diff --git a/episodes/TRAZA_vigilante-en-marcha-bwqsde58u-mientras_S20261020.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md b/episodes/TRAZA_vigilante-en-marcha-bwqsde58u-mientras_S20261020.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md
new file mode 100644
index 00000000..e9eb566f
--- /dev/null
+++ b/episodes/TRAZA_vigilante-en-marcha-bwqsde58u-mientras_S20261020.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md
@@ -0,0 +1,30 @@
+---
+episode_id: "746c4b04-9eb6-46ec-b298-e62cfc428c26"
+puente_flat: "TRAZA_vigilante-en-marcha-bwqsde58u-mientras_S20261020.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20261020.SID31C597511801"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "AEGIS"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 3 — John: Vigilante en marcha ( bwqsde58u ). Mientras tecleas..."
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-10-28T01:33:55.726832+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Vigilante en marcha (`bwqsde58u`). Mientras tecleas la contraseña, un adelanto con lo que la fase 1 ya permite decir sobre la **RTX A6000**: hay tres slots x16 libres (3, 4 y 6) además del slot 2 que hoy ocupa la vieja GTX 770 (la A6000 la sustituiría ahí: mismo tamaño de ranura, x16 de la CPU0); una A6000 es de doble ranura, 300 W y necesita un conector de alimentación de 8 pines desde la fuente. Lo que decide si va dentro o fuera es la **potencia de la fuente** y los cables de GPU que traiga, y eso lo dice la fase 2 (tabla SMBIOS). Mi expectativa, por el modelo de la Z8 (HP certifica hasta dos A6000 dentro, informe Spark §12.3): **dentro**, sin dock; lo confirmo con el dato.
+
+📋 CHECKPOINT (B3): entregados inventario fase 1 (2 archivos en el repo), script fase 2 copiado a la Z8, ventana abierta; pendiente contraseña de John y análisis; ⛽ GREEN (estimado).
+
+Ventana nueva abierta (PID 8824); teclea tu contraseña de `john` cuando la pida y el vigilante trae el archivo solo. Mientras, lo que la primera pasada ya dejó **verificado con root**, todo en verde:
+
+- **Cortafuegos:** `ufw` activo, política por defecto **denegar entrada / permitir salida / sin reenvío**, única regla: 22/tcp desde `192.168.50.0/24`. Las cadenas internas (`nft`) muestran lo esperado: loopback, conexiones establecidas, ICMP básico, DHCP; nada más.
+- **SSH:** solo llave pública, sin contraseña, sin root, 3 intentos, usuario permitido `john`, solo `authorized_keys`.
+- **Parches:** descarga e instalación de seguridad automáticas activas; el **reinicio automático no está fijado** (DP-S4 sigue abierta).
+- **AppArmor** activo: 101 perfiles cargados, 7 en modo estricto.
+- **sudo:** reglas estándar (ninguna `NOPASSWD`); `john` en `sudo`, `adm`, `lxd` (ese último lo quitaremos en S2: nadie lo necesita).
+- **Red:** `eno1` 1 Gb/s en uso; el puerto X722 sin cable y a 1 GbE con firmware 4.11.