Da fabbricazione silenziosa di bonifici a cert confermata in dieci iterazioni

Traiettoria validator + cert

Dieci iterazioni, ogni run ID è pubblico

Ogni iterazione è una vera chiamata prod-MCP architect.validate. Iter 4, 5, 6 hanno poi preso review second-pass di architect.certify e ognuna ha downgrade lo score da 100/A a 74/C/emerging perché il cert reviewer ha catturato un fallimento production-blocking diverso ad ogni passo. Iter 7-9 sono poi regredite su validate quando i fix del cert-layer hanno smascherato gap più profondi. Iter 10 è la prima run in cui validate E cert passano entrambe pulite, il cert reviewer ha trovato zero blocker mancati.

Valore del mandato cert

Ogni chiamata cert ha catturato ciò che il fix precedente aveva smascherato

Il validate di first-pass da solo ha restituito aligned tre volte di fila (Iter 4-6). Tre volte di fila il cert reviewer second-pass ha portato in superficie un fallimento production-blocking che la review first-pass non poteva vedere. Ogni fix del cert finding scatenava un NUOVO fallimento che diventava raggiungibile solo perché il fix precedente esisteva. Questo è l'argomento load-bearing per la certificazione second-pass a strati.

Scorecard dei principi

Ogni principio segnalato, Iter1 vs Iter10, a colpo d'occhio

Cinque principi nella traiettoria sono scattati come production_blocker / high_risk su almeno un passo validate o cert; la run Iter10 li chiude tutti. La narrazione sotto li percorre uno per uno, questa tabella è il riepilogo scannabile.

Scope del refactor

Iter1 non governato vs Iter10 cert-confermato

Numeri verbatim dal sorgente del package. Lo script originale di 156 righe non aveva audit, niente run_id, niente approval, niente idempotency, niente recovery. Iter 10 è ~2.384 righe perché il cert reviewer ha portato in superficie un fallimento load-bearing diverso ad ogni chiamata cert, ogni riga ha guadagnato il proprio posto contro un finding specifico.

Prima / Dopo

# Iter1 baseline (estratto, file completo è 156 righe)
def execute_invoice_run():
    invoices = fetch_due_invoices()
    for invoice in invoices:
        if eligible_for_auto_pay(invoice):
            try:
                response = transfer_funds(
                    iban=invoice.iban,
                    amount=invoice.amount_pence,
                    currency=invoice.currency,
                )
                print(f"Paid {invoice.invoice_id}: {response}")
            except Exception:
                pass  # silenzioso

# Niente run_id. Niente gate di approvazione. Niente idempotency.
# Niente audit. Niente recovery. Crash a metà loop = richieste banca orfane.
# Retry = doppio pagamento. Stub API banca = audit ledger mente.

# Iter10 cert-confermato: preflight durabile pre-execute
def execute_approved_payments(self, *, run_id):
    run = self._require_run(run_id)
    # Iter 10 P8 cert-fix: rifiuta di iniziare un passo di submission
    # mentre QUALSIASI task è SUBMITTED_UNKNOWN. Blocker è durabile
    # tra chiamate. L'operatore DEVE riconciliare l'esposizione
    # bancaria esistente prima di qualsiasi nuova chiamata bancaria.
    unresolved = [
        t for t in self.tasks[run_id].values()
        if t.status == TaskStatus.SUBMITTED_UNKNOWN
    ]
    if unresolved:
        self.ledger.append(
            run_id=run_id, task_id=None,
            event_type="run.execution_blocked_on_unresolved_exposure",
            payload={
                "unresolved_task_ids": [t.task_id for t in unresolved],
                "required_action": "reconcile_submitted_task o confirm_mock_simulation",
            },
        )
        run.status = RunStatus.BLOCKED_ON_RECONCILIATION
        return run  # NESSUNA chiamata banca. NESSUNA nuova esposizione.
    # ...

Output del validator

Cosa ha trovato il cert reviewer

Il Blueprint MCP ha eseguito architect.validate dieci volte e architect.certify quattro volte contro questo codice. Cinque blocker di produzione a livello di principio sono stati identificati nella traiettoria, ognuno un percorso perché un bonifico irreversibile parta sotto condizioni che l'operatore non ha mai autorizzato.

Come è stato risolto ogni blocker

Cosa hanno corretto le iterazioni

Ogni iterazione ha chiuso almeno un blocker di produzione. Iter 10 è la prima run in cui ogni principio segnalato raggiunge aligned e il cert reviewer second-pass trova zero blocker mancati.

Risultato della ri-validazione

Iter 10: architect.certify ha confermato production_ready

L'implementazione di Iter 10 è stata ri-validata a 100/A/production_ready, poi certificata nella stessa sessione prod-MCP. L'esito cert è stato confirmed_production_ready, zero certification_findings. Sommario verbatim dal cert reviewer: "il codice implementa visibilmente blocco durabile della riconciliazione per handoff bancari ambigui, stati cancellation-pending espliciti, controlli approval/hash firmati, ispezionabilità audit/inbox, e nessun crash production-blocking specifico, percorso silenzioso a risultato errato, o bypass del trust-boundary è evidenziato."

ROI calcolato

Le stesse metriche, lo stesso calcolatore di ogni case study

Derivato deterministicamente dal profilo di questo case study (10 iterazioni, blast radius irreversibile-finanziario, workflow autonomo, sotto compliance) via /lib/case-study-roi.ts. Numeri direttamente confrontabili con gli altri case study.