feat(episode): TRAZA_4-lo-que-falta-delta-emprico-vs-target-o_S20260520.R59_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: AEGIS | Type: troubleshooting
Summary: EPISODIO 59 — BLINDADAS: 4. Lo que falta (delta empírico vs target original)

episodes/TRAZA_4-lo-que-falta-delta-emprico-vs-target-o_S20260520.R59_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,50 @@
+---
+episode_id: "f556a0d5-0270-4aa3-8750-49709c27006c"
+puente_flat: "TRAZA_4-lo-que-falta-delta-emprico-vs-target-o_S20260520.R59_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260520.RELOJERO_PATCH_SOTA_2026"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "AEGIS"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 59 — BLINDADAS: 4. Lo que falta (delta empírico vs target original)"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-05-21T11:04:46.265257+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+| SHA | Sprint | Qué hizo |
+|-----|--------|----------|
+| `95bd211` | S20260518.PIPELINE_FIXES | **Fase 5 ssh** — fix `_is_inside_quotes` bypass + delegate a Casbin |
+| `1f0b137` | S20260519.R9 | docs(casbin): cierre arco + audit completo 57 hooks |
+| `fa0cfc7` | S20260519.R9 | chore(hooks): dedupe CONTRACT ×5 hardened + fill PASSPORT |
+| **`5996f3d`** | **S20260519.R24** | **NUEVO** — Sprint 0 saneamiento credenciales + CU-2 v1.1 + **T-NEW2 Sub-Fases 1-2** (policies + motor mcp-payload) |
+| **`c53ff45`** | **S20260519.R24** | **NUEVO** — T-NEW2 Sub-Fase 3 pytest 30/30 PASSED |
+| `8b84b71` | S20260519.R26 | T-NEW1 dedupe [FILL] 4 hooks no-D3 |
+| `20b2077` | S20260519.R26 | Sprint A.3 deferred + Hypothesis Capa A RELOJERO |
+| `3cda3c6` | S20260519.R28 | T-NEW1-MASS retrofit FILL 29 hooks idempotente |
+| `ebb902a` | S20260519.R29 | **T-003 pin** casbin==1.43.0 + simpleeval==1.0.7 |
+| `28619fb` | S20260519.R30 | feat(close): D-002 routeo-activacion + T-006 STATE+HANDOFF + cierre |
+
+**La sesión anterior NO terminó en mi R11 — continuó hasta R30.** Mi EXODUS `EXODUS_S20260519_CASBIN_AUDIT_ARCO_CLOSURE.md` está **OUTDATED**: dijo "sprint cerrado, T-NEW2 propagado a próxima instancia". Realidad: la instancia continuación ejecutó Sub-Fases 1-3 de T-NEW2 antes de cerrar.
+
+—
+
+## 4. Lo que falta (delta empírico vs target original)
+
+| Item | Bloqueador | Token estimate | Riesgo |
+|------|-----------|---------------:|--------|
+| **T-NEW2 Sub-Fase 4** — integrar `mega-hook-mcp-payload-guard.py` con `casbin_mcp_payload_authz.evaluate` (patrón gemelo a ssh v2.0) | Decisión arquitectónica + tests in-vivo equivalentes a 17/17 ssh | 40-80K | medio (hook activo seguridad) |
+| **T-NEW2 Sub-Fase 5** — commit canónico EMBER + registrar en `settings.json` (hook nunca fue registrado — gap separado) | Depende Sub-Fase 4 | 10K | bajo |
+| **V4 Markdown injection** en policy CSV | No incluido en R24 (commit message dice 26 reglas, V4 separado) | 5-10K | bajo |
+| **3 STRONG restantes** — `aegis-capability-gate`, `panel-analitico`, `inmigracion-interpiso` | Sprint separado (cada uno ~80-150K) | 250-450K total | medio-alto |
+| **Policy destructiva centralizada** — `policies/destructive_patterns.csv` único compartido entre ssh + ley-zero D1/D2/D4 + paav | Decisión arquitectónica (centralización vs duplicación intencional) | 30-50K | bajo-medio |
+| **D-009 push triple-remoto** | OK John + triage 34+ archivos backlog | TBD | medio (BLINDADA-29) |
+| **B-004 LOOP_WRITE Qdrant** | Acumulado de 19 → **55 episodios** | 20K | bajo (advisory) |
+
+—
+
+## 5. Drift vs mi contexto heredado (las "otras instancias" que mencionaste)