Problema
O pipeline autônomo executa código de terceiros sem pin e sem perguntar:
references/duplication.md manda rodar npx fallow (e jscpd/similarity-ts) sem versão fixada, dentro do repo do usuário, numa sessão que já tem permissão de deletar arquivos e commitar.- O bloco Python de
references/other-stacks.md faz pip install automático, contradizendo a regra da própria skill de nunca instalar nada sem perguntar.
O que custa errar
Um pacote comprometido ou trocado no registry executa código arbitrário durante uma operação vendida como segura por construção. No outro sentido: pinar demais enferruja as references, e rebaixar a fase 1.5 para jscpd puro perde a detecção de clone renomeado, que é o alvo declarado da fase.
Etapas
Problema
O pipeline autônomo executa código de terceiros sem pin e sem perguntar:
references/duplication.mdmanda rodarnpx fallow(e jscpd/similarity-ts) sem versão fixada, dentro do repo do usuário, numa sessão que já tem permissão de deletar arquivos e commitar.references/other-stacks.mdfazpip installautomático, contradizendo a regra da própria skill de nunca instalar nada sem perguntar.O que custa errar
Um pacote comprometido ou trocado no registry executa código arbitrário durante uma operação vendida como segura por construção. No outro sentido: pinar demais enferruja as references, e rebaixar a fase 1.5 para jscpd puro perde a detecção de clone renomeado, que é o alvo declarado da fase.
Etapas
npx, perguntar antes de executar, ou rebaixar a fase 1.5 para relatório sem execução de terceiros.pip installautomático: remover, condicionar a confirmação, ou documentar como exceção explícita.npx <pacote>sem versão nos arquivos de referência (se a decisão for pinar).