wizz-method 1.3.2 → 1.4.1

package/.claude-plugin/marketplace.json

@@ -1,12 +1,12 @@
 {
   "name": "wizz-method",
   "owner": {
-    "name": "Brian (Wizz) Madison"
+    "name": "Wizz! comms."
   },
-  "description": "Breakthrough Method of Agile AI-driven Development — a full-lifecycle framework with agents and workflows for analysis, planning, architecture, and implementation.",
+  "description": "Wizz Method — a full-lifecycle AI development framework with agents and workflows for analysis, planning, architecture, and implementation. Independent fork of BMAD Method.",
   "license": "MIT",
-  "homepage": "https://github.com/bmad-code-org/WIZZ-METHOD",
-  "repository": "https://github.com/bmad-code-org/WIZZ-METHOD",
+  "homepage": "https://method.wizzcomms.com",
+  "repository": "https://github.com/wizzcomms/wizz-method",
   "keywords": ["wizz", "agile", "ai", "orchestrator", "development", "methodology", "agents"],
   "plugins": [
     {

package/README.md

@@ -59,7 +59,7 @@ Sem TTY, o idioma padrão é "Português (BR)". Use `--lang` ou a variável `WIZ
 
 ## Origem
 
-O Wizz Method é um fork independente do [Wizz Method](https://github.com/bmad-code-org/WIZZ-METHOD), mantido pela Wizz! comms. O motor continua o WIZZ: workflows, agentes de dev e produto e a arquitetura de skills. A camada Wizz adiciona marca, idioma, roteamento e os 7 agentes de agência por cima desse motor. Crédito e agradecimento ao projeto original.
+O Wizz Method é um fork independente do [BMAD Method](https://github.com/bmad-code-org/BMAD-METHOD), mantido pela Wizz! comms. O motor continua o BMAD: workflows, agentes de dev e produto e a arquitetura de skills. A camada Wizz adiciona marca, idioma, roteamento e os 7 agentes de agência por cima desse motor. Crédito e agradecimento ao projeto original.
 
 ## Documentação
 

package/evals/routing/dataset.json

@@ -0,0 +1,290 @@
+[
+  {
+    "id": "t01",
+    "prompt": "oi",
+    "expected": "trivial",
+    "note": "saudação simples, sem ação"
+  },
+  {
+    "id": "t02",
+    "prompt": "obrigado",
+    "expected": "trivial",
+    "note": "agradecimento puro"
+  },
+  {
+    "id": "t03",
+    "prompt": "sim",
+    "expected": "trivial",
+    "note": "resposta curta (sim/não/ok)"
+  },
+  {
+    "id": "t04",
+    "prompt": "não",
+    "expected": "trivial",
+    "note": "resposta curta (sim/não/ok)"
+  },
+  {
+    "id": "t05",
+    "prompt": "ok",
+    "expected": "trivial",
+    "note": "resposta curta (sim/não/ok)"
+  },
+  {
+    "id": "t06",
+    "prompt": "o que foi feito?",
+    "expected": "trivial",
+    "note": "pergunta de status, sem ação técnica"
+  },
+  {
+    "id": "t07",
+    "prompt": "trocar 'envie' por 'enviar' na linha 42",
+    "expected": "trivial",
+    "note": "typo/rename de 1 linha"
+  },
+  {
+    "id": "t08",
+    "prompt": "rebatiza Home para Landing",
+    "expected": "trivial",
+    "note": "rename simples, 1 arquivo"
+  },
+  {
+    "id": "t09",
+    "prompt": "/help",
+    "expected": "trivial",
+    "note": "slash command"
+  },
+  {
+    "id": "t10",
+    "prompt": "/config",
+    "expected": "trivial",
+    "note": "slash command"
+  },
+  {
+    "id": "t11",
+    "prompt": "como tá o deploy?",
+    "expected": "trivial",
+    "note": "pergunta conversacional, sem ação"
+  },
+  {
+    "id": "t12",
+    "prompt": "tudo bem?",
+    "expected": "trivial",
+    "note": "conversação pura"
+  },
+  {
+    "id": "t13",
+    "prompt": "link?",
+    "expected": "trivial",
+    "note": "pergunta muito curta, sem verbo de ação"
+  },
+  {
+    "id": "t14",
+    "prompt": "esqueci a senha",
+    "expected": "trivial",
+    "note": "frase curta sem ação técnica (info only)"
+  },
+  {
+    "id": "a01",
+    "prompt": "redesenha o hero da landing com a nova brand",
+    "expected": "agent:designer",
+    "note": "UI update, 1 area, pontual"
+  },
+  {
+    "id": "a02",
+    "prompt": "cria um card component pra portfolio",
+    "expected": "agent:designer",
+    "note": "componente isolado, designer"
+  },
+  {
+    "id": "a03",
+    "prompt": "anima o scroll de entrada da página",
+    "expected": "agent:designer",
+    "note": "motion/animation, 1 area"
+  },
+  {
+    "id": "a04",
+    "prompt": "escreve uma headline pra vender este plano",
+    "expected": "agent:copy",
+    "note": "copy de venda, 1 area, focado"
+  },
+  {
+    "id": "a05",
+    "prompt": "melhora o email de onboarding",
+    "expected": "agent:copy",
+    "note": "email copy, 1 area"
+  },
+  {
+    "id": "a06",
+    "prompt": "cria 3 variações de CTA pra testar",
+    "expected": "agent:copy",
+    "note": "copy de botão, A/B ready, 1 area"
+  },
+  {
+    "id": "a07",
+    "prompt": "faz auditoria SEO do site",
+    "expected": "agent:seo",
+    "note": "auditoria, 1 area"
+  },
+  {
+    "id": "a08",
+    "prompt": "adiciona schema markup no produto",
+    "expected": "agent:seo",
+    "note": "schema SEO, 1 area, técnico"
+  },
+  {
+    "id": "a09",
+    "prompt": "otimiza as meta descriptions",
+    "expected": "agent:seo",
+    "note": "SEO on-page, 1 area"
+  },
+  {
+    "id": "a10",
+    "prompt": "como melhorar a taxa de conversão do signup?",
+    "expected": "agent:growth",
+    "note": "CRO question, 1 area, lightweight"
+  },
+  {
+    "id": "a11",
+    "prompt": "qual o melhor preço pra este feature?",
+    "expected": "agent:growth",
+    "note": "pricing, 1 area"
+  },
+  {
+    "id": "a12",
+    "prompt": "plano pra reduzir churn",
+    "expected": "agent:growth",
+    "note": "churn analysis, 1 area, mas esperaria maestro por depth — porém 'plano' é leve: just brainstorm; se fosse 'executa o plano' seria maestro"
+  },
+  {
+    "id": "a13",
+    "prompt": "cria post pra LinkedIn sobre o lançamento",
+    "expected": "agent:social",
+    "note": "social copy, 1 area"
+  },
+  {
+    "id": "a14",
+    "prompt": "escreve copy pra Instagram story",
+    "expected": "agent:social",
+    "note": "social content, 1 area"
+  },
+  {
+    "id": "a15",
+    "prompt": "cria variações de ad criativo pra Meta",
+    "expected": "agent:ads",
+    "note": "paid ads, 1 area, copywriting"
+  },
+  {
+    "id": "a16",
+    "prompt": "setup de tracking no Google Ads",
+    "expected": "agent:ads",
+    "note": "ads technical, 1 area"
+  },
+  {
+    "id": "a17",
+    "prompt": "roda teste E2E do fluxo de checkout",
+    "expected": "agent:qa",
+    "note": "QA, 1 area, pontual"
+  },
+  {
+    "id": "a18",
+    "prompt": "verifica visualmente a responsividade do site",
+    "expected": "agent:qa",
+    "note": "visual QA, 1 area"
+  },
+  {
+    "id": "a19",
+    "prompt": "anota que definimos não fazer autenticação social por hora",
+    "expected": "agent:memoria",
+    "note": "memory, decisão registrada"
+  },
+  {
+    "id": "a20",
+    "prompt": "salva a decisão sobre pricing em tiers",
+    "expected": "agent:memoria",
+    "note": "memory, arquitetura de preço"
+  },
+  {
+    "id": "a21",
+    "prompt": "corrige o bug de logout no mobile",
+    "expected": "agent:dev",
+    "note": "bug fix, 1 arquivo, pontual"
+  },
+  {
+    "id": "a22",
+    "prompt": "ajusta a cor do botão secundário",
+    "expected": "agent:dev",
+    "note": "CSS fix, 1 arquivo"
+  },
+  {
+    "id": "m01",
+    "prompt": "cria a landing completa, escreve a copy de venda e configura o tracking",
+    "expected": "maestro",
+    "note": "3 áreas (designer, copy, growth/ads), artefato alto"
+  },
+  {
+    "id": "m02",
+    "prompt": "novo produto do zero: UI, docs, schema SEO, post de lançamento",
+    "expected": "maestro",
+    "note": "4 áreas (designer, dev, seo, social), multi-passo alto"
+  },
+  {
+    "id": "m03",
+    "prompt": "auditoria completa do site: performance, SEO, segurança, acessibilidade",
+    "expected": "maestro",
+    "note": "2+ áreas, complexidade alta, relatório merecedor de memória"
+  },
+  {
+    "id": "m04",
+    "prompt": "redesenha o onboarding, reescreve os emails, testa tudo E2E",
+    "expected": "maestro",
+    "note": "3 áreas (designer, copy, qa), integrado"
+  },
+  {
+    "id": "m05",
+    "prompt": "plano de crescimento: pricing, copy, anúncios, CRO do signup",
+    "expected": "maestro",
+    "note": "3-4 áreas (growth, copy, ads), estratégico"
+  },
+  {
+    "id": "m06",
+    "prompt": "refactor de infra: banco de dados, APIs, deploy, monitoria",
+    "expected": "maestro",
+    "note": "1 área (dev) mas multi-passo pesado, arquitetura alta"
+  },
+  {
+    "id": "m07",
+    "prompt": "integra pagamento: back, front, testes, comunicação com cliente",
+    "expected": "maestro",
+    "note": "1 area (dev) mas multi-passo pesado, requer planning"
+  },
+  {
+    "id": "m08",
+    "prompt": "melhora de churn: análise, copy de reativação, anúncios, UI de upgrade",
+    "expected": "maestro",
+    "note": "3-4 áreas (growth, copy, ads, designer), integrado"
+  },
+  {
+    "id": "m09",
+    "prompt": "lançamento beta: site, emails, social, ads, suporte inicial",
+    "expected": "maestro",
+    "note": "4+ áreas (designer, copy, social, ads), event-driven"
+  },
+  {
+    "id": "m10",
+    "prompt": "internacionalização: tradução completa, schema por locale, testes",
+    "expected": "maestro",
+    "note": "2+ áreas (dev, seo, qa), multi-passo pesado"
+  },
+  {
+    "id": "m11",
+    "prompt": "migração de plataforma: arquitetura, testes, rollout, suporte",
+    "expected": "maestro",
+    "note": "1 área (dev) mas crítico, multi-passo, requer planning e memória"
+  },
+  {
+    "id": "m12",
+    "prompt": "estratégia de referral: programa, UI, emails, tracking, análise",
+    "expected": "maestro",
+    "note": "4+ áreas (growth, designer, copy, ads), artefato alto"
+  }
+]

package/evals/routing/run-routing-eval.mjs

@@ -0,0 +1,89 @@
+// run-routing-eval.mjs — avalia o roteamento do Wizz Method contra
+// evals/routing/dataset.json.
+//
+// Dois níveis:
+//   1. DETERMINÍSTICO (default, rápido, roda em CI): valida o gate isTrivial()
+//      do hook wizz-router-enforce contra os rótulos do dataset.
+//      - expected "trivial"        → isTrivial deve ser true
+//      - expected "agent:*"/"maestro" → isTrivial deve ser false
+//   2. LLM (--llm, requer `claude` CLI logado, custa tokens): para os casos
+//      não-triviais, pergunta ao modelo qual a rota (agent:<area> | maestro)
+//      usando a mesma regra de dispatch do Diretor/maestro e compara.
+//
+// Uso:
+//   node evals/routing/run-routing-eval.mjs            # só determinístico
+//   node evals/routing/run-routing-eval.mjs --llm      # inclui rota via LLM
+//   node evals/routing/run-routing-eval.mjs --llm --model haiku
+
+import fs from 'node:fs';
+import path from 'node:path';
+import { execFileSync } from 'node:child_process';
+import { createRequire } from 'node:module';
+import { fileURLToPath } from 'node:url';
+
+const here = path.dirname(fileURLToPath(import.meta.url));
+const repoRoot = path.resolve(here, '..', '..');
+const require = createRequire(import.meta.url);
+const { isTrivial } = require(path.join(repoRoot, 'tools', 'hooks', 'wizz-router-enforce.js'));
+
+const dataset = JSON.parse(fs.readFileSync(path.join(here, 'dataset.json'), 'utf8'));
+const useLlm = process.argv.includes('--llm');
+const modelIdx = process.argv.indexOf('--model');
+const model = modelIdx === -1 ? 'haiku' : process.argv[modelIdx + 1];
+
+const DISPATCH_RULE =
+  'Você é o Diretor do Wizz Method. Classifique o pedido do usuário em UMA rota:\n' +
+  '- "maestro": toca 2+ áreas OU 2+ fatores altos (multi-passo, precisa planejar, gera artefato pra memória).\n' +
+  '- "agent:<area>": 1 área só e leve. Áreas: designer, copy, seo, growth, social, ads, qa, memoria, dev.\n' +
+  'Responda SÓ com JSON: {"route":"maestro"} ou {"route":"agent:<area>"}.';
+
+let passTrivial = 0;
+let failTrivial = 0;
+let passRoute = 0;
+let failRoute = 0;
+const failures = [];
+
+for (const item of dataset) {
+  const expectTrivial = item.expected === 'trivial';
+  const got = isTrivial(item.prompt);
+  if (got === expectTrivial) {
+    passTrivial++;
+  } else {
+    failTrivial++;
+    failures.push(`[isTrivial] ${item.id}: esperado ${expectTrivial}, veio ${got} — "${item.prompt}"`);
+  }
+
+  if (useLlm && !expectTrivial) {
+    try {
+      const raw = execFileSync(
+        'claude',
+        ['-p', '--model', model, '--output-format', 'text', `${DISPATCH_RULE}\n\nPedido: ${item.prompt}`],
+        { encoding: 'utf8', timeout: 120_000 },
+      );
+      const match = raw.match(/\{[^}]*"route"[^}]*\}/);
+      const route = match ? JSON.parse(match[0]).route : null;
+      if (route === item.expected) {
+        passRoute++;
+      } else {
+        failRoute++;
+        failures.push(`[route] ${item.id}: esperado ${item.expected}, veio ${route} — "${item.prompt}"`);
+      }
+    } catch (error) {
+      failRoute++;
+      failures.push(`[route] ${item.id}: erro ao rodar claude -p (${error.message.split('\n')[0]})`);
+    }
+  }
+}
+
+console.log(`isTrivial: ${passTrivial}/${passTrivial + failTrivial} corretos`);
+if (useLlm) {
+  const total = passRoute + failRoute;
+  console.log(`rota LLM (${model}): ${passRoute}/${total} corretos (${total ? Math.round((100 * passRoute) / total) : 0}%)`);
+}
+if (failures.length > 0) {
+  console.log('\nFalhas:');
+  for (const f of failures) console.log(`  ✗ ${f}`);
+}
+
+// Gate: o determinístico é obrigatório; a rota LLM é informativa (meta ≥ 90%).
+process.exitCode = failTrivial > 0 ? 1 : 0;

package/package.json

@@ -1,7 +1,7 @@
 {
   "$schema": "https://json.schemastore.org/package.json",
   "name": "wizz-method",
-  "version": "1.3.2",
+  "version": "1.4.1",
   "description": "Wizz Method — método de agência orientado por IA em PT-BR (fork independente do BMad Method)",
   "keywords": [
     "agile",
@@ -42,10 +42,12 @@
     "prepare": "command -v husky >/dev/null 2>&1 && husky || exit 0",
     "quality": "npm run format:check && npm run lint && npm run lint:md && npm run docs:build && npm run test:install && npm run test:urls && npm run validate:refs && npm run validate:skills && npm run docs:validate-sidebar",
     "rebundle": "node tools/installer/bundlers/bundle-web.js rebundle",
-    "test": "npm run test:refs && npm run test:install && npm run test:urls && npm run test:channels && npm run test:mcp && npm run test:cli && npm run test:deps && npm run lint && npm run lint:md && npm run format:check",
+    "sync:global": "node tools/sync-global.mjs",
+    "test": "npm run test:refs && npm run test:install && npm run test:urls && npm run test:channels && npm run test:mcp && npm run test:cli && npm run test:deps && npm run test:hooks && npm run lint && npm run lint:md && npm run format:check",
     "test:channels": "node test/test-installer-channels.js",
     "test:cli": "node test/test-cli-config.js",
     "test:deps": "node test/test-deps-cache.js",
+    "test:hooks": "node test/test-router-hook.js",
     "test:install": "node test/test-installation-components.js",
     "test:mcp": "node test/test-mcp-config.js",
     "test:refs": "node test/test-file-refs-csv.js",
@@ -71,6 +73,12 @@
       "markdownlint-cli2"
     ]
   },
+  "overrides": {
+    "markdownlint-cli2": {
+      "js-yaml": "^4.3.0",
+      "markdown-it": "^14.2.0"
+    }
+  },
   "dependencies": {
     "@clack/core": "^1.3.1",
     "@clack/prompts": "^1.4.0",
@@ -80,7 +88,7 @@
     "csv-parse": "^6.1.0",
     "glob": "^11.0.3",
     "ignore": "^7.0.5",
-    "js-yaml": "^4.1.0",
+    "js-yaml": "^4.3.0",
     "picocolors": "^1.1.1",
     "semver": "^7.6.3",
     "xml2js": "^0.6.2",

package/skills-registry.yaml

@@ -61,35 +61,71 @@ areas:
   designer:
     agent: wizz-designer
     summary: "Design de produto e UI: interfaces, landing pages, design systems, motion, 3D."
+    # 3 PORTAS DE ENTRADA (2026-07, consolidação leve): o agente OFERECE/INVOCA
+    # apenas as skills com `entry: true`. As demais são puxadas PELA porta da sua
+    # camada (campo `door`) ou por pedido explícito do usuário — nunca oferecidas
+    # soltas. Nada foi fundido: todos os arquivos e references continuam intactos.
     skills:
+      # ── Porta 1: DIREÇÃO (decidir antes de construir) ──
+      - id: decision-maker
+        entry: true
+        door: direcao
+        when: "PORTA de direção: todo trabalho de decidir ANTES de construir. Brief visual inicial (6 decisões de estética + 3 lógicas) no kickoff. Puxa: taste-skill (direção anti-slop de brief novo) e motion-3d-director (decidir caminho motion/3D/vídeo)."
+      - id: taste-skill
+        door: direcao
+        when: "Anti-slop em briefs NOVOS: lê o brief, define a direção e audita contra defaults de AI."
+      - id: motion-3d-director
+        door: direcao
+        when: "Direção de motion/animação, 3D, WebGL, scroll cinematográfico, image-to-video. Decide o caminho ANTES de implementar."
+
+      # ── Porta 2: CONSTRUÇÃO E POLISH DE UI ──
       - id: ui-ux-pro-max
-        when: "Design system, paleta, tipografia, componente; pedido de UI amplo. Principal de busca de padrões/estilos."
-      - id: impeccable
-        when: "Gate de polish/qualidade de frontend: hardening de UI, acessibilidade, anti-padrões. Refina o que já existe."
-      - id: huashu-design
-        when: "Direção visual + protótipo HTML hi-fi, exploração de variantes, review 5-dim, export MP4/GIF."
+        entry: true
+        door: construcao
+        when: "PORTA de construção: criar/melhorar UI (design system, paleta, tipografia, componente, página). Puxa: premium-landing-ui-researcher (landing premium greenfield), ui-component-curator (1 componente em projeto existente), impeccable (gate de polish/acessibilidade), taste-redesign (anti-slop em código existente), huashu-design (protótipo HTML hi-fi/variantes/review) e react-components (Stitch→React)."
       - id: premium-landing-ui-researcher
+        door: construcao
         when: "Projeto NOVO (greenfield): cria landing premium do zero, hero, 3D high-end. Estratégia source-first."
       - id: ui-component-curator
+        door: construcao
         when: "Projeto EXISTENTE: qual componente/efeito adicionar que combina com o estilo atual."
-      - id: motion-3d-director
-        when: "Direção de motion/animação, 3D, WebGL, scroll cinematográfico, image-to-video."
-      - id: remotion-best-practices
-        when: "Vídeo programático em React (Remotion) especificamente."
-      - id: taste-skill
-        when: "Anti-slop em briefs NOVOS: lê o brief, define a direção e audita contra defaults de AI."
+      - id: impeccable
+        door: construcao
+        when: "Gate de polish/qualidade de frontend: hardening de UI, acessibilidade, anti-padrões. Refina o que já existe."
       - id: taste-redesign
+        door: construcao
         when: "Anti-slop em projeto EXISTENTE: audita o código atual, lista problemas, prioriza fixes."
+      - id: huashu-design
+        door: construcao
+        when: "Direção visual + protótipo HTML hi-fi, exploração de variantes, review 5-dim, export MP4/GIF."
       - id: react-components
+        door: construcao
         when: "Converter design (Stitch MCP) em componentes React/Vite."
-      - id: decision-maker
-        when: "Brief visual inicial: força 6 decisões de estética + 3 lógicas. Entra no kickoff, antes de construir."
+
+      # ── Porta 3: MOTION E ASSETS (executar animação e gerar mídia) ──
+      - id: animate
+        entry: true
+        door: motion
+        when: "PORTA de motion/assets: executar animação e gerar mídia. Craft de micro-interação (regras do Emil Kowalski: saída > entrada, só transform/opacity, reduced-motion). Puxa: design-motion-principles (auditar animação existente), remotion-best-practices (vídeo em React), canvas-design (PNG/PDF por código) e algorithmic-art (visual generativo)."
+      - id: design-motion-principles
+        door: motion
+        when: "Auditor de movimento: revisa animação existente e aponta scale(0) no início, easing cru, reduced-motion faltando; pesa contenção/polimento/diversão pelo contexto."
+      - id: remotion-best-practices
+        door: motion
+        when: "Vídeo programático em React (Remotion) especificamente."
+      - id: canvas-design
+        door: motion
+        when: "Gerar PNG/PDF editável por código (carrossel, quote card, infográfico) com fonte/cor/logo sempre certos. Traz canvas-fonts."
+      - id: algorithmic-art
+        door: motion
+        when: "Visual generativo por código (flow fields, ruído, partículas) para fundo/textura de hero, único a cada render, sem cara de banco de imagem."
     mcps:
       - id: magic
         when: "Gerar/refinar componentes prontos via 21st.dev (UI builder, inspiration, refiner)."
         server:
           command: npx
-          args: ["-y", "@21st-dev/magic"]
+          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+          args: ["-y", "@21st-dev/magic@0.1.0"]
           env:
             API_KEY: "${MAGIC_API_KEY}"
     clis:
@@ -105,11 +141,13 @@ areas:
         when: "EDITAR vídeo por IA: cortes, selects, cenas, roughcut via XML/FFmpeg. Sugerir quando o pedido for editar/cortar vídeo. Clone-and-run no PROJETO (não é skill add), pesado: Ruby + Python + FFmpeg + WhisperX. AVISOS: ~GB de modelos (WhisperX), build demorado, só Apple Silicon."
         platform: darwin-arm64
         check: "test -d ./buttercut"
-        install: "git clone https://github.com/barefootford/buttercut.git"
+        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
+        install: "git clone https://github.com/barefootford/buttercut.git buttercut && git -C buttercut checkout 1383f964ebc8b43c4af17f70b3ec6f611b18b3ce"
       - id: voicebox
         when: "Voz/TTS/clonagem de voz local para narração/VO de vídeo (7 engines TTS + Whisper STT). App desktop que expõe endpoint MCP local em runtime. Clone-and-run no projeto."
         check: "test -d ./voicebox"
-        install: "git clone https://github.com/jamiepine/voicebox.git"
+        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
+        install: "git clone https://github.com/jamiepine/voicebox.git voicebox && git -C voicebox checkout f2cf2a729d733acd7c759d85c6ace2d602f50d6e"
     references:
       - "references/premium-agency-rules.md (regras $150k-tier, importadas por impeccable/huashu no modo high-end)"
 
@@ -204,7 +242,8 @@ areas:
         # before writing; if verify fails the server is skipped, not written.
         setup:
           bin: scrapling
-          install: 'uv tool install "scrapling[ai]" || pipx install "scrapling[ai]" || pip install --user "scrapling[ai]"'
+          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+          install: 'uv tool install "scrapling[ai]==0.4.10" || pipx install "scrapling[ai]==0.4.10" || pip install --user "scrapling[ai]==0.4.10"'
           post_install: "{bin} install"
           verify: "{bin} --version"
 
@@ -245,23 +284,25 @@ areas:
         when: "Gestão real de campanha Meta/Facebook/Instagram via API (criar/editar/medir ads)."
         server:
           command: npx
-          args: ["-y", "mcp-meta-ads"]
+          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+          args: ["-y", "mcp-meta-ads@1.0.0"]
           env:
             META_ACCESS_TOKEN: "${META_ACCESS_TOKEN}"
     clis:
       - id: arcads
         when: "GERAR vídeo-ad e imagem por IA (Seedance/Sora/Veo/Kling/OmniHuman + Nano Banana) e publicar como Meta ad. Clone-and-run no projeto: git clone + ./scripts/setup.sh; precisa Python 3.10+ e ARCADS API key em .env (META_ACCESS_TOKEN opcional p/ publicar)."
         check: "test -d ./arcads-claude-code"
-        install: "git clone https://github.com/krusemediallc/arcads-claude-code.git"
+        # Pin de supply chain (2026-07-06): checkout de SHA fixo; atualizar conscientemente.
+        install: "git clone https://github.com/krusemediallc/arcads-claude-code.git arcads-claude-code && git -C arcads-claude-code checkout 0b0d3610bbdcfcc2607c77a748d6abb341adda46"
 
   architect:
     agent: wizz-agent-architect
     summary: "Arquitetura, banco, segurança, infra, decisões técnicas."
     skills:
       - id: web-security
-        when: "Auditar segurança web, OWASP, XSS/CSRF/injeção, headers, rate limit, antes de deploy/PR."
+        when: "Auditar segurança web, OWASP, XSS/CSRF/injeção/SQLi, IDOR, headers, rate limit (IP+conta), CORS, clickjacking, vazamento de PII na resposta, antes de deploy/PR."
       - id: auth-and-secrets
-        when: "Auth (JWT/OAuth/SSO/Clerk), gestão de secrets, rotação de credenciais."
+        when: "Auth (JWT/OAuth/SSO/Clerk), token no header vs URL, revogar no logout, enumeração de usuário, gestão de secrets, rotação de credenciais."
       - id: desktop-security
         when: "Segurança desktop/Electron (contextIsolation, code signing)."
       - id: database-scaling
@@ -276,12 +317,15 @@ areas:
         when: "Dependências/packages, vulnerabilidades, npm audit."
       - id: supabase-postgres-best-practices
         when: "Performance e boas práticas de Postgres/Supabase (queries, schema, RLS)."
+      - id: ai-product-design
+        when: "Construir/melhorar um agente ou produto de IA: escrever/revisar system prompt, definir persona/tom, guardrails e recusas, few-shot, chain-of-thought, orquestração multi-agente, handoff, detecção de frustração, generative UI, avaliar qualidade de saída. Base para desenhar os próprios agentes do método. 44 padrões (Owl-Listener, MIT)."
     mcps:
       - id: supabase
         when: "Operar Supabase de verdade: rodar SQL, migrations, inspecionar schema/RLS, logs."
         server:
           command: npx
-          args: ["-y", "@supabase/mcp-server-supabase@latest"]
+          # Pin de supply chain (2026-07-06): versão fixa (era @latest); atualizar conscientemente.
+          args: ["-y", "@supabase/mcp-server-supabase@0.8.2"]
           env:
             SUPABASE_ACCESS_TOKEN: "${SUPABASE_ACCESS_TOKEN}"
 
@@ -299,7 +343,8 @@ areas:
       - id: agent-browser
         when: "Dirigir um browser real pra E2E/verificação: navegar, clicar, preencher form, screenshot, console. É CLI, não MCP."
         check: "agent-browser --version"
-        install: "npm install -g agent-browser"
+        # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+        install: "npm install -g agent-browser@0.27.0"
 
   analyst:
     agent: wizz-agent-analyst
@@ -314,7 +359,8 @@ areas:
         when: "Pesquisa web/prior-art durante planejamento (web search, descoberta de fontes)."
         server:
           command: npx
-          args: ["-y", "exa-mcp-server"]
+          # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+          args: ["-y", "exa-mcp-server@3.2.1"]
           env:
             EXA_API_KEY: "${EXA_API_KEY}"
 
@@ -346,7 +392,8 @@ mcp_utility:
     when: "Docs atualizadas de qualquer lib/framework/SDK (React, Next, Prisma, Tailwind...). Útil em todo dev."
     server:
       command: npx
-      args: ["-y", "@upstash/context7-mcp"]
+      # Pin de supply chain (2026-07-06): versão fixa; atualizar conscientemente.
+      args: ["-y", "@upstash/context7-mcp@3.2.2"]
 
 # ─────────────────────────────────────────────────────────────────────────────
 # CLIs — ferramentas de linha de comando que os agentes chamam direto (não são

package/src/modules/wizz/agents/wizz-ads/SKILL.md

@@ -20,7 +20,7 @@ Você é o Ads do Wizz. Planeja campanhas, gera variações de criativo e acompa
 
 ## Como trabalho (ponte global)
 
-> **Fonte única (registry) — leia SEMPRE antes dos exemplos abaixo:** a lista real da sua área (`ads`) vive no `skills-registry.yaml` (resolva em `{project-root}/_wizz/_config/skills-registry.yaml` → `{project-root}/_wizz/skills-registry.yaml` → `{project-root}/skills-registry.yaml`). Ache o bloco `areas.ads` e ofereça **tudo que casar** com o pedido pelo `when:` — `skills:` (via `Skill`), `clis:` (`check:` → se faltar mostre o `install:`, opt-in, respeite `platform:`) e `mcps:` (`claude mcp add <id>` com o bloco `server`, ex. `meta-ads`). Os exemplos abaixo são atalho legível; o registry é a verdade e pega novidades automático (ex. `arcads` p/ gerar vídeo-ad).
+> **Fonte única (registry) — leia SEMPRE antes dos exemplos abaixo:** a lista real da sua área (`ads`) vive no `skills-registry.yaml`. Resolva primeiro a **fatia leve da sua área**, `{project-root}/_wizz/_config/registry/ads.yaml` (já vem como o bloco `areas.ads` completo); se faltar (install antigo), caia pro monólito na ordem `{project-root}/_wizz/_config/skills-registry.yaml` → `{project-root}/_wizz/skills-registry.yaml` → `{project-root}/skills-registry.yaml` e ache o bloco `areas.ads` lá dentro. Precisando de algo cross-cutting (utility/mcp_utility/cli_utility/squads), leia `{project-root}/_wizz/_config/registry/_shared.yaml`. Ofereça **tudo que casar** com o pedido pelo `when:` — `skills:` (via `Skill`), `clis:` (`check:` → se faltar mostre o `install:`, opt-in, respeite `platform:`) e `mcps:` (`claude mcp add <id>` com o bloco `server`, ex. `meta-ads`). Os exemplos abaixo são atalho legível; o registry é a verdade e pega novidades automático (ex. `arcads` p/ gerar vídeo-ad).
 - Estratégia de campanha, segmentação, lances, ROAS → `paid-ads`
 - Variações de criativo, headlines, copy de anúncio → `ad-creative`
 - Tracking, conversões, UTMs, pixel → `analytics-tracking`