@alembic/marketing-factory: a fábrica de anúncios multi-tenant

O pacote nasceu internalizando o "Supercomputer" do Higgsfield atrás de uma camada anticorrupção — e a decisão estrutural foi ser multi-tenant desde o tipo: sinal, brief, marca, script, restrições e ativos são INPUTS por cliente. O clientBriefSchema (packages/marketing-factory/src/types.ts:871) carrega o grupo identity — location, characters, wardrobe, scenarios, sceneObjects, nonVerbal, referenceAssets (types.ts:925–928, :850) — mais a marca com spokenName (types.ts:895) e os proibidos forbiddenVisuals/forbiddenClaims (types.ts:898).

A entrada é AUTO-detectada na CLI: um JSON com objeto client que passa no clientBriefSchema.safeParse é um ClientBrief; sem client, é um BusinessSignal fino — "a brief is recognised only when clientBriefSchema parses" (apps/cli/src/commands.ts:2903–2926). Um brief é projetado de volta em signal via briefToSignal, então a fábrica existente consome os dois sem bifurcar código.

Pense como… uma gráfica de moldes: o molde (pipeline) é um só; o que muda de pedido para pedido é a arte que o cliente traz na pasta. Onde a analogia quebra: aqui a "arte" inclui rosto, uniforme, parede do escritório — e o molde tem travas que RECUSAM imprimir sem aprovação dupla.

Duas peças fazem um render sair "inconfundivelmente do cliente" em vez de genérico. A primeira é TEXTO: buildIdentityContext(brief) (identity.ts:19–80) monta UM bloco determinístico — marca (com a forma falada), o que faz, público, localização, voz, tom, personagens, figurino, cenários, objetos de cena, cores — e fecha com os LOCKS invioláveis: "nunca mostrar: …" / "nunca afirmar/implicar: …" (identity.ts:60–67). O bloco é PREPENDADO a todo prompt criativo. Um brief fino (só nome) injeta NADA — byte-idêntico ao comportamento pré-identidade (identity.ts:20–23, 69–70).

A segunda é IMAGEM: identityRefAssetIds(brief) (identity.ts:98–106) junta os assets reais já upados (logo, escritório, uniforme, produto) e o refAssetId de cada personagem — pulando avatares sintéticos — e o chamador aplica o teto do modelo: MAX_REFERENCE_IMAGES = 7 (ads.ts:103), resolvido por modelo via referenceCapForModel (ads.ts:118–120), porque o limite de 7 é do gemini_omni (ads.ts:208).

const locks: string[] = [];
if (brand.forbiddenVisuals.length > 0) {
  locks.push(`nunca mostrar: ${brand.forbiddenVisuals.join(', ')}`);
}
if (brand.forbiddenClaims.length > 0) {
  locks.push(`nunca afirmar/implicar: ${brand.forbiddenClaims.map((c) => `"${c}"`).join(', ')}`);
}
if (locks.length > 0) lines.push(`- LOCKS (invioláveis): ${locks.join('; ')}`);

Decisão de founder, não default acidental: vídeo é SEMPRE gemini_omni (Gemini Omni Flash) — DEFAULT_VIDEO_MODEL_ID = 'gemini_omni' (ads.ts:95), resolvido por modelId = opts.modelId ?? DEFAULT_VIDEO_MODEL_ID (ads.ts:172) — pela fala pt-BR com lipsync; imagem é gpt_image_2 (o builder de job dedicado em higgsfield-api.ts:119–135). Um operador pode pinar outro modelo via --model-id; sem pino, a fábrica não "escolhe" — obedece.

E a lição cara de aspect ratio: o modelo IGNORA "9:16" escrito no prompt e rende landscape. A correção é estrutural — --aspect viaja como o parâmetro REAL aspect_ratio de geração (buildVideoSceneParams, ads.ts:136–149), passado VERBATIM para o modelo SELECIONADO validar: o enum do gemini_omni é só 16:9,9:16 (verificado via higgsfield model get gemini_omni, citado em ads.ts:87); um valor fora do enum falha fechado ANTES de gastar.

O contrato de gasto está escrito no topo de ads.ts: "Spend-safe by construction: dryRun defaults to true … Real generation requires BOTH dryRun: false and approve: true" (ads.ts:28–31). No código: const dryRun = opts.dryRun ?? true (ads.ts:173) e o portão if (dryRun || !opts.approve) devolve o preview de custo (estimateCost SEMPRE roda primeiro, ads.ts:163) sem tocar o createGeneration pago (ads.ts:245). Na CLI isso vira as duas flags --approve E --yes — e o mesmo par governa marketing ad, sheets e campaign.

runMarketingFactory (flow.ts:78+) fecha o ciclo de um signal: copy/GTM → criativos → filtro do ViralityScorer → AssetsManifest versionado e content-addressed (flow.ts:282–283). O scorer é um PORT (flow.ts:45) com default honesto offlineViralityScorer (flow.ts:58, escolhido em :345) — kept/rejected sem fingir um preditor que não existe; o hash do manifest permanece determinístico sobre inputs idênticos (flow.ts:263).

E a fábrica também fala MCP — offline por default: MARKETING_MCP_TOOLS expõe as 6 capacidades do Supercomputer (marketing_virality_prediction, marketing_video_analyzer, marketing_video_generator, marketing_image_to_video, marketing_soul_training, marketing_viral_clip_generator — mcp.ts:49–62). As 3 ferramentas de crédito repetem a dupla trava por chamada (dryRun:false E approve:true, mcp.ts:56, :258–261) — e mesmo aprovada, uma chamada com os deps OFFLINE default FALHA FECHADA pedindo createOnlineMarketingMcpDeps({ higgsfield }) (mcp.ts:177, :566): gastar exige injetar o backend real DE PROPÓSITO, duas vezes.

Por fim, o conhecimento operacional vive como skill no próprio pacote: packages/marketing-factory/skills/ carrega ads-factory.md (o orquestrador de 4 estágios: assets → shotlist → cenas → QA) e seedance-shotlist-director/SKILL.md (a skill canônica do founder para autorar shotlists do Estágio 2, internalizada verbatim) — as DUAS skills canônicas do pacote (prova: ls packages/marketing-factory/skills/; o diretório também guarda os playbooks de copy que o loader loadMarketingSkill injeta como contexto — skills.ts:28+).