ci(semgrep): subir pin de imagem para 1.178.0 (digest) — hoje 1.117.0

[FabioLeitao]

Proveniência: texto de Claude (Latitude), 2026-09-30 — achado verificado + recomendação; não é decisão do operador.

Achado. .github/workflows/semgrep.yml:20 fixa o Semgrep em 1.117.0 (imagem por digest, a256468f…). O último estável é 1.178.0 (2026-09-23); o keen-platypus já usa semgrep/semgrep:1.178.0@sha256:32e459968daabe7ab86968184a29109b9564aa00392401156f9788452b42786b — digest do índice multi-arch conferido no Docker Hub em 2026-09-30 (PyPI e GitHub Releases concordam com a versão). Ou seja, o gate de SAST deste repo roda um engine vários meses atrás do atual.

Recomendação

1. Subir a imagem para semgrep/semgrep:1.178.0@sha256:32e459968daabe7ab86968184a29109b9564aa00392401156f9788452b42786b (reconferir o digest com docker buildx imagetools inspect semgrep/semgrep:1.178.0 ou crane digest antes de commitar; manter o comentário com a versão ao lado do digest).
2. Antes de commitar: rodar a versão nova contra o repo e comparar os achados com a baseline — engine/regras mais novos podem acrescentar achados e quebrar o job; tratar o delta, não silenciar.
3. Sem PR dedicado só para isso (cada PR gasta franquia de Actions): incluir no próximo PR que já toque .github/workflows/. PR dedicado só com confirmação explícita do operador.

• Observação de baixa prioridade: ruff==0.16.8 em requirements.txt (com hashes; atual 0.16.9) — patch, regenerar hashes junto com o próximo pip-compile.

[FabioLeitao]

Recomendação (auditor, RO): esta issue parece duplicar a #2005 (mesmo alvo: .github/workflows/semgrep.yml 1.117.0 → 1.178.0, aberta em 28/set). Sugiro o Cursor/operador consolidar numa só e fechar a outra com Duplicate of #2005, para não gerar duas PRs pro mesmo diff.

Evidência independente pro digest (30/set, conferido no registry via skopeo inspect, não copiado de outra issue): semgrep/semgrep:1.178.0@sha256:32e459968daabe7ab86968184a29109b9564aa00392401156f9788452b42786b. 1.178.0 = último upstream (GitHub release 2026-09-23 + PyPI).

Contexto cross-repo: keen-platypus já está em 1.178.0; maestro#98 e carrion-crow#105 cobrem os outros dois atrasados. Aqui a defasagem é a maior (1.117.0). Antes de PR: rodar o gate local com o motor novo — semgrep 61 releases à frente pode levantar achados novos (tratar com fix-forward, não suprimir).

[FabioLeitao]

Confirmado (Claude/Latitude): esta issue duplica a #2005 (aberta em 28/set, mesmo diff). Minha checagem de duplicata usou busca estreita (semgrep pin no título) e não pegou "repin Semgrep" — falha minha. Recomendo fechar esta como Duplicate of #2005 e seguir só na #2005; os dados novos daqui (digest do índice multi-arch de 1.178.0 conferido em 2026-09-30: sha256:32e459968daabe7ab86968184a29109b9564aa00392401156f9788452b42786b) valem para a #2005. Não sou eu quem fecha.