pumuki 6.3.26 → 6.3.28

package/docs/MCP_SERVERS.md

@@ -1,9 +1,11 @@
 # MCP Servers (v2.x)
 
-Pumuki expone dos servidores MCP HTTP opcionales:
+Pumuki expone dos servidores MCP HTTP opcionales y bridges MCP stdio para IDEs:
 
 - `pumuki-mcp-evidence`: API read-only para `.ai_evidence.json`.
 - `pumuki-mcp-enterprise`: superficie enterprise consolidada (resources + tools) con guardrails fail-safe.
+- `pumuki-mcp-evidence-stdio`: bridge MCP stdio para consumir evidencia desde clientes MCP de IDE/CLI.
+- `pumuki-mcp-enterprise-stdio`: bridge MCP sobre stdio para clientes MCP de IDE/CLI (Windsurf/Codex/Cursor/Claude).
 
 El enforcement de gates (`pre-commit`, `pre-push`, `ci`) no depende de MCP.
 
@@ -20,7 +22,8 @@ npm run mcp:enterprise
 
 ```bash
 npx --yes pumuki-mcp-evidence
-npx --yes pumuki-mcp-enterprise
+npx --yes --package pumuki@latest pumuki-mcp-enterprise
+npx --yes --package pumuki@latest pumuki-mcp-enterprise-stdio
 ```
 
 ## 1) Evidence Context Server (`pumuki-mcp-evidence`)
@@ -90,6 +93,32 @@ Variables de entorno:
 - `PUMUKI_ENTERPRISE_MCP_HOST`
 - `PUMUKI_ENTERPRISE_MCP_PORT`
 
+Nota operativa:
+
+- Si el host MCP (IDE/CLI) inicia múltiples instancias y aparece `EADDRINUSE`, usar `PUMUKI_ENTERPRISE_MCP_PORT=0` para puerto dinámico por proceso.
+
+## 3) Enterprise MCP Stdio Bridge (`pumuki-mcp-enterprise-stdio`)
+
+### Implementación
+
+- `integrations/mcp/enterpriseStdioServer.cli.ts`
+- `bin/pumuki-mcp-enterprise-stdio.js`
+
+### Purpose
+
+Exponer capacidades MCP por stdio para clientes MCP de IDE/CLI, reutilizando el servidor HTTP enterprise por debajo.
+
+## 4) Evidence MCP Stdio Bridge (`pumuki-mcp-evidence-stdio`)
+
+### Implementación
+
+- `integrations/mcp/evidenceStdioServer.cli.ts`
+- `bin/pumuki-mcp-evidence-stdio.js`
+
+### Purpose
+
+Exponer recursos de evidencia por stdio (`resources/list`, `resources/read`) para clientes MCP de IDE/CLI.
+
 ### Endpoints
 
 - `GET /health`
@@ -171,8 +200,18 @@ URI no soportada devuelve `404`.
 - `stage`
 - `violations[]`
 - `evidence` (kind + age/max-age)
+- `mcp_receipt` (required/kind/path/age para enforcement de PRE_WRITE)
 - `repo_state` (git + lifecycle snapshot)
 
+Además, cada ejecución de `ai_gate_check` persiste un recibo auditable en:
+
+- `.pumuki/artifacts/mcp-ai-gate-receipt.json`
+
+Ese recibo se usa en `pumuki sdd validate --stage=PRE_WRITE` para enforcement no cosmético:
+
+- sin recibo MCP válido/fresco: `BLOCK` (`MCP_ENTERPRISE_RECEIPT_*`);
+- con recibo válido/fresco: evaluación PRE_WRITE continúa por gate/evidence normal.
+
 ### Guardrails enterprise (baseline fail-safe)
 
 - Tools mutating (`validate_and_fix`, `sync_branches`, `cleanup_stale_branches`) fuerzan `dryRun=true` aunque se solicite `dryRun=false`.

package/docs/README.md

@@ -5,8 +5,9 @@ Canonical index for active Pumuki documentation.
 ## Ciclo Activo (Seguimiento Temporal)
 
 - Seguimiento diario (único y simplificado): `docs/EXECUTION_BOARD.md`.
-- Cierre más reciente previo: `P5` (auditoría exhaustiva C025 consolidada) en `docs/REFRACTOR_PROGRESS.md`.
-- Alcance actual: validar funcionamiento real de capacidades públicas y auditoría completa de reglas en repo real y/o mock.
+- Seguimiento simple de validación real en repo no-mock: `docs/validation/p9-ruralgo-fork-validation-tracking.md`.
+- Cierre funcional previo: `P6` (verificación exhaustiva interna real/mock, `371/371`) consolidado en `docs/REFRACTOR_PROGRESS.md`.
+- Alcance activo actual: `P9` (validación manual guiada en repo real externo `ruralgo-fork`) en `docs/validation/p9-ruralgo-fork-validation-tracking.md`.
 - Ultimo cierre oficial previo: ciclo `022` consolidado en `docs/validation/c022-phase-acceptance-contract.md`.
 - Politica: una sola tarea en construccion (`🚧`) en todo momento.
 
@@ -54,6 +55,9 @@ Canonical index for active Pumuki documentation.
 - `docs/validation/c022-phase-acceptance-contract.md`
 - `docs/validation/enterprise-consumer-isolation-policy.md`
 - `docs/validation/mock-consumer-integration-runbook.md`
+- `docs/validation/p9-ruralgo-bug-registry.md`
+- `docs/validation/p9-ruralgo-fork-validation-tracking.md`
+- `docs/validation/real-repo-manual-e2e-ruralgo-fork.md`
 - `docs/validation/detection-audit-baseline.md`
 - `docs/validation/skills-rollout-consumer-repositories.md`
 

package/docs/REFRACTOR_PROGRESS.md

@@ -3,7 +3,7 @@
 Estado operativo activo del repositorio.
 
 ## Leyenda
-- ✅ Hecho
+- ✅ Cerrado
 - 🚧 En construccion (maximo 1)
 - ⏳ Pendiente
 - ⛔ Bloqueado
@@ -16,7 +16,7 @@ Este archivo se mantiene como histórico auditable de fases y evidencias.
 Fuente unica de seguimiento operativo. No se abren nuevos MDs temporales de tracking.
 
 ### Fase P0 — Cierre operativo externo
-- ⛔ `P0.T1` Rehabilitar checks remotos de GitHub Actions (runner/billing) y confirmar ejecucion real.
+- ✅ `P0.T1` Frente externo cerrado administrativamente por decision operativa (sin dependencia de runner/billing/Snyk remoto).
   - ✅ `P0.T1.a` Verificacion de provision de runners (GitHub-hosted/self-hosted) completada.
     - `self-hosted` a nivel repo: `total_count=0` (`gh api /actions/runners`).
     - workflows configurados con `runs-on` GitHub-hosted (`ubuntu-latest` y `macos-latest`).
@@ -34,6 +34,9 @@ Fuente unica de seguimiento operativo. No se abren nuevos MDs temporales de trac
     - run `22461366992` (`CI`, `develop`) relanzado: jobs en `failure/cancelled` con `runner_id=0`, `steps=0`, `log not found`.
     - job ejemplo: `Type Check` `65064931298` (`runner_id=0`).
     - run `22461349641` (`CI`, `main`) mismo patron (`runner_id=0`, `steps=0`).
+  - cierre administrativo 2026-03-01:
+    - decision explicita del usuario: no continuar esperando capacidad externa.
+    - veredicto operativo: el bloqueo remoto deja de ser criterio de parada para ejecucion enterprise local.
 - ✅ `P0.T2` Snyk excluido del flujo actual por decision operativa (post-MVP, sin reactivacion en este bloque).
   - estado 2026-02-26: no hay checks `snyk/security` activos en el head actual (`f3d1c4b`) y no existe workflow local de Snyk en `.github/workflows`.
   - reactivacion futura: mover a backlog post-MVP cuando se reabra seguridad SaaS.
@@ -310,7 +313,7 @@ Fuente unica de seguimiento operativo. No se abren nuevos MDs temporales de trac
   - cobertura checklist:
     - funcionalidades inventariadas: `136` (`bin=10`, `lifecycle_commands=20`, `scripts=98`, `exports=8`).
     - reglas AST inventariadas: `235` (`core_rules + skills_rules` en catálogo único).
-- 🚧 `P6.T8` Ejecutar checklist completa en repo mock + repo real externo y rellenar evidencia item por item.
+- ✅ `P6.T8` Ejecutar checklist completa en repo mock + repo real externo y rellenar evidencia item por item.
   - progreso actual (mock):
     - repo mock validado: `/Users/juancarlosmerlosalbarracin/Developer/Projects/pumuki-mock-consumer`.
     - baseline sin SDD confirmado (`openspec/`, `.ai_evidence.json`, `.pumuki/`, `pumuki.rules.ts`, `skills.lock.json`, `skills.sources.json` ausentes).
@@ -327,9 +330,374 @@ Fuente unica de seguimiento operativo. No se abren nuevos MDs temporales de trac
       - tests en verde (regresión legacy): `npx --yes tsx@4.21.0 --test integrations/lifecycle/__tests__/openSpecBootstrap.test.ts integrations/lifecycle/__tests__/install.test.ts integrations/lifecycle/__tests__/remove.test.ts`
       - typecheck en verde: `npm run -s typecheck`
     - evidencia: `/Users/juancarlosmerlosalbarracin/Developer/Projects/pumuki-mock-consumer/artifacts/pumuki-matrix-summary.json`
-  - pendiente para cerrar `P6.T8`:
-    - ejecutar lote equivalente en repo real externo y completar relleno checklist item-por-item.
-- ⏳ `P6.T9` Consolidar cierre final P6 en documentación estable.
+  - cierre de `P6.T8`:
+    - cola ordenada activa:
+      - `P6.T8.2` (DONE): sub-task MCP explícita en entorno real (`Codex CLI + Windsurf`) ejecutada:
+        - `npx pumuki adapter install --agent=windsurf` (`.codeium/adapter/hooks.json` generado)
+        - `npx pumuki adapter install --agent=windsurf` ahora también registra `pumuki-enterprise` en `$HOME/.codeium/windsurf/mcp_config.json` preservando MCPs existentes (merge JSON).
+        - configuración global Codex CLI alineada (`~/.codex/config.toml`): `XcodeBuildMCP`, `cupertino`, `openaiDeveloperDocs`, `playwright`, `supabase`, `xcode`, `pumuki-enterprise` en `enabled=true` y verificados con `codex mcp list`.
+        - comando MCP enterprise endurecido para entornos sin `node_modules` local: `npx --yes --package pumuki@latest pumuki-mcp-enterprise-stdio` (elimina error `npm 404` por resolver `pumuki-mcp-enterprise` como paquete).
+        - mitigación `EADDRINUSE` aplicada: `PUMUKI_ENTERPRISE_MCP_PORT=0` para arranque con puerto dinámico en MCP `pumuki-enterprise` (config global + template windsurf).
+        - bridge stdio MCP corregido a transporte JSON-RPC por líneas (`\\n`) para compatibilidad real con clientes IDE (`initialize` + `tools/list` en verde).
+        - bridge stdio de evidencia añadido (`pumuki-mcp-evidence-stdio`) y conectado en config global Codex/Windsurf (`initialize` + `resources/list` en verde).
+        - `pumuki-mcp-evidence-stdio` amplía `tools/list` (6 tools) para evitar estado ambiguo en panel MCP de IDEs.
+        - `npx pumuki-mcp-evidence` + `npx pumuki-mcp-enterprise` en puertos default (`7341`/`7391`)
+        - validación endpoints: `/health`, `/status`, `/tools`, `/ai-evidence/summary` en verde
+      - `P6.T8.3` (DONE): completar checklist mock item-por-item.
+        - `P6.T8.3.a` (DONE): enforcement MCP no cosmético en `PRE_WRITE`:
+          - `evaluateAiGate` soporta `requireMcpReceipt=true` y bloquea con códigos `MCP_ENTERPRISE_RECEIPT_*` cuando falta/expira/incoherente.
+          - `runLifecycleCli sdd validate --stage=PRE_WRITE` activa `requireMcpReceipt=true`.
+          - `ai_gate_check` en enterprise MCP persiste recibo auditable `.pumuki/artifacts/mcp-ai-gate-receipt.json`.
+          - validación TDD en verde:
+            - `integrations/gate/__tests__/evaluateAiGate.test.ts` (nuevo coverage de missing/valid receipt).
+            - `integrations/mcp/__tests__/aiGateReceipt.test.ts` (roundtrip/missing/invalid).
+            - `integrations/mcp/__tests__/enterpriseServer.test.ts` (persistencia recibo).
+            - `integrations/lifecycle/__tests__/cli.test.ts` (PRE_WRITE con enforcement y recibo válido).
+        - `P6.T8.3.b` (DONE): restaurado recuadro legacy `PRE-FLIGHT CHECK` en salida no-json de `pumuki sdd validate --stage=PRE_WRITE`.
+          - panel incluye estado `ai_gate`, estado `evidence`, estado `mcp_receipt`, violaciones y hints accionables.
+          - evidencia de regresión: `integrations/lifecycle/__tests__/cli.test.ts` (`runLifecycleCli sdd validate PRE_WRITE sin --json renderiza panel legacy de pre-flight`).
+        - `P6.T8.3.c` (DONE): autocuración automática `PRE_WRITE` (sin intervención humana):
+          - `runLifecycleCli sdd validate --stage=PRE_WRITE` auto-refresca evidencia cuando detecta `EVIDENCE_*` corregibles.
+          - auto-emite/actualiza recibo MCP cuando detecta `MCP_ENTERPRISE_RECEIPT_*` corregibles.
+          - reevalúa gate tras cada autocuración y persiste traza `automation` en salida JSON/panel legacy.
+          - validación TDD en verde: `integrations/lifecycle/__tests__/cli.test.ts` (casos `autocura recibo MCP faltante` y panel PRE_WRITE en verde).
+        - `P6.T8.3.d` (DONE): continuar checklist funcional/reglas mock restante item-por-item.
+          - lote SDD mock verificado en repo consumidor:
+            - `node bin/pumuki.js sdd status --json` (`openspec.compatible=true` + estado de sesión reportado).
+            - `node bin/pumuki.js sdd session --open/--refresh/--close --json` en verde con `changeId=p6-t8-3d-sdd-session`.
+            - `node bin/pumuki-pre-write.js` ejecuta panel legacy + autocuración automática (`Auto-heal attempted=yes actions=2`).
+          - lote loop+analytics mock verificado:
+            - `loop run/status/list/export/stop/resume` en verde con sesión `loop-4d8345fd-d201-4952-845a-2c1d0a0d37ef`.
+            - `analytics hotspots report --json` en verde (`top=5`, `ranked=5`).
+            - `analytics hotspots diagnose --json` en verde (`status=degraded` esperado por `CONTRACT_MISSING`/`AUDIT_EMPTY` en mock sin ingesta SaaS).
+          - bins framework + update mock verificados:
+            - `ast-hooks`, `pumuki-ast-hooks`, `pumuki-framework` ejecutan menú y salen limpio (`option=10`).
+            - `pumuki update --latest` ejecutado en consumidor mock (`hooks changed: none`).
+          - scripts core de smoke/typecheck verificados:
+            - `npm run -s validation:package-smoke:minimal` en verde.
+            - `npm run -s validation:package-smoke` en verde.
+            - `npm run -s typecheck` en verde.
+          - suites core de validación ampliadas en verde:
+            - `npm run -s test:deterministic`, `test:evidence`, `test:heuristics`, `test:mcp`, `test:operational-memory`, `test:saas-ingestion`.
+            - remediación de guardrail `test:stage-gates`: extracción de autocuración PRE_WRITE a `integrations/lifecycle/preWriteAutomation.ts` para mantener `integrations/lifecycle/cli.ts` por debajo del límite de tamaño.
+            - `npm run -s test:stage-gates` nuevamente en verde (`915 pass / 0 fail / 4 skip`).
+          - preflight de repo real externo en clon temporal (`/tmp/pumuki-rgo-real-JHBF2h/repo`):
+            - verificados en verde: `pumuki status/doctor/sdd status/sdd validate PRE_COMMIT/loop list/analytics diagnose`.
+            - `pumuki install` y `npm uninstall pumuki` bloqueados por engine del repo real (`EBADENGINE`: requiere `node=20.20.0`, `npm=10.8.2`).
+            - bins y pre-hooks ejecutados en real-clone:
+              - `ast-hooks`, `pumuki-framework`, `pumuki-ast-hooks` en verde (`option=10`, menú renderizado).
+              - `pumuki-pre-commit`, `pumuki-pre-push`, `pumuki-pre-write` bloquean por `OPENSPEC_MISSING` (comportamiento esperado en baseline sin OpenSpec).
+            - `analytics hotspots report` ejecutado en real-clone y bloqueado por límite de buffer de `git` (`spawnSync git ENOBUFS`) en repo grande.
+          - lote scripts core A.3 validado:
+            - OK: `check-version`, `build:ts`, `lint`, `validation:architecture-guardrails`, `validation:package-manifest`, `validation:lifecycle-smoke`, `test`, `gitflow`, `framework:menu (exit=10)`.
+            - migrados con salida informativa: `validate:adapter-hooks-local`, `verify:adapter-hooks-runtime`.
+            - bloqueos esperados por SDD en repo core sin OpenSpec activo: `ast`, `audit`, `audit-library`, `violations`, `violations:list/show/summary/top` (`OPENSPEC_MISSING`).
+            - `validation:adapter-readiness` ejecuta contrato y devuelve `verdict=PENDING` (exit=1) con reporte en `.audit-reports/adapter/adapter-readiness.md`.
+          - lote scripts de reporting consumer/adapter validado:
+            - `validation:adapter-real-session-report` en verde y `validation:adapter-session-status` bloquea con `verdict=BLOCKED` (esperado por estado del entorno).
+            - reintento con argumentos completos:
+              - `validation:consumer-ci-artifacts -- --repo juancarlosmerlosalbarracin/ast-intelligence-hooks --limit 5` -> `gh run list` 404.
+              - `validation:consumer-ci-auth-check -- --repo juancarlosmerlosalbarracin/ast-intelligence-hooks` -> `verdict=BLOCKED`.
+              - `validation:consumer-startup-triage -- --repo ... --repo-path ... --skip-workflow-lint --skip-auth-check` -> bloquea por dependencia CI externa (`gh` 404) y dependencia de bundle.
+              - `validation:consumer-support-bundle -- --repo juancarlosmerlosalbarracin/ast-intelligence-hooks` -> `gh run list` 404.
+              - `validation:consumer-workflow-lint -- --repo-path /Users/juancarlosmerlosalbarracin/Developer/Projects/ast-intelligence-hooks` -> lint no exitoso.
+            - `validation:consumer-support-ticket-draft -- --repo juancarlosmerlosalbarracin/ast-intelligence-hooks` -> bloquea por falta de bundle previo.
+            - `validation:consumer-startup-unblock-status` devuelve `MISSING_INPUTS` y `validation:mock-consumer-ab-report` devuelve `READY`.
+            - `validation:clean-artifacts` y `validation:progress-single-active` en verde.
+          - lote alias/scripts adicionales A.3 ejecutado y trazado:
+            - `ast:audit` y `ast:refresh` bloquean por `OPENSPEC_MISSING` (esperado en repo core sin OpenSpec activo).
+            - `ast:check-version`, `ast:gitflow`, `ast:release`, `gitflow:status`, `gitflow:workflow` en verde.
+            - `ast:guard:start/stop/status/logs/restart` devuelven mensaje `Deprecated` (exit=0, comportamiento esperado).
+            - `validation:c020-benchmark` ejecutado (`parity_exit=1` esperado contra baseline legacy en `.audit-reports/c020-a-legacy-parity-menu1.md`).
+            - `skills:compile` + `skills:lock:check` en verde; `skills:import:custom` en verde (`sources_detected=6`, `imported_rules=728`).
+            - `adapter:install -- --agent=windsurf --dry-run` en verde (`written=false`, dry-run correcto).
+            - `pumuki:doctor` (`PASS`) y `pumuki:status` (`lifecycle installed=false`) en verde.
+          - lote scripts phase5/phase8 de diagnóstico también ejecutado:
+            - `validation:phase5-blockers-readiness` -> `verdict=BLOCKED` (exit=1).
+            - `validation:phase5-execution-closure-status` -> `verdict=BLOCKED` (exit=1).
+            - `validation:phase5-external-handoff` -> `verdict=MISSING_INPUTS` (exit=1).
+            - `validation:phase5-latest:ready-check` -> bloqueado por reporte faltante en `.audit-reports/phase5-latest`.
+            - `validation:phase8:doctor/next-step/status-pack/loop-guard/ready-handoff` -> bloqueados por `loop_guard` debido a handoff faltante (`docs/validation/consumer-startup-escalation-handoff-latest.md`).
+            - `validation:phase8:loop-guard-coverage` en verde (`PASS`).
+          - lote `exports` A.4 validado en mock consumidor:
+            - importados en verde con `node --import tsx`: `pumuki`, `core/gate/evaluateGate`, `core/gate/evaluateRules`, `integrations/git`, `integrations/lifecycle`, `integrations/mcp`, `integrations/sdd`.
+            - `pumuki/package.json` accesible y versión `6.3.26`.
+            - resultado global: `failed=0/8` en `/Users/juancarlosmerlosalbarracin/Developer/Projects/pumuki-mock-consumer`.
+          - lote `exports` A.4 también validado en repo real externo (clon temporal):
+            - se instaló temporalmente `pumuki@latest` + `tsx` en `/tmp/pumuki-rgo-real-JHBF2h/repo` con `npm_config_engine_strict=false` (solo warnings `EBADENGINE`).
+            - revalidación `node --import tsx` en verde para los 8 exports (`failed=0/8`).
+          - lote scripts `phase5-escalation` y `phase8` ejecutado y registrado en checklist A.3:
+            - bloqueos esperados por precondiciones faltantes (`consumer-startup-escalation-handoff-latest.md`, `loop_guard`, `chain not READY`) en `phase5-latest:*`, `phase5-post-support:refresh`, `phase8:autopilot/tick/resume-after-billing/close-ready`.
+            - scripts con parámetros obligatorios (`mark-submitted`, `close-submission`, `mark-followup-*`) verifican `Usage` correctamente (exit=1 sin args).
+            - `validation:phase5-execution-closure` valida contrato de entrada y falla con mensaje claro cuando falta `--repo`.
+          - lote scripts lifecycle/gitflow/mcp completado:
+            - `gitflow:reset` verificado como no destructivo (solo guidance).
+            - `install-hooks`, `pumuki:install`, `pumuki:update`, `pumuki:uninstall`, `pumuki:remove` ejecutados en core con salidas esperadas.
+            - `mcp:evidence` y `mcp:enterprise` validados levantando servidor en puertos dedicados (`7441`/`7491`) y `curl /health` en verde (`status=ok`).
+            - `pumuki:sdd:pre-write` ejecutado y bloquea correctamente en baseline sin proyecto OpenSpec (`OPENSPEC_PROJECT_MISSING` + panel `PRE-FLIGHT CHECK`).
+            - `maintenance:library -- update` ejecutado: falla controlada por ruta de trabajo interna (`grep: package.json: No such file or directory`), evidenciando comportamiento actual del script.
+          - suite integral de reglas re-ejecutada y usada como evidencia de Checklist B:
+            - `npm run -s test:stage-gates` en verde (`915 pass / 0 fail / 4 skip`).
+            - `Checklist B` marcado completo (`235` reglas) con evidencia de suite integral.
+          - cierre de gaps `real: ⏳` en real-clone para A.1/A.2:
+            - `pumuki-ci`, `pumuki-mcp-evidence`, `pumuki-mcp-enterprise` verificados en `R_GO` clon temporal.
+            - lifecycle/loop (`install/update/uninstall/remove`, `loop run/status/export/stop/resume`) ejecutados; `install/update` bloquean por `EBADENGINE` esperado en ese repo.
+            - `sdd session open/refresh/close` ejecutados con resultados esperados por precondiciones (change inexistente/no sesión activa/cierre inactivo).
+      - `P6.T8.4` (DONE): ejecutar lote equivalente en repo real externo y completar checklist item-por-item.
+      - `P6.T8.5` (DONE): consolidación de evidencia en `docs/EXECUTION_BOARD.md` y cierre operativo del bloque P6.T8.
+- ✅ `P6.T9` Consolidar cierre final P6 en documentación estable.
+  - estado de consolidación actual:
+    - `docs/EXECUTION_BOARD.md` refleja `371/371` ítems cubiertos con evidencia (`mock=371`, `real=371`).
+    - sin items pendientes en checklist funcional (A) ni de reglas (B).
+  - veredicto enterprise P6:
+    - cobertura funcional + reglas cerrada en mock y real-clone.
+    - bloqueo residual no-funcional identificado y remediado en utilitario `maintenance:library` (root-path del script).
+
+### Fase P7 — Hardening post-verificación
+- ✅ `P7.T1` Estabilizar scripts utilitarios post-P6 y validar regresiones rápidas.
+  - TDD aplicado al fix de `maintenance:library`:
+    - RED: `scripts/__tests__/manage-library-script.test.ts` falla con `PROJECT_ROOT` mal resuelto.
+    - GREEN: `scripts/manage-library.sh` corrige `PROJECT_ROOT` a repo root (`.../scripts/..`).
+    - verificación:
+      - `npx --yes tsx@4.21.0 --test scripts/__tests__/manage-library-script.test.ts` (`1/1 PASS`).
+      - `npm run -s maintenance:library -- update` (`exit=0`).
+  - regresión rápida de cierre:
+    - `npm run -s typecheck` (`PASS`).
+    - `npx --yes tsx@4.21.0 --test integrations/mcp/__tests__/aiGateReceipt.test.ts integrations/mcp/__tests__/enterpriseStdioServer.cli.test.ts integrations/mcp/__tests__/evidenceStdioServer.cli.test.ts integrations/lifecycle/__tests__/adapter.test.ts integrations/lifecycle/__tests__/cli.test.ts integrations/gate/__tests__/evaluateAiGate.test.ts scripts/__tests__/manage-library-script.test.ts` (`40 pass / 0 fail`).
+    - `npm run -s test:stage-gates` (`916 pass / 0 fail / 4 skip`).
+    - `npm run -s validation:progress-single-active` (`in_progress_count=1`).
+- ✅ `P7.T2` Consolidar cierre operativo post-hardening y preparar cierre de release.
+  - validación de cierre:
+    - `npm run -s validation:package-manifest` (`PASS`, `files scanned: 874`).
+    - `npm run -s validation:package-smoke:minimal` (`PASS`).
+    - `npm run -s validation:package-smoke` (`PASS`).
+    - `npm run -s pumuki:doctor` (`doctor verdict: PASS`).
+    - `npm run -s pumuki:status` (`lifecycle installed=false` en baseline de repo core sin hooks instalados).
+    - `npm run -s validation:progress-single-active` (`in_progress_count=1`).
+- ✅ `P7.T3` Preparar cierre final de release (consolidación documental + verificación final de rama).
+  - validación de rama y flujo:
+    - `npm run -s gitflow:status` (`branch=release/6.3.26`, rama válida, worktree dirty esperado en fase activa).
+    - `npm run -s gitflow:workflow` (siguiente paso recomendado coherente con cierre incremental).
+  - consolidación documental:
+    - foco de fase mantenido en `docs/README.md` (`P7`).
+    - índice de validación alineado en `docs/validation/README.md`.
+- ✅ `P7.T4` Cierre final del bloque P7 (validación integral final + preparación de cierre GitFlow).
+  - validación integral final:
+    - `npm run -s typecheck` (`PASS`).
+    - `npm run -s test` (`PASS`: `916 pass / 0 fail` + suites jest en verde).
+    - `npm run -s validation:progress-single-active` (`in_progress_count=1`).
+    - `npm run -s gitflow:status` (`branch=release/6.3.26`, worktree sucio esperado por fase activa).
+- ✅ `P7.T5` Preparar paquete de cierre GitFlow (upstream/commits atómicos/checklist de cierre).
+  - paquete de cierre consolidado:
+    - `git status --short --branch` con inventario de cambios del bloque.
+    - `git diff --stat` (`20 files changed`, `1752 insertions`, `402 deletions`).
+    - `git rev-parse --abbrev-ref --symbolic-full-name @{u}` => `NO_UPSTREAM` (pendiente operativo explícito).
+    - `npm run -s validation:progress-single-active` (`in_progress_count=1`).
+- ✅ `P7.T6` Ejecutar cierre operativo GitFlow del bloque P7 (upstream + commits atómicos + preparación de PR de release).
+  - cierre GitFlow de rama:
+    - commit atómico aplicado: `ee1a78c` (`feat(mcp): add stdio bridges, pre-write automation and hardening`).
+    - `git status --short --branch` en limpio tras commit.
+    - upstream configurado y rama publicada: `git push --set-upstream origin release/6.3.26`.
+- ✅ `P7.T7` Abrir PR de release/6.3.26 y preparar cierre final del bloque P7.
+  - PR operativa publicada:
+    - `#475` `release/6.3.26` -> `develop`.
+    - URL: `https://github.com/SwiftEnProfundidad/ast-intelligence-hooks/pull/475`.
+  - estado remoto observado:
+    - `mergeStateStatus=UNSTABLE` por checks externos.
+    - jobs muestreados con patrón de infraestructura no asignada: `runner_id=0`, `steps_count=0` en `CI`, `android-gate`, `package-smoke minimal`.
+    - `security/snyk (swiftenprofundidad)` en `ERROR` (dependencia externa fuera de alcance MVP).
+- ✅ `P7.T8` Preparar cierre final del bloque P7 con estrategia de merge según política remota (checks externos bloqueados).
+  - estrategia de cierre documentada:
+    - merge normal si checks remotos pasan.
+    - merge administrativo solo bajo instrucción explícita del usuario si se mantiene bloqueo externo.
+  - evidencia:
+    - `gh pr checks 475` con fallos/pending de corta duración.
+    - muestreo API job `65275754526` (`runner_id=0`, `steps_count=0`).
+- ✅ `P7.T9` Ejecutar cierre final del bloque P7 según decisión de merge (normal o administrativa).
+  - bloqueo inicial documentado por política hard y checks externos.
+  - resolución completada en `P7.T12` tras instrucción explícita de merge (PR `#475` mergeada).
+- ✅ `P7.T10` Mantener PR #475 monitorizada y lista para merge inmediato en cuanto llegue instrucción explícita.
+  - tick remoto de cierre:
+    - `gh pr checks 475`: fallos rápidos (2-4s) en CI/gates; `security/snyk` en fail por límite de tests privados.
+    - job `65275890393` (`Build Verification`) con `runner_id=0`, `steps_count=0`.
+    - `validation:progress-single-active` mantiene invariante (`in_progress_count=1`).
+- ✅ `P7.T11` Espera operativa de instrucción explícita de merge para ejecutar cierre inmediato de PR #475.
+  - tick remoto de cierre:
+    - `gh pr view 475`: `state=OPEN`, `mergeStateStatus=UNSTABLE`.
+    - `gh pr checks 475`: fallos rápidos (2-4s) persistentes.
+    - job `65275945400` (`Build Verification`) con `runner_id=0`, `steps_count=0`.
+    - `validation:progress-single-active` mantiene invariante (`in_progress_count=1`).
+- ✅ `P7.T12` Ejecutar merge final de PR #475 inmediatamente cuando llegue instrucción explícita del usuario.
+  - cierre ejecutado:
+    - PR `#475` (`release/6.3.26` -> `develop`) mergeada.
+    - `mergedAt=2026-03-01T01:29:26Z`.
+    - merge commit: `07c97f2433b3eb8ed12d33fecb9d9c37943453bc`.
+    - `origin/develop` alineado al merge commit.
+- ✅ `P7.T13` Ejecutar promote final `develop -> main` para cerrar el bloque P7 en ramas protegidas.
+  - promote ejecutado:
+    - PR `#476` (`develop` -> `main`) mergeada.
+    - `mergedAt=2026-03-01T01:30:37Z`.
+    - merge commit: `8a2531da51524c92caa141b8a255c97b76f544eb`.
+- ✅ `P7.T14` Sincronizar `main -> develop` post-promote para mantener ramas protegidas alineadas.
+  - sincronización ejecutada:
+    - PR `#477` (`main` -> `develop`) mergeada.
+    - `mergedAt=2026-03-01T01:32:18Z`.
+    - merge commit: `ef82f69083968fb6ba8fa9d186e97737d251db54`.
+    - paridad de contenido confirmada por árbol:
+      - `origin/develop^{tree} == origin/main^{tree}`.
+- ✅ `P7.T15` Cierre administrativo final del bloque P7 y traspaso limpio al siguiente bloque.
+  - cierre administrativo validado:
+    - `validation:progress-single-active` en verde durante el cierre.
+    - `gitflow:status` en `release/6.3.26` con upstream y sin drift (`ahead=0`, `behind=0`).
+    - `origin/develop` y `origin/main` con paridad de contenido por árbol.
+
+### Fase P8 — Post-P7
+- ✅ `P8.T1` Preparar bloque siguiente post-P7 (cierre de release y definición de objetivo operativo siguiente).
+  - objetivo siguiente fijado:
+    - atacar deuda operativa residual en desbloqueo externo (`P0.T1`: runners/checks/Snyk remoto).
+- ✅ `P8.T2` Preparar paquete de desbloqueo externo (`P0.T1`) con estado actual y ruta de rehabilitación.
+  - paquete de desbloqueo consolidado:
+    - `gh api /actions/runners` => `total_count=0`.
+    - patrón remoto repetido en `PR #477`: checks con fallos de 2-4s.
+    - muestras de jobs con `runner_id=0` y `steps_count=0`:
+      - `65276132628` (`Build Verification`)
+      - `65276132645` (`android-gate`)
+      - `65276132648` (`package-smoke minimal`)
+    - `security/snyk` en fail por límite de tests privados.
+  - plan listo:
+    - rehabilitar capacidad remota (runner/billing) y cuota/config Snyk.
+    - reintentar matriz mínima remota para cerrar `P0.T1`.
+- ✅ `P8.T3` Mantener readiness para reintento remoto de `P0.T1` cuando se habilite infraestructura externa.
+  - readiness consolidada:
+    - `gh pr checks 477` mantiene patrón externo (fallos rápidos).
+    - `actions/runners total_count=0` en repo.
+    - `security/snyk` sigue bloqueado por límite de tests privados.
+  - paquete de comandos preparado para reintento inmediato:
+    - `gh workflow run CI --ref develop`
+    - `gh workflow run pumuki-platform-gates.yml --ref develop`
+    - `gh workflow run pumuki-package-smoke.yml --ref develop`
+    - `gh run list --branch develop --limit 10`
+    - `gh run view <run-id> --json jobs`
+- ✅ `P8.T4` Ejecutar reintento remoto de `P0.T1` en cuanto haya runners/capacidad Snyk y consolidar cierre.
+  - reintento remoto ejecutado:
+    - `CI` run `22533289915` -> `attempt=2`, `failure`.
+    - `Pumuki Backend Gate` run `22533289937` -> `attempt=2`, `failure`.
+    - `Pumuki Package Smoke` run `22533289926` -> `attempt=2`, `failure`.
+  - bloqueo persistente validado:
+    - jobs del segundo intento sin runner y sin pasos (`runner=null`, `steps=0`), p. ej.:
+      - `65276351978` (`Build Verification`)
+      - `65276351958` (`backend-gate / Backend Gate`)
+      - `65276351949` (`package-smoke minimal`)
+- ✅ `P8.T5` Mantener espera operativa hasta habilitación externa (runner/billing + cuota Snyk) para poder cerrar `P0.T1`.
+  - estado confirmado:
+    - `actions/runners total_count=0` se mantiene.
+    - últimos runs en `develop` continúan en `failure` sin mejora de infraestructura.
+  - conclusión operativa:
+    - bloqueo externo vigente, sin remediación local adicional viable por ahora.
+- ✅ `P8.T6` Espera activa y monitorización ligera del desbloqueo externo (runner/billing + cuota Snyk) con ejecución inmediata en cuanto cambie el estado.
+  - monitorización actual:
+    - `actions/runners total_count=0`.
+    - runs recientes de `develop` siguen en `failure`.
+    - reintentos remotos previos se mantienen con `runner=null` y `steps=0`:
+      - `CI` (`run=22533289915`, `attempt=2`)
+      - `Pumuki Backend Gate` (`run=22533289937`, `attempt=2`)
+      - `Pumuki Package Smoke` (`run=22533289926`, `attempt=2`)
+- ✅ `P8.T7` Mantener espera operativa y relanzar matriz mínima remota en cuanto haya señal de capacidad externa.
+  - reintento remoto de control ejecutado:
+    - `CI` (`run=22533289915`) -> `attempt=3`, `failure`.
+    - `Pumuki Backend Gate` (`run=22533289937`) -> `attempt=3`, `failure`.
+    - `Pumuki Package Smoke` (`run=22533289926`) -> `attempt=3`, `failure`.
+  - bloqueo sigue confirmado:
+    - jobs en `runner=null` y `steps=0` (`65276544612`, `65276550128`, `65276549789`).
+- ✅ `P8.T8` Cerrar dependencia externa (runner/billing/Snyk remoto) por decision operativa y continuar en modo local-only.
+  - cierre aplicado:
+    - dependencia externa descartada por decision de negocio.
+    - tracking alineado para no mantener espera activa de infraestructura remota.
+- ✅ `P8.T9` Continuar ejecucion del roadmap enterprise con criterio de cierre local (sin bloqueo por checks remotos).
+  - cierre aplicado:
+    - sin bloqueos tecnicos activos que impidan continuidad local.
+    - cierre confirmado por instruccion explicita del usuario.
+- ✅ `P8.T10` Cierre administrativo final del bloque P8 y declaracion de tracker en estado estable sin deuda activa.
+  - cierre aplicado:
+    - bloque P8 consolidado en estado estable.
+    - cierre confirmado por instruccion explicita del usuario.
+- ✅ `P9.T1` Preparar runbook manual de validacion end-to-end en repo real no-mock usando `ruralgo-fork`.
+  - cierre aplicado:
+    - runbook creado en `docs/validation/real-repo-manual-e2e-ruralgo-fork.md`.
+    - indice documental actualizado en `docs/validation/README.md` y `docs/README.md`.
+- ✅ `P9.T2` Ejecutar validacion manual guiada por el usuario en repo real dentro de `ruralgo-fork` y consolidar veredicto.
+  - avance aplicado (fix en caliente):
+    - bootstrap OpenSpec ahora tolera fallo de `npm install` por engines y mantiene instalacion de hooks (modo standalone).
+    - cobertura de no-regresion añadida en `openSpecBootstrap/install` con pruebas en verde.
+  - avance aplicado (organización previa):
+    - plan detallado P9 alineado en `docs/validation/p9-ruralgo-fork-validation-tracking.md` con transición de `P9.F0.T2` a `P9.F0.T3` como siguiente `🚧`.
+    - nuevo control automático `validation:tracking-single-active` para garantizar exactamente una tarea en construcción en los tres MDs de seguimiento.
+    - registro paralelo de bugs reales detectados en RuralGO creado en `docs/validation/p9-ruralgo-bug-registry.md` (sin mezclar con checklist de ejecución).
+    - intake ampliado consolidado en bug registry (`RG-BUG-001..RG-BUG-011`) con separación explícita entre bugs confirmados, pendientes de repro y mejoras enterprise no-bug.
+    - fase de mejoras TODO añadida en el mismo bug registry (P0/P1/P2) con leyenda propia y transición de estado `P9.BUG.T2 => ✅`, `P9.BUG.T3 => 🚧`.
+  - cierre aplicado:
+    - veredicto final P9 consolidado en `GO`.
+    - espejo `ruralgo-fork/docs/strategy/ruralgo-tracking-hub.md` actualizado con `P9.T2 => ✅`.
+- ✅ `P9.T3` Preparar bloque post-P9 (handoff final + definición del siguiente ciclo operativo).
+  - cierre aplicado:
+    - handoff final P9 consolidado entre tracking maestro, tracking detallado y espejo consumidor.
+    - trazabilidad final de cierre y backlog residual publicados en documentos oficiales de validación.
+- ✅ `P10.T1` Definir alcance y criterios de entrada del ciclo post-P9.
+  - cierre aplicado:
+    - alcance inicial de `P10` definido sobre backlog residual de P9.
+    - criterios de entrada fijados (cierre `GO`, sincronía de tracking y control de una sola tarea activa).
+- ✅ `P10.T2` Preparar paquete de ejecución inicial del ciclo P10.
+  - cierre aplicado:
+    - secuencia inicial del ciclo definida (`S1` -> `S2` -> `S3`).
+    - primer slice operativo seleccionado: `S1` sobre `RG-BUG-014`.
+- ✅ `P10.T3` Ejecutar primer slice operativo P10 en repos reales (`RG-BUG-014`).
+  - cierre aplicado:
+    - `runLifecycleInstall` ahora bootstrappea paquete local en consumer cuando no está declarado y mantiene guardas para repos self-package.
+    - salida CLI de `install` incluye estado explícito de bootstrap consumer (`installed/reason/detail`).
+    - validación en verde (tests lifecycle + typecheck) y evidencia de campo en `ruralgo-fork` (`npm explore pumuki -- npm run -s check-version` ejecutable tras `install`).
+- ✅ `P10.T4` Ejecutar segundo slice operativo P10 en repos reales (`RG-BUG-013` + `RG-BUG-015`).
+  - cierre aplicado:
+    - release candidate validado en clon real de `ruralgo-fork` con runtime `20.20.0`.
+    - bins stdio resueltos y ejecutables (`pumuki-mcp-evidence-stdio`, `pumuki-mcp-enterprise-stdio`).
+    - exports oficiales cargan en `require/import` en consumer (`pumuki`, `integrations/*`, `core/gate/*`).
+    - smoke de packaging en core en verde (`validation:package-manifest`, `validation:package-smoke:minimal`).
+- ✅ `P10.T5` Ejecutar tercer slice operativo P10 en repos reales (estabilización de señal full-scope).
+  - cierre aplicado:
+    - reporte legacy diferencia explícitamente `scope vacío` (`STATUS: SCOPE EMPTY`, `COMMIT ALLOWED — SCOPE EMPTY (PARTIAL PASS)`).
+    - menú consumidor opciones `3/4` emite `PASS parcial` y ya no mezcla hint de `scope vacío` cuando hay violaciones.
+    - matriz de menú para CI endurecida con `outcome=PASS_SCOPE_EMPTY` en diagnóstico `scope-empty`.
+    - validación en verde:
+      - `framework-menu-consumer-runtime`, `framework-menu-legacy-audit`, `framework-menu-matrix-evidence`.
+      - `framework-menu-matrix-runner`, `framework-menu-matrix-baseline`, `framework-menu-matrix-canary`, `framework-menu-consumer-preflight`.
+      - `npm run -s typecheck`.
+- ✅ `P10.T6` Ejecutar cuarto slice operativo P10 en repos reales (propagación release + revalidación @latest).
+  - cierre aplicado:
+    - publicación npm completada: `pumuki@6.3.27` en `dist-tag latest`.
+    - revalidación en `ruralgo-fork` (runtime `20.20.0`):
+      - `pumuki install` ejecuta correctamente en consumidor real con hooks gestionados.
+      - matiz de upgrade resuelto: cuando el consumer tenía `pumuki@6.3.26` declarado, `install` no actualiza versión por diseño (`already_declared`); cierre con `pumuki update --latest`.
+      - versión efectiva en `node_modules/pumuki`: `6.3.27`.
+      - `validation:p9:ruralgo-install-health` en verde (`ready=true`, `doctor PASS`).
+      - paridad runtime confirmada:
+        - bins stdio presentes en `node_modules/.bin`.
+        - exports oficiales (`pumuki`, `integrations/*`, `core/gate/*`) cargan en `require/import` sin errores.
+- ✅ `P10.T7` Ejecutar quinto slice operativo P10 en repos reales (cierre post-propagación + backlog residual).
+  - cierre aplicado:
+    - baseline ejecutada en `R_GO` con `pumuki status --json`, `pumuki doctor --json`, `pumuki sdd status --json`.
+    - `R_GO` actualizado a `pumuki@6.3.27` vía `pumuki update --latest`; lifecycle reporta `installed=true`, `version=6.3.27`, hooks gestionados.
+    - backlog residual actualizado con repro de campo:
+      - `RG-BUG-003 => ✅` (instalación no bloquea en runtime no alineado; modo standalone/skip engine mismatch).
+      - `RG-BUG-011 => ✅` (`pumuki sdd sync-docs --dry-run --json` operativo en `R_GO` y `ruralgo-fork`).
+      - `RG-BUG-004 => ⏳` (`unknown-ruleset` persiste en `RULESET COVERAGE`).
+      - `RG-BUG-012 => ⏳` (full-audit sin falso positivo iOS sobre `.ts`; camino CI bloqueado antes por SDD/evidence).
+- ✅ `P10.T8` Ejecutar sexto slice operativo P10 en repos reales (reducción de backlog residual activo).
+  - cierre aplicado:
+    - `RG-BUG-004` corregido en source con normalización de rulesets (`common/workflow/sdd/generic`) y test de no-regresión en verde.
+    - validación de campo en `R_GO` con bin local: `RULESET COVERAGE` sin `unknown-ruleset`.
+    - `RG-BUG-012` cerrado mediante repro CI controlada en clon temporal de `R_GO` con precondiciones SDD conformes (`validate CI ALLOWED`, `pumuki-ci PASS`, sin hits de `ios.no-force-unwrap` sobre `.ts` objetivo).
+- 🚧 `P10.T9` Ejecutar séptimo slice operativo P10 en repos reales (propagación final de fixes residuales).
+  - foco:
+    - publicar en npm los fixes de `P10.T8` y revalidar en consumidores reales (`ruralgo-fork`/`R_GO`) la desaparición de `unknown-ruleset` en `RULESET COVERAGE`.
 
 ## Plan Por Fases (Ciclo 014)
 Plan base visible para seguimiento previo y durante la implementacion.

package/docs/validation/README.md

@@ -9,11 +9,16 @@ Este directorio contiene solo documentación oficial y estable de validación pa
 - `detection-audit-baseline.md`
 - `enterprise-consumer-isolation-policy.md`
 - `mock-consumer-integration-runbook.md`
+- `p9-ruralgo-bug-registry.md`
+- `p9-ruralgo-fork-validation-tracking.md`
+- `real-repo-manual-e2e-ruralgo-fork.md`
 - `skills-rollout-consumer-repositories.md`
 
 ## Estado operativo actual
 
-- Ciclo activo de seguimiento diario: `docs/EXECUTION_BOARD.md`.
+- Seguimiento activo de validación real: `docs/validation/p9-ruralgo-fork-validation-tracking.md`.
+- Registro paralelo de bugs detectados en RuralGO: `docs/validation/p9-ruralgo-bug-registry.md`.
+- Seguimiento global diario: `docs/EXECUTION_BOARD.md`.
 
 ## Política de higiene
 
@@ -30,3 +35,8 @@ Este directorio contiene solo documentación oficial y estable de validación pa
   - `docs/evidence-v2.1.md`
 - El cierre de `C025` (auditoría exhaustiva de funcionalidades + reglas) quedó consolidado en:
   - `docs/REFRACTOR_PROGRESS.md` (estado, evidencia y cierre del bloque P5).
+- El cierre de `P6` (verificación exhaustiva real/mock interna) quedó consolidado en:
+  - `docs/EXECUTION_BOARD.md` (línea base histórica `371/371`).
+  - `docs/REFRACTOR_PROGRESS.md` (veredicto y transición a bloque `P7`).
+- La validación activa en repositorio real externo está en:
+  - `docs/validation/p9-ruralgo-fork-validation-tracking.md` (plan vivo por fases y checklists P9).