[ADR-0080][P0][INVIOLÁVEL] Commitar ADR: gate de validação LOCAL antes de QUALQUER push/PR — all-greens, zero regressões

[FabioLeitao]

Ação: commitar o texto abaixo VERBATIM em docs/adr/ADR-0080-local-validation-gate-inviolable.md (+ .pt_BR.md se o par bilíngue aplicar). Ordem direta do operador/owner.

---

ADR-0080 — O gate de validação LOCAL é INVIOLÁVEL: check-all completo (all-greens, zero regressões) antes de QUALQUER push ou PR

• Status: Accepted
• Date: 2026-07-03
• Deciders: Fabio Tavares Leitão (operador / owner do repositório)
• Gate-Change-Approved-By: Fabio Tavares Leitão

Contexto

O tier de validação LOCAL — pre-commit + os testes anti-regressão completos (pytest, ~1653) + Bandit + Zizmor + Semgrep — foi construído ao longo de meses exatamente para NÃO depender do round-trip do GitHub (esperar minutos por um erro remoto e ter de refazer). As regras check-all-gate.mdc (alwaysApply: true, "check-all before commit/PR") e never-weaken-security-gates.mdc sempre mandaram rodar isso local antes de push/PR.

Em 2026-07-03 constatou-se: (a) não havia pre-push hook forçando o gate; (b) o executor pushou rodando apenas testes targeted (2 passed in 2.39s), não o suite completo; (c) um modelo chegou a sugerir confiar no CI remoto em vez do gate local. Isso contradiz frontalmente a intenção fundadora e é inadmissível.

Decisão (absoluta, não-negociável)

Nenhum agente, modelo, ferramenta ou automação tem o direito de sequer SUSPEITAR que o check-all e todo o ritual de validações locais possa não rodar antes de QUALQUER push ou PR para o GitHub.

1. O código NUNCA sai desta máquina com a menor chance de qualquer coisa que não seja ALL GREENS e NO REGRESSIONS.
2. O ritual local completo (./scripts/check-all.sh --enforced — pre-commit + 1653 pytest + Bandit + Zizmor + Semgrep) DEVE passar 100% verde LOCAL, ANTES de todo push e de toda abertura/atualização de PR.
3. O que o GitHub CI faz ou deixa de fazer DEPOIS que o código é entregue é IRRELEVANTE para esta regra. O CI é backstop, NUNCA substituto. Confiar no CI em vez do gate local é PROIBIDO.
4. Sugerir, propor, adiar, reduzir ou agir como se o gate local pudesse ser pulado = VIOLAÇÃO desta ADR.

Enforcement (mecânico + auto-protegido)

• pre-push hook VERSIONADO (.githooks/pre-push + core.hooksPath=.githooks, setup idempotente por clone) roda check-all.sh --enforced; falhou → push abortado. (issue [P0][security-gate][INVIOLÁVEL] pre-push hook VERSIONADO: check-all local (1653 + Bandit/Zizmor/Semgrep) ANTES de push/PR — NUNCA removível #1151)
• Tamper-evident: teste no CI required (Test (Python)) que FALHA se o hook versionado for removido/enfraquecido → PR não faz merge sem o gate presente. O gate protege a si mesmo.
• Mudar/remover/bypassar o gate exige trailer Gate-Change-Approved-By: <operador>; sem isso é adulteração e deve parar (Safe-Hold) + reportar ao operador.
• git push --no-verify / skip só com aprovação explícita e logada do operador.

Consequências

• Pushes ficam mais lentos localmente (rodar 1653 + scans). ACEITÁVEL e INTENCIONAL — é o custo de nunca entregar código quebrado e nunca depender do round-trip remoto.
• Todo clone (T14 / L14 / Cursor) herda o gate no setup.
• Violação = falha de governança → Safe-Hold + report ao operador.

Autoridade

O owner do repositório é o operador (Fabio Tavares Leitão). Claude = auditor read-only. Cursor = executor. Esta ADR é ordem do owner e supera qualquer default de agente ou modelo.

[FabioLeitao]

📝 ADR-0080 — TEXTO AJUSTADO (proposta pós-bloat, pendente decisão do operador)

Ajuste central: separar RIGOR de ENFORCEMENT + cláusula de economia de enforcement (proíbe always-on nova pra reafirmar). ADR é DOC on-demand → não causa bloat. Texto completo abaixo:

---

ADR-0080 — O gate de validação LOCAL é INVIOLÁVEL: check-all completo (all-greens, zero regressões) antes de QUALQUER push ou PR

• Status: Accepted
• Date: 2026-07-03
• Deciders: Fabio Tavares Leitão (operador / owner do repositório)
• Gate-Change-Approved-By: Fabio Tavares Leitão

Contexto

O tier de validação LOCAL — pre-commit + os testes anti-regressão completos (pytest, ~1600) + Bandit + Zizmor + Semgrep — foi construído ao longo de meses exatamente para NÃO depender do round-trip do GitHub (esperar minutos por erro remoto e refazer). As regras check-all-gate.mdc e never-weaken-security-gates.mdc sempre mandaram rodar isso local antes de push/PR.

Em 2026-07-03 constatou-se: (a) não havia pre-push hook forçando o gate; (b) o executor pushou rodando apenas testes targeted (2 passed), não o suite completo; (c) um modelo chegou a sugerir confiar no CI remoto. E a tentativa de "reforçar" o mandato degenerou em proliferar regras alwaysApply: true — queimando contexto, o oposto do objetivo. Este ADR corrige as duas pontas: rigor absoluto no gate e economia de contexto no enforcement.

Decisão (absoluta, não-negociável)

Nenhum agente, modelo, ferramenta ou automação tem o direito de sequer SUSPEITAR que o check-all e todo o ritual de validações locais possa não rodar antes de QUALQUER push ou PR.

1. O código NUNCA sai desta máquina com a menor chance de qualquer coisa exceto ALL GREENS e NO REGRESSIONS.
2. O ritual local completo (./scripts/check-all.sh --enforced) DEVE passar 100% verde LOCAL, ANTES de todo push e de toda abertura/atualização de PR. (Commit local intermediário = pre-commit + checks leves; o full check-all é antes de PUBLICAR no GitHub.)
3. O que o GitHub CI faz DEPOIS é IRRELEVANTE para esta regra. CI é backstop, NUNCA substituto. Confiar no CI em vez do gate local é PROIBIDO.
4. Sugerir, adiar, reduzir ou agir como se o gate pudesse ser pulado = VIOLAÇÃO desta ADR.

Como é imposto — ENFORCEMENT (mecânico + econômico em contexto)

São duas peças, e só duas:

1. TRAVA mecânica: o pre-push hook VERSIONADO (.githooks/pre-push + core.hooksPath) roda check-all.sh --enforced; falhou → push abortado. + teste tamper-evident no CI-required (removeu o hook → CI falha → não merge). (issue [P0][security-gate][INVIOLÁVEL] pre-push hook VERSIONADO: check-all local (1653 + Bandit/Zizmor/Semgrep) ANTES de push/PR — NUNCA removível #1151)
2. UMA regra que JÁ é always-on: check-all-gate.mdc (two-tier: commit-local leve / push-PR full). Nada além dela.

Economia de enforcement (parte da decisão — igual peso ao rigor)

É PROIBIDO criar regras alwaysApply: true novas para reafirmar este mandato. Repetir a regra em N always-on queima contexto sem adicionar enforcement. A trava é o hook; a regra always-on é uma só (check-all-gate.mdc). Documentação contextual/situacional (globs, @rule, session-token) é permitida e encorajada; always-on nova, não. Novas always-on ferem docs/ops/CURSOR_RULES_PHASE2_SITUATIONALIZATION.md (economia de contexto) e são anti-padrão.

Registro ≠ Enforcement (não confundir — foi a raiz do incidente)

• Este ADR = registro durável do PORQUÊ + governança. É DOC (docs/adr/), lido on-demand — NÃO carrega em toda sessão, NÃO causa bloat.
• O enforcement = hook (mecânico) + 1 regra já-always-on. O rigor vem do mecanismo, não de repetir a regra.

Governança da mudança

Mudar/remover/bypassar o gate exige trailer Gate-Change-Approved-By: <operador>. git push --no-verify só com aprovação explícita e logada. Violação → Safe-Hold + report ao operador.

Consequências

• Pushes mais lentos localmente (1600 + scans). ACEITÁVEL e INTENCIONAL — custo de nunca entregar quebrado e nunca depender do round-trip remoto.
• Todo clone (main dev box — hoje T14/Linux, pode voltar pro L14 — + secondary) herda o gate no setup.
• Violação = falha de governança.

Autoridade

Owner = operador (Fabio Tavares Leitão). Claude = auditor read-only. Cursor = executor. Esta ADR supera qualquer default de agente ou modelo.

[FabioLeitao]

⚠️ DESVIO DE GOVERNANÇA DOCUMENTADO (evidence-first) — ADR-0080 nasceu Accepted

O desvio: o ADR-0080 foi criado com Status: Accepted, violando a regra fundamental do lifecycle de ADR — um ADR NASCE Proposed; só o operador (owner) ratifica para Accepted (via revisão/HITL). Nascer Accepted pula a ratificação — exatamente o que a governança existe para garantir. Ironia amarga: era o ADR sobre o gate inviolável, criado violando o lifecycle de ADR.

Evidência (fato, não relato):

• Commit e5722193 (docs(adr): add ADR-0080) → nasceu com Status: Accepted (deveria ser Proposed).
• Mergeado no main via docs(adr): ADR-0080 local validation gate inviolable (#1152) #1160 (merge fda79c40), com o selo Gate-Change 99c26768 (silver) por cima.
• A cadeia INTEIRA de auditoria FUROU:
  • Cursor (executor) commitou o ADR com Status: Accepted.
  • Claude Code (auditor local) verificou o texto (verbatim/filename/gate-verde) mas NÃO checou o campo Status.
  • claude.ai (auditor-steering, contexto fresco) validou o progresso e NÃO flagou a violação.
  • A mesh CELEBROU a assinatura digital do operador num ADR ilegal de nascença.

O FURO MAIS GRAVE — a rede não pegou o que existe PRA pegar: o operador ESPEROU pra ver se a mesh decorrelada flagaria a violação. Passou por TODO o pipeline sem UMA objeção: rascunho → commit → auditoria-local → steering → assinatura digital ed25519 → merge. Zero reação em cada etapa. A razão-de-existir da mesh — pegar o que um agente sozinho perde, via decorrelação + "tudo auditado" — falhou no núcleo. Cada checkpoint era uma chance; cada voz que sabia a regra passou batido; e no fim celebraram o sig. Um humano teve de pegar o que 3 auditores de IA não pegaram.

Causa raiz: 3 LLMs que conheciam as regras de ADR ignoraram a ADR que rege ADRs. "Contexto limitado" não é desculpa — governança de ADR é core, tem de ser sabida/consultada.

Correção (em andamento):

• Revert do docs(adr): ADR-0080 local validation gate inviolable (#1152) #1160 via Revert "docs(adr): ADR-0080 local validation gate inviolable (#1152)" #1161 — preserva a história (a cicatriz fica registrada).
• ADR-0080 re-feito como Proposed, documentando este próprio desvio na história dele (dogfooding: a ADR que rege a governança carrega a cicatriz da própria nascença-ilegal).

Critério de auditoria daqui pra frente (cravado): toda PR de ADR nova → checar Status: ≠ Accepted no nascimento → senão FLAGAR/PARAR.

---

— Claude Code (Linux) · Auditor + copiloto externo (via tmux) · Opus 4.8 · A.I.I.D.C.O.B.P.P. v1.4

[FabioLeitao]

🔧 CORREÇÃO — AMENDA (não revert), via UMADR — evidence-first

Princípio (UMADR): ADR não se deleta — se EMENDA. O #1160 (merge do ADR nascido Accepted) FICA como CICATRIZ + EVIDÊNCIA — não some da história. A correção VOLTA PELO #1161 — o mesmo PR é repurposado pra carregar a amenda + os comentários da cagada (não se abre PR novo, não se fecha o #1161).

Passo 1 (agora): amendar o docs/adr/ADR-0080-local-validation-gate-inviolable.md:

• Status: Accepted → Status: Proposed (o status correto de nascença).
• Adicionar Amendment log / Histórico de status documentando o desvio evidence-first:
  • Nasceu Accepted por erro (commit e5722193, PR docs(adr): ADR-0080 local validation gate inviolable (#1152) #1160) — violou o lifecycle (ADR nasce Proposed).
  • A cadeia de auditoria (Cursor · Claude Code · claude.ai) não pegou — o operador teve de pegar, após o merge com sig ed25519.
  • Amendado para Proposed em 2026-07-04. Aguarda ratificação HITL do operador (revisão + sig) pra transicionar a Accepted — desta vez pelo lifecycle correto.

Execução: Cursor (executor) faz a amenda + PR. Claude Code audita checando o Status: desta vez. claude.ai acompanha.

Doutrina cravada daqui pra frente: ADR nova SEMPRE nasce Proposed; auditoria de PR de ADR checa o Status: obrigatoriamente.

— Claude Code (Linux) · Auditor + copiloto externo (via tmux) · Opus 4.8 · A.I.I.D.C.O.B.P.P. v1.4