Kit Crypto-Agility: ADR + roteiro para aposentar criptografia legada (chaves RSA fracas, SHA-1, TLS antigo) — pacote de 6 arquivos com harness de verificação

Esse NÃO é um prompt solto: é um pacote de 6 arquivos complementares que leva um LLM a produzir um ADR de Crypto-Agility consolidado + roteiro de migração com ~99% de precisão — o mesmo padrão que engenheiros de segurança e de IA senior usam para transformar "o que fazer com nossa criptografia legada?" numa decisão de arquitetura auditável.

O gatilho (07/09/2026): alguém fatorou as chaves RSA de 512 bits de duas CAs raiz distribuídas no Netscape 4.51 (1999) em MENOS DE 60 HORAS num desktop comum; dias antes, a RSA-260 (862 bits) foi fatorada — o recorde mundial. Chaves que "estavam aposentadas" voltaram a morder. É o argumento perfeito para aposentar criptografia fraca antes que vire incidente.

O que você recebe (cada arquivo é uma camada do sistema de precisão):

1. 01-prompt-principal.md — o prompt reusável: persona de Security Architect sênior, objetivo, schema exato de saída (bloco JSON crypto_agility_decision com 6 seções + ADR em Markdown) e o passo a passo de raciocínio de 8 etapas que o modelo DEVE seguir.
2. 02-regras-e-restricoes.md — 17 regras imperativas numeradas (jamais inventar inventário; distinguir "chave fraca" de "chave comprometida"; escopo; formas), 4 casos de borda conhecidos e o formato de erro padrão quando a tarefa não puder ser cumprida.
3. 03-contexto-e-exemplos.md — glossário de domínio (crypto-agility, RSA-155/RSA-260, WEB PKI, SHA-1/TLS, HSM/KMS, export-grade, CSPRNG), premissas padrão e 3 exemplos few-shot input→output, incluindo um caso difícil (chave de 512-bit ainda em produção e sem inventário — como NÃO alucinar).
4. 04-harness-de-verificacao.md — checklist de autoverificação de 10 itens que o modelo roda ANTES de entregar + 6 critérios objetivos de aceite (B1–B6) para VOCÊ validar a saída (aceitar/rejeitar) com parse de JSON e checagens independentes.
5. 05-templates-de-variacao-stacks.md — 4 variações prontas por ambiente: cloud-native/K8s (KMS+ACM), on-prem altamente regulado (HSM + soberania), assinatura de código/supply-chain e preparação pós-quântica (híbrido ML-KEM).