ember-memory-test/episodes/TRAZA_r9seccion1i1-terminar-ember-estado-final_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

---

episode_id: "9af4fef6-af84-428a-951a-ee37b9e03902" puente_flat: "TRAZA_r9seccion1i1-terminar-ember-estado-final_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD" session_code: "S20260814.SHERPA_CLONACION_SERVIDOR" acto_dialogico: "informar" actor_flujo: "multi_actor" criticidad_aegis: "low" skill_dominante: "NONE" fase_proyecto: "operations" tipo_semantico: "troubleshooting" summary_one_line: "EPISODIO 1 — MEMORIA: [R9.seccion1.I1] "Terminar EMBER": estado final de la misión" source_type: "claude_code" trust_boundary: "internal" created_at: "2026-08-15T05:50:34.180606+00:00" relectura_tagged: false forgejo_commit_sha: "pending"

[R9.seccion1.I1] "Terminar EMBER": estado final de la misión de clonación

John, esto es lo que existe hoy que no existía cuando dijiste "quiero clonar el ecosistema":

El día que exista la VM, la secuencia es literal: clonar el repo → ember-clone-ecosystem.sh ./bundle-latest → build-local-images.sh → acunar-claves-clon.sh → init-empty-schema.sh → verify-clone-parity.sh → oráculo de 9 puntos. Cada guion existe, tiene bash -n limpio, y los que pudieron probarse contra la realidad, se probaron.

[R9.seccion2.T1] La cosecha de la Sesión 3 — seis mentiras de instrumento cazadas antes de producción

#	El instrumento decía	La realidad	Cazado por
1	parser constraints v1 "funciona"	0/8 contra la captura real	oráculo con datos reales
2	redacción total "es segura"	dejaba 41 falsas internas — acuñar QDRANT_PORT rompe el clon	oráculo del clasificador
3	regex v2 "solo secretos"	atrapaba KEYCHAIN_* (config) por substring	oráculo 11 nombres
4	verificador "leía el manifiesto"	extraía el 4 de "neo4j" como conteo	lectura del control positivo
5	control negativo "mordía"	mutación al revés: quitar del manifiesto DEBILITA	exigir el exit 1
6	scp "subió" (no abortó)	"Connection closed" y el regex viejo siguió en el servidor	grep del contenido remoto

★ Insight ───────────────────────────────────── Ninguno de los 6 se habría visto en la VM hasta el primer ensayo fallido — y varios (el puerto acuñado, el conteo falso) habrían producido fallos confusos lejos de su causa. La doctrina B-30 en una frase: no preguntes si el sensor corre; pregunta si dice la verdad. Esta sesión lo preguntó seis veces y seis veces la respuesta era no. ─────────────────────────────────────────────────

Y un colateral que importaba: .gitignore excluía en silencio las plantillas redactadas — el bundle viajaba sin ellas y el clon no habría tenido qué rellenar. Cerrado con negación explícita; el pre-commit sigue de juez y aprobó.

—

Hice. Las 3 sesiones completas del plan (commits 677f764b, 8cc4493f, 04fb0c52, ace8ea17 — todos en 3 remotos). El sistema de clonación pasó de "diseñado en junio, jamás probado" a "auditado, corregido, con esquema, fuentes, claves y verificador calibrado contra el servidor vivo".

Falta — todo tuyo, nada mío:

1. 🔴 Rotar la clave OpenRouter (expuesta en R8 — sigue pendiente) + borrar ~/playground/grafo-indice-v2-graphify/.orkey en el origen.
2. 🔴 La VM de ensayo (Hetzner, Ubuntu 24.04, ≥16GiB/80GB, por horas) — desbloquea S4-S5.
3. 🟠 Remediación del 22: secretos hardcodeados en ~15 compose del origen.

Mi consejo. El orden es ese: la rotación son 2 minutos y cada día que pasa la clave expuesta es un riesgo vivo. La VM cuando puedas — todo está listo para recibirla: me das la IP y corro el ensayo completo (T-13→T-18→T-14→T-15) en una sesión.