TrustCobertura do mecanismo
7.9 / 1038 / 48
FORGE 3.2 · revisão de 6 set 2026
Do método documentado à verificação do que realmente roda.
Depois do Brownfield, a evolução alcança specs duráveis, trabalho multiagente, governança verificável e integridade da esteira. O próximo salto é comprovar que esses controles chegam a cada consumidor e protegem a entrega.
- Base 3.2 · agosto
Entender e transformar o legado
Capacidades, dados e riscos reconciliados antes de decidir o que preservar, consolidar ou reconstruir.
- Avanços integrados · setembro
Governar como o trabalho acontece
Specs persistentes, assentos por máquina, auditoria de organização, PRs por bot e verificadores mais rigorosos.
- Fronteira aberta · não concluída
Provar a adoção e o resultado
Medir o corpo executado, fechar gates por consumidor e exercitar deploy, recuperação e telemetria com limites de dados.
Revisão de base que fundamentou a FORGE 3.3; não é sua qualificação. A recomendação integrada Brownfield continua suspensa; revisão executada não significa aprovação.
Notas com critérios explícitos
Autoavaliação editorial: 12 dimensões, pesos iguais e duas escalas independentes. As notas não são certificação, percentil de mercado nem percentual de conclusão.
Evidência de adoção
4.2 / 1020 / 48
Cobertura: 0 sem material localizado; 1 intenção/proposta; 2 contrato documentado; 3 implementação identificada; 4 implementação e testes identificados no escopo. Uma nota alta não prova implantação universal.
Evidência: 0 nenhuma prova elegível localizada; 1 local, sintética ou parcial; 2 execução remota delimitada; 3 cadeia delimitada com validação registrada entre componentes; 4 medição longitudinal e verificação independente de eficácia. Dúvida ou ausência de acesso limita a nota, não prova inexistência.
Cada índice = soma das notas ÷ 48 × 10, arredondada a uma casa decimal. Os 12 recortes avaliativos reorganizam o método; não substituem os 23 eixos editoriais do inventário de agosto.
O que foi inspecionado
Cinco repositórios centrais, 88 workflows e 215 referências externas de Actions: 215 fixadas em SHA completo; outras 25 referências são locais. É uma inspeção sintática dos arquivos fixados, não um censo da organização nem prova de execução.
Fontes internas foram conferidas por commits, ADRs, issues e runs. As conversas completas do Claude Code não foram inspecionadas. A base interna tem acesso restrito; este resumo público não permite reproduzir sozinho todas as conclusões. Fontes de mercado são primárias e acessíveis.
12 dimensões, sem esconder o que falta
Contexto e cânone
O que evoluiu
Mapas, instruções geradas, contagens e verificação de links reduzem deriva documental.
O que a evidência ainda não permite afirmar
Há verificadores e execução remota delimitada; cobertura de contexto e impacto na qualidade ainda não têm série longitudinal.
Base interna restrita: Docs · ADR-0074, canon-check, PRs 698/699
Referência de comparação: OpenAI · Harness engineering · DORA · AI Capabilities Report 2025
Especificação e evals
O que evoluiu
Specs duráveis, rastreabilidade e recusa de corpus vazio fortalecem a avaliação da mudança.
O que a evidência ainda não permite afirmar
Uma execução SDD foi observada como ineligible-shadow. Propagação do guard e resultados reais dos agentes ainda precisam de prova por consumidor.
Base interna restrita: Docs · ADR-0074; Infra · PR 625; SCORE · SDD119
Referência de comparação: Anthropic · Demystifying evals for AI agents · OpenAI · Harness engineering · NIST · SP 800-218A
Trabalho multiagente
O que evoluiu
Worktrees como sinal canônico, assentos por máquina e fleet-doctor tratam colisões e ambientes divergentes.
O que a evidência ainda não permite afirmar
Isolamento de diretório não é sandbox de sistema operacional. Faltam indicadores de colisões e recuperação ao longo do tempo.
Base interna restrita: Docs · ADR-0076/0079; AI Env · PR 187
Referência de comparação: OpenAI · Harness engineering · NIST · SSDF 1.1
Governança verificável
O que evoluiu
Invariantes de organização, matriz por repositório e auditoria com cache distinguem desvio, exceção e leitura negada.
O que a evidência ainda não permite afirmar
372 testes locais passaram. A observação remota ainda contém avisos e leitura parcial: workflow verde não é conformidade integral.
Base interna restrita: Docs · ADR-0081; run 34055858909; suíte local 06/09
Referência de comparação: NIST · SSDF 1.1 · OpenSSF · Scorecard checks
Integridade de CI
O que evoluiu
Cancelamentos, verdicts obsoletos e scanners sem entrada receberam tratamentos que falham de forma explícita.
O que a evidência ainda não permite afirmar
O corpo chamado, os checks exigidos e o SHA entregue precisam convergir. A propagação completa não foi demonstrada nesta revisão.
Base interna restrita: Infra · PRs 597/599/600/617; Docs · ADR-0082 proposta
Referência de comparação: GitHub · Secure use of Actions · OpenSSF · Scorecard checks
Revisão e autoridade
O que evoluiu
Abertura de PR por bot e release por PR separam autoria, revisão e publicação. Review ignorado deixou de contar como revisão.
O que a evidência ainda não permite afirmar
Atividade de review não comprova aprovação substantiva independente. Exceções e cobertura dos gates ainda limitam a garantia.
Base interna restrita: Infra · PRs 620/631; Template · PR 322; ADR-0080 proposta
Referência de comparação: OpenSSF · Scorecard checks · NIST · SSDF 1.1
Cadeia de fornecimento
O que evoluiu
A base 0.20.1 tem verificação registrada; a 0.21.0 foi publicada com metadado de imutabilidade nativa. Referências externas de Actions estão fixadas no recorte inspecionado.
O que a evidência ainda não permite afirmar
A nota de evidência inclui a cadeia histórica delimitada, não revalida a assinatura da 0.21.0. Pinning e assinatura não concedem nível SLSA nem provam adoção da frota.
Base interna restrita: Release 0.20.1 · registro público; Infra · release 0.21.0
Referência de comparação: SLSA · Specification 1.2 · GitHub · Secure use of Actions
Brownfield e consolidação
O que evoluiu
Caracterização, reconciliação, decisão de destino, ondas reversíveis e desativação têm contratos e testes adversariais.
O que a evidência ainda não permite afirmar
A revisão independente ocorreu, mas a aprovação integrada continua retida. Nenhum piloto real ou migração de cliente é alegado.
Base interna restrita: Docs · ADR-0075; qualificação v3; issues 563/584
Referência de comparação: NIST · SSDF 1.1 · DORA · AI Capabilities Report 2025
Segurança dos agentes
O que evoluiu
Políticas de ferramenta, proveniência e fronteiras de permissão fazem parte do método; imagens endurecidas ganham padrão específico.
O que a evidência ainda não permite afirmar
Auto mode não equivale a sandbox. Enforcement adversarial ponta a ponta e rollout das imagens não foram comprovados globalmente.
Base interna restrita: Docs · ADR-0047/0049/0078; hardened-base-images
Referência de comparação: OWASP · Agent Control Standard · MCP · Authorization security considerations · NIST · SP 800-218A
Observabilidade e dados
O que evoluiu
O histórico mantém traces e receipts. A nova proposta de telemetria exige classificação de dados e decisão de perímetro antes da instalação.
O que a evidência ainda não permite afirmar
A ADR-0083 ainda é proposta. Não há nesta revisão uma prova de telemetria longitudinal integrada nem autorização automática para coletar prompts.
Base interna restrita: Docs · ADR-0054; ADR-0083 proposta
Referência de comparação: Anthropic · Demystifying evals for AI agents · NIST · SP 800-218A · MCP · Authorization security considerations
FinOps e eficiência
O que evoluiu
Budgets, redução de chamadas, cache condicional e reutilização de workflows tratam desperdício de infraestrutura.
O que a evidência ainda não permite afirmar
Economia de chamadas não é retorno de negócio. Custo por mudança aceita, retrabalho e qualidade precisam do mesmo denominador.
Base interna restrita: Docs · ADR-0027; auditoria com cache; Infra · reusable workflows
Referência de comparação: DORA · AI Capabilities Report 2025 · DORA · Software delivery performance metrics
Entrega e recuperação
O que evoluiu
Readiness, evidência de deploy e rollback têm contratos; a revisão recente expôs diferenças entre documentação e automação efetiva.
O que a evidência ainda não permite afirmar
É preciso ligar merge, artifact e deploy e exercitar recuperação. As cinco métricas DORA não foram medidas aqui por serviço.
Base interna restrita: Docs · auditoria CI/CD 705/707; correção documental 725 integrada, sem rollback automático
Referência de comparação: DORA · Software delivery performance metrics · NIST · SSDF 1.1
Alinhamento com o mercado, não um selo de liderança
O método converge com harness engineering, desenvolvimento seguro, proveniência e evals de resultados. A lacuna principal está na eficácia demonstrada: controles realmente exigidos, recuperação exercitada, qualidade e custo por mudança aceita. Sem uma amostra comparável de outras organizações, não há base para declarar superioridade mundial.
DORA usa cinco métricas de entrega: lead time, frequência de deploy, tempo de recuperação de deploy com falha, taxa de falha de mudança e taxa de retrabalho de deploy. A comparação deve ser por aplicação ou serviço; atividade de agentes ou volume de commits não substituem esses resultados. DORA
Próximos passos, com prova de saída
Prioridade 1 · fechar a cadeia de entrega
Vincular fonte, artifact, checks e deploy; testar que uma falha relevante bloqueia a entrega. Ensaiar rollback e registrar tempo e estado recuperado.
Prioridade 2 · verificar a frota e a revisão
Medir capacidades pelo conteúdo executado, não pelo rótulo do pin. Definir exceções com dono e prazo e comprovar revisão independente por classe de risco.
Prioridade 3 · concluir a qualificação e medir resultados
Tratar os residuais humanos do Brownfield, revalidar a cadeia convergente e registrar a decisão. Depois, executar apenas o piloto autorizado e medir as cinco métricas DORA, custo e qualidade, com perímetro de dados aprovado.
Fontes primárias consultadas em 6 set 2026
Referências orientam os critérios; não certificam a FORGE. SLSA não foi graduado, OpenSSF Scorecard não foi executado e o novo OWASP ACS não foi implantado nesta revisão.
- DORA · AI Capabilities Report 2025
- DORA · Software delivery performance metrics
- NIST · SSDF 1.1
- NIST · SP 800-218A
- SLSA · Specification 1.2
- GitHub · Secure use of Actions
- OpenSSF · Scorecard checks
- Anthropic · Demystifying evals for AI agents
- OpenAI · Harness engineering
- OWASP · Agent Control Standard
- MCP · Authorization security considerations