Fail-closed em um protótipo de pipeline editorial com IA

Fail-closed como regra do protótipo

O protótipo editorial anonimizado não trata a resposta do modelo como um artigo publicável por padrão. O texto só continua pelo workflow depois de atravessar validação determinística, verificação de fontes, auditoria e controles de estado.[deterministic-gates][source-verification][audit-contract][workflow-fail-closed]

Primeiro, o que pode ser verificado sem interpretação

O mesmo gate rejeita a linguagem promocional definida pela política. Também recusa fontes que não usem HTTPS ou que estejam fora da allowlist configurada para o fluxo.[deterministic-gates]

Uma URL aceita continua sob verificação

A verificação não segue redirects automaticamente. Cada salto volta a ser avaliado contra HTTPS e a allowlist; uma fonte indisponível, um salto para fora da lista ou redirects em excesso interrompem a geração.[source-verification][content-tests]

A geração também exige que uma busca web tenha sido concluída e que as URLs citadas apareçam entre as fontes devolvidas por essa busca. Esse vínculo registra a proveniência da URL, mas não prova sozinho que cada frase do artigo seja implicada pela fonte.[grounded-generation]

Correção não encerra a auditoria

O artigo só retorna quando a auditoria informa pass true, severity none e nenhuma issue. Se houver uma correção, o texto passa novamente pela validação determinística, pela disponibilidade das fontes e por uma auditoria final.[audit-contract]

No workflow analisado, uma rejeição editorial leva a pauta para rejected e uma falha operacional leva para held. Ambos os caminhos terminam antes da criação ou publicação do post; duplicidade próxima e conflito de rascunho também resultam em rejected.[workflow-fail-closed]

O limite semanal é reivindicado por um trigger no banco. Se o teto já foi alcançado, a transação aborta e o workflow mantém a pauta em held, em vez de conservar o rascunho como publicado além do contrato.[atomic-publication]

Quando uma chamada externa pode ter ocorrido sem confirmação local, o claim remoto muda para uncertain. Nesse estado, o protótipo exige reconciliação manual, pois repetir a chamada sem confirmação pode duplicar o efeito remoto.[uncertain-reconciliation]

Na execução registrada em 2026-07-16, os três arquivos de teste do projeto passaram sem falhas. A suíte cobre gates editoriais específicos, mas ainda não cobre integralmente o workflow de ponta a ponta nem todos os caminhos de retry e auditoria final.[test-run][content-tests]