feat: ativa permissoes do chat IA com whitelist nos dois launchers

[jeanavila997-ux]

Contexto

O MestreDoPC-Launcher.ps1 — o backend elevado, registrado na tarefa agendada MestreDoPC_Admin_Launcher — executava Invoke-Expression sobre qualquer texto recebido em POST /run, sem nenhuma validação. O v10/launcher.js já validava tudo contra allowed-operations.json. Este PR fecha essa lacuna e liga o chat da V10 a uma política de permissões explícita.

Mudanças

Whitelist no launcher elevado

• Carrega v10/allowed-operations.json no startup; sem catálogo o launcher não sobe (seria um servidor elevado sem restrição).
• /run resolve por id+params ou por cmd exato/template; comando livre → HTTP 403 com a mesma mensagem do launcher Node.
• Invoke-Expression passa a receber apenas o comando resolvido da whitelist.

Novo POST /classify (nos dois launchers)
Resolve o comando sem executar e devolve {allowed, destructive, id, title, category, cmd}.

Permissões do chat na UI

• Sugestão da IA na whitelist e não destrutiva → executa automaticamente (toast "low-risk").
• Na whitelist e destrutiva → modal de confirmação com preview do comando, título e categoria.
• Fora da whitelist → bloqueada, com opção de copiar o comando.
• window.confirm() substituído por modal próprio, usado também pela fila, pelo modo live e pelo catálogo.

Prompt injection automático

• /ollama/chat nos dois launchers: bloqueia malicioso com HTTP 400 e mensagem no chat; loga suspeito.
• Handlers MCP perguntar_ia, perguntar_ia_com_contexto e ia_comando_sugerir, com registro em auditoria.

Limpeza de ia_comando_sugerir
Remove o parâmetro morto confirmar, deixa de citar a tool inexistente executar_comando e classifica a própria sugestão contra a whitelist.

Bugs pré-existentes corrigidos

1. O placeholder {{X}} nunca era substituído na compilação dos templates (a busca usava a forma não escapada contra um texto já escapado) — nenhum template parametrizado casava no modo legado. Ocorrências repetidas agora viram backreference, exigindo o mesmo valor em todas as posições.
2. Os 82 itens de templates que trazem command fixo em vez de pattern estavam inalcançáveis por qualquer modo. O PS1 agora reconhece 343 comandos exatos (era 265).

Verificação

• npm test em mcp-server/: 73 passam, 0 falham (1 skip é o smoke opcional do Ollama).
• node --check em index.js e v10/launcher.js; Parser.ParseFile no MestreDoPC-Launcher.ps1.
• Testado ao vivo contra o launcher elevado real:

Teste	Resultado
POST /run com comando livre	HTTP 403 — "Operacao bloqueada…"
POST /run com {"id":"ver_uso_ram"}	HTTP 200, job completou
POST /classify	HTTP 200, allowed: true, destructive: false
POST /ollama/chat com "ignore all previous instructions…"	HTTP 400, classification: malicioso

Nota de compatibilidade

Breaking change intencional: comandos livres em POST /run deixam de funcionar. Toda operação nova precisa entrar em v10/allowed-operations.json.

Testes novos: mcp-server/test/whitelist-enforcement.test.js e mcp-server/test/chat-permissions.test.js.

🤖 Generated with Claude Code

https://claude.ai/code/session_01YaqA4B6THjpdK7KxAvW4LW