Gate und Governance-Center

Der Qualitätsvertrag legt fest, was das Team verlangt. Das Gate setzt es durch. Es ist ein einziger Befehl der Engine, den Git-Hooks, CI, der Befehl yuli-mcp gate und die Hooks der Agenten gleichermaßen verwenden. Das Ergebnis hängt nicht davon ab, wer es aufruft.

Der Befehl

agent-engine gate --project <raíz> --stage pre-commit|commit-msg|pre-push|ci \
  [--message-file <archivo>] [--base <revisión>] [--format text|json]

Lässt du --project weg, wird der aktuelle Ordner verwendet. Ein Ordner ohne Git besteht immer.

Was jede Stufe prüft

Die Prüfungen

Anti-Trick-Schutz in Tests

Ein Agent unter Zeitdruck könnte einen Test „reparieren“ statt des Codes. Yuli erkennt das.

In den Tests:

• Entfernte Assertions oder gelöschte Tests.
• Übersprungene Tests: @Disabled, @Ignore, .skip(, xit, #[ignore], Skips in pytest oder unittest, t.Skip.
• Triviale Assertions wie assertTrue(true) oder expect(true).toBe(true).
• Geänderte Erwartungswerte, damit der Test besteht.
• Ein catch, das innerhalb eines Tests alles abfängt.

Im Build und in der CI:

• Herabgesetzte Mindest-Coverage.
• Im Build übersprungene Tests.
• Ignorierte Fehler, etwa npm test || true.
• Ein durch ein leeres Skript ersetztes Testskript.
• Deaktiviertes Quality Gate oder abgeschalteter Test-Task.

Sicherheitsnetz

Ändern sich bestehende Code-Dateien ohne Characterization- oder Unit-Tests, warnt das Gate: Die Änderung muss das Verhalten erhalten. Den Commit blockiert es nie.

Git-Hooks installieren

Klicke im Governance-Center im Tab Gates auf Hooks installieren.

1. Yuli schreibt .githooks/pre-commit, .githooks/commit-msg und .githooks/pre-push.
2. Es setzt git config --local core.hooksPath .githooks.

Hooks deinstallieren entfernt die Konfiguration und löscht nur die Skripte von Yuli.

In der CI

Die von CI erstellen erzeugten Pipelines enthalten den Schritt „Vertrags-Gates“, der agent-engine gate --stage ci ausführt. So wendet die CI dieselben Regeln an wie dein Team lokal.

Das Governance-Center

Öffne es über die rechte Leiste (Weitere Werkzeuge → Governance-Center) oder über die Befehlspalette: Governance-Center öffnen. Es hat 10 Tabs.

Erzeugte Dokumente

DORA

Der Tab „Auslieferung“ berechnet die vier DORA-Metriken: Deployment-Frequenz, Lead Time, Änderungsfehlerrate und MTTR, mit den Stufen Elite, Hoch, Mittel und Niedrig. Grundlage sind die erfassten Deployments oder die CI. Ein APM der Produktion sieht Yuli nicht.

Unabhängige Prüfung

Ein Modell einer anderen Familie prüft die Änderung. Es wird nie dieselbe Familie verwendet wie die des Modells, das sie geschrieben hat. Ist keines konfiguriert, wird die Prüfung als nicht verfügbar angezeigt. In den Profilen „Reguliert“ und „Sicherheitskritisch“ ist sie Pflicht.

Kontext für alle Agenten

Unter Agenten → Kontext schreibt der Bereich „Kontext für alle Agenten“ dieselben Regeln für jedes Werkzeug:

Der Inhalt steht in einem verwalteten Block; was du außerhalb davon schreibst, bleibt erhalten. Standardmäßig bleiben die Dateien außerhalb von Git; aktiviere das mit In Git versionieren. Jedes Ziel zeigt seinen Status: Aktuell, Veraltet, Existiert nicht oder Manuell bearbeitet.

Gelernte Regeln

Taucht derselbe Befund 3-mal oder öfter in mindestens 2 Aufgaben innerhalb von 30 Tagen auf, wird er zu einer Regel in .ai/rules/learned.md. Du kannst sie unter Agenten → Lernen ablehnen; sie wird nur erneut vorgeschlagen, wenn sich ihre Belege verdoppeln.

Ehrliche Grenzen

• DAST (OWASP ZAP), Container-Scans (Trivy oder Grype) und Signierung (cosign) laufen nur, wenn sie installiert sind, und immer mit Bestätigung. Fehlen sie, weist Yuli darauf hin und simuliert kein Ergebnis.
• Präventive Regeln und IaC-Regeln sind Muster auf dem Text. Jeder Befund kommt mit Datei und Zeile, damit ein Mensch ihn bestätigen kann.