Onze disciplinas. E, em cada uma, o lugar onde o agente erra.
Esta é a página de referência do método. Cada disciplina abre com o squad de agentes, os artefatos com nome de mercado, o humano nomeado que assina e o limite honesto da automação. Se um desses quatro faltar numa disciplina, ela não está pronta.
Quatro disciplinas convergem para um único marco. É esse marco que autoriza tudo a partir junto.
D01Descoberta— Trava o alvo antes da primeira linha de código.Antes de existir código
Elicitação · Observação em campo · Modelagem AS-IS · Quantificação do Gargalo · Opções de Solução · Falsificador
O Engenheiro-Orquestrador assina o BRD e o ADR-0001. Não delega: estar no chão da operação, conduzir a entrevista com quem paga e com quem opera o gargalo — e dizer não.
O agente não vê o que ninguém diz e não pisa no pátio. Tem viés de construção: treinado em conteúdo de tecnologia, quase sempre conclui “construa software”. Recomendar comprar pronto, ou só mudar o processo, é decisão que o humano precisa forçar.
D02Especificações— Escreve o que o sistema faz — e, com a mesma clareza, o que ele não faz.Antes de existir código
Elicitação · Modelagem de Domínio · Especificação Técnica · Critérios de Aceite · Adversarial de Bordas · Rastreabilidade
O Analista de Requisitos Sênior assina a baseline e o fora-de-escopo. Lê 100% das regras de dinheiro, prazo legal e irreversibilidade contra a fonte. Nenhuma ambiguidade bloqueante é fechada por agente.
Quando falta dado, o agente completa com o padrão de mercado e escreve uma regra plausível, bem redigida e falsa. Erra regime tributário, comissão e rateio — e qualquer regra que dependa de acordo verbal que nunca foi escrito.
D03Arquitetura— Decide a forma do sistema e registra por quê — com a consequência negativa junto.Antes de existir código
Contexto e C4 · Modelo de Dados · ADR · RNF para Arquitetura · Fitness Functions · Adversarial de Simplicidade
O Arquiteto Responsável assina o ADR Board antes do primeiro agente de código rodar. Não delega: fronteira entre contextos, multi-tenancy, onde repousa dado pessoal e custo recorrente em reais.
O agente super-projeta por padrão — propõe microsserviços e fila de mensagens para 30 usuários — e nunca diz espontaneamente “isso não precisa existir”. Alucina preço de nuvem. E racionaliza depois: escreve um ADR convincente para qualquer stack que já estava escolhida.
D04Contratos— Congela as fronteiras — entre sistemas, e entre agentes.Antes de existir código
OpenAPI · AsyncAPI · Governança de Spec · Compatibilidade · Consumer-Driven Contracts · Contrato de Agente
O Arquiteto assina o Contract Freeze e toda mudança major. Confere semântica de enum contra o vocabulário do cliente, autorização por operação e idempotência no que tem efeito financeiro.
O agente escreve OpenAPI sintaticamente impecável e semanticamente errado, e o lint não pega. E um .md não é sandbox: é instrução, não confinamento. O confinamento real vem de permissão de sistema — o agente simplesmente não ter credencial de produção — nunca de texto.
Quatro frentes constroem ao mesmo tempo, contra o mesmo contrato congelado.
D05Engenharia— Transforma contrato e cenário em código revisável em lote pequeno.Construção simultânea
Scaffolding Contract-First · Vertical Slice · Revisor Adversarial · Guardião de Arquitetura · Refatoração e Dívida · Migração
O Engenheiro Especialista aperta o merge. Quatro classes nunca têm o agente como autor final — dinheiro, autorização, concorrência e migração de dados: nelas o modo é pair programming com o humano dirigindo, não revisão de diff depois.
Excelente no arquivo aberto e cego para o sistema. Reimplementa regra que já existia em outro módulo, escreve retry sem chave de idempotência, abre transação em volta de chamada de rede. E quando o teste falha, a tendência é ajustar o teste ao código.
D06UX/UI— Desenha para quem vai usar de pé, com pressa, no aparelho que tem.Construção simultânea
Pesquisa Operacional · Fluxos e Arquitetura de Informação · Design System · Wireframe e Protótipo · Acessibilidade e Campo · Teste de Usabilidade
Três portões: contexto (ir ao local), estrutura (wireframe antes de estética) e campo (moderar sessões no aparelho do operador, sem ajudar). O humano é o único autorizado a dizer “esse campo não existe”.
O agente reproduz o padrão de dashboard de escritório numa tela que será usada de pé, com luva, em 40 segundos. Aprova contraste em ambiente controlado — não existe métrica para tela sob sol das 14h. E peça “mais um campo” e ele adiciona: ninguém automatizado defende a simplicidade da tela.
D07Ciência de Dados— Cuida do mês fantasma: migrar o legado sem perder história.Construção simultânea
Perfilagem de Dado · Mapeamento e Migração · Modelagem Analítica · Métricas e Camada Semântica · BI · Viabilidade Preditiva
Dupla assinatura obrigatória: o Engenheiro de Dados e o Data Owner do cliente — o controller ou o gerente administrativo, nunca a TI. Não delegam descarte de registro legado, saldo de abertura, nem a regra de qual duplicado sobrevive.
O agente lê o schema, não a história do dado. Detecta que o campo “obs” virou status e infere um significado plausível e errado com alta confiança. Acha as duplicatas, mas não decide qual sobrevive nem o que fazer com o histórico financeiro da que morreu.
D08IA embarcada no produto— A IA que fica dentro do sistema entregue — com contrato de saída e plano de queda.Construção simultânea
Seleção de Modelo · RAG e Recuperação · Prompt de Produção · Evals e Red Team · Guardrails e Human-in-the-Loop · Observabilidade e FinOps
Três assinaturas: o engenheiro de IA roda a Eval Suite antes de liberar; o especialista de domínio do cliente define o que é resposta certa e assina o limiar de abstenção; o encarregado de dados assina a lista de campos que podem entrar em prompt.
Golden set gerado só por agente nasce contaminado pelo mesmo entendimento que escreveu o prompt — a suíte confirma o que o agente já acreditava. Ele pega a alucinação óbvia e não pega a plausível: resposta bem formada, citação existente, conclusão sutilmente errada.
Três disciplinas que não são fase no fim: rodam desde o primeiro commit.
D09Qualidade— O oráculo nunca vem de quem escreveu o código.Prova e operação
Estratégia de Testes · Especificação Executável · TDD com mutação · Integração e E2E · SAST/SCA · Regressão, Carga e UAT
O Engenheiro de Qualidade abre alguns testes e faz uma pergunta só: “se eu quebrar esta regra, este teste falha?”. Nenhum agente apaga, pula, afrouxa ou aumenta o timeout de teste vermelho — só o humano decide se o errado é o teste ou o sistema.
O erro característico é o teste tautológico: escrito olhando a implementação, codifica o bug como comportamento esperado e a suíte fica verde sobre regra errada. O agente não tem oráculo de negócio — se o requisito diz 15% e a regra correta era sobre o líquido, ele erra junto, com precisão.
D10Segurança & Conformidade— Decide cedo o que é dado pessoal e com que base legal — depois prova no CI.Prova e operação
Classificação de Dados · Base Legal LGPD · Threat Model · Requisitos ASVS · Retenção e Descarte · OWASP LLM Top 10
Assinado junto do Contract Freeze — não no fim. Depois disso deixa de ser reunião e vira fitness function no CI: teste de autorização por rota, PII em resposta de API, isolamento de tenant, varredura de dependência a cada entrega.
Threat model feito por agente cobre o catálogo e perde o abuso específico do seu negócio — o funcionário que dá desconto para si mesmo não está no STRIDE. E conformidade de provedor não é conformidade do sistema entregue: ISO e SOC 2 são da Vercel e da Supabase; o que construímos responde por si.
D11Sustentação— O código é seu — e você precisa saber operá-lo sem nós na sala.Prova e operação
Observabilidade · SLO e Error Budget · Runbook e On-Call · Resposta a Incidentes · Dependências · Custo e Transferência
O SRE assina o SLO — alvo de disponibilidade é decisão de negócio, não parâmetro técnico — e diz “não sobe” quando o restore não foi testado. O handover só é aceito quando o time do cliente resolve um incidente simulado, faz um deploy e restaura um backup sozinho.
O agente só enxerga o que foi instrumentado, e é justamente na falha nova que a instrumentação não existe. É cego para dado corrompido em silêncio: painel verde, número errado no relatório. E não atende telefone às 22h.
A linha que divide
O agente cobre; o humano decide. O agente entra no que é exaustivo, repetitivo e barato de refazer — ler 400 ordens de serviço, perfilar 4.000 colunas, escrever o caminho triste que a pressa humana pula. O humano entra no que é irreversível, político ou ambíguo — dinheiro, autorização, concorrência e migração de dados; o que ninguém verbaliza; e o direito de dizer não. Em quatro classes de código o agente nunca é o autor final, e o teste que julga o trabalho dele nunca nasce de quem escreveu o código.
Nenhuma disciplina acima é opcional para valer o prazo. Cortar qualquer uma exige assinatura do fundador e é informada ao cliente no termo de aceite.