update(episode): TRAZA_chat-tema-raz-alquimia-v2-y-trinquete-de_S20260919.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — MNEMO_PRE_DIGEST: CHAT-TEMA-RAÍZ: ALQUIMIA v2 y trinquete del presu

episodes/TRAZA_chat-tema-raz-alquimia-v2-y-trinquete-de_S20260919.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -17,15 +17,31 @@ forgejo_commit_sha: "pending"
 ---
 
 # CHAT-TEMA-RAÍZ: ALQUIMIA v2 y trinquete del presupuesto residente
-## R15 — Opción A ejecutada: cuarta revisión, v1.4 y comprobación de cierre en marcha
 
-### [R15.seccion1.P1] Qué encontró la cuarta revisión
+## [R16.seccion1.P1] Comprobación de cierre: veredicto PASSES, y v1.4.1 guardada
 
-Lancé dos revisores independientes a la vez, con un modelo distinto del mío. Uno fue estático, de solo lectura. El otro fue un atacante que ejecuta experimentos en carpetas temporales. Volvieron los dos (2 de 2) y ambos dieron NEEDS_REVISION, con la misma conclusión sobre lo que firmarías:
+El atacante que reanudé terminó su revisión de la v1.4 y su veredicto es **PASSES**.
 
-- **El texto del bloque es sólido.** El atacante lo ejecutó 168 veces sobre copias de tus dos guiones reales. Usó `sh`, `bash` y `dash`, con `set -e`, `-u` y `-eu`, y siete códigos de salida distintos. No encontró ninguna anomalía.
-- Nunca logró que tu escáner de secretos dejara de escanear, ni que quedara vacío o truncado.
+- **Sus 6 hallazgos quedaron cerrados.** Lo comprobó con comando y salida real, reutilizando sus propios scripts.
+- **El bloque que firmarías resistió otras 36 ejecuciones hostiles.** Sumadas a las 168 de antes son 204, con 0 anomalías.
+  - Solo el código 3 rechaza un commit.
+  - El código 5 no reintenta.
+  - Nunca logró que tu escáner de secretos dejara de escanear, ni que quedara vacío o truncado.
+- **El permiso por contenido resistió sus seis ataques.** Lo probó con el mismo contenido tres veces, con otro contenido, alargando el TTL, manipulando la constancia, con residente ausente frente a vacío, y con `HEAD` distinto. Además resistió el escenario real con commits: tu escáner rechaza, repites lo mismo y se vuelve a conceder. Si repites con otro contenido, deniega.
+- **La puerta del banco funciona.** Lo midió con el banco real: sobre un guion con el ancla dentro de una función que nadie llama, salen 4 filas en FALLA, `instalar()` devuelve 1 y el guion queda intacto.
 
-Entre los dos sumaron 9 hallazgos distintos, y reproduje los 9 antes de tocar nada. El que importa es la **doble ejecución**. El bucle de intérpretes de la v1.3 chocaba con el permiso de un solo uso de la v1.0, y un commit que tú habías autorizado podía salir RECHAZADO. Ninguna revisión estática lo había visto. Hacía falta ejecutarlo para encontrarlo.
+Trajo un hallazgo nuevo de severidad media, N1. Afectaba al módulo, no al bloque. Si fallaba la escritura de la constancia o el borrado del permiso, el permiso fresco sobrevivía y otro contenido distinto podía usarlo.
 
-### [R15.seccion2.L1] Qué cambió en la v1.4 (commit `f30f3395`, en los 3 remotos)
+Lo arreglé en la v1.4.1. Ahora son dos pasos independientes. El permiso fresco se retira pase lo que pase, y si el sistema operativo no deja borrarlo, se invalida sobrescribiéndolo. Su propio script ya no reproduce el defecto: en las dos variantes, el contenido distinto sale `deniega`.
+
+**Estado guardado en los 3 remotos:**
+- `f30f3395` (v1.4), `7e283b63` (v1.4.1) y `223a32d8` (propagación a la cola, la propuesta y la cosecha).
+- Tests: 58 + 45. Banco: 14 de 14.
+- Huellas de tus `pre-commit` reales idénticas (`b6937a8f…`, `956024c3…`), con 0 marcadores del bloque.
+- Disco C: con 6,9 GB libres.
+
+Hay una parte que ningún tercero ha visto en persona: las 20 líneas de la corrección v1.4.1. Esa parte solo la ha re-verificado el script del propio atacante.
+
+El acta completa está en la sección 9 de [docs/SPEC_S20260919_trinquete_commit_presupuesto_residente.md](docs/SPEC_S20260919_trinquete_commit_presupuesto_residente.md).
+
+## [R16.seccion2.P2] Prólogo de la decisión