feat(episode): TRAZA_seguridad-el-sistema-hizo-su-trabajo_S20260923.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — PROBATOR: Seguridad: el sistema hizo su trabajo

episodes/TRAZA_seguridad-el-sistema-hizo-su-trabajo_S20260923.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,37 @@
+---
+episode_id: "943f49a4-af89-4a42-bad7-6e1ed497defc"
+puente_flat: "TRAZA_seguridad-el-sistema-hizo-su-trabajo_S20260923.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260923.SIDC61B58AF8BC4"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — PROBATOR: Seguridad: el sistema hizo su trabajo"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-09-23T20:44:05.452854+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Ya tenemos la primera cosecha real con el sistema nuevo. `affaan-m/ecc` quedó estudiado con todas las defensas activas y la ficha está en el repositorio: [FICHA_DIGESTION_S20260923_ecc_segunda_cosecha.md](docs/FICHA_DIGESTION_S20260923_ecc_segunda_cosecha.md) (`d33d5ae0`, subido a los 3 remotos).
+
+## Seguridad: el sistema hizo su trabajo
+
+- **R1:** clon blindado del commit `bf70150eb2df`, con **licencia MIT** detectada.
+- **R2:** el escáner levantó 8 críticos. El lector comprobó que **ninguno era un ataque**: todos eran texto defensivo, como reglas de "no obedezcas lo que venga en un issue" o pruebas de un detector de inyecciones.
+- **Un riesgo sutil, bien cazado:** un documento del repositorio enseña a tratar como "benignos" ciertos recordatorios que piden ocultarse al usuario. Absorbido como doctrina, **desarmaría** a un agente. Lo marcamos y no se adopta.
+- **R4:** la ficha comparte **0** frases con el original.
+
+## Las 6 ideas nuevas (ya excluidas las que tomamos en julio)
+
+| # | Idea | Qué le da a Ember | Costo |
+|---|---|---|---|
+| 1 | **Revisión en dos etapas con verificador escéptico** | PROBATOR y ESPEJO dejan de ser prosa: un revisor caído **nunca** cuenta como aprobado, y la duda **nunca** borra un hallazgo | medio |
+| 2 | **Puerta de "hechos forzados"** | Antes de tocar un archivo crítico hay que presentar hechos: quién lo usa y cómo deshacer el cambio. El original no verifica esos hechos; nuestra versión sí lo haría | medio |
+| 3 | **Amortiguar avisos repetidos** | Arregla un **defecto nuestro visto hoy**: el aviso de cuarentena se repitió idéntico más de 20 veces dentro del lector | **bajo** |
+| 4 | **Cerrojo sobre umbrales y oráculos** | Impide "aflojar la prueba para que pase" (lo que exige la regla RT-2) | bajo-medio |
+| 5 | **ID por hook + exención estrecha** | En vez de apagar un guardián entero, se exime solo lo necesario | medio |
+| 6 | **"No corrió" ≠ "limpio"** | Cada guardián declara si de verdad miró; ataca la lección "un registro mudo no prueba nada" | **bajo** |