feat(episode): TRAZA_high-heredadas-descubiertas_S20260520.R60_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: chronicle
Summary: EPISODIO 60 — BLINDADAS: 🟠 HIGH (heredadas + descubiertas)

episodes/TRAZA_high-heredadas-descubiertas_S20260520.R60_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,57 @@
+---
+episode_id: "454adec8-2fd9-4a9c-a77b-cb6c69603f50"
+puente_flat: "TRAZA_high-heredadas-descubiertas_S20260520.R60_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260520.RELOJERO_PATCH_SOTA_2026"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 60 — BLINDADAS: 🟠 HIGH (heredadas + descubiertas)"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-05-21T11:02:05.402542+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+(ver tabla §4 + prólogo arriba)
+
+### 🟠 HIGH (heredadas + descubiertas)
+- **T-NEW2 Sub-Fase 4** — integrar `mega-hook-mcp-payload-guard.py` con Casbin (~50-80K) [origen commit R24]
+- **T-NEW2 Sub-Fase 5** — commit + registrar en settings.json (~10K)
+- **T-3STRONG-MIGRATE** — `aegis-capability-gate` + `panel-analitico` + `inmigracion-interpiso` migración Casbin (sprint separado ~250-450K)
+- **D-009** push triple-remoto BLINDADA-29 (34 archivos backlog + WIP actual)
+- **POLICY-CENTRAL** decisión arquitectónica destructive_patterns.csv compartido
+
+### 🟡 MEDIUM
+- **B-004** LOOP_WRITE — **55 episodios** Qdrant push (acumulado de 19, drift +36) [origen boot panel]
+- **B-V4** V4 Markdown injection patterns en policy mcp-payload CSV
+- **B-DRIFT-EXODUS** mi EXODUS Casbin R11 quedó outdated — opcionalmente actualizarlo o crear suplemento
+
+### ⚪ LOW
+- 18 archivos modified workspace (MAPs auto-gen + STATE/ACTIVO + dashboard) — deuda heredada no del arco Casbin
+
+### ✅ RESUELTAS ESTE TURNO
+- **Z-001** [R3]: scan empírico fresh multi-fuente completado — drift detectado + tabla maestra entregada
+- **Z-002** [R3]: pytest mcp-payload verificado fresh 30/30 PASS in 0.75s
+
+📁 **BITÁCORA S20260520.RELOJERO_PATCH_SOTA_2026.R3:**
+  🔍 GLOB `policies/*` → 5 archivos
+  🔍 GLOB `casbin-poc/*` → 12 archivos
+  🔍 GLOB `docs/*[Cc]asbin*` → 3 docs S20260518 (filtro case-insensitive parcial)
+  🔍 GLOB `docs/*S20260519*` → 18 docs sprint completo
+  🔍 GREP `casbin` en `.claude/hooks/*.py` → solo `mega-hook-ssh.py`
+  ⚡ BASH `git log --grep=casbin -i` → 8 commits del arco
+  ⚡ BASH `pip show casbin simpleeval` → `1.43.0 + 1.0.7`
+  ⚡ BASH `git show --stat 5996f3d c53ff45` → R24 commits detallados
+  ⚡ BASH `git log oneline -15` → contexto cronológico
+  ⚡ BASH `git status --short` → 18 modified + ~25 untracked
+  ⚡ BASH `git log --grep "Sub-Fase 4"` → 0 hits (nunca existió commit Sub-Fase 4)
+  ⚡ BASH `cd casbin-poc && pytest test_casbin_mcp_payload_authz.py` → **30/30 PASSED 0.75s**
+  📖 READ `casbin-poc/casbin_mcp_payload_authz.py` L1-80 → motor 3-ejes
+  📖 READ `.claude/hooks/mega-hook-mcp-payload-guard.py` L1-60 → confirmado v1.0 imperativo NO integrado
+  📖 READ `policies/mcp_payload_authz_policy.csv` full → 26 reglas declarativas
+  📖 READ `policies/mcp_payload_authz_model.conf` full → modelo PERM 3 ejes
+  🔍 GREP `casbin_*_authz|_casbin_evaluate` `.claude/hooks` → ssh hook only