platformforge 0.1.0__py3-none-any.whl

platformforge/data/lab/scenarios/ops-rollback-annotate/fixture/ops.yaml

@@ -0,0 +1,41 @@
+# §133 — annotation change, rollback restores exact previous metadata
+intent:
+  intent_id: lab-rb-ann
+  owner: team-a
+  requested_by: bob
+  reason: {type: compliance}
+  target_resources: ["k8s:lab/apps/Deployment/web"]
+  desired_change: {annotate: {cost-center: "cc-9", team: "a"}}
+steps:
+  - step_id: annotate
+    action: kubernetes.annotate
+    params: {kind: Deployment, name: web, namespace: apps,
+             annotations: {ops.platformforge.io/cost-center: "cc-9"},
+             resource_version: "2002"}
+expected_delta:
+  changes: {resources: [{id: "dep/web",
+                         annotations: {ops.platformforge.io/cost-center: "cc-9"}}]}
+observation:
+  captured_at: "2999-01-01T00:00:00Z"
+  coverage: {complete: true}
+pre_state:
+  annotate: {annotations: {ops.platformforge.io/team: "a", ops.platformforge.io/owner: "x"},
+             resource_version: "2002"}
+post_rollback:
+  annotate: {annotations: {ops.platformforge.io/team: "a", ops.platformforge.io/owner: "x"}}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner}
+environment: lab
+auto_rollback: true
+transports: {kubernetes: {rc: 0, stdout: "annotated"}}
+verify:
+  observations:
+    immediate: {changes: {resources: [{id: "dep/web",
+                         annotations: {ops.platformforge.io/cost-center: "cc-9"}}]}}
+  slo: {error_rate_max: 0.01}
+  metrics: {error_rate: 0.9}
+expect:
+  ok: true
+  state: rolled-back
+  rollback_status: executable
+  rollback_verification: restored

platformforge/data/lab/scenarios/ops-rollback-gitops/expected.yaml

@@ -0,0 +1,3 @@
+kind: ops
+tier: standard
+description: "§134 argocd sync A→B → failed verify → Argo history rollback"

platformforge/data/lab/scenarios/ops-rollback-gitops/fixture/ops.yaml

@@ -0,0 +1,38 @@
+# §134 — GitOps sync A→B, failed verification, Argo rollback to A
+intent:
+  intent_id: lab-rb-gitops
+  owner: team-a
+  requested_by: bob
+  reason: {type: release}
+  target_resources: ["argocd:lab/apps/web"]
+  desired_change: {revision: "rev-b"}
+steps:
+  - step_id: sync
+    action: argocd.sync
+    params: {app: web, revision: "rev-b"}
+expected_delta:
+  changes: {resources: [{id: "app/web", revision: "rev-b"}]}
+observation:
+  captured_at: "2999-01-01T00:00:00Z"
+  coverage: {complete: true}
+pre_state:
+  sync: {history_id: "42", previous_revision: "rev-a"}
+post_rollback:
+  sync: {previous_revision: "rev-a", history_id: "42"}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner}
+environment: lab
+auto_rollback: true
+transports: {argocd: {rc: 0, stdout: "synced"}}
+verify:
+  observations:
+    immediate: {changes: {resources: [{id: "app/web",
+                                     revision: "rev-b"}]}}
+  slo: {error_rate_max: 0.01}
+  metrics: {error_rate: 0.6}
+expect:
+  ok: true
+  state: rolled-back
+  rollback_status: executable
+  rollback_verification: restored
+  ledger_event: rollback.completed

platformforge/data/lab/scenarios/ops-rollback-impossible/expected.yaml

@@ -0,0 +1,3 @@
+kind: ops
+tier: standard
+description: "§136 manual-only rollback → honest refusal + escalation"

platformforge/data/lab/scenarios/ops-rollback-impossible/fixture/ops.yaml

@@ -0,0 +1,34 @@
+# §136 — git.push has no executable rollback → human escalation,
+# never an invented action, no automatic rollback
+intent:
+  intent_id: lab-rb-imp
+  owner: team-a
+  requested_by: bob
+  reason: {type: release}
+  target_resources: ["git:origin/main"]
+  desired_change: {push: true}
+steps:
+  - step_id: push
+    action: git.push
+    params: {repo: "platform.git", branch: "main", remote: "origin"}
+expected_delta:
+  changes: {resources: [{id: "origin/main", pushed: true}]}
+observation:
+  captured_at: "2999-01-01T00:00:00Z"
+  coverage: {complete: true}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner, type: dual-human}
+environment: lab
+auto_rollback: true
+trigger_rollback: true
+transports: {git: {rc: 0, stdout: "pushed"}}
+verify:
+  observations:
+    immediate: {changes: {resources: [{id: "origin/main", pushed: true}]}}
+  slo: {error_rate_max: 0.01}
+  metrics: {error_rate: 0.8}
+expect:
+  ok: true
+  convergence: regressed
+  rollback_status: manual-only
+  rollback_refusal: PF-OPS-ROLLBACK-NOT-EXECUTABLE

platformforge/data/lab/scenarios/ops-rollback-scale/expected.yaml

@@ -0,0 +1,3 @@
+kind: ops
+tier: standard
+description: "§132 scale 3→5 → regressed → auto-rollback restores 3"

platformforge/data/lab/scenarios/ops-rollback-scale/fixture/ops.yaml

@@ -0,0 +1,40 @@
+# §132 — scale 3→5, verification fails, auto-rollback 5→3, restored
+intent:
+  intent_id: lab-rb-scale
+  owner: team-a
+  requested_by: bob
+  reason: {type: capacity}
+  target_resources: ["k8s:lab/apps/Deployment/web"]
+  desired_change: {replicas: 5}
+steps:
+  - step_id: scale
+    action: kubernetes.scale
+    params: {kind: Deployment, name: web, namespace: apps,
+             replicas: 5, current_replicas: 3,
+             resource_version: "1001"}
+expected_delta:
+  changes: {resources: [{id: "dep/web", replicas: 5}]}
+observation:
+  captured_at: "2999-01-01T00:00:00Z"
+  coverage: {complete: true}
+pre_state:
+  scale: {replicas: 3, resource_version: "1001"}
+post_rollback:
+  scale: {replicas: 3}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner}
+environment: lab
+auto_rollback: true
+transports: {kubernetes: {rc: 0, stdout: "scaled"}}
+verify:
+  observations:
+    immediate: {changes: {resources: [{id: "dep/web", replicas: 5}]}}
+  slo: {error_rate_max: 0.01}
+  metrics: {error_rate: 0.5}
+expect:
+  ok: true
+  state: rolled-back
+  convergence: regressed
+  rollback_status: executable
+  rollback_verification: restored
+  ledger_event: rollback.completed

platformforge/data/lab/scenarios/ops-rollback-terraform/expected.yaml

@@ -0,0 +1,3 @@
+kind: ops
+tier: standard
+description: "§135 terraform forward plan → requires-replan, no auto-reverse"

platformforge/data/lab/scenarios/ops-rollback-terraform/fixture/ops.yaml

@@ -0,0 +1,38 @@
+# §135 — terraform saved-plan apply fails → replan-required, never
+# reuse the forward plan as a reverse plan; manual trigger refuses
+intent:
+  intent_id: lab-rb-tf
+  owner: team-a
+  requested_by: bob
+  reason: {type: infrastructure}
+  target_resources: ["tf:lab/vpc"]
+  desired_change: {apply: "tfplan.bin"}
+steps:
+  - step_id: apply
+    action: terraform.apply_saved_plan
+    params: {workdir: "tf", plan_file: "tfplan.bin",
+             plan_hash: "sha256:99ded080636eb70e63061ecbc8b563bb23fed1e0201c1b590d7d910b21cec6d4"}
+expected_delta:
+  changes: {resources: [{id: "aws_vpc.main", applied: true}]}
+observation:
+  captured_at: "2999-01-01T00:00:00Z"
+  coverage: {complete: true}
+pre_state:
+  apply: {source_ref: "main@abc", workspace: "prod",
+          state_serial: "17",
+          resource_addresses: ["aws_vpc.main"]}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner}
+environment: lab
+trigger_rollback: true
+transports: {terraform: {rc: 0, stdout: "applied"}}
+verify:
+  observations:
+    immediate: {changes: {resources: [{id: "aws_vpc.main", applied: true}]}}
+  slo: {error_rate_max: 0.01}
+  metrics: {error_rate: 0.7}
+expect:
+  ok: true
+  convergence: regressed
+  rollback_status: requires-replan
+  rollback_refusal: PF-OPS-ROLLBACK-NOT-EXECUTABLE

platformforge/data/lab/scenarios/ops-rollback-terraform/fixture/tf/tfplan.bin

@@ -0,0 +1 @@
+simulated-saved-plan-A-to-B

platformforge/data/lab/scenarios/ops-stale-observation/expected.yaml

@@ -0,0 +1,3 @@
+kind: ops
+tier: standard
+description: "stale obs → PF-OPS-PRECONDITION-FAILED"

platformforge/data/lab/scenarios/ops-stale-observation/fixture/ops.yaml

@@ -0,0 +1,20 @@
+intent:
+  intent_id: lab-i1
+  owner: team-a
+  requested_by: bob
+  reason: {type: drift, drift_ids: [d1]}
+  target_resources: ["k8s:lab/apps/Deployment/web"]
+  desired_change: {replicas: 3}
+steps:
+  - step_id: scale
+    action: kubernetes.scale
+    params: {kind: Deployment, name: web, namespace: apps, replicas: 3, current_replicas: 5}
+expected_delta:
+  changes: {resources: [{id: "dep/web", replicas: [5, 3]}]}
+observation:
+  captured_at: "2000-01-01T00:00:00Z"
+  coverage: {complete: true}
+approvals:
+  - {approval_id: ap1, binds: envelope, actor: alice, role: owner}
+environment: lab
+expect: {ok: false, stage: preconditions, refusal: PF-OPS-PRECONDITION-FAILED}

platformforge/data/lab/scenarios/secret-exposure/expected.yaml

@@ -0,0 +1,5 @@
+tier: smoke
+description: "Credential patterns committed to a file in the repo."
+analyzers: [secrets]
+violated_rules: [PF-SEC-010]
+fact_kinds: [security.secret_leak]

platformforge/data/lab/scenarios/secret-exposure/fixture/app.env

@@ -0,0 +1,2 @@
+DATABASE_URL=postgres://user:hunter2pass@db.internal:5432/app
+GITHUB_TOKEN=ghp_a1b2c3d4e5f6a7b8c9d0e1f2a3b4c5d6e7f8

platformforge/data/lab/scenarios/slo-burn/expected.yaml

@@ -0,0 +1,5 @@
+tier: smoke
+description: "SLO burn exceeds the 30d budget — status exhausted."
+analyzers: [slo]
+violated_rules: [PF-SLO-001]
+fact_kinds: [sre.error_budget]

platformforge/data/lab/scenarios/slo-burn/fixture/events.yaml

@@ -0,0 +1,2 @@
+total_events: 1000000
+bad_events: 1100

platformforge/data/lab/scenarios/slo-burn/fixture/slo.yaml

@@ -0,0 +1,4 @@
+service: payments
+sli: availability
+target: 99.9
+window: 30d

platformforge/data/lab/scenarios/terraform-iam-wildcard/expected.yaml

@@ -0,0 +1,5 @@
+tier: smoke
+description: "IAM policy granting * on * to a public principal."
+analyzers: [iam]
+violated_rules: [PF-SEC-001, PF-SEC-002, PF-SEC-003]
+fact_kinds: [security.iam_policy]

platformforge/data/lab/scenarios/terraform-iam-wildcard/fixture/policy.json

@@ -0,0 +1,14 @@
+{
+  "Version": "2012-10-17",
+  "Statement": [
+    {
+      "Sid": "AdminForEverything",
+      "Effect": "Allow",
+      "Action": "*",
+      "Resource": "*",
+      "Principal": {
+        "AWS": "*"
+      }
+    }
+  ]
+}

platformforge/data/lab/scenarios/terraform-public-bucket/expected.yaml

@@ -0,0 +1,6 @@
+tier: smoke
+description: "S3 bucket with public-read ACL."
+analyzers: [iac]
+violated_rules: [PF-IAC-001]
+absent_rules: [PF-IAC-003]
+fact_kinds: [iac.resource]

platformforge/data/lab/scenarios/terraform-public-bucket/fixture/main.tf

@@ -0,0 +1,5 @@
+resource "aws_s3_bucket" "public_assets" {
+  bucket = "acme-public-assets"
+  acl    = "public-read"
+  tags   = { team = "web", cost_center = "web" }
+}

platformforge/data/portable_skills/platformforge-agents/SKILL.md

@@ -0,0 +1,47 @@
+---
+name: platformforge-agents
+description: "Runtime agentico do Platform Forge (Cycle 5.1) — roster canônico de 41 agentes (orquestração, coordenadores, especialistas, reviewers, executors), Router V2 com DAG + budgets, dispatch bounded, debate bounded com referee, verificação independente, context packs e ledger de runs, mirrors de host gerados e playbook zero-subagent. Use para 'qual agente pega isso', rotear tarefa complexa, sincronizar mirrors de host (.claude/.codex/.devin/.agents), checar drift de mirrors, montar playbook sem subagentes, arbitrar conflito entre especialistas, ou auditar orçamento/independência de agentes. Agentes nunca mutam produção — ação governada fica no host."
+---
+
+# Agentic runtime — agentes operam engines, não as substituem
+
+Roster canônico: `platformforge/agents/roster.py` (41 agentes).
+Mirrors são **gerados, nunca editados**: `agents/`, `.agents/agents/`,
+`.claude/agents/`, `.codex/agents/`, `.devin/agents/` (205 arquivos).
+
+## Verbos
+
+```bash
+platformforge agents list                    # roster (41)
+platformforge agents lint                    # contract lint
+platformforge agents sync                    # regenera os 5 targets
+platformforge agents check                   # drift: missing/stale/stray
+platformforge agents playbook "<task>"       # fallback zero-subagent
+platformforge agents referee --positions p.json  # debate bounded
+platformforge agents bench                   # estratégias comparadas (projeção)
+platformforge route '{"task":"...","risk":"high","production":true}'
+```
+
+Router V2 modos: `deterministic` (zero agentes) → `single-specialist` →
+`multi-specialist` → `coordinated` → `debate` → `critical-review`.
+
+## Regras duras (garantidas por gate/teste)
+
+- Produtor nunca é seu próprio verificador (`PF-AGENT-INDEPENDENCE`).
+- Rota crítica/produção exige ops-safety + security reviewers + verifier.
+- Posição de debate sem evidência é recusada; rounds ≤ 3; referee emite
+  `winner|tied|unresolved` — e não substitui o verifier.
+- Exaustão de budget → `partial`, nunca sucesso silencioso; resume nunca
+  reseta budget gasto.
+- Contexto é pack de grafo+evidência bounded — nunca o repo inteiro;
+  follow-up recebe `previous_hash + delta`.
+- Nenhum spec de agente lista verbo de mutação; `change approve|apply`
+  continua host-side (`PF-OPS-*`).
+- Rota que referencia agente inexistente falha no `agents-routing` gate.
+
+## Boundaries
+
+- Mirror não pode conceder permissão que o contrato não declara.
+- `agents playbook` carrega os mesmos requisitos de evidência e
+  verificação da rota agentica — degrada paralelismo, não rigor.
+- Verificação e reporte de `unresolved` são isentos de budget.

platformforge/data/portable_skills/platformforge-change/SKILL.md

@@ -0,0 +1,41 @@
+---
+name: platformforge-change
+description: "Revisa mudanças sem tocar a árvore original — sandbox copy → apply patch/files → analyze before/after → compare findings e delta de fatos, depois risco decomposto (blast radius, criticality declarada, produção, identidade, exposição, dados, disponibilidade, custo, reversibilidade, cobertura). Use para revisão de PR/mudança, 'posso aplicar este terraform?', diff de manifests, avaliar risco de uma alteração. O core nunca aplica: approve/apply retornam recusa com boundary host-side."
+---
+
+# Change review — §85–86, §130–132
+
+Lifecycle: `propose → sandbox → verify → review → approve → apply`.
+O core cobre até `review`; `approve`/`apply` são boundary do host e o CLI
+responde `platform.change.core_read_only` com o unlock.
+
+## Fluxo
+
+```bash
+platformforge change verify --patch change.diff        # sandbox: antes×depois
+platformforge change verify --file infra/main.tf=novo.tf
+platformforge change review <intent.json>              # verdict + evidence
+platformforge risk --node <grafo-id>                   # sinais derivados do blast
+platformforge risk --signals '{"production":true,"reversibility":false}'
+platformforge explain findings.json --name PF-IAC-010  # cadeia de evidência
+platformforge recommend findings.json                  # Recommendations válidas
+```
+
+## Leitura do output
+
+- `delta.fact_kinds_added/removed/changed_count` + `facts_added/removed`.
+- `risk.level` ∈ low|medium|high|critical com `decomposition` por sinal —
+  sinais ausentes entram em `unresolved` e reduzem confiança, nunca
+  segurança.
+- `criticality` vem só de attrs declarados (`criticality`, `tier`,
+  `tier0..3`); tecnologia não infere criticalidade de negócio (§131).
+- Recomendação sem evidência é recusada pelo contrato (`refused[]`).
+
+## Nunca
+
+- Aplicar patch na árvore original — tudo acontece numa cópia em tmp.
+- Afirmar efeito quantificado sem `benchmark_ref` (Recommendation rejeita).
+- Apresentar recusa de approve/apply como erro — é o boundary desenhado.
+- Deixar um agente executar `change approve|apply` — rota crítica exige
+  operations-safety reviewer + verifier + gate humano (→
+  platformforge-agents).

platformforge/data/portable_skills/platformforge-core/SKILL.md

@@ -0,0 +1,62 @@
+---
+name: platformforge-core
+description: "Ponto de entrada do Platform Forge para 'analise minha plataforma' e qualquer pergunta cross-domain — inventário de artefatos, fatos com tiers de evidência, findings por catálogo de regras, grafo com proveniência, recusas nomeadas e recibos. Use para auditoria de plataforma, onboarding a um workspace desconhecido, ou quando ainda não está claro qual especialista assume. Roteia para as skills de domínio (graph, change, sre, finops, security, sdd, lab, economy, fleet, agents, governance) assim que a área ficar clara. Não substitui as especializadas."
+---
+
+# Platform Forge — core
+
+Protocolo determinístico, offline-first, read-only. Toda resposta cita
+`fact_id`/`rule_id`; sem evidência, devolva recusa nomeada — nunca prosa
+evasiva.
+
+## Rota canônica
+
+```bash
+platformforge doctor                       # ambiente OK?
+platformforge init --repo <root>           # scaffold .platformforge/ + workspace.yaml
+platformforge inspect --repo <root>        # inventário (workspace-aware, §126)
+platformforge analyze <dom> <path>         # iac|plan|state|drift|k8s|gitops|gha|iam|sbom|
+                                           # secrets|supply|catalog|crossplane|helm|kustomize|
+                                           # hubble|kyverno|cosign|slsa|ownership|contradictions|
+                                           # cloud-aws|cloud-azure|cloud-gcp
+platformforge judge facts.json             # regras → findings
+platformforge graph build facts.json       # grafo com proveniência
+platformforge graph blast --node <id>      # raio de explosão por classe
+platformforge risk --node <id>             # risco decomposto (§130)
+platformforge diagnose <node> --facts f.json --findings f.json  # fatos+findings+blast de um nó
+platformforge impact --node <id>           # blast radius direto
+platformforge plan findings.json           # findings → plano de remediação ordenado
+platformforge explain <findings.json> --name <rule_id>
+platformforge recommend <findings.json>
+platformforge forge manifest               # capacidades publicáveis
+platformforge capability check --domain <d> --version <v>
+```
+
+## Disciplina
+
+- Fatos têm tier 0–7; tiers 6–7 (LLM/conjectura) nunca viram `Fact`.
+- Arestas do grafo herdam proveniência (`observed`/`declared`/`inferred`);
+  proximidade no grafo não é causalidade.
+- `planned ≠ observed` — contradições mostram os dois estados.
+- Sem segredo em output — `core/redaction.py` roda antes de qualquer pack.
+- Multi-repo: apontar para a raiz do `workspace.yaml` faz fan-out pelos
+  membros e tagueia `attrs.workspace_member`.
+- Mutação real nunca acontece no core — ver `platformforge-change`;
+  `ops`/`live` são namespaces de boundary do host.
+
+## Quando rotear
+
+- "o que isso afeta / quem depende" → **platformforge-graph**
+- mudança, PR, diff, terraform plan, aplicação → **platformforge-change**
+- SLO, incidente, capacity, OTel → **platformforge-sre**
+- custo, alocação, FOCUS → **platformforge-finops**
+- IAM, secrets, SBOM, supply chain → **platformforge-security**
+- feature/mudança no próprio platform-forge → **platformforge-sdd**
+- cenário de avaliação, fixture dourada → **platformforge-lab**
+- tokens, packs, roteamento adaptativo → **platformforge-economy**
+- frota, multi-cluster, optimize, federation, AI platform →
+  **platformforge-fleet**
+- dispatch de agentes, rota Router V2, mirrors, debate, verificação →
+  **platformforge-agents**
+- freeze, cases/evals, policy check, maturity/golden paths →
+  **platformforge-governance**

platformforge/data/portable_skills/platformforge-economy/SKILL.md

@@ -0,0 +1,42 @@
+---
+name: platformforge-economy
+description: "Economia de tokens do Platform Forge — TokenSave (conteúdo endereçável, FTS5, context packs bounded), RTK para comandos verbosos, Caveman (compressão lossless), roteamento adaptativo cheap→premium, context packs de agentes e ledger de custo. Use para 'gastei muito contexto', montar context pack para subagente, decidir barato vs premium, ou auditar gasto de tokens. Não substitui análise de plataforma (→ platformforge-core) nem dispatch de agentes (→ platformforge-agents)."
+---
+
+# Economy kernel — tokens como recurso contábil
+
+Módulos: `platformforge/tokensave/` (index FTS5, budget, packs),
+`platformforge/economy/` (rtk, caveman, routing, engine),
+`platformforge/knowledge/` (source registry com freshness) e
+`platformforge/agents/contextpack.py` (packs por escopo de grafo).
+
+## Verbos
+
+```bash
+platformforge knowledge                        # freshness do source registry
+platformforge tokens index                     # indexa árvore em .platformforge/index.db
+platformforge tokens search "<termo>"          # FTS5
+platformforge tokens pack --task "<t>" --input-budget 4000
+platformforge tokens delta --since <hash>      # pack incremental p/ follow-up
+platformforge tokens stats | tokens ledger     # uso e ledger
+platformforge rtk compact --command "cmd" < saida.txt   # spans colapsados
+platformforge rtk expand --start S --end E              # lazy expand
+platformforge caveman <file> --mode off|lite|full|auto  # compressão lossless
+platformforge route '{"task":"...","risk":"low"}'       # TaskSignal → classe
+platformforge economy                          # relatório do engine
+platformforge agents bench                     # estratégias de rota comparadas (projeção)
+```
+
+## Disciplina
+
+- Context pack é byte-bounded (`--input-budget`) — excedente vira
+  `truncated`, nunca estoura silenciosamente.
+- RTK nunca perde dados: spans colapsados restauram via `rtk expand`.
+- Route é recomendação de classe, não enforce — `tokens ledger` registra a
+  escolha real pra calibrar.
+- Dedupe é por content hash — mesmo fato observado duas vezes = um slot.
+- Pack de agente nunca carrega o repo inteiro: `Task → Graph scope →
+  Evidence → ContextPack` (budget classes tiny→critical; exaustão vira
+  `partial`, nunca sucesso silencioso).
+- Follow-up recebe `previous_hash + delta` — reuse conta como
+  `cache_reuse` no ledger.

platformforge/data/portable_skills/platformforge-finops/SKILL.md

@@ -0,0 +1,34 @@
+---
+name: platformforge-finops
+description: "Analisa custos de plataforma a partir de dados FOCUS/billing — ingestão, resumo por serviço/conta, alocação, economia unitária, anomalias, forecast e custo por nó do grafo. Use para 'quanto custa', fatura, identificar recurso ocioso/caro, alocar custo a serviço/team, preparar ou validar FOCUS, custo unitário. Não use para provisioning (→ analyze iac) nem para SLO (→ platformforge-sre)."
+---
+
+# FinOps — custo como cidadão de 1ª classe
+
+Input: billing JSON (FOCUS-prep shape), CSV agregado, ou dumps de
+CUR/Azure/GCP/OpenCost/Kubecost via `finops ingest`. Sem API de billing —
+analisar dumps, nunca consultar provider.
+
+## Verbos
+
+```bash
+platformforge finops costs billing.json        # resumo + findings PF-FIN-*
+platformforge finops costs billing.json --by service|account
+platformforge finops allocate billing.json     # alocação por declaração
+platformforge finops focus billing.json        # pré-normalização FOCUS
+platformforge finops focus-validate f.json     # valida spec_version conhecida
+platformforge finops unit billing.json         # economia unitária (denominador!)
+platformforge finops ingest <dir>              # CUR/Azure/GCP/OpenCost/Kubecost
+platformforge finops report <dir>              # relatório composto
+platformforge finops graph facts.json          # custo por nó do grafo
+```
+
+## Disciplina
+
+- `unallocated` é output legítimo — nunca inventar serviço para fechar 100%.
+- Regras PF-FIN-* (ZOMBIE, UNALLOCATED, SPIKE) têm thresholds declarados no
+  catálogo; não ajustar pra passar.
+- Custo estimado ≠ custo medido — tier da evidência carrega isso.
+- Unit economics sem denominador real = recusa, não número fracionado.
+- `focus-validate`: `spec_version` desconhecido → `PF-FINOPS-FOCUS-VERSION`
+  — versões novas são detectadas, não conformadas.

platformforge/data/portable_skills/platformforge-fleet/SKILL.md

@@ -0,0 +1,39 @@
+---
+name: platformforge-fleet
+description: "Inteligência de frota multi-cluster/membro do Platform Forge — Fleet/FleetMember/FleetSnapshot com cobertura first-class, 9 perguntas determinísticas, grafo organizacional (8 camadas), history windows, analytics por dimensão, otimização (oportunidade → recomendação → ChangeIntent, nunca executa), federation (inteligência cruza, autoridade nunca) e consciência de plataforma AI (GPU/MIG, unit economics com denominador). Use para 'como está a frota', riscos/custos/capacidade/drift por membro, 'onde investir', cruzar clusters, ou comparar nós federados. Não use para um único repo/artefato (→ platformforge-core) nem para mutação (→ platformforge-change)."
+---
+
+# Fleet & enterprise analytics — cobertura sempre reportada
+
+Input: diretório de frota no shape `lab/fleets/acme` (fleet.yaml,
+policies, capacity, requests, graph…). Coverage é first-class: resposta
+sem cobertura declarada é inválida. Tudo read-only.
+
+## Verbos
+
+```bash
+platformforge fleet list|status|coverage <dir>
+platformforge fleet graph|risks|costs|capacity|incidents|operations|drift <dir>
+platformforge fleet golden-path|policies|recommendations <dir>
+platformforge fleet risks <dir> --question "<q>"     # pergunta única
+platformforge fleet report <dir>                      # north-star receipt
+platformforge analytics summary|metric|maturity <path>
+platformforge optimize scan|list|explain|portfolio <dir>
+platformforge optimize plan <rec.json> [--out f.json]  # emite ChangeIntent só
+platformforge ai workloads|gpu|economics <path>
+platformforge federation manifest|export|query
+```
+
+## Disciplina
+
+- `planned ≠ observed`; drift mostra os dois estados.
+- Otimização produz `ChangeIntent` — nunca executa; o pipeline Cycle-4
+  governa (boundary §303).
+- Federation troca inteligência: `export` nega secrets/restricted em toda
+  classificação; credenciais e execução nunca cruzam.
+- AI unit economics exige denominador real — sem, é recusa.
+- DX metrics são team-level only; nunca individuais.
+- History windows são estritos (24h/7d/30d/90d) — dados stale não semeiam
+  padrão.
+- Contexto de frota é bounded: fanout por membro, nunca dump integral
+  (→ platformforge-agents para o policy de contexto).