🛡️ Governar e aprender

N0 só conversa, N1 prepara e o humano executa, N2 executa depois de pedir, N3 executa e avisa, N4 executa sem aviso.

É a régua que diz quanto o agente pode fazer sem você. O padrão do kit é "prepara e pede".

Autonomia, N0–N4, prepara e pede, impacto da ação.

A tabela da POLITICA.md: ler vai até N4, alterar arquivo até N3, comando no sistema e enviar até N2, gastar e apagar só N1.

Quanto maior o impacto da ação, mais você participa. A tabela decide isso antes de o agente começar.

Teto, tipo de ação, enviar, gastar crédito, apagar com backup.

A regra da POLITICA.md: uma permissão "sempre permitir" nunca passa do teto da ação.

Um clique apressado não pode transformar "enviar" ou "apagar" em ação automática.

Sempre permitir, teto, permissão acumulada.

O .claude/settings.json do kit nega rm -rf, git push --force, git push -f e git reset --hard.

No CHANGELOG 0.1.0, até no modo que libera tudo, o touch rodou e o rm -rf foi negado.

Permissões, deny, acceptEdits, bloqueio escrito.

No Codex a política vira sandbox: read-only para ler, workspace-write para alterar, e sem auto-aprovação para o resto.

A ponte codex-exec.sh recusa danger-full-access: a mesma regra vale para os dois agentes.

Sandbox, read-only, workspace-write, recusa pela POLITICA.

Só ferramentas oficiais pela assinatura, nunca passar credencial de uma ferramenta para outra, engenharia reversa só em laboratório.

São as três linhas que protegem a sua conta e os seus dados ao ligar uma ferramenta na outra.

Assinatura, credencial, LIMITES.md, produção.

A regra do AGENTS.md: o agente não muda as regras; para propor, acrescenta uma linha na tabela Aprendizado.

Um agente que reescreve as próprias regras pode se dar mais liberdade do que você deu.

Propõe, aprova, incorpora; separação de papéis.

Data, o que aconteceu com evidência, proposta em uma linha e status: proposto, aprovado ou recusado.

Proposta com evidência você aprova em segundos; sem evidência, não dá para decidir.

Evidência, proposta de uma linha, status.

O que você aprovou vira regra na seção Lessons do AGENTS.md, que o Claude e o Codex leem.

A lição passa a valer nas próximas sessões, para os dois agentes, sem você repetir.

Lessons, AGENTS.md, CLAUDE.md, regra aprovada.

Data, o que quebrou, a menor correção e se foi prompt ou infra. Exemplo real do kit: o doctor lia só o stdout do Codex.

Depois de algumas linhas o padrão aparece, e você para de reconstruir o que só precisava de uma proteção.

Menor correção, prompt × infra, uma linha.

Data, o que tentou, o que barrou, o contorno e o status. Bug vai no FALHAS.md; limite do ambiente vai aqui.

Cota, permissão ou rede bloqueada não somem sozinhas: anotadas, viram uma lista para resolver.

Limite de ambiente, contorno, status aberto ou aceito.

Uma vez por semana, o agente lê FALHAS.md e LIMITES.md e propõe linhas na tabela Aprendizado; você aprova ou recusa.

É o "aprender" do ciclo virando hábito, sem tirar de você a decisão.

Revisão semanal, padrão de falhas, aprovar ou recusar.

Mod é o apelido dos plugins oficiais. A guarda usa hooks PreToolUse e PostToolUse: a regra fica no script, a tela no mod.

Os vídeos mostraram guardas de colisão e de raio de explosão; o kit faz o mesmo só com recursos oficiais.

Hook, plugin, mod, PreToolUse, PostToolUse, worktree.

Antes de editar um arquivo que outra sessão mexeu, ou que mudou por fora nos últimos 30 min, a guarda pergunta: seguir, worktree ou cancelar.

Num projeto nosso, uma sessão esvaziou um arquivo que outra estava editando.

Colisão, toques.json, janela de 30 min, limite do Codex.

Antes de rm ou git clean, o raio conta os arquivos que seriam apagados, mostra o tamanho e pede confirmação.

A prova da R7 roda o script sozinho e mostra "permissionDecision":"ask" sem apagar nada.

Raio de explosão, só leitura do disco, backup.

claude --plugin-dir para uma sessão, ou o bloco hooks copiado para o settings do outro projeto.

A proteção vale onde os seus agentes trabalham, não só na pasta do kit.

--plugin-dir, bloco hooks, caminho do kit.

Um mod opcional que mostra as sessões do claude --bg com os botões Atualizar e Parar.

Acompanhar e parar o time sem sair do Claude Code; só o seu clique para uma sessão.

Painel, plugin validate, plugin test, 1 pass.

Mods rodam com as permissões do Claude Code. Antes de instalar um de terceiro, peça ao agente para ler e explicar, sem rodar.

O mesmo poder que protege pode estragar: ler o código é a única garantia.

plugin.json, hooks.json, rede, credenciais.

Antes de qualquer engenharia reversa, testar com um comando cada nível, de API até ponte local.

Muitas vezes a via existe e só não estava documentada.

Escada, evidência por nível, degrau 7.

Máquina de teste, uma linha em LIMITES.md, etiqueta "frágil" com data e nunca em produção.

O laboratório responde "por onde conversa?"; a resposta leva de volta a uma via oficial.

Máquina de teste, LIMITES.md, frágil, produção.

Só ferramentas oficiais pela assinatura e nunca passar credencial ou token de uma ferramenta para outra.

Quem tem o token age como você; a ponte certa não carrega senha.

Credencial, token, termos de uso, login humano.

Um sistema seu sem API, uma linha no CAPACIDADES.md e a via mais alta que funcionar.

Sem linha no mapa, o agente não usa o sistema; é o primeiro passo do projeto final.

Projeto final, CAPACIDADES.md, via, pendente.

A ponte pela receita R3 (arquivo) ou R5 (site) e o time de três papéis trabalhando nela com política N2.

É o curso inteiro aplicado ao seu trabalho: conectar, rotear e executar com regra.

Ponte, selftest, Connected, planejador, executor, revisor, N2.

Um goal com critérios comando → esperado, a saída do verificar.mjs com todos OK e uma linha aprovada na tabela Aprendizado.

Pronto é prova, não palpite; e o ciclo só fecha quando o aprendizado vira regra.

Goal, verificar.mjs, checklist de entrega, Lessons.