[fix-CI/CD] fix audit

[ericklucioh]

Summary

Ajuste no pipeline de segurança (pip-audit) para lidar com uma vulnerabilidade conhecida (CVE-2026-4539) no pacote pygments, atualmente sem versão corrigida disponível upstream.

O pipeline estava falhando devido ao uso de --strict, que força erro em qualquer vulnerabilidade detectada. No entanto, como a CVE identificada ainda não possui patch publicado, não é possível corrigi-la via upgrade de dependências nem via pip-audit --fix.

A solução aplicada foi adicionar a flag --ignore-vuln CVE-2026-4539 nos comandos de auditoria, permitindo que o pipeline continue bloqueando novas vulnerabilidades, enquanto ignora explicitamente esse caso específico até que haja correção oficial.

Esse ajuste mantém o rigor de segurança do CI, evitando falsos bloqueios por vulnerabilidades não corrigíveis no momento.

---

Release metadata

Release note (PT-BR):
Ajuste no pipeline de auditoria de dependências Python para ignorar temporariamente uma vulnerabilidade sem patch disponível, evitando falhas indevidas no CI.

Release note (EN):
Adjusted Python dependency audit pipeline to temporarily ignore a vulnerability without an available patch, preventing unnecessary CI failures.

Release highlights (PT-BR, bullets with |):
Melhoria na estabilidade do CI | Manutenção do rigor de segurança | Tratamento explícito de CVE sem patch | Evita falsos negativos em builds

Release highlights (EN, bullets with |):
Improved CI stability | Maintained strict security checks | Explicit handling of unpatched CVE | Prevents false build failures

Included pattern IDs (comma-separated, or none):
none

Technical changes (PT-BR, bullets with |):
Adição da flag --ignore-vuln CVE-2026-4539 no pip-audit | Manutenção do uso de --strict para outras vulnerabilidades | Documentação do workaround temporário no pipeline | Preservação da verificação automatizada de segurança

Technical changes (EN, bullets with |):
Added --ignore-vuln CVE-2026-4539 flag to pip-audit | Retained --strict for all other vulnerabilities | Documented temporary workaround in pipeline | Preserved automated security checks

Change type (choose one release label from taxonomy):

• release:major
• release:feature
• release:patterns
• release:api
• release:data
• release:privacy
• release:fix
• release:infra
• release:security

Breaking change?

• No
• Yes (describe migration/impact in summary)

---

Validation

• Local tests/checks passed for impacted scope
• CI and Security checks are green
• Exactly one release label is set on this PR

---

Public safety and compliance checklist

• No personal identifier exposure was introduced
• PUBLIC_MODE behavior was reviewed (if relevant)
• Public boundary gate is green
• Public endpoints and demo data contain no personal data fields
• Legal/policy docs were reviewed for scope-impacting changes
• Snapshot boundary remains compliant with docs/release/public_boundary_matrix.csv

---

Risk and rollback

Riscos:

• Possível exposição a vulnerabilidade do pygments enquanto não houver patch disponível (baixo risco, dependendo do uso da lib).
• Risco de esquecer de remover o ignore após lançamento da versão corrigida.

Mitigação:

• CVE ignorado explicitamente e de forma isolada (não afeta outras vulnerabilidades).
• Pipeline continua falhando para qualquer nova vulnerabilidade.
• Comentário TODO adicionado para remoção futura.

Rollback:

• Remover a flag --ignore-vuln CVE-2026-4539 dos comandos de audit.
• Reexecutar pipeline com comportamento original (falha em qualquer vulnerabilidade).