Endurecimento da Cadeia de Suprimentos de Software: ADR de Segurança + Runbook de Incidente de Dependência (5 arquivos)

Este é um PACOTE MULTI-ARQUIVO completo para arquitetos de software e engenheiros de plataforma que precisam proteger a cadeia de suprimentos de software contra typosquatting, contas de mantenedor comprometidas, backdoors em dependências (padrão XZ-utils e campanhas de estados-nação) e artefatos forjados. Não é um prompt solto — são 5 arquivos complementares que formam um sistema de engenharia de prompt profissional para levar um LLM a produzir decisões de arquitetura de segurança com precisão comparável a um humano especialista.

O pacote inclui:

• Prompt principal reutilizável com papel de persona (Security Architect sênior), objetivo claro, formato de saída estruturado (schema fixo de ADR com 7 seções) e passo a passo de raciocínio (Chain-of-Thought) que mapeia ameaças aos controles certos em cada estágio do pipeline: fontes/dependências → build → registro → runtime.
• Regras e restrições explícitas (guardrails): 10 regras proibitivas numeradas, casos de borda (sistema legado, air-gap, multi-ambiente), protocolo de informação faltante e formato de erro quando a tarefa não puder ser cumprida.
• Contexto de domínio e exemplos few-shot: glossário técnico (SBOM, SLSA, Sigstore, pinning, provenance, mirror, admission gate) + 2 exemplos completos de input real → output esperado, incluindo um caso de borda difícil de stack legado bancário air-gapped.
• Harness de verificação: checklist de autoverificação em 7 pontos que o modelo roda antes de entregar, e critérios objetivos de aceite (C1-C8) que o comprador usa para validar as saídas.
• Template de variação: versão RUNBOOK para resposta a incidente de dependência comprometida (Contenção → Avaliação → Erradicação → Recuperação → Post-mortem) e versão compacta de triagem rápida.

• 2 diagramas SVG ilustrativos da cadeia de ataque e dos controles de defesa em profundidade.

Para quem é: arquitetos de software, engenheiros de plataforma e devops, engenheiros de segurança, e times implantando CI/CD seguro, SLSA, Sigstore/cosign, SBOM e políticas de deploy.

Aplicações diretas:

• Escrever ADRs de segurança para adoção de controles de supply chain (SLSA, Sigstore, SBOM, mirroring)