chore: bootstrap agnostic agent harness framework

harness/policies/governance.md

@@ -0,0 +1,16 @@
+# Governance Policy
+
+## Reglas
+- Una sola feature activa (`in_progress`) a la vez.
+- El pipeline es secuencial con gates obligatorios.
+- `done` solo por `leader` y solo con evidencia completa.
+
+## Separación de funciones
+- Implementer construye.
+- Reviewer/Security/QA validan.
+- Leader decide cierre.
+
+## Prohibiciones
+- Saltar gates.
+- Aprobar con evidencia incompleta.
+- Cerrar con `verify.sh` en rojo.

harness/policies/quality.md

@@ -0,0 +1,12 @@
+# Quality Policy
+
+## Gate QA (obligatorio)
+Cada feature debe tener `work/artifacts/<feature_id>/qa.json` con:
+- `verdict`: APPROVED | CHANGES_REQUESTED
+- trazabilidad criterio de aceptación -> test
+- resultado de pruebas integración/E2E relevantes
+
+## Reglas
+- No hay `done` sin cobertura mínima de acceptance.
+- No hay `done` con regresiones abiertas.
+- Claims sin evidencia ejecutable no son válidos.

harness/policies/security.md

@@ -0,0 +1,12 @@
+# Security Policy
+
+## Gate de seguridad (obligatorio)
+Cada feature debe tener `work/artifacts/<feature_id>/security.json` con:
+- `verdict`: APPROVED | CHANGES_REQUESTED
+- `checks`: secretos, dependencias, SAST básico, validación de inputs
+- `findings`: lista de hallazgos con severidad
+
+## Reglas
+- Si hay hallazgos críticos/altos sin mitigación: `CHANGES_REQUESTED`.
+- No se permite exponer credenciales ni secretos en repo/chat.
+- Dependencias nuevas requieren justificación en `spec/tech.md`.