# Matlock — Ferramentas para Agentes e Desenvolvedores. (Manual do Proprietário e Referência Operacional)


> **PARA AGENTES E ORQUESTRADORES DE IA:**
> Vá diretamente para a **[Parte II: Especificação Operacional para Máquinas e Agentes Autônomos](#parte-ii-especificação-operacional-para-máquinas-e-agentes-autônomos)** para consultar o catálogo MCP `stdio` de 27 ferramentas, o desbloqueio `HTTP 402` em duas vias, as regras da sandbox de fronteira `seq_matlock` / `cold_box` e os contratos de encerramento.

**Produto**: Matlock — Ferramentas para Agentes e Desenvolvedores. (`Eficiente. Exato. Rigoroso.`)  
**Posicionamento**: *Verificação técnica local poliglota em `< 50ms` para AST, MITRE CWE, IEEE Std 1003.1 POSIX, CISA SSDF e AICPA SOC 2 Trust Services Criteria com selos de testes Salvaguarda à prova de violação, sandboxes Pre-CI de fronteira, automação CLI em 1 clique e MCP stdio local de 27 ferramentas (`0` envios de código para a nuvem, `0` portas abertas, `0` bloqueio de `git commit`).*  
**Editor**: Matlock by Dutch P2P © 2026. Todos os direitos reservados.  
**Superfícies**: Central de Comando Desktop (**Windows**, **Linux** e **GoogleBook**; **macOS `arm64`** (`matlock-mcp` headless pronto) — pressione **`?`** ou **`F1`** a qualquer momento) · [Central de Comando Web](https://matlock.dutchp2p.com/pt/app) · [Varredura Gratuita no Navegador](https://matlock.dutchp2p.com/pt/#wasm-instant-audit) · [Documentação](https://matlock.dutchp2p.com/pt/docs) · [Manual Online](https://matlock.dutchp2p.com/pt/manual) · URI MCP `matlock://help/appliance-manual`

**Escopo e Aviso Legal**: *O Matlock avalia controles técnicos de base de código e de pipeline em relação a especificações e referências publicadas do setor (MITRE CWE, CISA SSDF, IEEE Std 1003.1 POSIX, portões automatizados de integridade Pre-CI e controles técnicos do AICPA SOC 2 Trust Services Criteria). O Matlock não garante software livre de defeitos, não emite relatórios formais de atestação de terceiros nem fornece certificações de uma firma independente de contadores públicos certificados habilitada (CPA).*

---

## Sumário

### Parte I: Guia do Operador Humano e Bancada
1. [Glossário Rápido e Fluxo Principal](#1-glossário-rápido-e-fluxo-principal)
2. [Layout da Tela, Temas e Navegação](#2-layout-da-tela-temas-e-navegação)
3. [Scripts Descobertos, Verificações Personalizadas, Ações e Favoritos](#3-scripts-descobertos-verificações-personalizadas-ações-e-favoritos)
4. [Rotinas Autônomas, Comandos do Computador e Alertas Locais](#4-rotinas-autônomas-comandos-do-computador-e-alertas-locais)
5. [Cascata de Resultados, Reexecução Isolada, Ignorar e Copiar](#5-cascata-de-resultados-reexecução-isolada-ignorar-e-copiar)
6. [Salvaguarda Fixa Antiviolação, Integridade dos Testes e Restauração](#6-salvaguarda-fixa-antiviolação-integridade-dos-testes-e-restauração)
7. [Barras Horizontais de Pontuação, Cobertura e Padrão de Modularidade](#7-barras-horizontais-de-pontuação-cobertura-e-padrão-de-modularidade)
8. [Configurações em Duas Colunas e Recuperação de Estado Selado](#8-configurações-em-duas-colunas-e-recuperação-de-estado-selado)
9. [Conexão de Agentes de IA (MCP no Desktop e Guia para Celular/Chat)](#9-conexão-de-agentes-de-ia-mcp-no-desktop-e-guia-para-celularchat)
10. [Referência de Padrões Integrados (10 Ecossistemas + Pre-CI)](#10-referência-de-padrões-integrados-10-ecossistemas--pre-ci)
11. [Licença Workstation Pro, Prévia Web e Varredura Gratuita](#11-licença-workstation-pro-prévia-web-e-varredura-gratuita)
12. [Linux, GoogleBook, Atualizações, Privacidade e Suporte](#12-linux-googlebook-atualizações-privacidade-e-suporte)

### Parte II: Especificação Operacional para Máquinas e Agentes Autônomos
* [A. Pontos de Entrada e Transporte do Agente](#a-pontos-de-entrada-e-transporte-do-agente)
* [B. Medição, Acesso M2M em Enxame e Desbloqueio Pro](#b-medição-acesso-m2m-em-enxame-e-desbloqueio-pro)
* [C. Catálogo Completo de 27 Ferramentas MCP Locais](#c-catálogo-completo-de-27-ferramentas-mcp-locais)
* [D. Sandbox Cold Box de Fronteira, Governador de 3 Loops e Encerramento](#d-sandbox-cold-box-de-fronteira-governador-de-3-loops-e-encerramento)
* [E. Especificação Legível por Máquina para Agentes de IA (YAML)](#e-especificação-legível-por-máquina-para-agentes-de-ia-yaml)
* [F. Princípios Operacionais do Agente e Limites de Execução](#f-princípios-operacionais-do-agente-e-limites-de-execução)

---

## Parte I: Guia do Operador Humano e Bancada

## 1. Glossário Rápido e Fluxo Principal

* **Como funciona o fluxo principal**: Escolha uma pasta de projeto -> O Matlock executa instantaneamente uma varredura estática fora da thread de interface (`max(1, núcleos - 1)` isolates, mantendo `1` núcleo livre) e descobre os scripts do espaço de trabalho -> Marque com **Estrela** os comandos mais usados em **Favoritos** -> Clique em **`Matlock`** para rodar o pipeline único e oficial de verificação (`Clean -> Get -> Format -> Lint -> Analyze/Compile -> Test -> Coverage` até `depth 0..2`, mais Pre-CI multiplataforma e verificações integradas e personalizadas). O **`Matlock`** testa tudo sem confirmar nem enviar alterações (`0` `git push` embutido no `Matlock` ou nas rotinas pré-carregadas — testar e enviar ficam separados, enquanto usuários e agentes MCP podem adicionar livremente cartões e cadeias personalizadas de `git push` ou deploy em nuvem), nunca instala `.git/hooks/*` nem bloqueia commits locais.
* **Teste vs. Erro (Achado)**: Um **Teste** é uma verificação integrada imutável ou uma **Verificação personalizada** que compõe sua **Pontuação de Saúde numérica de 0.0–100.0**. Um **Erro** traz `file:line:col` (`col >= 1`), tags `[MITRE CWE-*]` / `[POSIX-*]` / `[MITRE Txxxx]`, explicação clara e prescrição diff higienizada de 5 linhas.
* **Ação e Rotina (Sequência)**: Uma **Ação** é um cartão de comando local em 1 clique (`flutter test`, `npm run build`, backup `.bat`); uma **Rotina** encadeia **20+ cartões** na **Linha de Execução** com **Parar e alertar** (padrão), **Parar** ou **Continuar e alertar**.
* **Salvaguarda (`Safeguarded` / `AI agent can modify`)**: Selo fixo que protege testes, scripts, Ações, Rotinas e Alertas (`Somente leitura e execução`). Qualquer edição externa ou de IA não autorizada em arquivo ou script Salvaguardado reverte automaticamente para o original selado e aciona o **Envelope** pulsante de alerta.

## 2. Layout da Tela, Temas e Navegação

* **Superfícies Dia e Noite confortáveis**: Alterne a qualquer momento pelo botão **Tema** na barra superior ou em **Settings -> Appearance** entre **Dia branco-prata suave** (`#F8F9FA` / `#FFFFFF`) e **Noite ardósia-carvão tonal** (`#131517` / `#181B20` / `#1E2228`). Zero janelas interrompem uma execução; apenas a confiança inicial da pasta e um único aviso prévio **Ask me before this runs** antes da Etapa 1 pedem confirmação.
* **Barra Superior**: **`Browse...`** + caminho, gerenciador **`Ignored (N)`** de 5 escopos, **`Stop`** (`Ctrl+.` / `Esc`), **`Upgrade`** (Grátis), **`Value`**, **`Share`**, **`Caixa do Envelope`** pulsante (`[x] Send Email Notifications`, `Send message`, `Mark all Done`, cartões de violação/agente), **Alternar Tema**, **`?`** (`F1` Manual) e **`Settings`**.
* **Coluna Esquerda**: Cartão único oficial **`Matlock`**, ponte bidirecional **`"Sincronizar com Headless"`** (`"Sync with Headless"`), **`Stop if Error & Notify`**, **`Notify`**, **`File size bar`** (Seletor de Modularidade), **`+ Add card`**, **`FAVORITES`** marcados com Estrela, **`AVAILABLE COMMANDS`** / **`PROJECT STEPS`** descobertos automaticamente, comandos **`MACHINE`** e **`Notes`**.
* **Área Central e Terminal CLI Acoplado Sempre Aberto**: Pilha gerenciada (`Start Process`, `Stop Process`, `Rerun failed`, chave **`Run`** / **`CI Code Health Report`** imprimível com `Ctrl+P`, linhas por etapa e fila FIFO de **Run line**) acima de um **Terminal acoplado sempre aberto** (**Output**, **Problems**, **`Tests (N)`**, **`Coverage (N)`**, retenção durante seleção de texto sem pulos, acompanhamento automático + **Jump to latest**, **Find**, `Ctrl+K` **Quick Run** no Pro e **Barra CLI do Terminal** integrada para digitar e clicar em **`Executar`** em qualquer comando como `git status`, `git push` ou `wrangler deploy` sem abrir o PowerShell ou `cmd.exe`, e transformá-lo em 1 clique com **`Salvar cartão`** ou **`Encadear / Alerta`**).
* **Coluna Direita de Telemetria**: **Pontuação Matlock** numérica (`XX.X / 100.0`) com **Barras Horizontais de Pontuação de Saúde e Cobertura Lógica Real**, contadores **`Tests Passed`** / **`Errors`**, **`Top 3 fixes`**, **`Largest untested files`**, gráfico **`Value`** e registros de testes removidos de **`Test integrity`**.

## 3. Scripts Descobertos, Verificações Personalizadas, Ações e Favoritos

* **Scripts Descobertos e 6 Modelos Iniciais Não Configurados**: Abrir uma pasta descobre comandos de `package.json`, `Makefile`, `Cargo.toml`, `pyproject.toml`, `pubspec.yaml` e scripts `.bat`/`.ps1`/`.sh` em **Available Commands** (nunca favoritados sozinhos — clique em **Estrela** para fixar em **Favorites**), junto a **6 modelos iniciais pré-semeados sem comando** (**GitHub**, **Save to Thumb Drive / Drive**, **AWS / Google Cloud**, além dos cartões Machine **Save**, **Defrag / Optimize**, **Shut Down**). Clicar em um modelo não configurado abre o editor para seu script batch/shell — ou seu agente MCP conectado o programa e fixa nos Favoritos por você — e depois de programado ele roda em 1 clique.
* **Giro do Terminal CLI + Editar -> Script Fonte + Salvaguarda Fixa**: Digite qualquer comando na barra CLI do Terminal sempre aberto e clique em **`Salvar cartão`** (cartão em 1 clique) ou **`Encadear / Alerta`** (etapa em série com parada em falha ou alerta por e-mail), ou clique em **Edit** em qualquer cartão descoberto/criado para ver ou editar comando/script, diretório, tempo limite, **`Ask me before this runs`**, **`Count a failure against my health score`** e **`Safeguard`** fixo (`[LOCKED]` somente execução para agentes vs. `[MODIFIABLE]` refinável pelo agente com revisão de diff antes/depois no **Envelope** pulsante para **Aceitar** / **Reverter**).
* **Adicionar Verificação Personalizada (`+ Add card -> Custom check`)**: Crie uma regra **Find Text in Files** (texto/regex) ou **Run a Script** (`exit 0` = Aprovado; linhas `file:line:col: message` lidas como achados) com severidade (`Critical`, `Major`, `Warning`, `Info`), salva no armazenamento local privado do perfil de usuário fora do repositório.
* **Suporte a `.bat` e `robocopy` no Windows**: `stdin` fechado (`<nul`) e contenção de processos evitam travamentos; `%i` em linha única normaliza para `%%i`; códigos `0–7` do `robocopy` contam como **Aprovado** (`>= 8` = Falhou).

## 4. Rotinas Autônomas, Comandos do Computador e Alertas Locais

* **Rotinas Autônomas e Cadeias Personalizadas de Push/Deploy (`+ Add card -> Sequence` ou `Encadear / Alerta`)**: Encadeie **20+ cartões** em série com **`Matlock`** em primeiro por padrão, opção por etapa **Always run this step, even if an earlier step failed** e uma única aprovação prévia **Ask me before this runs** antes da Etapa 1. Inclui modelos **Nightly check**, **Deploy to Cloudflare** e **Backup and power off** (além de modelos **Destination** usando sua CLI local com `0` credenciais salvas no Matlock; os testes do `Matlock` têm `0` `git push` embutido, enquanto usuários e agentes MCP podem adicionar livremente cartões e cadeias personalizadas de `git push` ou deploy em nuvem).
* **Cartão de Notificação / Alerta por E-mail (`Notify` ou `Settings -> Email Alerts` — Passo a Passo)**: **(1)** Gere uma **Senha de App / Código de Autorização de 16 caracteres** nas configurações de segurança 2FA do seu provedor de e-mail (nunca use sua senha normal de login quando a 2FA estiver ativa), abra **`Notify`** ou **`Settings -> Email Alerts`** e informe o e-mail remetente/destinatário + Senha de App / Código de Autorização (SMTP somente de saída sobre Native Dart TLS 1.2/1.3 com verificação X.509, `0` acesso de entrada à caixa IMAP/POP3, `0` relays da Dutch P2P; predefinições globais para Gmail / Workspace, Microsoft 365 / Outlook, Yahoo, iCloud, código de autorização QQ / 163 de 16 caracteres, Zoho Global/EU/IN, Fastmail, Yandex, Mail.ru, Aliyun, GMX / Web.de com POP3/SMTP externo ativado e Proton Mail Bridge local `127.0.0.1:1025`; credenciais seladas no chaveiro do SO ou cofre local de contêiner selado por frase-senha) ou teste em modo headless via `matlock-mcp send-alert --subject "..." --body "..."`) e clique em **`Test Email`** — ou escolha **`custom_script`** local (`MATLOCK_ALERT_*` e pílulas `{{status}}`, `{{where_failed}}`, `{{completion_summary}}`). **(2)** Execute sozinho em **1 clique** a qualquer momento. **(3)** Anexe-o a qualquer sequência com **`Parar e alertar`** (gatilho apenas em erro) ou **`Continuar e alertar`** / `always` (`send_alert`: aviso incondicional ao concluir).
* **`MACHINE` (8 Comandos Editáveis do Computador — Nunca Rodam Sozinhos)**:

| Cartão | Windows | Linux | Notas |
| :--- | :--- | :--- | :--- |
| Shutdown in 30 minutes | `shutdown.exe /s /t 1800` | `shutdown -h +30` | Atraso de 30 min, nunca `/f`; pareado com Cancel shutdown |
| Cancel shutdown | `shutdown.exe /a` | `shutdown -c` | Cancelamento imediato em 1 clique |
| Clean temporary files | Apenas pasta temp do usuário, pula em uso | Arquivos > 1 dia em `~/.cache` e `/tmp` | Nunca toca nos arquivos do projeto |
| Check disk space | `Get-PSDrive -PSProvider FileSystem` | `df -h` | Somente leitura |
| Optimize disk (defrag or trim) | `Optimize-Volume -DriveLetter C -Verbose` | `fstrim -av` | Exige admin/root; avisa de forma limpa sem pedir UAC/`sudo` |
| Backup copy | `robocopy . "<backup-folder>" /MIR` | `rsync -a --delete ./ "<backup-folder>/"` | Mantém `.git`, pula caches; `robocopy` `0–7` = Aprovado |
| Find a Word & Expose It | `findstr /s /i /m /c:"Aluminium" *.dart` | `grep -rnI "Aluminium" --include="*.dart" .` | Busca recursiva editável sem diferenciar maiúsculas |
| Lines Over 250 Catch | `for /r %i in (*.dart) do ... find /c /v ""` | `find . -name "*.dart" -exec awk '... c>250 ...' {} +` | Varredura somente leitura listando arquivos acima de 250 linhas |

## 5. Cascata de Resultados, Reexecução Isolada, Ignorar e Copiar

* **Cascata de Categorias com Mais Erros Primeiro**: As categorias da varredura são ordenadas automaticamente com o maior número de erros ativos no topo para resolver os pontos críticos sem rolar por verificações limpas.
* **Selecionar para Copiar e Reexecução Isolada por Categoria**: Selecione qualquer texto de achados para copiar diretamente, clique em **Share for Agent / Copy** (`Ctrl+Shift+C`) para `folder/file:line` + `[MITRE CWE-*]` / `[POSIX-*]` + prescrições diff de 5 linhas, ou clique em **Rerun** na categoria para reverificar apenas aquela categoria em milissegundos (selo `?` Estimate até rodar o `Matlock` completo).
* **Ignorar em 5 Escopos Fora do Repositório (`Ignored (N)`)**: Separe `file:line:code`, `file:code`, `*:code`, `file` ou `folder/` (`0` penalidade na nota, **Restore** / **Restore all** em 1 clique, opção **Send & Ignore** para falsos positivos). Comentários no código (`// ignore:`, `/* nolint */`, `# noqa`, `@ts-ignore`) nunca silenciam o Matlock, e agentes têm zero ferramentas MCP para gravar ignorados.

## 6. Salvaguarda Fixa Antiviolação, Integridade dos Testes e Restauração

* **Por que a Salvaguarda importa**: As verificações integradas são compiladas no binário nativo e **Safeguard** sela testes do usuário, scripts descobertos/personalizados, Ações, Rotinas e Alertas (`[LOCKED]` / `Somente leitura e execução` via `matlock_run_action` / `matlock_run_sequence`, enquanto cartões `[MODIFIABLE]` enviam diffs de script feitos pelo agente ao **Envelope** para revisão).
* **Reversão Determinística ao Original e Alerta no Envelope**: Se um agente de IA ou ferramenta externa modificar sem autorização um teste ou script Salvaguardado, o Matlock restaura de modo determinístico o arquivo original selado (salvando cópia de desfazer fora do repositório), pulsa o **Envelope** superior com `[Matlock Alert] Critical test altered: <test_name>` e bloqueia execuções headless (`exit 65`).
* **Integridade dos Testes e Restauração Aprovada por Você**: Testes apagados, pulados ou enfraquecidos geram **registros persistentes de testes removidos** que seguram **Ready to push** até que uma pessoa marque **OK, I did this**, **Suspicious** ou use **Settings -> Safeguard & Restore -> Allow Matlock to restore tests** (prévia diff + cópia undo). **Sync across my computers** (Pro) grava arquivos `<computer-id>.matlock-sync` selados por frase-senha (`0` código-fonte, `0` rede).

## 7. Barras Horizontais de Pontuação, Cobertura e Padrão de Modularidade

* **Pontuação Numérica e Barras Horizontais**: Exibe **`XX.X / 100.0`** (`--` antes da primeira execução) ao lado das barras horizontais de **Pontuação de Saúde** e **Cobertura Lógica Real**, contando lógica de produção não testada e excluindo código gerado. Falhas de compilação, dependências ou testes limitam a nota abaixo da faixa pronta para entrega; **`Format`** é apenas informativo (`0` desconto).
* **Seletor de Modularidade Exclusivo para Pessoas (`CWE-1080` / `CWE-1120`)**: Defina em **`File size bar`** na coluna esquerda ou **`Settings -> Project & Runner`** (`*Based on Grade C standard. Adjust in settings`, selado no SO, `0` arquivos no repo, `0` escrita MCP): **`Grade A (<= 60 / <= 25 fn)`**, **`Grade B (<= 100 / <= 40 fn)`**, **`Grade C (<= 250 / <= 80 fn)` [Padrão]**, **`Grade D (<= 500 / <= 120 fn)`** ou **`Minimum (<= 1000 / <= 250 fn)`**.
* **Veredito `Ready to push`**: Exige pontuação pronta para entrega com `0` achados Críticos, compilação e testes aprovados, `0` registros de testes removidos abertos e cobertura não provisória.

## 8. Configurações em Duas Colunas e Recuperação de Estado Selado

Clique em **`Settings`** no canto superior direito para abrir o diálogo em 2 colunas (coluna esquerda com 6 categorias + controles diretos à direita; cada cabeçalho traz um botão **`?`** que abre a seção correspondente do Manual):
1. **`Appearance`**: **Idioma** (9 idiomas + idioma do texto copiado), **Tema** (`System Default`, `Light`, `Dark Slate`), atalho na área de trabalho e **Minimize to System Tray when closed** no Windows.
2. **`Project & Runner`**: **Seletor de Modularidade** (`Grade A..Minimum`), **`Open folder`** do perfil local (pasta privada do perfil de usuário), **Restaurar faixa de configuração inicial** (`Restore starter setup banner`, reabre `Set up for me`), **`Keep Quick Run history`** e **`Reset Ignore Registry`**.
3. **`Safeguard & Restore`**: **`Allow Matlock to restore tests`**, reversão automática de Salvaguarda exclusiva para pessoas e **`Sync across my computers`** (sincronização selada por pasta).
4. **`Email Alerts`** (`matlock://settings/alerts`): Estação local de alertas **`email_smtp`** e **`custom_script`** + **`Test Email`**.
5. **`AI Agent (MCP)`**: Chave **`MCP Server (stdio)`** (desativada por padrão), ponte bidirecional **`"Sincronizar com Headless"`** (`"Sync with Headless"` em 1 clique para carregar cartões/sequências do agente e publicar instruções permanentes com `0` polling em segundo plano), **`Test MCP Connection`**, **`Copy MCP Config & Agent Instructions`**, **`Copy a question for my phone AI`** e **`Agent Email Bridge`**.
6. **`License & Updates`**: **`Activate`** da chave de 24 caracteres / **`Move license to this device`**, **`Automatically check for updates`** (`MATLOCK_OFFLINE=1` bloqueia toda rede de saída), **`Send anonymous crash diagnostics`** (desativado por padrão; `MATLOCK_NO_TELEMETRY=1`), **`Copy diagnostic info`**, **`Free up memory`**, **`Share Matlock`**, **`Contact us`** (`dutch@dutchp2p.com`) e **`Dutch P2P Tools`**.
* **Recuperação de Estado Selado (`Reset Ignore Registry`)**: Se edições externas acionarem `integrity_seal:MUTE_SEAL_TAMPERED` ou `storage_recovery:BAK_AUTO_RESTORE`, abra **`Settings -> Project & Runner -> Storage & backup -> Reset Ignore Registry`**.

## 9. Conexão de Agentes de IA (MCP no Desktop e Guia para Celular/Chat)

* **Como conectar via `stdio` local e `"Sincronizar com Headless"` (`0` Portas Abertas)**: Abra **`Settings -> AI Agent (MCP)`**, ative **`MCP Server (stdio)`**, clique em **`Copy MCP Config & Agent Instructions`** (ou **`Copy MCP Guide for Agent`** dentro de `?`) e clique em **`"Sincronizar com Headless"`** (`"Sync with Headless"` nas Configurações ou na Coluna Esquerda) para sincronizar cartões do agente e instruções permanentes nos dois sentidos:

```json
{
  "mcpServers": {
    "matlock": {
      "command": "matlock.exe",
      "args": ["mcp", "--stdio"]
    }
  }
}
```

* **Suporte Universal a Clientes, Launchers e Chats**: Inicie sem configuração via `npx -y @dutchp2p/matlock-mcp` ou `uvx matlock-mcp`; funciona com `VS Code, Cursor, Claude Code/Desktop, Antigravity, Gemini CLI, Copilot, Codex, Windsurf, JetBrains/Junie, Trae, Lingma, MarsCode, CodeGeeX, Baidu Comate, Tencent CodeBuddy, Zed, Cline, Roo Code, Continue, Aider, Goose, OpenHands, Devin, Replit Agent, Sourcegraph Amp`, Kimi, Qwen, DeepSeek, Doubao, MiniMax e agentes locais `Ollama/vLLM/SGLang/LM Studio`. Agentes conectados chamam `matlock_read_appliance_manual(section_id, locale)` a `0` créditos (9 idiomas), ou cole [https://matlock.dutchp2p.com/pt/manual.md](https://matlock.dutchp2p.com/pt/manual.md) / [https://matlock.dutchp2p.com/llms.txt](https://matlock.dutchp2p.com/llms.txt) em qualquer chat de celular ou navegador. Para instruções de compatibilidade atualizadas com novos IDEs, harnesses de agentes e plataformas de contêineres, acesse [https://matlock.dutchp2p.com/pt/docs.html](https://matlock.dutchp2p.com/pt/docs.html).

## 10. Referência de Padrões Integrados (10 Ecossistemas + Pre-CI)

Cada verificação integrada é compilada no Matlock e ancorada aos controles técnicos de **MITRE CWE**, **CISA SSDF (`NIST SP 800-218`)**, **IEEE Std 1003.1 POSIX**, **portões Pre-CI** e **AICPA SOC 2 Trust Services Criteria**:

| Ecossistema e Domínio | O Que o Matlock Inspeciona e Falhas de Produção Evitadas |
| :--- | :--- |
| **Núcleo Poliglota e Dart / Flutter** | Blocos catch silenciosos (`CWE-391`), riscos null/limites (`CWE-476`/`CWE-125`), corridas async sem await, vazamentos de streams/timers/controladores (`CWE-401`), loops infinitos (`CWE-835`), segredos fixos (`CWE-798`), segredos em logs (`CWE-532`), desativação da verificação de certificados TLS em HTTP/SMTP/CLI/CI (`CWE-295` / `[MITRE T1557]`), SQLi (`CWE-89`), SSRF (`CWE-918`), XXE (`CWE-611`), JWT sem assinatura (`CWE-347`), redirecionamentos abertos (`CWE-601`), falta de timeouts, gravações não atômicas, travessia de caminho (`CWE-22`) e testes vazios (`CWE-362`). |
| **Java** (`.java`) | Chaves embutidas (`CWE-798`), injeção de comandos/SQL (`CWE-78`/`CWE-89`), desserialização insegura (`CWE-502`), cifras fracas (`CWE-327`), exceções engolidas (`CWE-391`), vazamento de JDBC/streams (`CWE-404`), bugs `==` em strings, `System.exit` abrupto e sleeps em loop. |
| **Python** (`.py`) | Segredos fixos (`CWE-798`), injeção shell/SQL (`CWE-78`/`CWE-89`), cargas inseguras `pickle`/`yaml` (`CWE-502`), hashes fracos (`CWE-328`), `except` vazio (`CWE-391`), argumentos padrão mutáveis, descritores abertos (`CWE-775`), chamadas síncronas em `async def` e testes vazios. |
| **Rust** (`.rs`) | Segredos embutidos (`CWE-798`), strings shell/SQL formatadas (`CWE-78`/`CWE-89`), conversões `unsafe` sem guarda, TLS desativado (`CWE-295`), pânicos `.unwrap()`/`todo!()` em produção, sleeps bloqueantes em async, vazamentos intencionais (`CWE-401`), `Result` descartados e testes vazios. |
| **Go** (`.go`) | Tokens fixos (`CWE-798`), exec/SQL concatenados (`CWE-78`/`CWE-89`), `InsecureSkipVerify` (`CWE-295`), RNG fraco (`CWE-330`), erros ignorados (`CWE-252`), vazamentos `defer` em loop e contextos não cancelados (`CWE-404`), clientes HTTP sem timeout, `panic` em produção e testes vazios. |
| **TypeScript e JavaScript** (`.ts`, `.tsx`, `.js`, `.jsx`) | Segredos expostos (`CWE-798`), sumidouros DOM XSS / `eval` (`CWE-79`/`CWE-95`), interpolação shell (`CWE-78`), poluição de protótipo (`CWE-1321`), `.catch()` vazio (`CWE-391`), supressões de tipo, bugs `NaN`, bloqueios de E/S síncrona, sobras `debugger` e vazamento de listeners/timers (`CWE-401`). |
| **C e C++** (`.c`, `.cpp`, `.cc`, `.h`, `.hpp`) | Segredos fixos (`CWE-798`), cópias FFI/buffer sem limite (`CWE-787`/`CWE-120`), strings de formato (`CWE-134`), injeção `system()` (`CWE-78`), `new[]`/`delete` incompatíveis (`CWE-762`), use-after-free (`CWE-416`), destrutores que lançam exceção, `memset` em tipos não triviais e threads sem `join`. |
| **Kotlin e Android** (`.kt`, `.kts`) | Segredos fixos (`CWE-798`), concatenação SQL (`CWE-89`), pontes WebView inseguras, TLS ignorado (`CWE-295`), preferências legíveis globalmente (`CWE-276`), corrotinas `GlobalScope` vazadas (`CWE-401`), travamentos na thread principal, falhas `!!`, `CancellationException` engolida e cabeçalhos ZIP/APK inválidos (`CWE-190`). |
| **C# e .NET** (`.cs`) | Recursos `IDisposable` não liberados (`CWE-404`), falhas `async void`, strings SQL/comandos sem parâmetros (`CWE-89`/`CWE-78`), validação de certificado TLS desativada (`CWE-295`), exceções engolidas (`CWE-391`), deadlocks síncronos `.Result`/`.Wait()` e testes vazios. |
| **SQL e Motores de Armazenamento** (`.sql`) | Permissões curinga (`CWE-250`), SQL dinâmico concatenado (`CWE-89`), senhas em texto puro em DDL (`CWE-256`), escape para comandos do SO (`CWE-78`), RLS desativado, `DELETE`/`UPDATE` sem cláusula `WHERE`, migrações não idempotentes, paginação `OFFSET` profunda e bloqueios de tabela sem guarda. |
| **Pre-CI Multiplataforma, Bash/Shell (`.sh`), PowerShell (`.ps1`), `Dockerfile` e GitHub Actions YAML** | Colisões de maiúsculas/minúsculas (`POSIX.1`), shebangs `CRLF`, armadilhas de portabilidade Bash/POSIX e erros `$ErrorActionPreference` / `LASTEXITCODE` no PowerShell, tags `Dockerfile` não fixadas e contêineres como root, estouro de orçamento HTML/ativos, armadilhas `.cmd`/`.bat` no Windows, descritores vazados (`CWE-775`), separadores de caminho fixos, imports não rastreados, desvio de lockfiles, permissões abertas em GitHub Actions YAML, injeção em workflows e perda de bits `+x`. |
| **Modularidade e Verificações Personalizadas** | **Seletor de Modularidade** exclusivo para pessoas (`Grade A <= 60` até `Minimum <= 1000`, padrão `Grade C <= 250` arquivo / `<= 80` fn; `CWE-1080` / `CWE-1120`) mais verificações de padrão e script salvas no perfil do SO. |

## 11. Licença Workstation Pro, Prévia Web e Varredura Gratuita

* **Workstation Pro Ilimitado (aprox. R$ 140\* ($24.99 USD/ano), Zero Contas)**: Desbloqueia a Central de Comando Desktop completa (`1` computador ativo, máx. `1` mudança de hardware/ano via **`Move license to this device`**) mais execuções MCP locais e headless ilimitadas a `$0.00/pass` por um ano inteiro. Clique em **`Upgrade`** no Desktop (ou acesse [https://matlock.dutchp2p.com/pt/pricing](https://matlock.dutchp2p.com/pt/pricing)) para pagar por **Cartão** (ou **Stablecoin USD / PayPal** instantâneo em `Solana USDC`, `PayPal PYUSD`, `Base USDC` e `Polygon USDC`, ou por cartão via MoonPay e Transak), copie sua **chave de 24 caracteres** + `/receipt/<id>` e ative em **`Settings -> License & Updates`**. O Desktop Gratuito inclui **`Matlock`**, `CI Code Health Report` (com cortesia para segredos), `File size bar`, `Notes` e restauração de `Ignored`; o Pro libera Ações, Favoritos com Estrela, Rotinas, comandos Machine, Quick Run (`Ctrl+K`), `Ignore` de olho cortado e coordenadas `file:line:col` exatas.
* **Central de Comando Web e Varredura Gratuita**: [https://matlock.dutchp2p.com/pt/#wasm-instant-audit](https://matlock.dutchp2p.com/pt/#wasm-instant-audit) audita pastas locais (`0` chamadas de rede) ou URLs públicas opcionais de repositórios GitHub (obtidas diretamente entre seu navegador e `api.github.com` / `raw.githubusercontent.com`, `0` bytes pelos servidores da Dutch P2P; preços Markdown em `/pt/pricing.md`) na RAM do navegador com **Diagnostic Service Order** imprimível. [https://matlock.dutchp2p.com/pt/app](https://matlock.dutchp2p.com/pt/app) apresenta o layout Dia/Noite, barras horizontais de pontuação/cobertura, botão único **`Matlock`**, barra **CLI do Terminal** acoplada (`Executar` / `Salvar cartão` / `Encadear / Alerta`), **`Copy this card as a script`** e **`Paste output from your run` -> `Color it`** (`Only in the desktop app` identifica controles nativos).

## 12. Linux, GoogleBook, Atualizações, Privacidade e Suporte

* **Instalação no GoogleBook e Linux**: No **GoogleBook**, ative **Configurações -> Desenvolvedores -> Ambiente de desenvolvimento Linux**, instale `matlock-linux-x64.deb` e mantenha os repositórios ativos em `Arquivos do Linux` (`$HOME` `ext4`) para velocidade total. No **Linux**, instale `.deb` (`sudo apt install ./matlock-linux-x64.deb`) ou rode `chmod +x matlock-linux-x64.AppImage` (`--appimage-extract-and-run` funciona sem `libfuse2`).
* **Parada de Processos, Atualizações e Desinstalação**: **`Stop`** (`Ctrl+.` / `Esc`) encerra toda a árvore de processos do SO (`0` zumbis) e libera bloqueios de suspensão (mantenha a tampa aberta em rotinas longas). O Windows atualiza pela Microsoft Store e o `AppImage` verifica `SHA-256` atomicamente, preservando 100% do estado local. Desinstale via **Aplicativos instalados** / `apt remove matlock` / apagando o `AppImage`. Suporte: **`dutch@dutchp2p.com`**.

---

## Parte II: Especificação Operacional para Máquinas e Agentes Autônomos

### A. Pontos de Entrada e Transporte do Agente
* **Transporte**: JSON-RPC 2.0 via `stdio` local (`0` portas TCP/UDP abertas, `0` sockets HTTP em localhost).
* **CLI Complementar de Desktop**: `matlock.exe mcp --stdio` (Windows) · `matlock mcp --stdio` ou `/path/to/matlock-linux-x64.AppImage mcp --stdio` (Linux e GoogleBook).
* **Motor Headless sem Tela, `setup` de Contêiner em 2 Linhas e Convite Proativo de Alertas**: `npx -y @dutchp2p/matlock-mcp`, `uvx matlock-mcp`, hook `setup` de contêiner em 2 linhas (`agent-install.sh` + `matlock-mcp toolbag --json`) (para **Cloudflare `ContainerHarness` / `Codex` `cloudflare/debian-trixie`**, Docker, E2B e Firecracker) ou `matlock-mcp --stdio --headless --no-coverage` em Linux `x64`, Windows `x64` e macOS `arm64` ([https://matlock.dutchp2p.com/pt/agents](https://matlock.dutchp2p.com/pt/agents) · compatibilidade atualizada com IDEs e contêineres: [https://matlock.dutchp2p.com/pt/docs.html](https://matlock.dutchp2p.com/pt/docs.html); expõe anotações `readOnlyHint: true` e `prompts/list`: `matlock-verify-before-push`, `matlock-fix-top-findings`, `matlock-setup-action-chain`). Na primeira sessão `--headless` provisionada sem alerta de e-mail configurado, o Matlock emite uma dica única não bloqueante para que o agente pergunte uma só vez ao usuário se deseja configurar alertas de conclusão/erro via `matlock_set_alert` (chaveiro do SO ou cofre local de contêiner selado por frase-senha via `MATLOCK_VAULT_PASSPHRASE`), nunca repetindo após resposta ou dispensa:

```json
{
  "mcpServers": {
    "matlock": {
      "command": "matlock-mcp",
      "args": ["--stdio", "--headless", "--no-coverage"]
    }
  }
}
```

### B. Medição, Acesso M2M em Enxame e Desbloqueio Pro
* **Zero Passes Gratuitos Desbloqueados e Prova de Valor `HTTP 402` em `< 50ms`**: Chamar `Index 0` `matlock_run_scan(target_path)` sem saldo roda localmente em `< 50ms` (`$0.00`, `0` envios à nuvem, `0` bloqueio de commits) e retorna Pontuação de Saúde `0.0–100.0`, contagens por severidade, CWE/categorias violadas, tags `MITRE ATT&CK` `T*` e economia `ast_token_savings` ao vivo (`0` nomes de arquivo, `0` linha/coluna, `0` patches diff). Após cada débito pago de `1` crédito no mesmo projeto, até **`3` reverificações delta `changed_only: true` em `10` minutos** rodam sem custo extra.
* **Desbloqueio Simples em Duas Vias**: **Via A (Carteira Própria do Agente)** — desbloqueie o acesso medido M2M para enxames de agentes autônomos em **Solana USDC**, **Solana PYUSD**, **Base USDC** ou **Polygon USDC** via `matlock_run_scan(target_path, transaction_signature)` ou `matlock_purchase_license(transaction_signature)` (consulte o **Catálogo de Agentes MCP** em `https://matlock.dutchp2p.com/pt/agents` e `/agents.md` para ferramentas headless e preços de enxame). **Via B (Ponte de Pagamento Humana)** — compartilhe a URL de transferência de checkout retornada por `402` (`/pt/pricing.md`) para que o desenvolvedor ative o **Workstation Pro Ilimitado por aprox. R$ 140\* ($24.99 USD/ano)** (`matlock_purchase_license(license_key)` ou `matlock-mcp activate <KEY>` para passes ilimitados a `$0.00/pass`). A CLI headless sai com `77` (`EX_NOPERM`) em `402` e `65` (`EX_DATAERR`) em violação de Salvaguarda/selo.

### C. Catálogo Completo de 27 Ferramentas MCP Locais
1. **`matlock_run_scan(target_path?, changed_only?, dedup_by_rule?, if_none_match?, agent_id?, rule_id?, category?, pillar?, file_filter?, include_generated?, compact?, cursor?, rule_code?, transaction_signature?)`**: `Index 0` (`readOnlyHint: true`) varredura AST, CWE, POSIX e Pre-CI em `< 50ms` com `file:line:col` (`col >= 1`), `cwe`, `mitre_attack` e prescrições diff de 5 linhas (também suporta CLI `matlock-mcp scan . --format=sarif` em `SARIF 2.1.0`).
2. **`matlock_describe_project(target_path?, mode?)`**: Perfil opcional do projeto (`0` créditos, `readOnlyHint: true`); passe **`mode: "tool_bag"`** (ou CLI **`matlock-mcp toolbag [--json]`**) para um inventário progressivo de `~350–550` tokens com cartões `[LOCKED]` (somente execução) vs. `[MODIFIABLE]` (refináveis), sequências, selos `[NEW]` / `[UPDATED]`, marcas `[UNAVAILABLE IN CONTAINER]`, instruções permanentes e prontidão de alertas.
3. **`matlock_get_scan_results(target_path?, cursor?, pillar?, rule_code?)`**: Achados paginados (`25`/página; Desktop oculta linhas Salvaguardadas até desbloquear; `--headless` com Tanque de Gás libera coordenadas).
4. **`matlock_qualify_test(file | files, target_path?, dry_run?, baseline_only?, wait_if_busy?, max_wait_seconds?)`**: Verifica 1–5 arquivos de teste (`test_file` / `test_files`) em 3 portões (execução aprovada com `>= 1` asserção, `0` avisos do analisador + teto LOC, `0` achados Matlock) antes de selar na Salvaguarda, ou sela linha de base (`baseline_only: true`).
5. **`matlock_get_test_integrity(target_path?, reverify?, include_archive?, id?, include_text?, note_for_id?, note?)`**: Inspeciona registros de integridade de testes removidos e anexa notas explicativas do agente (`0` permissão de dispensa).
6. **`matlock_get_history(target_path?, limit?)`**: Histórico somente leitura de notas e correções.
7. **`matlock_read_appliance_manual(section_id?, standard_id?, query?, locale?)`**: Manual offline (9 idiomas) e consulta CWE/POSIX/SSDF/SOC2/resultados (`0` créditos, `0` rede).
8. **`matlock_list_custom_tests`**: Lista verificações personalizadas definidas pelo usuário.
9. **`matlock_register_custom_test`**: Salva uma verificação personalizada de padrão ou script.
10. **`matlock_delete_custom_test`**: Exclui uma verificação personalizada desbloqueada (as integradas são imutáveis).
11. **`matlock_list_actions`**: Lista cartões de ação (com `favorite`/bloqueio/aprovação) mais `recommendedTemplates` não configurados (`unconfiguredTemplate: true`).
12. **`matlock_register_action(id, command, name?, favorite?)`**: Programa ou atualiza qualquer Ação desbloqueada ou modelo inicial (`tpl_github`, `tpl_save_drive`, `tpl_cloud_sync`, `tpl_save_backup`, `tpl_defrag_optimize`, `tpl_shut_down`), limpa `unconfiguredTemplate`, fixa/remove Favoritos (`favorite: true | false`) e exige **Require Approval** no Desktop.
13. **`matlock_register_sealed_script`**: Sela comandos de build/test (**Locked by User**) contra subagentes.
14. **`matlock_run_action(id, working_dir?, async?, send_alert?, cold_box?)`**: Executa um comando sob contenção de árvore de processos do SO (`async: true` não bloqueante, `send_alert`, cartões USB `robocopy`/`rsync`, nuvem R2/S3/GCS/Azure e `git push` personalizados; `0` `git push` embutido nos testes do `Matlock`).
15. **`matlock_get_action_status(id?)`**: Consulta status ao vivo, código de saída e cápsulas compactas de execuções `async: true`.
16. **`matlock_stop_action(id?, stop_sequence?)`**: Encerra imediatamente uma árvore de processos ativa (`stop_sequence: true` interrompe toda a sequência ativa).
17. **`matlock_delete_action`**: Exclui um cartão de ação desbloqueado.
18. **`matlock_list_sequences`**: Lista rotinas de várias etapas.
19. **`matlock_register_sequence(id, name?, step_ids?, commands?, insert_step_id?, insert_command?, insert_step_name?, insert_at_index?, remove_step_index?, failure_policy?, always_run?, favorite?)`**: Compõe ou edita em série uma Sequência desbloqueada, inserindo qualquer Ação ou `alert::<id>` no índice exato `insert_at_index` (base `0`) com `failure_policy` (`"stop" | "stop_and_alert" | "continue_and_alert"`), `always_run` e `favorite: true | false`.
20. **`matlock_run_sequence(id, file?, async?, send_alert?, cold_box?, deep?, include_coverage?)`**: Executa `seq_matlock` ou `seq_fast_verify` (`file` para um único arquivo de teste, `async: true` para execução em segundo plano com despertar automático, `send_alert` para notificações; `cold_box: false` padrão para velocidade; `cold_box: true` antes de salvamento externo, nuvem, backup, push ou compilação, retornando em `< 15ms` quando já verificado; `deep: true` força limpeza completa e recalibração de cobertura).
21. **`matlock_delete_sequence`**: Exclui uma rotina desbloqueada.
22. **`matlock_list_alerts`**: Lista canais de alerta locais (segredos mascarados).
23. **`matlock_set_alert`**: Configura alertas `email_smtp` somente de saída em Native Dart TLS 1.2/1.3 (predefinições globais, chaveiro do SO ou cofre local de contêiner selado por frase-senha) ou `custom_script`.
24. **`matlock_trigger_alert(id, status, task_completed, uncovered_issues, next_move)`**: Dispara notificação local com as 3 perguntas obrigatórias de encerramento.
25. **`matlock_delete_alert`**: Exclui um cartão de alerta desbloqueado.
26. **`matlock_purchase_license(transaction_signature?, license_key?, target_path?, network?, runs?, lid?)`**: Liquida créditos medidos para enxames de agentes autônomos (ver `/pt/agents`) ou ativa uma `license_key` Pro de 24 caracteres de aprox. R$ 140\* ($24.99 USD/ano).
27. **`matlock_report_issue(category, subject, description, tool_context?, output_dump?)`**: Relatório assíncrono higienizado de feedback/sugestão (`0` créditos, `CONTINUE_IMMEDIATELY`).

### D. Sandbox Cold Box de Fronteira, Governador de 3 Loops e Encerramento
* **`cold_box: true` Somente na Fronteira (`OFF` por Padrão)**: `matlock_run_sequence` usa `cold_box: false` por padrão para iteração rápida no local (`0` afinidade fixa de CPU). Passe `cold_box: true` (`id: "seq_matlock"`) imediatamente antes de git push externo, salvamento em nuvem, backup removível ou compilação de lançamento para verificar em uma cópia estéril `$TEMP` (`CI=true`, `stdin` fechado, auditoria `CWE-775` de handles/órfãos).
* **Disjuntor de Loops em 2 Níveis e 3 Perguntas Obrigatórias**: O Nível 1 limita em **3** as tentativas travadas por regra/arquivo retornando **`STOP_IMMEDIATELY`** (meta única) ou **`SKIP_AND_MOVE_ON`** (sprint multiarquivo); o Nível 2 interrompe a sessão quando **2** áreas puladas distintas travam, retornando **`HALT_FOR_REPLACEMENT`** (`loopGovernorDirective: "STOP_AND_ALERT_USER"`) e gravando um `session_handoff.json` sem segredos em `< 200` tokens apontando um novo agente substituto para `agents.md` e a meta ativa (`agent_id` / `MATLOCK_AGENT_ID` isola contadores paralelos). Ao chamar `matlock_trigger_alert`, o agente deve preencher **`task_completed`**, **`uncovered_issues`** (nunca `"None"`) e **`next_move`**.

### E. Especificação Legível por Máquina para Agentes de IA (YAML)

```yaml
product: "Matlock — Agent & Developer Tools. (Efficient. Exact. By the book.)"
pinned_version: "v1.0.0+1"
web_command_center: "https://matlock.dutchp2p.com/pt/app"
free_local_scan: "https://matlock.dutchp2p.com/pt/#wasm-instant-audit"
docs_hub: "https://matlock.dutchp2p.com/pt/docs"
online_manual: "https://matlock.dutchp2p.com/pt/manual"
public_repository: "https://github.com/Dutchp2p/matlock-public"
online_operational_map: "https://matlock.dutchp2p.com/llms.txt"
mcp_resource_uri: "matlock://help/appliance-manual"
mcp_stdio_command: "npx -y @dutchp2p/matlock-mcp | uvx matlock-mcp | matlock.exe mcp --stdio (Windows) | matlock mcp --stdio (.deb) or /path/to/matlock-linux-x64.AppImage mcp --stdio (Linux & GoogleBook) | matlock-mcp --stdio --headless --no-coverage (Linux x64, Windows x64 & macOS arm64)"
network_ports: 0
git_hooks_installed: 0
builtin_git_push_in_test_runs: false
custom_push_deploy_actions_allowed: true
mcp_tools_count: 27
primary_pipeline:
  card: "Matlock"
  sequence_id: "seq_matlock"
  entry_tool_index_0: "matlock_run_scan"
  badge_svg_url: "https://matlock.dutchp2p.com/badge/verified.svg"
  stages: "Clean -> Get -> Format -> Lint -> Analyze/Compile -> Test -> Coverage (depth 0..2)"
  cold_box_default: false
  cold_box_boundary_triggers: ["before external git push", "before cloud-drive save", "before removable backup", "before release compile"]
modularity_tuning_dial:
  person_only_sealed_os_settings: true
  default_tier: "Grade C (<= 250 / <= 80 fn)"
  tiers: ["Grade A (<= 60 / <= 25 fn)", "Grade B (<= 100 / <= 40 fn)", "Grade C (<= 250 / <= 80 fn)", "Grade D (<= 500 / <= 120 fn)", "Minimum (<= 1000 / <= 250 fn)"]
ignore_scopes_5: ["file:line:code", "file:code", "*:code", "file", "folder/"]
lock_governance:
  safeguarded: "Read & Run Only (auto-reverts unauthorized edits + Envelope tamper alert)"
  unlocked: "AI agent can modify (Read, Write, Modify & Run)"
os_storage:
  scope: "private_user_profile_outside_repo"
  env_override: "MATLOCK_STATE_DIR"
```

### F. Princípios Operacionais do Agente e Limites de Execução
* **Princípio 1 (Zero Enfraquecimento ou Supressão de Testes)**: Nunca apague testes, afrouxe asserções nem injete supressões inline (`// ignore:`, `/* nolint */`, `# noqa`, `@ts-ignore`); isso gera registros de integridade de testes removidos, reverte arquivos Salvaguardados e interrompe execuções headless (`exit 65`).
* **Princípio 2 (Imutabilidade da Salvaguarda e Separação entre Testes e Push)**: Itens **Safeguarded** são somente leitura e execução, o Matlock nunca instala `.git/hooks/*` e o `Matlock` (`seq_matlock`) nunca confirma nem envia código durante execuções de teste (usuários e agentes MCP podem registrar livremente cartões e cadeias personalizadas de `git push` ou deploy em nuvem).
* **Princípio 3 (Cold Box de Fronteira e Proveniência em PR)**: Mantenha `cold_box: false` durante sprints rápidos de código, rode `matlock_run_sequence(id: "seq_matlock", cold_box: true)` antes de push/nuvem/backup/compilação, pare diante de `STOP_IMMEDIATELY` / `HALT_FOR_REPLACEMENT` (`STOP_AND_ALERT_USER`) e inclua o `pr_verification_badge` somente de logotipo (`https://matlock.dutchp2p.com/badge/verified.svg`) nas descrições de Pull Request quando `verdict == "PASSED"`.