oh-my-agent: oma-security substitui o deepsec, uma única home global · gracefullight

O oh-my-agent lançou cinco versões major da CLI em sete dias, da 15.10.0 à 20.0.0. A maioria dos saltos traz breaking changes deliberadas, que removem os caminhos antigos em vez de manter shims de compatibilidade. Aqui vai o que mudou e o que você precisa fazer a respeito.

O que há de novo

oma-security substitui o oma-deepsec, e /security substitui /deepsec, sem aliases de compatibilidade. Ele direciona o trabalho de código-fonte, skills, MCP e runtime web (com escopo definido) para engines específicos de cada alvo, mantém as evidências do engine e exige validação independente antes de um achado ser confirmado ou de um gate de CI ser aplicado. O deepsec continua sendo o engine padrão de varredura de código-fonte. A skill traz 11 arquivos de recursos, incluindo um contrato de achados de 408 linhas.
Uma única home global de dados. OMA_HOME agora seleciona a home global de dados (~/.oma por padrão) e armazena definições, state, schedules e backups. A migração copia primeiro, com verificação de conflitos e de runtimes ativos. Os caminhos antigos não são lidos como fallback em runtime.
Isolamento do AgentMemory. Escritas, recalls, retries e imports ficam restritos ao projeto e ao profile de origem. As respostas de servidores compartilhados são filtradas por proprietário. Install e update agora preparam o provider padrão do AgentMemory, a menos que o projeto desative isso ou use outro provider.
Decisões do agent são capturadas e verificadas como eventos de state (b4d76a71), para que as escolhas de uma execução possam ser conferidas depois.
Hooks de usuário para mensagens de commit. O hook gerenciado commit-msg agora executa primeiro todo arquivo executável de .githooks/commit-msg.d/, em ordem de nome. Um exit code diferente de zero rejeita o commit. O oma nunca escreve nesse diretório, então uma chamada ao commitlint sobrevive ao oma update.
Perfis de tooling para o oma-dev-workflow: Python, JS/TS, Dart/Flutter, Dockerfile e commitlint local, além de orientação para reaproveitar as tasks de verificação do projeto.

O que foi corrigido

oma retro --json imprimia o banner e o spinner antes do JSON. Agora emite um único documento válido, inclusive para janelas vazias.
O help mostrava os defaults de --older-than como 90ds. As unidades agora são acrescentadas apenas a defaults numéricos puros.
schedule sync quebrava em linhas de manifest com campos obrigatórios ausentes, deixando desatualizados todos os jobs saudáveis. Linhas malformadas agora são descartadas e reportadas, e schedule list as nomeia.
A poda de órfãos não mexe mais em serviços internos, como a manutenção do AgentMemory e do Serena. Ela se limita ao namespace de schedules de agents.
A deduplicação concorrente de hooks podia expirar o claim recente de outro publisher. Agora ela reconfere o relógio depois da leitura e tolera retrocesso de relógio apenas dentro do TTL.
Instalações standalone de skills agora incluem os guias compartilhados que elas referenciam (fecha #866).
Entradas fixadas do bridge local do Serena são reparadas, preservando o ambiente do usuário e as opções do servidor.
O roteamento do workflow design agora exige um alvo visual, então "API design" não o dispara mais.

O que melhorou

Os pacotes de plugin perderam 471 arquivos duplicados. Pacotes de plugin completos agora compartilham uma única árvore de recursos no nível do pacote. As skills de plugin na raiz exigem essa árvore compartilhada, então use a instalação por preset do OMA em vez de npx skills ou APM.
Superfície de comandos mais limpa. Entry points internos ficam ocultos em oma describe e no help, mas continuam executáveis. 25 grupos de comandos que não tinham descrição agora têm uma. skills matrix virou oma skill matrix, e a grafia no plural é rejeitada.
Documentação gerada a partir do código. O registry da CLI é renderizado a partir de oma describe, e o catálogo de skills a partir do frontmatter dos SKILL.md. Ambos têm um modo --check que reporta blocos desatualizados.
Conteúdo do site de docs. O site ganhou diagramas mermaid para routing, ultrawork, ralph e resolução de config, além de tabelas de decisão e um glossário. Os 11 locales e as 12 traduções do README foram sincronizados para acompanhar.
Afirmações corrigidas. O judge do ralph agora é descrito como induzido por prompt, não como independente, porque nada verifica o spawn. A consulta ao log de eventos aponta para oma state list em vez de um caminho fixo no código.

A semana fechou com 81 commits em 840 arquivos (+70.280 / -32.120), e apenas o rework de memória foi validado com 1.095 testes.

Notas de upgrade

Rode oma state migrate --runtime para mover o state local do projeto. Os readers de runtime não o carregam mais.
Troque /deepsec por /security em scripts e hábitos.
Troque oma skills matrix por oma skill matrix.

Instalação

# macOS / Linux
curl -fsSL https://raw.githubusercontent.com/first-fluke/oh-my-agent/main/cli/install.sh | bash

# Windows (PowerShell)
irm https://raw.githubusercontent.com/first-fluke/oh-my-agent/main/cli/install.ps1 | iex

Links

O oh-my-agent é feito para times que orquestram mais do que escrevem prompts. O próximo passo é endurecer o judge do ralph, para que o spawn seja verificado em vez de apenas induzido por prompt.

Texto original (em ingles): https://dev.to/gracefullight/oh-my-agent-oma-security-replaces-deepsec-one-global-home-13de

https://github.com/first-fluke/oh-my-agent