !/^-/.test(w));
+    else if (/^\.{0,2}\//.test(cmd) || cmd.includes('/')) alvo = cmd;
+    else if (baixados.has(abs(cmd))) alvo = cmd;
+    if (alvo && baixados.has(abs(alvo))) return `roda um arquivo que o próprio agente baixou nesta sessão (${path.basename(alvo)}) sem a pessoa ter lido`;
+    return null;
+}
+
+module.exports = { motivoDoArquivo, shellEscreveEmProtegido, nomeDeSegredo, gitAddLevaSegredo, envFicaDeFora, baixadosPor, rodaBaixado };

package/lib/sandbox.js

@@ -31,7 +31,8 @@ const { execFile, spawnSync } = require('child_process');
 
 const MODOS = ['best_effort', 'hard_requirement'];
 const LEITURA_NEGADA_HOME = ['.ssh', '.aws', '.config/gcloud', '.npmrc',
-    '.primocode/conta.json', '.netrc', '.git-credentials', '.config/gh', '.docker', '.kube', 'Library/Keychains'];
+    '.primocode/conta.json', '.netrc', '.git-credentials', '.config/gh', '.docker', '.kube', 'Library/Keychains',
+    '.config/git/credentials', '.pypirc', '.gnupg', '.cargo/credentials', '.cargo/credentials.toml'];
 // Socket do ssh-agent do macOS (launchd). O caminho exato vem do SSH_AUTH_SOCK; a regex pega os outros.
 const SOCKET_SSH_MAC = '^/private/(tmp|var/run)/com\\.apple\\.launchd\\.[^/]+/Listeners$';
 const SECRETA = /(_KEY|_TOKEN|SECRET)/i;
@@ -109,6 +110,10 @@ function perfilSeatbelt(projectDir, cfg = config(), home = os.homedir()) {
     l.push('(allow file-write* (literal "/dev/null") (literal "/dev/tty") (literal "/dev/dtracehelper") (regex #"^/dev/fd/"))');
     // Hook em .git/hooks roda fora da cerca no próximo `git commit` da pessoa. O .sample do `git init` passa.
     l.push('(deny file-write* (regex #"/\\.git/hooks/[^/]+$"))');
+    // A pasta em si também: sem `rm -rf .git/hooks && mv pasta-minha .git/hooks`, nem `mv .git` pra recriar.
+    // Só unlink/rename (não create): o `git init` precisa criar a pasta hooks.
+    l.push('(deny file-write-unlink (regex #"/\\.git/hooks$"))');
+    l.push('(deny file-write-unlink (regex #"/\\.git$"))');
     l.push('(allow file-write* (regex #"/\\.git/hooks/[^/]+\\.sample$"))');
     for (const p of negadosLeitura) l.push(`(deny file-read* (subpath ${sbq(real(p))}) (subpath ${sbq(p)}))`);
     l.push('(deny file-read* (regex #"/\\.env($|\\.[^/]*$)"))');
@@ -205,12 +210,14 @@ function filtrarEnv(env, permitidas) {
 }
 
 /** Roda o comando dentro da cerca. Mesmo formato do runShell: { ok, code, stdout, stderr }. */
-function executar(command, { projectDir, timeout = 60000, env = process.env, home } = {}) {
+function executar(command, { projectDir, timeout = 60000, env = process.env, home, homeProtegido } = {}) {
     const cwd = projectDir || process.cwd();
     const cfg = config(home);
     const env2 = filtrarEnv(env, cfg.env_permitidas);
-    // `home` só escolhe de onde lê a config; as pastas protegidas são sempre as do ~ de verdade.
-    const e = envolver(command, cwd, { cfg });
+    // `home` só escolhe de onde lê a config; as pastas protegidas são as do ~ de verdade (`homeProtegido` é para teste).
+    const e = envolver(command, cwd, { cfg, home: homeProtegido });
+    // Sem .git/hooks (git init --template=), um `mv` criaria a pasta lá dentro. Criada aqui, fora da cerca, o unlink barra a troca.
+    try { if (fs.statSync(path.join(cwd, '.git')).isDirectory()) fs.mkdirSync(path.join(cwd, '.git', 'hooks'), { recursive: true }); } catch { /* sem .git: nada a proteger */ }
     return new Promise((resolve) => {
         if (e.recusado) return resolve({ ok: false, code: 126, stdout: '', stderr: e.recusado, sandbox: { recusado: true } });
         const termina = (error, stdout, stderr) => {

package/lib/titulo-conversa.js

@@ -0,0 +1,46 @@
+/**
+ * titulo-conversa.js — quem dá título à conversa é quem leu a primeira troca.
+ *
+ * Antes o título era o começo da primeira mensagem ("Oi.", "E ele tem o…"): o
+ * gravador (lib/nuvem.js) usava `tituloDe`. Agora, depois da primeira resposta
+ * de uma conversa NOVA, o modelo escreve um título de 2 a 5 palavras e o
+ * gravador troca o do documento na nuvem. O app (Mac e desktop) lê esse título
+ * em `primocode conversas --json`, então a lateral muda sozinha.
+ *
+ * Se o modelo não responder a tempo, ou vier lixo, vale o título de antes:
+ * nenhum erro aparece. Puro, menos `escolher`, que recebe quem pergunta de fora.
+ */
+'use strict';
+
+const TEMPO_MAXIMO_MS = 8000;
+
+/** A pergunta. Curta: vai numa chamada à parte. */
+function pergunta(pedido, resposta) {
+    return 'Dê um título curto para esta conversa, de 2 a 5 palavras, em português do Brasil. '
+        + 'O título diz o ASSUNTO (ex.: Site da padaria, Vídeo de lançamento, Erro no login), '
+        + 'nunca "Conversa" nem "Oi". Sem aspas, sem ponto final e sem explicação. Responda SÓ com o título.\n\n'
+        + `PESSOA: ${String(pedido || '').slice(0, 500)}\n\nPRIMO: ${String(resposta || '').slice(0, 500)}`;
+}
+
+/** Limpa a resposta do modelo. Devolve null quando não dá pra confiar nela. */
+function limpar(resposta) {
+    const linha = String(resposta || '').trim().split('\n').map((l) => l.trim()).find(Boolean) || '';
+    const t = linha.replace(/^(t[ií]tulo)\s*:\s*/i, '').replace(/^[`"'“”*#\s]+|[`"'“”*.\s]+$/g, '').replace(/\s+/g, ' ');
+    const palavras = t.split(' ').filter(Boolean);
+    if (!t || t.length > 60 || palavras.length < 1 || palavras.length > 7) return null;
+    if (/^(conversa|oi|ol[aá]|t[ií]tulo|sem t[ií]tulo)$/i.test(t)) return null;
+    return t.charAt(0).toUpperCase() + t.slice(1);
+}
+
+/** Pergunta ao modelo e devolve o título limpo, ou null (falhou, demorou ou veio lixo). Nunca rejeita. */
+async function escolher({ pedido, resposta, perguntar, tempoMs = TEMPO_MAXIMO_MS }) {
+    try {
+        let timer;
+        const limite = new Promise((ok) => { timer = setTimeout(() => ok(null), tempoMs); });
+        const r = await Promise.race([Promise.resolve(perguntar(pergunta(pedido, resposta))), limite]);
+        clearTimeout(timer);
+        return r == null ? null : limpar(r);
+    } catch { return null; }
+}
+
+module.exports = { pergunta, limpar, escolher, TEMPO_MAXIMO_MS };

package/lib/tools.js

@@ -862,6 +862,9 @@ async function despachar(name, args, ctx) {
                 // A transcrição precisa do servidor (a chave é dele), então o
                 // contexto do pedido atravessa até aqui.
                 return estudio.ferramentaVideo(args, ctx);
+            case 'editor_pro':
+                // A edição completa de vídeo FALADO: o motor do EDIT IA PRO (lib/editor-pro.js, editor/).
+                return require('./editor-pro.js').ferramenta(args, ctx);
             case 'estudio_render':
                 // A pasta de trabalho vai junto: a composição do Hyperframes que a IA escreveu mora nela.
                 return estudio.ferramentaRender({ ...args, __pasta: projectDir }, {

package/lib/ui.js

@@ -552,7 +552,7 @@ const ROTULOS = {
            legítimo — e só a linha de baixo revelava que tinha falhado. */
         planejar_producao:'Diretor', estudio_projeto:'Estúdio·projeto',
         estudio_plano:'Estúdio·plano', estudio_narrar:'Estúdio·narração',
-        estudio_video:'Estúdio·vídeo', estudio_render:'Estúdio·render',
+        estudio_video:'Estúdio·vídeo', estudio_render:'Estúdio·render', editor_pro:'Editor·vídeo',
         estudio_site:'Estúdio·marca',
         desktop_windows:'Desktop·janelas', desktop_focus:'Desktop·foco',
         desktop_elements:'Desktop·elementos', desktop_click_element:'Desktop·click',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "primocode",
-  "version": "10.16.0",
+  "version": "10.17.1",
   "description": "PrimoCode — agente de engenharia com IA e cursor próprio. Requer conta Conecta Primo AI (Premium ou Super). Cria arquivos, roda comandos, controla navegador e desktop: abre apps, clica em botões e ícones pelo nome, digita e usa atalhos.",
   "main": "bin/primocode.js",
   "bin": {
@@ -10,7 +10,7 @@
     "start": "node bin/primocode.js",
     "postinstall": "node lib/preparar.js || true",
     "test:server": "cd server && npm test",
-    "test": "node test/tools.test.js && node test/ui.test.js && node test/entrada.test.js && node test/transparencia.test.js && node test/permissao.test.js && node test/compatibilidade.test.js && node test/skills.test.js && node test/skills-de-fora.test.js && node test/skills-novas.test.js && node test/comandos.test.js && node test/estudio.test.js && node test/voz.test.js && node test/primo-voz.test.js && node test/modo.test.js && node test/pasta.test.js && node test/projeto.test.js && node test/nome-projeto.test.js && node test/api-propria.test.js && node test/claude-engine.test.js && node test/codex.test.js && node test/conferir.test.js && node test/catalogo.test.js && node test/desktop.test.js && node test/seta.test.js && node test/effort.test.js && node test/regressao.test.js && node test/memoria-conversa.test.js && node test/repeticao.test.js && node test/casar.test.js && node test/recado.test.js && node test/releitura.test.js && node test/snapshot.test.js && node test/video.test.js && node test/limpeza.test.js && node test/autonomia.test.js && node test/desfazer.test.js && node test/desfazer-git.test.js && node test/referencia.test.js && node test/parar.test.js && node test/continuar.test.js && node test/pipeline.test.js && node test/conta.test.mjs && node test/planos-tela.test.js && node test/nuvem.test.js && node test/prazo.test.js && node test/primeira-vez.test.js && node test/fala.test.js && node test/especialistas.test.js && node test/empurrao.test.js && node test/terminal-novo.test.js && node test/markdown.test.js && node test/coerencia.test.js && node test/contexto.test.js && node test/perigo.test.js && node test/rapidez.test.js && node test/mascotes.test.js && node test/comandos-extra.test.js && node test/offline.test.js && node test/edicao.test.js && node test/composicao.test.js && node test/acervo-site.test.js && node test/impacto.test.js && node test/cinema.test.js && node test/producao.test.js && node test/ende.test.js && node test/capa.test.js && node test/broll.test.js && node test/morfar.test.js && node test/motion.test.js && node test/motion-roteiro.test.js && node test/kit-motion.test.js && node test/gerativo.test.js && node test/gerativo-identidade.test.js && node test/gerativo-moldura.test.js && node test/gerativo-heroi.test.js && node test/gerativo-ambiente.test.js && node test/gerativo-variedade.test.js && node test/hibrido.test.js && node test/batida.test.js && node test/estudio-acervo.test.js && node test/estudio-diretor.test.js && node test/estudio-marca.test.js && node test/estudio-novo-projeto.test.js && node test/estudio-plano.test.js && node test/estudio-slides.test.js && node test/estudio-video.test.js && node test/revisor.test.js && node test/conferencia.test.js && node test/cor.test.js && node test/assinatura.test.js && node test/biblioteca.test.js && node test/mcp.test.js && node test/mcp-http.test.js && node test/personas.test.js && node test/efeitos.test.js && node test/auto.test.js && node test/colar.test.js && node test/rolar.test.js && node test/orquestra.test.js && node test/shell-limpo.test.js && node test/editar-remotion.test.js && node test/variacao3d.test.js && node test/portao-skill.test.js && node test/clones.test.js && node test/kokoro.test.js && node test/fluido.test.js && node test/zoom.test.js && node test/personagem.test.js && node test/tela.test.js && node test/margem.test.js && node test/travado.test.js && node test/leitura.test.js && node test/producao-provedores.test.js && node test/broll-frase.test.js && node test/vazamento.test.js && node test/colecao.test.js && node test/mundo.test.js && node test/mcp-procurar.test.js && node test/selecao.test.js && node test/nome-curto.test.js && node test/agents-md.test.js && node test/outra-pasta.test.js && node test/estudio-sem-id.test.js && node test/estudio-objeto-do-site.test.js && node test/cenarios.test.js && node test/movimentos.test.js && node test/gerativo-so-fala.test.js && node test/estilos.test.js && node test/proporcao.test.js && node test/cena.test.js && node test/sem-narracao.test.js && node test/camadas.test.js && node test/gerativo-referencias.test.js && node test/voicestudio.test.js && node test/effectcraft.test.js && node test/projetos.test.js && node test/maquina.test.js && node test/maquina-som.test.js && node test/maquina-voz.test.js && node test/prova-fresca.test.js && node test/cota-video.test.js && node test/hooks.test.js && node test/modo-plano.test.js && node test/headless.test.js && node test/retomar.test.js && node test/sandbox.test.js && node test/exportar.test.js && node test/editor-video.test.js && node test/marca-kit.test.js && node test/preparar.test.js && node test/landing-planos.test.js && node test/limites.test.js && node test/app-chat-cli.test.js && node test/app-chat-ponte.test.js && node test/gosto-motion.test.js && node test/desktop-vivo.test.js && node test/memoria-usuario.test.js && node test/landing-instalar.test.js"
+    "test": "node scripts/testes.js"
   },
   "engines": {
     "node": ">=18.17.0"
@@ -31,6 +31,7 @@
     "lib/",
     "studio/",
     "skills/",
+    "editor/",
     "voz/",
     "LICENSES/",
     "README.md",

package/skills/editar-meu-video/SKILL.md

@@ -1,9 +1,13 @@
 ---
 nome: Editar o vídeo gravado
-descricao: como tratar uma gravação do usuário sem estragar o ritmo dela
-quando: gravei, gravação, gravacao, meu vídeo, meu video, editar, edição, edicao, corte, legenda, legendas, b-roll, broll
+descricao: operações soltas numa gravação (importar, cortar silêncio, recortar a pessoa) — a edição completa é a skill editar-video
+quando: cortar silêncio, cortar silencio, recortar a pessoa, trocar o fundo, b-roll, broll, importar a gravação
 autor: PrimoCode
 ---
+A EDIÇÃO COMPLETA de um vídeo falado (corte, legenda animada, gancho, peças,
+sons, trilha) é do `editor_pro` — carregue a skill `editar-video`. Esta aqui é
+para as operações soltas no Estúdio.
+
 O vídeo é da pessoa. Ela apareceu, falou e errou — o seu trabalho é tirar o
 que atrapalha, não refazer o que ela fez.
 

package/skills/editar-video/SKILL.md

@@ -0,0 +1,113 @@
+---
+nome: Editar vídeo falado (motor EDIT IA PRO)
+descricao: a edição completa da gravação da pessoa falando — corte, voz, legenda, gancho, peças, b-roll, sons, trilha e portão
+quando: edita meu vídeo, editar meu vídeo, edite esse vídeo, editar o vídeo, edição do vídeo, edicao do video, reels, tiktok, shorts, criativo, legenda e efeitos, legendas, gancho, cortar os respiros, tirar os erros, melhor tomada, vídeo falado, gravei, gravação, gravacao, vsl, anúncio
+autor: PrimoCode (adaptada do EDIT IA PRO, SHK Soluções Digitais, com autorização)
+---
+Você é o editor e o diretor. O motor (ferramenta `editor_pro`, ou
+`primocode editor <acao> --json '{...}'` pelo run_shell) mede e faz o
+trabalho pesado; você decide o que aparece em cada momento e por quê.
+
+## Como falar com a pessoa
+
+- Português simples, frases curtas. Nada de JSON, comando ou caminho comprido
+  na conversa: "estou ouvindo as tomadas", "tirei os respiros".
+- Tempos no formato 00:12. Antes de passo demorado (transcrição, render),
+  diga mais ou menos quanto leva.
+- No máximo UMA pergunta, e só se não der para deduzir ("é anúncio, Reels ou
+  aula?"). O resto tem padrão; conte as suposições numa frase no fim.
+
+## Princípios
+
+1. **A fala gravada manda.** Tudo entra no tempo da palavra que chama (pode
+   antecipar até 0,15 s). Tempo vem da fala que o `cortar` devolve, nunca
+   de estimativa.
+2. **Fidelidade.** Número, nome, prova e oferta só se a pessoa disse. Faltou
+   material: diga o que falta, não invente.
+3. **Respiro é erro.** O corte já tira silêncio de 0,25 s ou mais e fica com a
+   última tomada inteira de cada frase.
+4. **Uma ideia por vez na tela; rosto livre.** Nada sobre olhos e boca.
+   Alguma coisa muda a cada 2 a 4 s.
+5. **Só entrega com o portão PASSOU.** Reprovou: conserte o plano e monte de
+   novo. Nunca mostre um vídeo reprovado.
+
+## O caminho
+
+1. `editor_pro acao:"cortar" video:"<arquivo>" prompt:"nomes, de, marca"`.
+   Na primeira vez ele baixa os arquivos do editor e cria o Python dele
+   (avise: alguns minutos). Volta `pasta`, `duracao`, `volume` e `fala`: as
+   frases do corte com o tempo (`3.42-5.10 texto`). O original nunca é tocado.
+2. **Leia a fala e escreva o plano.** Divida por ideia e decida o que entra
+   em cada bloco (tabela "que peça para cada fala", abaixo).
+3. `editor_pro acao:"montar" pasta:"<pasta>" plano:{...} trilha:"auto"`.
+   Ele cria o projeto, põe a câmera viva, os sons casados com cada animação,
+   renderiza, mixa a trilha com ducking e roda o portão. Volta `video`
+   (`<pasta>/final.mp4`), `quadros` (6 PNGs), `audio` e `portao`.
+4. **Olhe os quadros** (read_file nos PNGs) antes de entregar. Algo feio
+   (texto cortado, peça no rosto, b-roll sem nada a ver): mude o plano e
+   monte de novo.
+5. Entregue com uma nota curta: onde está o vídeo, o que foi feito, o que
+   faltou. Atalho sem plano: `acao:"editar"` (o plano automático põe um
+   gancho e as peças que a fala pede).
+
+## O plano
+
+```json
+{"gancho": "O que é *IA*",
+ "pecas": [
+  {"id": "def", "tipo": "lettering", "principal": "Máquinas *aprendem*", "apoio": "e decidem", "em": 6.9, "sai": 10.6, "posicao": "topo"},
+  {"id": "passos", "tipo": "passo_a_passo", "depois_de": 12.3, "sai": 23.1,
+   "passos": [{"texto": "Recebe exemplos", "em": 12.6}, {"texto": "Ajusta parâmetros", "em": 16.9}]},
+  {"id": "lista", "tipo": "lista_check", "titulo": "Tudo isso é *IA*", "marca": "check", "depois_de": 31, "sai": 35,
+   "itens": [{"texto": "Assistentes", "em": 31.05}, {"texto": "Carros sozinhos", "em": 32.9}]}],
+ "broll": [{"busca": "self-driving car", "de": 26.1, "ate": 28.4, "rotulo": "Carro *autônomo*"}]}
+```
+
+- `gancho`: até 4 palavras fortes da primeira frase; `*palavra*` sai em
+  destaque. `false` desliga.
+- `pecas`: as do catálogo. `em`, `sai`, `depois_de` em segundos do corte.
+- `broll`: imagem livre (Wikimedia, CC0) buscada pelo que a pessoa DISSE
+  naquele instante (busca em inglês acha mais), 1,5 a 3 s, com `rotulo`
+  curto. `"modo": "tela_verde"` recorta a pessoa na frente da imagem.
+- Opcionais: `estilo` (`laranja` padrão, `papelaria`, `noite`), `legenda`
+  (`padrao` | `discreta`), `correcoes` (`{"palavra errada": "certa"}` quando a
+  transcrição errou um nome), `blocos` (enquadramento à mão), `trilha_abaixo`
+  (dB da trilha abaixo da voz, 20), `sons: false`, `camera_viva: false`.
+- `trilha`: `"auto"` (busca uma faixa com energia), o caminho de um áudio da
+  pessoa, ou `"nenhuma"`.
+
+## Que peça para cada fala
+
+| a fala | a peça |
+|---|---|
+| uma expressão que muda o sentido | `lettering` (`principal`, `apoio`) |
+| enumera ("espaço, estoque, frete") | `lista_check` (`marca` check ou x), cada item na sua palavra, até 22 letras |
+| etapas em ordem | `passo_a_passo` |
+| um número que importa | `contador` (`valor_final`, `sufixo`, `rotulo`) |
+| nome de uma coisa a fixar | `rotulo` (em cima da cabeça) |
+| afirmação curta que fecha a ideia | `carimbo` (1 ou 2 palavras) |
+| cita algo concreto que se pode mostrar | `broll` |
+
+Peça grande (lista, passos) ganha moldura sozinha. Lettering com mais de 6
+palavras é erro. Campos de cada peça: `<editor>/references/animacao-catalogo.md`;
+enquadramento: `references/enquadramento.md`; sons e trilha:
+`references/som-e-trilha.md` (`<editor>` é a pasta que o `preparar` devolve).
+
+## O som
+
+O motor mede a voz de cada trecho e acerta o ganho antes do volume final:
+gravação baixa (-38 LUFS) sai em -14 LUFS, pico até -1 dBTP, 48 kHz, sem o
+modo dinâmico que bombeia a voz. A limpeza de ruído é leve por padrão
+(`limpar: "forte"` no cortar, `false` desliga). O portão reprova volume fora,
+modo dinâmico, amostra clipada, respiro, quadro preto e texto fora da zona
+segura do Reels.
+
+## Quando algo dá errado
+
+- Erro de um passo: a mensagem diz qual e por quê (em português). Corrija a
+  entrada e tente de novo; não repita o mesmo pedido esperando outro
+  resultado.
+- Palavra errada na legenda: `correcoes` no plano, ou `prompt` no cortar.
+- A mesma correção falhou duas vezes: pare e conte à pessoa o que testou.
+- Operação solta (só cortar um trecho, juntar, exportar): é o editor por
+  linha do tempo (`primocode video help`), não este.