Harness de Revisão de Segurança para Patches Gerados por IA (Injeção em CI/CD) — 5 arquivos

Conjunto completo (5 arquivos complementares, não um prompt solto) que transforma um agente de IA (GPT-4, Claude ou Gemini) em um Revisor de Segurança de PRs/patches gerados por assistentes de código — o checkout crítico antes de um patch da IA chegar à produção. É inspirado no incidente real Snowflake×Wiz (jun/2026): um PR co-gerado por GitHub Copilot Autofix removeu um padrão seguro de CI/CD (env: + jq --arg), introduziu uma injeção de comando via interpolação de input não-confiável em um run: do GitHub Actions, passou por GitHub Advanced Security e por um security gate que degenerava em always-true, e foi explorado por um agente autônomo 5 dias depois, exfiltrando tokens da Jira interna. Esta é a classe de bug que mais cresce com a adoção de coding agents — e que humanos e scanners estáticos ainda deixam passar.

O pacote entrega: (1) o prompt principal com papel/persona, objetivo, schema JSON de saída exato e passo a passo de raciocínio (9 etapas); (2) regras e restrições imperativas — nunca aprovar sem evidência literal, nunca confiar em scanners como prova, ordem de expansão de templates do GitHub, gates com campo null degenerado, regressão safe→unsafe, proibição de alucinar e objeto de erro JSON padronizado; (3) contexto de domínio com glossário + 2 exemplos few-shot completos input→output, incluindo a reprodução do caso real Snowflake×Wiz como caso de borda; (4) harness de verificação com checklist pré-entrega (10 itens) e 10 critérios objetivos de aceite para o comprador validar as saídas; (5) templates de variação para quick-scan, GitLab CI e Jenkinsfile.

Inclui 2 diagramas SVG do conceito (cadeia de ataque e fluxo do harness) para treinar o modelo e alinhar o time. Saída em pt-BR, estruturada em JSON — pronta para integração em CI por um step que bloqueia o merge quando o veredito é REPROVAR.