feat(episode): DEPURA_cierre-del-fix-verify-first_S20260618.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 3 — BLINDADAS: Cierre del fix verify-first

episodes/DEPURA_cierre-del-fix-verify-first_S20260618.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,43 @@
+---
+episode_id: "d95b25f8-6667-4096-a21a-fafd2ac851d6"
+puente_flat: "DEPURA_cierre-del-fix-verify-first_S20260618.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260618.VERIFY_FIRST_PASSPORT_FIX"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 3 — BLINDADAS: Cierre del fix verify-first"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-18T13:44:06.237030+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**Resuelto y verificado.** Confirmaciones finales (BLINDADA-9):
+- ✅ **Mi fix está en HEAD** — el comentario "FIX S20260618 (John OK explicito)" está en el branch Bash-modifier (línea ~605). Es mi edit (un auto-commit del repo lo capturó antes de mi commit explícito, por eso mi commit solo mostró el test).
+- ✅ **Test verde contra HEAD** (passport-allow PASSED = fix funciona; without-read PASSED = no debilita).
+- ✅ **Pusheado:** `origin/tierb_fix = 6382f00 = HEAD` (los 3 remotos sincronizados).
+- ✅ AR-AP7 consultado + tu autorización explícita.
+
+## Cierre del fix verify-first
+
+**Entregado y verificado:** el branch Bash-modifier de verify-first ahora reconoce lecturas vía Read tool (passport) → muere el bloqueo espurio que sufrí con `cp INFRA_MANIFEST` (R30), **sin debilitar** el gate (archivo no leído sigue `deny`, probado).
+
+**Hallazgo de coordinación:** otras instancias trabajaron ESTE mismo hook en paralelo — `704db4f` (INST21536: "verify-first passport fallback Read tool") y `ff86953` (INST32500: "gates sobreviven rotación session UUID"). Hay trabajo multi-instancia concurrente sobre los gates de seguridad; explica parte del churn de estado que vi.
+
+**Honestidad sobre la suite (no la escondo):** el archivo completo da **12/14**. Los 2 rojos —`test_edit_code_without_execution_blocks` (test-before-fix) + `test_edit_code_emits_reminder` (success-criteria)— son de **OTROS hooks que mi fix no toca** (subprocesos distintos; imposible por construcción que mi cambio los cause). Fallan por polución de state a nivel sesión + falta de aislamiento propio de esos 2 tests; persisten tras limpiar state. **Pre-existentes, no regresión mía.**
+
+### 📍 PARA JOHN — R1 (S20260618.VERIFY_FIRST_PASSPORT_FIX)
+**Hice:** apliqué (con tu OK explícito + AR-AP7) el fix passport al branch Bash de verify-first, lo probé en aislamiento (funciona + no debilita), test de regresión committeado + pusheado triple-remoto. Confirmé que el fix está en HEAD y sincronizado.
+
+**Falta:** los 2 tests rojos de OTROS hooks (test-before-fix + success-criteria) — deuda de aislamiento pre-existente, ajena a mi cambio.
+
+**Mi consejo:** el objetivo de A está cumplido y verificado. Los 2 rojos valen un fix de aislamiento (darles `_clear_state` propio como hicimos con los verify-first), pero es tarea separada y posiblemente de otra instancia (ellas están en estos hooks). No la encadeno sin que decidas.
+
+**Para avanzar, elegí:**
+- 🟢 **A** *(recomendado)* — Cerramos; el fix verify-first está entregado, verificado y respaldado. Los 2 rojos quedan documentados como deuda de aislamiento separada.
+- 🟡 **B** — Arreglo el aislamiento de los 2 tests rojos (darles clear-state propio) — pero coordinando antes con las instancias INST21536/INST32500 que están en estos hooks (correo).
+- ⚪ **C** — Otra cosa.