Casos de uso
A maior parte dos workflows de equipa de software acaba por cair em meia dúzia de padrões — alguém faz um PR e precisa de o auditar; alguém vai escrever código sensível e quer fazê-lo grounded num manual; alguém arranca um repo novo e quer alinhamento desde o início. Em vez de reinventar o uso do MCP a cada vez, esta secção junta seis receitas testadas, cada uma já pensada em torno do que tipicamente se quer.
Cada receita tem o mesmo esqueleto:
- Quando aplicar — sinal de gatilho para o agente
- Sequência de chamadas MCP — tools, resources, prompts na ordem correcta
- Disciplina de output — formato, IDs a citar, anti-patterns a evitar
- Skill / subagent file — snippet pronto a guardar no cliente
Escolhe pelo caso que mais se parece com o que tens em mãos hoje:
Auditoria de PR
Review automatizada de Pull Requests contra os controlos activos do risk_level do projecto — findings citáveis por CTRL-*.
Codegen grounded
Gerar código com prepare_sbd_toe_codegen_context — 4 status (ready / clarification / decomposition / unsupported) e disciplina de citation_map.
Threat modeling
Combinar get_threat_landscape + consult_security_requirements por concern (auth, api, encryption…) para gerar threat models grounded.
Bootstrap de governança
Aplicar plan_sbd_toe_repo_governance num repo novo — lista de artefactos por capítulo e scaffold automático.
Onboarding por role
get_guide_by_role(risk_level, role) para gerar guia de onboarding personalizado — práticas por fase do SDLC, user stories joined.
Cross-check normativo
Cruzar SbD-ToE com CRA, DORA, NIS2, GDPR e ENISA/CSA via MCP (indexados no KG); AI Act via manual web (ainda fora do snapshot 0.9.0).
Agentic SDLC via MCP
Como o MCP suporta cada paragem do processo agentic ponta-a-ponta — do mandate ao kill-switch — com a tool certa para cada decisão.
Como ler cada receita
💡 O caso Agentic SDLC via MCP é a vista operacional do processo agentic ponta-a-ponta (cross-check transversal). São acoplados mas separados — a vista regulatória vive no cross-check, a vista de uso do MCP vive aqui.
Cada página segue a mesma estrutura:
- Cenário — uma situação concreta em prosa.
- Pré-requisitos — risk level + role + skill instalada.
- Fluxo — sequência de chamadas MCP (com input/output esperado).
- Disciplina de output — formato do relatório final + rótulos epistémicos.
- Skill / subagent snippet — texto pronto a guardar (
.claude/skills/...,.github/copilot-instructions.md, …). - Anti-patterns — o que não fazer.
Atalhos por risk level
| Risk level | Casos típicos prioritários |
|---|---|
| L1 | Bootstrap de governança · Onboarding |
| L2 | Auditoria de PR · Codegen grounded · Threat modeling |
| L3 | Todos os anteriores + Cross-check normativo |
Atalhos por role
| Role | Caso de uso prioritário |
|---|---|
developer | Codegen grounded |
appsec-engineer | Auditoria de PR · Threat modeling |
arquitetos-software | Threat modeling |
grc-compliance / auditores | Cross-check normativo · Bootstrap de governança |
scrum-master | Onboarding |