Receita — ACP/MCP/providers do Flowral

Inspirada em: Prumo feature-standard e security-review, além da skill acp-security sem copiar regras extras como se fossem requisitos oficiais do ACP.

1. Contrato: fixar OpenCode V2+, recurso e sessão; identificar se é ACP, MCP ou API proprietária do OpenCode. Registrar o schema exato.
2. Fronteiras: desenhar agente→MCP e UI→ACP separadamente, com permissões para execução, rede, arquivos e keyring.
3. Fixture: mock de provider/MCP sem credenciais reais, casos cancelamento, tempo esgotado e payload inválido.
4. Implementação: flowral-ai integra schemas/versionamento reais, preserva config existente e expõe erros tipados.
5. Testes: handshake/capabilities, ativar/desativar, cancelamento/kill de processo próprio, troca de projeto, redaction.
6. Auditoria: flowral-security revisa abuso de comando/URL/segredos e consentimento.
7. Handoff: diff + revisão + matriz pass/fail/not run/blocked, docs de providers/MCP atualizados.

Não impor obrigatoriedade do ACP v2, autenticação mútua no stdio local ou criptografia caseira. Requisitos adicionais de segurança devem ser decisões arquiteturais explícitas, não afirmações de conformidade normativa.