ADR de Supply-Chain Seguro: Governança Zero-Trust de Dependências + Runbook de Resposta a Pacotes Envenenados (npm/ecossistemas)

Um pacote completo de 5 arquivos complementares para levar um agente de IA a produzir ADRs (Architecture Decision Records) e runbooks de supply-chain security com precisão de nível sênior. Isto NÃO é um prompt solto: é um kit de engenharia com prompt principal reutilizável, guardrails explícitos, contexto de domínio com exemplos few-shot reais, checklists de autoverificação e templates de variação — tudo pensado para gerar artefatos prontos para commit e revisão pelo time de arquitetura.

O gatilho: um incidente real de supply chain (como o worm do pacote keyv no npm, ago/2026) em que centenas de dependências foram envenenadas e hooks maliciosos de VS Code/Claude Code foram instalados em máquinas de desenvolvedores. Este kit transforma esse tipo de alerta em governança concreta e rastreável.

O que você recebe em cada arquivo:

• 01-prompt-principal.md: o prompt reusável que define papel/persona do agente (arquiteto de software sênior especialista em segurança), objetivo, formato de saída exigido com schema exato (frontmatter YAML + seções estruturais) e o passo a passo de raciocínio que o agente deve seguir para derivar decisões, consequências, alternativas e critérios de aceite.
• 02-regras-e-restricoes.md: guardrails numerados, imperativos e sem ambiguidade — o que o agente NUNCA deve fazer (não inventar CVE, não sugerir proibição genérica não aplicável, não omitir trade-offs), como tratar informação faltante/ambígua e o formato de erro estruturado quando não for possível cumprir a tarefa.
• 03-contexto-e-exemplos.md: glossário de domínio (proveniência, SBOM, lockfile, integrity hash, hook, registry mirror, allowlist), premissas de ambiente, e 2 exemplos completos de entrada -> saída esperada, incluindo um caso de borda difícil (pendência ambígua / lockfile ausente).
• 04-harness-de-verificacao.md: checklist que o agente roda ANTES de entregar (a saída bate com o schema? cada requisito endereçado? há alucinação?) + critérios objetivos de aceite que VOCÊ, comprador, usa para validar o resultado (ex.: decido se o ADR está correto, rastreável e acionável).
• 05-templates-e-variacoes.md: variações prontas para outros ecossistemas (PyPI/pip, Maven/Gradle, Docker OCI) e formatos (versão curta para wiki, versão executiva, adaptação para runbook de incidente).

Use este kit para: gerar um ADR de adoção de postura zero-trust de dependências, redigir um runbook de resposta imediata a pacote envenenado, auditar a política de supply-chain de uma base existente, ou documentar a decisão de adotar registry mirror/SBOM/assinatura de artefatos. Cada uso produz um entregável de engenharia, com schema fixo, pronto para revisão e commit. Sem imagem de capa porque o valor está no conteúdo: exemplos bons, guardrails que evitam alucinação e critérios que medem qualitativamente o retorno do modelo.