feat(episode): TRAZA_lo-que-el-ataque-encontr_S20260804.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: TESSERA | Type: troubleshooting
Summary: EPISODIO 1 — MNEMO_PRE_DIGEST: Lo que el ataque encontró

episodes/TRAZA_lo-que-el-ataque-encontr_S20260804.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,34 @@
+---
+episode_id: "db7c7b4f-fea5-4170-b415-0e5332297f6a"
+puente_flat: "TRAZA_lo-que-el-ataque-encontr_S20260804.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260804.LLMOS_OLAS_AUDITORIA"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "TESSERA"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — MNEMO_PRE_DIGEST: Lo que el ataque encontró"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-08-05T04:48:10.307956+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Ataque ejecutado y círculo cerrado. Entregas:
+
+📄 **[AUDITORIA_ADVERSARIAL_S20260804_ember_atacado_con_prompt_v3.md](docs/AUDITORIA_ADVERSARIAL_S20260804_ember_atacado_con_prompt_v3.md)** — el examen adversarial
+📄 **[AUDITORIA_S20260804_ember_vs_doctrina_llm_os_v3_core.md](docs/AUDITORIA_S20260804_ember_vs_doctrina_llm_os_v3_core.md)** — con AVISO DLC-2, legacy intacto
+
+## Lo que el ataque encontró
+
+**ADV-EMBER-001 · P1 · el hallazgo grave, y ya no es sospecha.** Ayer dije que el gap de memoria era inferencia; hoy lo medí. El constructor del payload en `crisol_run.py:459-477` escribe `tier`, `confidence`, `ingested_via`, `puente_id`, `content_sha256`… y **cero campos que liguen el episodio al desenlace del turno que lo originó**. Búsqueda de `source_run|run_outcome|outcome|record_state`: 0 coincidencias. Consecuencia: si un turno falla o lo revertimos, su episodio entra a la memoria idéntico a uno exitoso, y **no hay forma de encontrarlo después para revocarlo**. No es que el invariante se viole a veces: es estructuralmente inalcanzable porque el campo no existe. Y no se repara hacia atrás — los episodios ya ingeridos no tienen con qué distinguirse.
+
+**ADV-EMBER-002 · P2 · un modo transitorio que lleva 102 días siendo permanente.** El flag `protocolo_canary.flag` dice `since: 2026-04-25` y **no tiene campo de expiración**. Sus criterios de salida —"5 sesiones canary + FP<15%/FN<5% + John auth explícito"— nunca se evaluaron. Es el anti-patrón ZD-AP7 que promulgamos ayer, vivo en nuestro propio disco desde antes de escribirlo.
+
+**ADV-EMBER-003 · P2:** existe un `mcp_strict_mode` que viene **apagado de fábrica**, en la superficie más expuesta a supply-chain. El problema no es el default; es que no hay decisión documentada de por qué.
+
+**Y dos hallazgos contra mí mismo**, que son los que me dan confianza en que el ataque no fue teatro:
+
+**ADV-EMBER-004:** mi auditoría de ayer calificó C-01 como ❌ describiendo el deny como "islas". Medido hoy: **23 hooks de producción con deny, 0 muertos, 31/31 gates probables muerden** con control positivo. C-01 es 🟡, no ❌. **La nota sube de 9.0 a 9.5/18.** Me califiqué peor de lo que estoy — un error con signo humilde sigue siendo un error, y va corregido con AVISO en vez de reescritura.