[P0][Distribution] Instalador único, assets canônicos e update seguro do ecossistema

[wesleysimplicio]

Parent: wesleysimplicio/simplicio-runtime#2998

Problemas medidos

Versões, nomes de assets, wrappers, Homebrew e manifest divergem. Windows instala apenas Runtime; scripts usam URLs incompatíveis; downloads podem ocorrer sem pin/hash/assinatura; ponteiro GGUF não é um modelo.

Critérios de aceite

• Uma tabela canônica de target triplets gera nomes usados por workflow, manifest e installers.
• Instalador Windows instala Runtime + Agent/Desktop + mapper + dev-cli + loop.
• PATH, doctor, uninstall e preservação de dados são idempotentes.
• LLM local é provisionado por fluxo suportado, verificado e licenciável.
• Downloads usam staging, SHA256, assinatura e troca atômica; sem scripts remotos não verificados.
• Auto-update e rollback funcionam com processo em execução.
• Versões de binário/tag/manifest/wrappers/Homebrew/docs são iguais.
• Clean Windows VM instala, abre Desktop, executa sessão local e mostra monitoramento.

Dependências

Releases coerentes de todos os componentes.

Evidência

VM clean-install/update/uninstall, manifests, assinaturas e screenshots.

Revisão complementar do projeto: simplicio

Responsabilidade avaliada: umbrella. Esta issue deve ser entendida no contexto da auditoria-mãe do repositório.

Objetivo específico

validar fronteiras, contratos e release conjunto

Fluxo de testes obrigatório

instalação limpa → descoberta → integração mínima → falha → rollback → compatibilidade

1. Registrar SHA/branch, ambiente, dependências e configuração.
2. Executar o caminho feliz completo e capturar logs/receipts.
3. Injetar entrada inválida, timeout, falha externa ou permissão ausente aplicável.
4. Verificar retry, cancelamento, idempotência e rollback quando o fluxo suportar.
5. Executar testes unitários, integração, sistema/E2E, regressão, segurança e desempenho aplicáveis.
6. Reexecutar com os mesmos dados e comparar resultado/hashes.
7. Confirmar que falha nunca vira sucesso e que recursos são liberados.

Critérios de aceite adicionais

• O comportamento principal está demonstrado por teste executável.
• Pelo menos um caminho de falha está coberto e documentado.
• Contratos entre projetos são validados nas versões/SHAs declarados.
• Logs e receipts permitem reconstruir a decisão.
• Métricas não observáveis são null com motivo, nunca estimadas.
• Segredos, PII e dados privados não aparecem nos artefatos.
• O procedimento é reproduzível localmente ou em container sem GitHub Actions pago.
• PR/commit, logs, hashes e riscos residuais estão anexados antes de fechar.

Evidências obrigatórias

• PR/commit vinculado;
• comandos e versões;
• logs do caminho feliz e da falha;
• testes/coverage/benchmark aplicáveis;
• receipts, hashes e relatório de rollback;
• limitações e próximos passos.

Regra de encerramento

Não fechar sem todos os critérios desta issue e da auditoria-mãe atendidos. Se faltar implementação, marcar como NEEDS-IMPLEMENTATION ou BLOCKED, nunca como concluída.

[wesleysimplicio]

Distribuição é G5 do release-readiness agregado: wesleysimplicio/simplicio-runtime#3162. Publicar instalador/pacote só prova operacionalidade quando doctor, contracts smoke, E2E evidence e medição também passam na mesma release.

[wesleysimplicio]

Reaberta por reprodução real no Linux (2026-07-21)

Execução direta do CLI publicado:

pip install simplicio-installer==1.6.4
SIMPLICIO_VERSION=v3.5.2 simplicio --version

Resultado: exit 1. O wrapper tentou:

• simplicio-v3.5.2-linux-x86_64.tar.gz → HTTP 404
• simplicio-linux-x86_64.tar.gz → HTTP 404

A API da release pública v3.5.2 lista somente simplicio-macos-arm64 e simplicio-update-signature.json; não existe asset Linux. Além disso, a fonte privada já registra simplicio-runtime 3.5.3, enquanto o latest público permanece v3.5.2 e o wrapper PyPI permanece 1.6.4.

Portanto os critérios de assets canônicos, versões iguais e clean install continuam não comprovados. GitHub Actions não é usado como evidência.

[wesleysimplicio]

Atualização concluída em 2026-07-20/21:

• item filho [P0][Installer] PyPI deve falhar fechado quando a release do Runtime estiver incoerente #16 fechado;
• PR fix(installer): fail closed on incoherent Runtime releases #17 merged em master;
• merge commit fdf0b9c5ea1926a9d75671c485c099029e611e43;
• launcher PyPI agora usa release exata, manifest com digest pinado, asset canônico, SHA-256, validação de runtime.version, staging/rollback atômico e erros sem traceback;
• evidência local: 32 testes, 96% cobertura e teste real fail-closed preservando binário existente.

A épica #5 permanece aberta corretamente. Ainda faltam os assets públicos coerentes de Runtime 3.5.3 para Linux/Windows/macOS, manifest da mesma release, assinaturas Ed25519, publicação do wrapper e E2E de instalação limpa.

[wesleysimplicio]

Probe econômico solicitado pelo owner, executado em instalação isolada da release pública v1.6.0 (sem reutilizar binário antigo):

• asset Linux: simplicio-linux-x64;
• SHA-256 conferido contra SHA256SUMS: d94d04695d290d8c97e14f347a8a210c55b9ce90d086eab6acbf63b42e13acd6;
• o executável da tag v1.6.0 identifica internamente Runtime 1.4.7 / commit 9dc0c8b;
• o manifest declara assinatura Ed25519 obrigatória, porém contém signatures vazias, não configura key e não lista Linux;
• não anuncia context-snapshot/v1/context-graph/v1, apenas contratos legados;
• capabilities list --json e plan funcionam; o plano de Dev CLI #255 foi no-llm deterministic-first, hash c51c38272e56560e726b88c77c3018c92ef5380fdaf6d56d8e732213de0d176b.

Decisão fail-closed: este binário pode ser usado isoladamente somente como assessor read-only para version/capabilities/plan/decide, economizando tokens. Ele não será usado para executar mudanças, aprovar contratos atuais, releases, PRs ou merges. Isso adiciona evidência concreta de drift tag/binário/manifest à épica, sem tratar checksum como substituto de assinatura.

[wesleysimplicio]

Emenda canônica — pausa de inferência local

Enquanto a pausa estiver ativa, o instalador não pode provisionar, baixar, iniciar ou configurar automaticamente modelo/servidor local. Deve informar disabled com reason code estável, preservar qualquer modelo já existente e nunca apagá-lo, movê-lo ou alterá-lo.

A reativação futura depende de política explícita do Simplicio Runtime. O contrato detalhado está em wesleysimplicio/simplicio-local#149 e Runtime #3490/#3491. Evidência será exclusivamente local; GitHub Actions não é requisito.