feat(episode): TRAZA_tarea-aislar-log-ley-zero-en-test-gates_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — Ember: Tarea «Aislar log Ley Zero en test gates actually deny» — ce

episodes/TRAZA_tarea-aislar-log-ley-zero-en-test-gates_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,50 @@
+---
+episode_id: "9f4be3fc-6e16-47a2-85fb-676a1b4ee546"
+puente_flat: "TRAZA_tarea-aislar-log-ley-zero-en-test-gates_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260924.SIDAD7A050BC859"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — Ember: Tarea «Aislar log Ley Zero en test gates actually deny» — ce"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-10-01T02:18:54.366668+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+La tarea que pediste está **hecha, revisada y subida**. Queda en curso solo la puerta final del guardián, que es el otro carril.
+
+## Tarea «Aislar log Ley Zero en test_gates_actually_deny» — cerrada
+
+**[R7.seccion1.T1] Resultado**
+
+| Qué | Evidencia |
+|---|---|
+| **El defecto**, medido en un espejo | La suite dejaba **+1 línea `BLOCK` falsa** por corrida en el registro de seguridad real |
+| **El arreglo** (solo en el test; el guardián no se tocó) | Un lanzador ejecuta el mismo código del guardián en el orden del fichero, cambia solo la carpeta del log y corre su bloque de entrada `__main__` **tal cual** |
+| **Fidelidad comprobada** | Salida idéntica a `python hook.py` en *allow*, en *deny* (con semilla fija) y con un guardián saboteado |
+| **En el repo real** | **40 passed y 4 skipped**; el log real no cambia al correr la suite |
+| **Revisor independiente** | REQUEST_CHANGES → **APPROVE** tras corregir 2 vías de falso verde (G1, G2) |
+| **Commits** (3 remotos, verificados) | `b41bcd3c` (código) y `2456a70c` (decisión documentada) |
+
+**[R7.seccion1.L1] De regalo, dentro del mismo commit**
+- **Test nuevo del *fail-closed*:** si el guardián revienta por dentro, debe denegar. Hasta hoy nadie lo probaba. Cierra `task_11251445`.
+- **Hallazgo informativo:** el texto del bloqueo D1 nombra al azar `.claude` o `.claude/hooks`, porque la lista de carpetas críticas es un `set`. La decisión nunca cambia.
+
+**[R7.seccion1.L2] Lo que queda fuera, con dueño y fecha**
+- `task_30d31d76` (Ember-Opus, 2026-10-08): la misma suite todavía escribe unas 9 líneas por corrida en **otros 6 logs** de otros hooks. Medido en el espejo.
+
+**[R7.seccion1.I1] El otro carril, el guardián v1.2.2.** Seguridad dio SECURE y está instalado. La puerta final me bloqueó dos cosas reales, ya corregidas:
+
+- un test mío no fallaba contra la v1.2;
+- el veredicto de seguridad no estaba guardado en el repo.
+
+La tercera pasada del validador está corriendo.
+
+- ✅ **Hice:** el arreglo, su revisión independiente y el push. De paso cerré otra tarea pendiente, el test del *fail-closed*.
+- ⏳ **Falta:** el veredicto de la puerta final del guardián (en curso, no depende de ti) y, si aprueba, su commit único.
+- 💡 **Mi consejo:** nada que hacer ahora. Si una ficha de «Testear el fail-closed» te sigue apareciendo, puedes descartarla: ya está hecha en `b41bcd3c`.