1# Plan — botar busybox, MEDIDO
2
3**Fecha:** 2026-09-21 · **Instrumento:** los 401 symlinks de applet del artefacto sellado
4`2a2b1280…-busybox` (contados en el store del worker), cruzados con el estado y la membresía de
5perfil de cada receta en `docs/state/build-state.json` y con `grep '[deps]' recipes/*.toml`.
6**Tabla applet-por-applet:** `docs/state/busybox-applets.tsv` (401 filas, generada, no escrita a mano).
7
8## Por qué existe este documento
9
10La pregunta fue «¿qué hay que hacer para botar busybox?», con la sospecha de que faltaba escribir
11mucho userland en Rust. **El número dice lo contrario, y el hueco está en otro lado:**
12
13> De los 401 applets, **148 ya tienen dueño sellado Y en perfil** (el applet es redundante en la
14> imagen), **125 tienen dueño sellado que NO viaja en ninguna imagen** (trabajo hecho y no cobrado),
15> y de los **128 sin dueño, 105 son basura que se borra**. El trabajo de escritura real son
16> **23 applets** repartidos en 8 piezas.
17
18Es la lección de `foot` y del §D de `plan-barrido-perfiles-y-servicios.md` otra vez: `uutils`,
19`findutils`, `findutils-xargs`, `diffutils` y **`brush`** están todos `sealed` con `perfiles: []`.
20Se construyeron, se sellaron, y ninguna imagen los lleva.
21
22## Son TRES frentes, no uno — y esto es lo que hace que «botar busybox» se lea como imposible
23
24Mezclarlos es el error que cuesta el trabajo. Tienen dificultad, dueño y riesgo distintos:
25
26| frente | qué es busybox ahí | dificultad |
27|---|---|---|
28| **A · Sandbox de build** | `[deps] build = [… "busybox" …]` en **24 recetas** — es el `sh`+coreutils que el sandbox del lab trae (`recipes/jq.toml:5-7`, `recipes/zlib-ng.toml:11`). Más el `/toolchain` mixto de Alpine con el swap de `docs/11-bootstrap.md:234-240` | media — no es runtime, no toca el producto |
29| **B · Runtime del producto** | los applets de `/bin` y `/sbin` de las imágenes. `USERLAND_COMPONENTS` (`crates/takana-bootstrap/src/lib.rs:406`) ya los ensombrece con los binarios Rust y retira el homónimo de los otros dirs (`lib.rs:676`) | **baja — la máquina ya está construida, falta munición** |
30| **C · Stage 1 / self-host / atestación** | `STAGE1_COMPONENTS` (`lib.rs:172`, el 4/4), `ATTEST_PATHS` como raíz-de-confianza (`lib.rs:465`), y el `exec` de las cards de `getty` y `sshd` (`lib.rs:429`, `:240`) | **alta — es el ADR 0008, y toca la evidencia de reproducibilidad `of_tree=9adefb82…`** |
31
32⚠ **La membresía de perfil de busybox es del frente A, no del B.** `busybox` figura en `cli`,
33`servidor`, los cuatro escritorios y `metal-tigerlake`, pero **no está declarado como raíz en
34`docs/state/targets.toml`** (los únicos hits ahí son comentarios). Llega por la clausura, porque 24
35recetas lo declaran build-dep: `abseil-cpp chrony cronie crun dwarves firmware-tigerlake
36ia-modelo-embeddings intel-ucode jq libmnl libnftnl linux linux-firmware llama-cpp logrotate
37nftables opensmtpd popt protobuf qdrant sof-firmware valkey wireless-regdb zlib-ng`. **Sacarlo de
38las imágenes empieza por ahí y no requiere escribir ni una línea de userland.**
39
40## El reparto de los 401
41
42| estado del dueño | n | qué significa |
43|---|---|---|
44| **sellada + en perfil** | 148 | el reemplazo ya viaja en la imagen: el applet es redundante hoy |
45| **sellada, sin perfil** | 125 | construido, sellado, y no viaja: falta declararlo |
46| **sin dueño** | 128 | de los cuales **105 son `BORRAR`** y **23 son trabajo real** |
47
48### 148 · Ya cubiertos y en la imagen — el applet sobra
49
50`util-linux` 48 · `iproute2` 19 · `procps-ng` 12 · `shadow` 14 · `kbd` 12 · `xz` 6 · `iputils` 5 ·
51`e2fsprogs` 5 · `bzip2` 3 · `cronie` 3 · `dhcpcd` 3 · `ncurses` 2 · `dosfstools` 2 · `chrony` 2 ·
52`vim` 2 · `less` `lsof` `pciutils` `usbutils` `mandoc` `socat` `patch` `binutils` `tar` `wget` 1 c/u.
53
54⚠ **24 de estos 148 NO son drop-in**, y están marcados en el TSV. El caso grande es la red:
55`iproute2` da `ip`/`ss`, **no** `ifconfig`/`route`/`arp`/`netstat` — eso es net-tools, que no está en
56el corpus. Igual con `addgroup`/`adduser` (shadow da `groupadd`/`useradd`), `udhcpc` (dhcpcd es otro
57cliente con otro contrato de hooks) y `nc` (socat tiene otra sintaxis). **Cada uno de esos 24 es una
58migración de llamadores, no un borrado.** Mirar quién los invoca en `scripts/` y en las cards antes.
59
60### 125 · Sellados y sin viajar — la munición que ya está fabricada
61
62| dueño | n | qué cubre |
63|---|---|---|
64| `uutils` | 90 | todo el núcleo POSIX: `ls cp mv rm cat head tail sort cut tr wc stat date dd chmod chown …` |
65| `arje-zero` | 20 | `init linuxrc runlevel halt poweroff reboot run-init switch_root` + los 12 de runit (`runsv sv svc svlogd chpst envdir setuidgid softlimit start-stop-daemon …`) |
66| `hammerd` | 4 | `syslogd klogd logger logread` |
67| `brush` | 3 | **`sh ash hush`** |
68| `gzip` | 3 | `gzip gunzip zcat` |
69| `diffutils` | 2 | `diff cmp` |
70| `findutils` / `findutils-xargs` / `libarchive` | 3 | `find` · `xargs` · `cpio` |
71
72⚠ **CORRECCIÓN (2026-09-21, al ejecutar el paso 1): los 24 de `arje-zero` y `hammerd` NO son
73gratis, y esta tabla decía mal.** Esas dos recetas reemplazan la **función**, no el **comando**:
74cada una instala UN binario (`-p arje-zero`, `-p hammerd`), así que no existe un `poweroff`, un
75`logger` ni un `setuidgid` que las respalde. «Cubierto» significaba «nadie necesita correr esto»,
76y para 5 de los 24 era falso. Ver los indultos del paso 1.
77
78### 128 · Sin dueño
79
80**105 se borran** (no se reemplazan, salen del `defconfig`): `dpkg dpkg-deb rpm rpm2cpio httpd ftpd
81ftpget ftpput tftp tftpd telnet telnetd inetd dnsd sendmail popmaildir lpd lpq lpr ubi* nand*
82nbd-client i2c* hdparm fdformat setserial powertop bootchartd fbsplash conspy ether-wake udhcpd
83udpsvd tcpsvd watchdog whois tree which unzip …` (lista completa en el TSV).
84
85**23 son el trabajo real:**
86
87| pieza | applets | qué es |
88|---|---|---|
89| **kmod** | `insmod rmmod lsmod modprobe depmod modinfo` (6) | no hay receta kmod en el corpus. En Rust: `finit_module` + parseo de `modules.dep`. Bien acotado |
90| **psmisc** | `killall killall5 pstree fuser` (4) | **`procps-ng` NO los trae.** Traer receta psmisc (C) o escribir |
91| **grep POSIX** | `grep egrep fgrep` (3) | `grep` GNU está sellado (sin perfil) como puente. El Rust nativo se escribe sobre `grep-matcher`/`grep-regex`/`grep-searcher` |
92| **gestor de /dev** | `mdev makedevs uevent` (3) | decisión: lo absorbe arje, o entra una receta eudev/mdevd |
93| **bc** | `bc dc` (2) | traer receta |
94| **getty** | `getty cttyhack` (2) | hoy la card de getty ejecuta `/bin/busybox` (`lib.rs:429`) |
95| **awk** | `awk` (1) | decisión abierta, ver abajo |
96| **sed** | `sed` (1) | `sed` GNU sellado y en los 7 perfiles; el Rust nativo está por escribir |
97| **dns** | `nslookup` (1) | traer receta bind-tools/doggo |
98
99## Las tres clases de reemplazo — y cuándo forkear (nunca)
100
101La pregunta era si hay que forkear los que «existen pero no son exactos». **No, y hay tres clases
102distintas que conviene no mezclar:**
103
104**1 · Adopción exacta.** `uutils/coreutils`, `uutils/findutils`, `uutils/diffutils`: reimplementación
105madura, MIT, receta Cargo con commit pinneado (ADR 0006), multicall. El patrón está probado y
106documentado en la cabecera de `recipes/uutils.toml`. Lo que falta de esta clase es
107**`uutils/procps`** y **`uutils/util-linux`** — receta calcada, coste bajo. ⚠ **Verificar su estado
108upstream antes de prometer los 60 applets que cubrirían**: `util-linux` en Rust era embrionario.
109
110**2 · «Existe pero no es exacto» — y forkear es la trampa.** `ripgrep` no es `grep` POSIX, `sd` no es
111`sed`, `fd` no es `find` (por eso la receta buena es `uutils/findutils` y no `fd`), `procs` no es
112`ps`, `bottom` no es `top`, `helix` no es `vi`. Todas están selladas y en los 7 perfiles, y **ninguna
113sirve de reemplazo**: cambian las banderas. Forkear ripgrep para que hable POSIX es peor que
114escribir — heredás su arquitectura de recursión+ignore y peleás contra ella para siempre. Lo correcto
115es usarlas **como librerías**: `grep-matcher`/`grep-regex`/`grep-searcher` están publicadas
116justamente para eso, y un `grep` POSIX encima son unos cientos de líneas.
117
118**3 · `awk` es el caso feo, y hay que decidirlo, no resolverlo de paso.** `recipes/goawk.toml` existe
119y está sellada, pero **goawk es Go, no Rust** — no cumple la premisa de soberanía de cadena de la
120Etapa C. `frawk` es Rust pero es otro dialecto (JIT, semántica propia). `gawk` es C con extensiones
121GNU que los `configure` del corpus sí usan. Las tres opciones son legítimas y ninguna es gratis.
122
123## El bloqueante, y la buena noticia
124
125**Sin `sh` POSIX no se bota busybox en ningún frente**: es el `exec` de las cards, el `/bin/sh` del
126producto y el shell del sandbox. Lo esperado era que fuera un proyecto de meses.
127
128**`recipes/brush.toml` (0.4.0, reubeno/brush, MIT, Rust, compat bash) está `sealed`.** Compila
129estático musl con zig cc y produce `/usr/bin/brush`.
130
131⚠ **Y está sin validar como `sh`.** La receta es un import crudo de nixpkgs y lo dice en su primera
132línea: «PUNTO DE PARTIDA, no final». No está en ningún perfil, nadie lo ejecutó como `/bin/sh`, y el
133sandbox de build es el consumidor más duro que existe (`configure` de autotools). **La unidad de
134trabajo #1 es medirlo, no adoptarlo.**
135
136## Orden de ataque
137
138Cada paso es una unidad de trabajo con su criterio de terminado. Los tres primeros **no tocan el
139frente C** y se pueden hacer hoy.
140
1411. ~~**Recortar el `defconfig`.**~~ **HECHO, 2026-09-21 — 401 → 277 applets. Veredicto al final.**
1422. **Declarar la munición que ya existe.** `uutils`, `findutils`, `findutils-xargs`, `diffutils`,
143   `brush`, `gzip`, `libarchive` a los perfiles de `targets.toml`. Terminado cuando `build-state.py`
144   los marca con perfil y la imagen los lleva.
1453. ~~**Medir `brush` como `/bin/sh`.**~~ **HECHO, 2026-09-21 — veredicto abajo: no sirve todavía
146   para el sandbox.** Queda pendiente medirlo como `/bin/sh` del PRODUCTO (cards + `product-boot-test.sh`),
147   que es un consumidor distinto y mucho más blando.
1484. **Las dos recetas de adopción baratas** (`uutils/procps`, `uutils/util-linux`), previa
149   verificación de madurez upstream. Cubren ~60 applets de los 148 «ya cubiertos por C».
1505. **`grep` y `sed` POSIX en Rust.** Es la escritura de mejor relación coste/beneficio y desbloquea
151   el `/toolchain` del frente A.
1526. **Migrar los 24 build-deps.** Cambiar `busybox` por el conjunto real en `[deps] build` de las 24
153   recetas. Terminado cuando `busybox` sale de los 7 perfiles.
1547. **La cola larga:** kmod, psmisc, gestor de /dev, getty, bc, dns. Después del shell, no antes.
1558. **ADR — `awk`**, y **ADR — el frente C** (sustituir busybox en `STAGE1_COMPONENTS` y
156   `ATTEST_PATHS`). No antes de que 1–7 estén cerrados.
157
158## La métrica, y el guardián que falta
159
160`docs/state/busybox-applets.tsv` convierte esto en un número que baja: **401 → 272 → … → 0**.
161Regenerarlo es contar los symlinks del artefacto sellado y cruzarlos con `build-state.json`.
162
163**Falta un guardián**, y sin él el paso 1 se deshace solo: un script que falle si alguna receta,
164script o card invoca un applet que ya salió del `defconfig`. Hoy nada lo detectaría — el fallo
165aparecería en boot, en otra máquina, semanas después.
166
167## Lo que este documento NO midió (y hay que decirlo así)
168
169- **El reparto applet→destino es juicio, no medida.** Lo medido son los 401 symlinks, el estado
170  `sealed`/perfiles de cada receta y las 24 recetas con `busybox` en `[deps] build`. La asignación de
171  dueño la escribí yo y hay que revisarla receta a receta.
172- **No se verificó la equivalencia de banderas de ninguna pareja.** Los 24 marcados `NO-drop-in` son
173  los que sé que difieren; el resto dice `sin-verificar` y eso es literal, no una forma de decir «va
174  a andar».
175- **No se midió qué applets usa el producto de verdad.** El `defconfig` instala 401 porque nadie
176  eligió; cuáles se ejecutan en una imagen viva no está medido. Eso abarataría el paso 1.
177- **`uutils/procps` y `uutils/util-linux` no se verificaron upstream.** Los ~60 applets que les
178  atribuyo son una hipótesis de trabajo.
179
180---
181
182# Veredicto del paso 3 — `brush` como `/bin/sh`, MEDIDO
183
184**Fecha:** 2026-09-21 · **Dónde:** `dev.gioser.net`, todo bajo `flock -o work/.farm-build.lock` ·
185**Contra qué:** busybox 1.36.1 `sh` (ash) como control, en la misma caja y la misma corrida.
186
187> **No sirve todavía como `/bin/sh` del SANDBOX DE BUILD.** Pasa el banco POSIX igual que busybox,
188> parsea todo el corpus, y aun así **0 de 3 recetas autotools construyen** (control: 3/3). Lo que
189> falla no es su parser: es que el `libtool` que su `configure` genera sale con un nivel de escapado
190> de menos y después no lo parsea ningún shell, ni él ni busybox.
191
192## Lo que se construyó
193
194`takana build recipes/brush.toml` en el worker selló **`b3:715237c78edd…`** — **el mismo hash que
195`build-state.json` traía del otro hub.** Dos máquinas distintas, bytes idénticos: reproducibilidad
196confirmada de paso, que no era el objetivo de la prueba.
197
198Binario: ELF x86-64 **estático** (sin loader), `brush 0.4.0`, **7,25 MB** — contra **1,23 MB** del
199busybox que trae los 401 applets. Botar busybox por brush, hoy, **engorda** la imagen.
200
201## Lo que PASA
202
203| prueba | brush | control busybox |
204|---|---|---|
205| **Banco POSIX** — 57 casos (`scripts/sh-banco-posix.sh`) | **56/57** | 56/57 |
206| **Las 1130 fases de shell del corpus** (`sh -n` sobre las fases de las 549 recetas que las tienen) | **0 rechazadas** | 0 rechazadas |
207| **`configure` de ffmpeg** — 8345 líneas, `sh -n` | rc=0 | rc=0 |
208| **Invocado como `sh`** (argv[0]) | ✅ | ✅ |
209| **El patrón de las cards de arje** (`sh -c '…; exec …'`) | ✅ | ✅ |
210
211La única divergencia del banco: **`shift` más allá de `$#` devuelve 2**, y POSIX/busybox/bash
212devuelven 1. Cosmético, pero un `set -e` que haga `shift` de más se comporta distinto.
213
214⚠ **Y el banco NO es prueba de suficiencia** — esto es lo que hay que recordar del ejercicio:
215**brush lo pasa entero y aun así no construye una sola receta autotools.** Un banco de casos
216sintéticos mide lo que a uno se le ocurre preguntar; el consumidor real mide lo que hay.
217
218## Lo que FALLA
219
220**Tres recetas autotools reales, con el único cambio de `/bin/sh` en una copia del lab:**
221
222```sh
223cp -al /opt/takana/.dev-fs/alpine  $L/alpine       # copia con hardlinks, el lab compartido intacto
224cp   …-brush/usr/bin/brush         $L/alpine/bin/brush
225ln -sfn /bin/brush                 $L/alpine/bin/sh   # ← lo ÚNICO que cambia; sed/grep/awk siguen siendo busybox
226flock -o work/.farm-build.lock env TAKANA_ROOTFS=$L/alpine \
227  ./target/release/takana --store <store-tirable> build recipes/<r>.toml
228```
229
230| receta | control (busybox sh) | brush |
231|---|---|---|
232| `flex` | ✅ sellada | ❌ `make[1]: Error 2` |
233| `pkgconf` | ✅ sellada | ❌ `./libtool: syntax error at line 368 col 30` |
234| `oniguruma` | ✅ sellada | ❌ `make[1]: Error 2` |
235
236### La causa, hasta donde está medida
237
238**El `configure` corre entero y bien bajo brush.** Lo que sale mal es el `libtool` que ese
239`configure` GENERA. Regenerado el mismo fichero con cada shell y comparado, **25 líneas difieren, y
240todas en el mismo sentido: falta un nivel de escapado.**
241
242```
243                        control (busybox)                     brush
244línea 62    ECHO="printf %s\\n"                      ECHO="printf %s\n"
245línea 132   file_magic_cmd="\$MAGIC_CMD"             file_magic_cmd="$MAGIC_CMD"
246línea 176   …'s/^.*[ ]\\([ABCDGIRSTW]…               …'s/^.*[ ]\([ABCDGIRSTW]…
247```
248
249Ese fichero ya no lo parsea **nadie** — ni brush ni busybox lo aceptan (`rc=2` los dos, misma línea
250368). Y el contraprueba cierra el caso: **el `libtool` del control lo parsea brush sin quejarse
251(`rc=0`)**. ⇒ El parser de brush está bien; lo que difiere es lo que su shell PRODUCE.
252
253### El mecanismo, encontrado (2026-09-21, después de escribir lo de arriba)
254
255Primero se escribió acá que la causa no estaba determinada, tras descartar las tres sospechas
256obvias —`echo` con barras invertidas, sustitución de comando preservando `\\`, y el
257`func_quote_for_eval` de libtool aplicado a mano—, que dan **idéntico** en ambos shells. La causa
258apareció bajando al `config.status` que genera el `libtool`. **Es de una línea:**
259
260```sh
261V=hola
262echo "a: [`echo \\$V`]"     # POSIX: $V      · brush: \hola
263echo "b: [`echo \\\\`]"     # POSIX: \       · brush: \\
264echo "c: [`echo \$V`]"      # POSIX: hola    · brush: $V
265echo "d: [$(echo \\$V)]"    # POSIX: \hola   · brush: \hola   ✅
266```
267
268**brush aplica a las comillas invertidas las reglas de `$( )`.** POSIX manda otra cosa: dentro de
269`` `…` `` la barra invertida conserva su significado literal **salvo** cuando precede a `$`,
270`` ` `` o `\`, donde se ELIMINA antes de parsear el texto del comando (POSIX.1-2024, 2.6.3). Que el
271caso **d** sí esté bien es lo que delata la causa.
272
273Por qué rompe libtool: el `config.status` generado trae este bucle, que decide si cada variable
274necesita escapado antes de escribirla en el `libtool`:
275
276```sh
277for var in SHELL ECHO PATH_SEPARATOR SED GREP …; do
278    case `eval \\$ECHO \\""\\$$var"\\"` in
279    *[\\\`\"\$]*)  eval "lt_$var=\\\"\`\$ECHO \"\$$var\" | \$SED \"\$sed_quote_subst\"\`\\\"" ;;
280    *)             eval "lt_$var=\\\"\$$var\\\"" ;;
281    esac
282done
283```
284
285Bajo brush ese `case` evalúa a **cadena vacía**, así que **todas** las variables caen en la rama sin
286escapar. De ahí las 25 líneas y de ahí que el `configure` termine bien: no falla nada, sólo sale mal
287escrito.
288
289**Reportado upstream: [reubeno/brush#1394](https://github.com/reubeno/brush/issues/1394).**
290
291## Y el otro dato, que no es un fallo pero decide
292
293**Latencia de arranque: 813 µs contra 91 µs de busybox — 8,9×** (300 invocaciones de `sh -c :`).
294Un `configure` de autotools levanta decenas de miles de shells: a ese factor, el sandbox entero se
295vuelve medible más lento. Es un argumento independiente del bug, y no se arregla arreglando el bug.
296
297## Qué queda de esto
298
2991. **brush NO entra al sandbox de build.** El frente A sigue con busybox hasta que esto se cierre.
3002. **El frente del producto sigue abierto**: las cards, la getty y la shell interactiva no generan
301   libtool. Ahí brush no tiene ninguna evidencia en contra — pero tampoco se probó, y el
302   `product-boot-test.sh` es la prueba que falta.
3033. **Reportado upstream: [reubeno/brush#1394](https://github.com/reubeno/brush/issues/1394)**, con
304   el reproductor de una línea, la tabla de los cuatro casos y el fragmento de `config.status`.
3054. **El paso 5 del plan (grep/sed POSIX en Rust) sube de prioridad**, porque no depende del shell.
3065. **No se tocó el lab compartido**: copia con hardlinks y stores tirables. El worker siguió
307   compilando su cola en paralelo, serializado por el `flock`.
308
309## ¿Parchar, o buscar otra opción?
310
311**Primero lo que cierra la pregunta barata: adelantar el pin NO sirve.** Nuestra receta apunta a
312`96a26d0c` (tag `brush-shell-v0.4.0`, mayo 2026), que sigue siendo el último release. Se construyó
313**`main` de hoy** (`737dd57e`, 2026-09-21 — cuatro meses y medio de trabajo encima) y **reproduce
314idéntico**, los cuatro casos. No hay nada que esperar de la rama.
315
316Lo que queda, en orden de coste:
317
318| opción | qué cuesta | qué deja |
319|---|---|---|
320| **Esperar a #1394** | cero | el upstream es activísimo (issue #1393 de anteayer) y el bug es acotado, pero no es nuestro calendario |
321| **Parchar brush en la receta** | un `.patch` en el árbol, como ya hacen 13 recetas | ⚠ es un parche **al parser de un shell**, que es el componente más cargado de todos. Y el bug apareció en el PRIMER build real: no es prueba de que sea el único |
322| **dash** | receta nueva, C, ~200 KB. Es el `sh` de referencia POSIX | resuelve el sandbox YA — y no avanza nada la soberanía en Rust |
323| **bash como `/bin/sh` del producto** | cero: ya está sellada Y en los 7 perfiles | tapa el frente B sin escribir nada. No sirve para el sandbox sin medirlo antes |
324| **Dejar busybox donde está** | cero | es lo que dice el plan: el shell NO es por donde se empieza |
325
326**La recomendación es la última, y no por conservadurismo.** El plan ya ordenaba los pasos 1, 2 y 5
327—recortar el defconfig, declarar lo sellado, escribir `grep`/`sed` POSIX— **sin depender del shell**,
328y valen 129 applets y dos piezas de userland. Gastar el turno en pelear el shell es empezar por el
329único frente que está bloqueado por terceros.
330
331Lo que sí conviene hacer ya, porque es gratis: **suscribirse a #1394** y **medir brush como `/bin/sh`
332del PRODUCTO** (`product-boot-test.sh` + las cards), que es un consumidor que no genera libtool y
333donde brush no tiene ninguna evidencia en contra.
334
335
336---
337
338# Paso 1 — el recorte, HECHO y MEDIDO
339
340**Fecha:** 2026-09-21 · **Dónde:** `dev.gioser.net`, bajo `flock -o`, contra un store tirable y con
341un directorio de recetas por hardlinks — el `recipes/` del worker no se tocó.
342
343> **401 → 277 applets.** 124 retirados, 5 indultados, binario de **1.230.976 → 977.096 bytes**
344> (−20,6 %). Nuevo hash `b3:a24fdbf6…` (el vigente era `2a2b1280…`). Y **3 de las 24 recetas que
345> declaran busybox build-dep se reconstruyeron y sellaron con el recortado**: el sandbox sigue en pie.
346
347## Lo que el ejercicio corrigió del plan
348
349**Mi tabla decía que los 24 applets de `arje-zero`/`hammerd` eran gratis. Es falso para 5 de ellos.**
350Esas recetas instalan **un binario cada una** (`-p arje-zero`, `-p hammerd`): reemplazan la FUNCIÓN,
351no el COMANDO. No hay un `poweroff` ni un `setuidgid` detrás. Los cinco indultos, con su razón:
352
353| indultado | por qué se queda |
354|---|---|
355| `setuidgid` | la card de **gitea** hace `setuidgid gitea` (`recipes/gitea.toml:89`, «applet de busybox, comprobado presente»). Sin él el servicio arranca, muere y reintenta para siempre |
356| `switch_root` | el `/init` del initramfs del instalador lo ejecuta (`scripts/takana-live-install.sh:375`), **antes** de que arje exista |
357| `poweroff` · `halt` · `reboot` | **nada más en el corpus apaga la máquina.** arje-zero es PID 1, no una CLI. Quitarlos deja un producto que no se puede apagar desde la shell |
358
359Los tres primeros los encontró el vigía; los tres últimos, preguntarse qué instala arje-zero de
360verdad en vez de creerle a mi propia tabla.
361
362## El vigía — y por qué un vigía ingenuo no sirve
363
364`scripts/busybox-vigia.py` falla si alguna receta, script o card invoca un applet retirado. **Lee la
365lista de la propia receta** (`RETIRADOS='…'`) cruzada con la columna `simbolo_kconfig` del TSV, así
366que no hay dos listas que se desincronicen.
367
368Su primera versión daba **91 hits y ninguno real**. Las cuatro reglas que lo bajaron a 0, todas
369medidas contra falsos positivos concretos:
370
371| regla | qué mataba |
372|---|---|
373| quitar comentarios antes de buscar | `# busybox provee sendmail, no mail` (logrotate), `/// los dos fsync no son prolijidad` |
374| en Rust/Python, mirar sólo cadenas **que parezcan una línea de comandos** | `"init"` como nombre de capacidad, `tree` como variable, `rx = re.compile(…)` |
375| ignorar nombres que el propio script define como función | `$(ts)` en los seis scripts de `scripts/farm/` |
376| ignorar patrones de `case` y `command -v X` | `proc\|sys\|dev\|init) continue ;;` · `command -v dpkg` en el censo de la mudanza |
377
378Y `[` / `[[` no se vigilan: son palabras del shell, y todo script bash del hub los usa sin que eso
379sea una llamada a un applet.
380
381⚠ **El vigía mira ESTE repo.** No ve los `configure` de terceros que corren dentro del sandbox, que
382son quienes podrían llamar a `which` o `unzip`. Por eso la verificación de abajo no es opcional.
383
384## El mapa applet → símbolo NO se deriva por mayúsculas
385
386Sale de las líneas `//applet:` del fuente de busybox 1.36.1 y vive en la columna `simbolo_kconfig`
387del TSV. Poner el nombre en mayúsculas **falla en 6 casos medidos**: `[`→`TEST1`, `[[`→`TEST2`,
388`arch`→`BB_ARCH`, `nbd-client`→`NBDCLIENT`, `sh`→`SH_IS_ASH`, `sysctl`→`BB_SYSCTL`. Dos de esos seis
389estaban en la lista a retirar.
390
391## Verificación
392
393| qué | resultado |
394|---|---|
395| applets tras el recorte | **277** (401 − 124), exactamente los previstos |
396| los 5 indultados presentes | ✅ y también `sh` y `getty` |
397| los que debían irse | ✅ `httpd telnetd dpkg rpm init syslogd runsv tree which unzip` fuera |
398| **el sandbox sigue construyendo** | ✅ `zlib-ng`, `jq` y `logrotate` reconstruidas y selladas con el busybox recortado |
399
400⚠ **Son 3 de las 24, no las 24.** Las otras 21 —entre ellas `linux`, `llama-cpp`, `protobuf`,
401`qdrant`— no se probaron: son horas de cómputo en una caja que está con la campaña de KDE. Si alguna
402usa un applet retirado, se verá en su próximo build y el vigía **no** lo habría anticipado, porque el
403llamador estaría en un `configure` de terceros.
404
405## El coste, dicho antes de que sorprenda
406
407**Cambiar esta lista re-hashea busybox, y con él las 24 recetas que lo declaran build-dep**:
408`abseil-cpp chrony cronie crun dwarves firmware-tigerlake ia-modelo-embeddings intel-ucode jq libmnl
409libnftnl linux linux-firmware llama-cpp logrotate nftables opensmtpd popt protobuf qdrant
410sof-firmware valkey wireless-regdb zlib-ng`. **`linux` está en la lista**: el kernel se reconstruye.
411La granja lo hará en su propio ciclo; no se disparó a mano.
412
413## El arranque — PROBADO en QEMU, contra una línea base
414
415**2026-09-21.** Se ensamblaron **dos** Stage 1 completos y se arrancaron los dos en QEMU, para que
416cualquier diferencia se pueda atribuir al recorte y no al azar:
417
418| | rootfs sellado | applets en `/bin /sbin /usr/bin /usr/sbin` | qemu |
419|---|---|---|---|
420| **base** (busybox sin recortar) | `b3:1a3823b4…` | 400 | `rc=0` |
421| **recortado** | `b3:3aa8cd2d…` | **278** | `rc=0` |
422
423Los dos arrancan, los dos dan shell y los dos se apagan limpio. **Diff de las dos consolas: 35
424líneas, y ninguna es funcional** — frecuencia del TSC, direcciones del RAMDISK, BogoMIPS, hora del
425RTC. La única diferencia real es la que se buscaba:
426
427```
428~ # ls /bin /sbin /usr/bin /usr/sbin | wc -l
429410     ← base
430288     ← recortado
431```
432
433Criterios del runbook `stage1-vm-boot.md` §6, verificados en el recortado:
434
435- **PID 1** — `arje-zero` incarna y corre.
436- **Seed** — la card se carga: la prueba es que la `console-getty` llegó a incarnar.
437- **getty → shell** — `/bin/busybox getty -n -l /bin/sh 115200 console` da prompt `~ #`, y
438  `echo MARCA-SHELL-VIVA` responde. **`getty` y `sh` sobrevivieron al recorte, que era el riesgo.**
439- **`poweroff -f`** — `ACPI: PM: Preparing to enter system sleep state S5` / `reboot: Power down`.
440  Uno de los cinco indultados, probado **en vivo**: sin él la caja no se apaga.
441
442⚠ **Cómo se corrió, porque condiciona el resultado:** en `dev.gioser.net`, con **QEMU en TCG
443(emulación pura)** — el LXC no expone `/dev/kvm`, aunque el CPU sí trae los flags. Por eso el guion
444se le manda por consola serie con esperas generosas. Hubo que instalar `qemu-system-x86-core` (dnf)
445e ingerir de nuevo la semilla de Stage 0, que no estaba en el store del worker; sí salió con el
446mismo hash que el manifiesto ya anotaba (`3ce721ec…`).
447
448⚠ **Es Stage 1, no el producto.** Se eligió porque es donde vive busybox (`musl busybox hammerd
449arje-zero`) y porque necesitaba 2 artefactos en vez de 8. `product-boot-test.sh` —que además levanta
450sshd y netup— sigue sin correrse: le faltan `netup openssh uutils findutils-xargs diffutils
451ripgrep` en el store del worker.
452
453## Lo que queda del paso 1
454- **Las otras 21 dependientes**, cuando la granja llegue.
455- El siguiente corte natural son los `BORRAR` que no se tocaron por prudencia y los 272 que siguen:
456  el número baja a 0 por el paso 2 (declarar la munición sellada) y el 5 (`grep`/`sed` POSIX).
457
458---
459
460# El banco DIFERENCIAL — construido y CORRIDO, 2026-09-21
461
462**Instrumento:** `scripts/sh-banco-diferencial.py` · **casos de regresión:**
463`scripts/fixtures/sh-casos/` · **dónde:** el hub, contra los tres shells sellados que ya están en
464`/store` (`2a2b1280…-busybox`, `715237c7…-brush`, `87bf1a59…-bash`). No tocó la granja ni el lock.
465
466## Por qué, si ya existía `sh-banco-posix.sh`
467
468El veredicto del paso 3 dejó escrita la lección y no el instrumento:
469
470> **brush pasa 56/57 del banco POSIX y aun así no construye una sola receta autotools.**
471
472Un banco de casos escritos a mano mide lo que a uno se le ocurrió preguntar. El banco diferencial
473pregunta otra cosa, y no hace falta saber la respuesta de antemano:
474
475> **¿este shell hace LO MISMO que el control, sobre el material que hay?**
476
477Tres decisiones de diseño, y las tres se ganaron con el bug de brush:
478
4791. **Se compara el ÁRBOL DE FICHEROS PRODUCIDO, no sólo stdout.** El `libtool` mal escapado salía
480   con `rc=0` y stdout idéntico: **ningún banco de stdout puede verlo**. Cada caso corre en un
481   directorio descartable y se le toma huella (ruta + bit de ejecución + sha256) a todo lo que
482   escribió. El caso `10-escribe-arbol.sh` diverge **sólo en el árbol** — es la demostración de que
483   esta columna hace falta.
4842. **El esperado es el control, no una aserción.** Un caso no declara resultado: declara material.
485   Eso permite tirarle al banco las 1130 fases del corpus y 26 `configure`/`libtool` reales sin
486   escribir una línea de expectativa.
4873. **Toda divergencia se CONFIRMA** volviendo a correr control y candidato. Un caso que imprime un
488   PID diverge siempre y no dice nada (pasó en el primer intento con la card de arje, que imprimía
489   `$$`); un shell que diverge **de sí mismo** es un hallazgo distinto y peor. Sin esto el banco se
490   llena de ruido y deja de leerse, que es como muere un banco.
491
492Además: todos los shells se invocan por un symlink `sh` (argv[0] igual para todos, que es como se
493despliegan), con el **mismo userland busybox en el `PATH`** —las divergencias tienen que venir del
494shell, no de un `sed` distinto— y con `PATH` apuntando primero al shell bajo prueba, así un `sh`
495recursivo cae en ÉL y no en el del sistema.
496
497## Lo medido — 1273 casos, 5,5 s
498
499```
500scripts/sh-banco-diferencial.py --gen --phases \
501    --files '/work/sergio/work/sources/*/configure' \
502    --files '/work/sergio/work/sources/*/libtool' \
503    control=…-busybox/bin/busybox brush=…-brush/usr/bin/brush bash=…-bash/bin/bash
504```
505
506| fuente | casos | modo | brush | bash |
507|---|---|---|---|---|
508| `cases` — regresiones conocidas | 10 | ejecutado | **4 divergen** | 0 |
509| `gen` — tortura de comillas | 107 | ejecutado | **31 divergen** | 8 |
510| `phases` — las fases de las 549 recetas | 1130 | `sh -n` | **0** | 0 |
511| `files` — `configure` y `libtool` reales | 26 | `sh -n` | **0** | 0 |
512
513**Los 1156 casos de parseo no divergen en ningún shell.** Confirma lo que el paso 3 ya decía —el
514parser de brush está bien— y lo dice ahora con bash de tercero en discordia y con el árbol
515comparado. **Sirve sobre todo para saber dónde NO buscar.**
516
517## Lo que el generador encontró SOLO
518
519El generador barre el producto cartesiano `forma de sustitución × contexto × profundidad de barras
520invertidas × carácter objetivo` (107 casos). **No sabe que el bug #1394 existe, y lo escupe entero:**
521
522```
523✗ [brush] tortura/bt-desnudo-b1-var    control: [hola]    brush: [$V]
524✗ [brush] tortura/bt-desnudo-b2-var    control: [$V]      brush: [\hola]
525✗ [brush] tortura/bt-desnudo-b2-literal control: [x]      brush: [\x]
526✗ [brush] libtool/case-de-config-status  ← el bucle REAL de config.status, divergente
527```
528
529Ése es el punto del ejercicio: **el bug de brush apareció en el primer build real, después de
530sellar la receta y de montar un lab entero. El generador lo habría dado el día cero, en cinco
531segundos, sin saber qué buscaba.**
532
533## Un hallazgo NUEVO, y no es del frente A
534
535El fixture `08-trap-exit-y-estado.sh` destapó algo que no estaba en el veredicto del paso 3:
536
537```sh
538( trap "echo trap-sub" EXIT; true ); echo despues
539# busybox → trap-sub / despues      bash → trap-sub / despues      brush → despues
540```
541
542**brush no ejecuta NUNCA el `trap … EXIT` de un subshell**, ni con `exit` explícito. Es independiente
543de #1394 y, a diferencia de aquél, **golpea el frente B**: un script de limpieza que confía en su
544trap no limpia, en silencio, con `rc=0`. La frase del veredicto —«en el producto brush no tiene
545ninguna evidencia en contra»— ya no se sostiene: ahora la tiene.
546
547⚠ **Y upstream YA LO SABÍA — pero no como issue, sino dentro de su propia suite de compatibilidad**,
548con el caso casi calcado al fixture y marcado `known_failure`:
549
550```yaml
551# brush-shell/tests/cases/compat/builtins/trap.yaml:226
552- name: "subshell can set its own EXIT trap"
553  known_failure: true # TODO(traps): EXIT trap in subshell
554```
555
556Y no era uno sino tres TODOs para el mismo síntoma: `:226` subshell `( )`, `:269` sustitución de
557comandos, `:323` sustitución de procesos. **Lección para el banco: un `known_failure` en la suite
558ajena es evidencia de primera y cuesta un `gh api` mirarla — antes de escribir «hallazgo nuevo»,
559buscar en las PRUEBAS del candidato, no sólo en sus issues.** Lo nuestro seguía aportando: que las
560tres variantes son probablemente un mismo bug (`on_exit()` sólo lo llaman los puntos de entrada de
561nivel superior; el subshell de `interp.rs:662-683` clona el shell y devuelve el exit code sin
562pasar por ahí), que también pega en pipeline y en segundo plano, y que es **silencioso**.
563
564**Reportado: [reubeno/brush#1396](https://github.com/reubeno/brush/issues/1396).**
565
566Y se confirmó la tercera, ya conocida: `shift` más allá de `$#` devuelve 2 (POSIX/busybox/bash: 1).
567
568## Las 8 de bash, que enseñan a leer el banco
569
570bash diverge en 8 casos del generador, **todos de la misma familia**: comilla o backtick sin cerrar
571dentro de `` `…` ``, donde busybox da `rc=2` y bash acepta. No es que bash esté mal — es que **el
572control es una referencia, no la verdad**. Cuando el candidato diverge, hay que ir a POSIX; el banco
573dice dónde mirar, no quién tiene razón.
574
575## Latencia, de paso
576
577300 invocaciones de `sh -c :` por shell, en el hub:
578
579| shell | µs/invocación | binario |
580|---|---|---|
581| busybox | 464 | 1,17 MB |
582| bash | 864 | 1,57 MB |
583| brush | 1724 | 6,92 MB |
584
585**brush/busybox = 3,7×** acá, contra el 8,9× medido en el worker: esta cifra incluye el `fork`+`exec`
586de Python y comprime el factor. Sirve para comparar, no como número absoluto. La dirección es la
587misma y el argumento del veredicto no cambia.
588
589## Lo que este banco NO mide (y hay que decirlo así)
590
591- **No EJECUTA las fases del corpus** — sólo las parsea. Ejecutarlas necesita el sandbox y sus
592  fuentes, que es la extensión natural y la que cerraría el caso: correr un `configure` real bajo el
593  candidato y **comparar el árbol generado** contra el del control. La maquinaria de comparación ya
594  está; falta engancharla al sandbox.
595- **El generador sólo tortura comillas.** Faltan familias enteras: expansión de parámetros, `IFS` y
596  división en campos, aritmética, here-docs, señales y control de trabajos.
597- **Nada de interactivo** — ni edición de línea, ni historial, ni `job control`.
598- **El árbol no mira permisos finos ni mtimes**, sólo ruta + bit de ejecución + contenido.
599- **El banco no prueba suficiencia.** Es la misma advertencia de siempre, y ahora con dos
600  instrumentos que la ilustran en vez de uno.
601
602---
603
604# La superficie REAL de las cards, MEDIDA — 2026-09-21
605
606**Instrumento:** `scripts/sh-superficie-cards.py` (regenera el número; la tabla no se escribe a
607mano) · **salida:** `work/sh-superficie-cards.tsv`.
608
609La pregunta: **si mañana hubiera un `/bin/sh` propio, ¿qué tendría que saber hacer para que el
610PRODUCTO arranque?** No qué dice POSIX ni qué usa autotools — qué usan las cards que arje ejecuta.
611
612## Las cuatro poblaciones
613
614| población | dónde | cards | con shell |
615|---|---|---|---|
616| servicios de paquete | `recipes/*.toml` · `[[service]]` (emisor: `Service::card`) | 29 | **21** |
617| empotradas | `takana-bootstrap` · `STAGE1_SEED_CARD` + `SSHD_SERVICE_CARD` | 3 | **1** |
618| servidor de producción | `scripts/servidor/cards/*.json` | 1 | **1** |
619| la mudanza | `scripts/mudanza/formatos/arje.py:35` | plantilla | n/a |
620
621> **23 de 33 cards (69 %) ejecutan un fragmento de shell; 10 son `exec` directo.**
622
623La mudanza no se cuenta por card porque su contenido sale del censo de la máquina que se muda. Su
624superficie es la de la plantilla, y la plantilla entera es: **`cd VALOR && exec VALOR`**.
625
626⚠ **Hallazgo de paso, y hacía falta para medir bien: en una Card, `argv` va SIN `argv[0]`** — arje
627lo pone desde `exec`. Lo dice la card de `hammerd`, cuyo `argv` es `["--store","/store",…]` a
628secas. Por eso conviven dos idiomas que parecen incompatibles y no lo son:
629`exec=/bin/busybox argv=["sh","-c",…]` (recetas: despacho multicall) y `exec=/bin/sh
630argv=["-c",…]` (la mudanza). Leer el `argv` sin anteponer el `exec` hace que uno de los dos
631desaparezca de la cuenta.
632
633## Lo que las cards USAN
634
635```
636   secuencia ;         23  ███████████████████████
637   y/o && ||           21  █████████████████████
638   redirección >       18  ██████████████████
639   grupo { }           18  ██████████████████
640   variable $x          4  ████
641   bucle while          2  ██
642   aritmética $(( ))    2  ██
643   tubería |            2  ██
644   sustitución $( )     2  ██
645   case                 1  █
646   bucle for            1  █
647   redirección 2>       1  █
648   glob *               1  █
649```
650
651**Y lo que NO aparece NI UNA VEZ:** `if`, funciones, `until`, `${…}` (ninguna expansión de
652parámetros: ni `:-`, ni `#`, ni `%`), posicionales `$1`/`$@`, `$?`, subshells `( )`, here-docs,
653`!`, segundo plano `&`, y **sustitución con comillas invertidas** — la construcción que tumbó a
654brush en el sandbox **no la usa ninguna card**.
655
656El idioma es uno solo y se repite 18 veces:
657
658```sh
659test -f /etc/x/x.conf || { echo 'x: falta … — es config del SITIO' >&2; exit 78; }; exec /usr/bin/x
660```
661
662**Builtins que el shell tiene que traer: 8.** `exit`×44 `echo`×31 `exec`×22 `test`×20 `cd`×8
663`[`×4 `command`×3 `continue`×1.
664
665**Órdenes externas que la imagen tiene que traer: 14.** `mkdir`×14 `grep`×11 `chown`×4 `id`×4
666`netup`×2 `ssh-keygen`×2 `chmod`×2 `mount`×2 `nft` `hostname` `basename` `blkid` `df` `awk`.
667
668## El cruce con el recorte — y una CORRECCIÓN
669
670```
671siguen en busybox: 11 · no son applets (otro paquete): 3 (netup, nft, ssh-keygen) · RETIRADAS: 0
672✓ ninguna card invoca un applet retirado por el recorte 401 → 277.
673```
674
675⚠ **Acá se escribió que esto «es el guardián que el plan pedía y nadie tenía». Es falso: el
676guardián EXISTE** — `scripts/busybox-vigia.py`, escrito con el paso 1, que lee los retirados de
677`recipes/busybox.toml`, los cruza con la columna `simbolo_kconfig` del TSV y **falla si alguna
678receta, script o card invoca uno**. Corrido hoy: `123 applets retirados de la receta · OK — nadie
679los invoca`, `rc=0`. La sección «Falta un guardián» de más arriba quedó vieja el mismo día.
680
681Lo que el cruce de este instrumento agrega es otra cosa, y conviene no confundirlas: el vigía
682contesta «¿alguien invoca algo que ya no está?» (una puerta, con `rc≠0`); esto contesta **«¿qué
683necesitan las cards para arrancar?»** — inventario, no puerta, y por eso incluye las que no son
684applets (`netup`, `nft`, `ssh-keygen`), que al vigía no le importan y a un perfil de imagen sí.
685
686## Y los 23 fragmentos, por el banco diferencial
687
688```
689scripts/sh-superficie-cards.py --dump-dir /tmp/frags
690scripts/sh-banco-diferencial.py --no-cases --files '/tmp/frags/*.sh' control=… brush=… bash=…
691   brush   DIVERGE=0   bash   DIVERGE=0
692```
693
694Las 23 parsean idéntico en los tres shells. Es `sh -n`, no ejecución —montan discos y levantan
695daemons—, así que dice que el lenguaje alcanza, no que el comportamiento coincida.
696
697## Dos bugs en una card, encontrados por el camino — y ARREGLADOS
698
699`scripts/servidor/cards/montar-trabajo.json` venía sin comillas en tres sitios (dos bugs, uno de
700ellos por duplicado), y los dos fallan en silencio. **Comprobados, no deducidos** — y **no fue un
701accidente de edición posterior: la card nació así en su único commit** (`3b305642`), o sea que las
702comillas se perdieron antes de entrar al árbol.
703
704**Bug 1 — el `awk` sin entrecomillar. Falla SIEMPRE:**
705
706```sh
707df -h / | awk NR==2{print }     # awk: cmd. line:1: NR==2{print  ← error de sintaxis, rc=1
708df -h / | awk 'NR==2{print $4}' # 13G                            ← lo que se quiso escribir
709```
710
711El `echo` final imprimía «`montar-trabajo: /vvv  libres`», sin el número, en cada arranque.
712
713**Bug 2 — el patrón de `grep` sin entrecomillar, en las dos comprobaciones de montaje.** Es LATENTE:
714
715```sh
716grep -q  /vvv  /proc/mounts     # matchea cualquier línea que CONTENGA /vvv (p.ej. /vvv/algo)
717grep -q " /vvv " /proc/mounts   # con comillas: sólo el punto de montaje /vvv
718```
719
720Para que muerda hace falta otra línea de `/proc/mounts` que contenga la subcadena —`/vvv/algo`
721montado aparte, o un `/mnt/vvvv`—; con `/vvv` montado de verdad o ausente, acertaba. Igual en
722`grep -q  /work/sergio`, donde un `/work/sergio2` bastaría.
723
724**Arreglado, y probado con la maquinaria de siempre:** el fragmento se corrió entero con
725`/proc/mounts` sustituido por un fichero de prueba y con `mkdir`/`chmod`/`chown`/`mount`/`blkid`
726stubbeados, así que nada mutó la máquina. Los dos escenarios, antes y después:
727
728| escenario | antes | después |
729|---|---|---|
730| `/proc/mounts` sólo trae `/vvv/sergio` (el falso positivo) | **no montaba `/vvv`** y el `echo` salía sin número | `mount /dev/…-trabajo /vvv` + `170G libres` |
731| `/vvv` montado de verdad | (acertaba) | no vuelve a montar, `170G libres` |
732
733El fragmento nuevo parsea en busybox, bash y brush.
734
735**Bug 3 — las variables desnudas, y ésta se comía un usuario entero.** Arreglado en la misma tanda
736junto con los dos `echo` de error, que iban sin comillas (inocuo hoy: ningún glob en el texto, y se
737comprobó que el mensaje y el `rc=78` salen idénticos antes y después). El que sí tenía diente era
738el bucle de `/home`:
739
740```sh
741# antes
742for h in /home/*; do u=$(basename $h); id -u $u >/dev/null 2>&1 || continue
743                     mkdir -p /run/user/$(id -u $u); chown $u /run/user/$(id -u $u); …
744# después
745for h in /home/*; do u=$(basename "$h"); uid=$(id -u "$u" 2>/dev/null) || continue
746                     mkdir -p "/run/user/$uid"; chown "$u" "/run/user/$uid"; …
747```
748
749Con un directorio llamado `juan perez` en `/home`, el `$u` desnudo se partía en dos campos y
750`id -u juan perez` fallaba ⇒ **el `continue` saltaba a ese usuario en silencio y se quedaba sin su
751`/run/user/<uid>`**. Medido con el mismo banco de stubs, sobre un `/home` de prueba con
752`juan perez`, `root` y `nadie`:
753
754```
755viejo  usuarios que reciben chown: root
756nuevo  usuarios que reciben chown: juan perez|root
757```
758
759`nadie` no recibe en ninguno de los dos, que es lo correcto: no está en `passwd`.
760
761De paso, `id -u` se llamaba **cuatro veces por usuario** (una para el test y tres para las órdenes);
762ahora una sola, izada a `uid`. Eso no era el bug pero era la forma limpia de entrecomillarlo, y se
763ve en la propia medición: las órdenes externas pasaron de `id×4` a `id×1`.
764
765## Qué dice esto sobre el `sh` propio
766
767El consumidor del PRODUCTO es minúsculo y está acotado: **8 builtins, 13 construcciones, ninguna
768expansión de parámetros, ningún `if`, ninguna función**. Eso no es «escribir un shell»: eso es un
769intérprete de listas `&&`/`||` con `test`, `echo`, `exec` y redirección — semanas, no meses. **El
770sandbox de build sigue siendo otro planeta**, y es el que conviene no mezclar.
771
772## Lo que esta medición NO dice
773
774- **Detección por patrón sobre un escáner que respeta comillas, no un parseo.** La primera versión
775  contaba 11 backticks que eran prosa dentro de mensajes de error (`` `minga init` ``) y una docena
776  de «órdenes externas» que eran palabras sueltas de esa prosa. Está arreglado —y el cuerpo de cada
777  sustitución se analiza como shell aparte, que es como aparecieron el `df` y el `awk`— pero sigue
778  siendo aproximación: `command -v journalctl` cuenta `command`, no `journalctl`.
779- **No mide la shell INTERACTIVA de `getty`**, que es otro consumidor y no ejecuta fragmentos.
780- **No mide `scripts/`**, que es su propia unidad de trabajo y es mucho más grande.
781- **No mide las cards REALES de la mudanza**: dependen de un censo que no está en el árbol.
782- **No ejecuta los fragmentos**, sólo los parsea.
783
784---
785
786# La superficie de `scripts/`, MEDIDA — 2026-09-21
787
788**Instrumento:** `scripts/sh-superficie-scripts.py` · **escáner compartido:**
789`scripts/lib/sh_analisis.py` · **salida:** `work/sh-superficie-scripts.tsv`.
790
791⚠ **Es una pregunta DISTINTA a la de las cards, y mezclarlas es el error.** Las cards las ejecuta
792el producto ⇒ su superficie es el contrato de un `/bin/sh` propio hoy. `scripts/` lo ejecutan el
793hub y el worker bajo el bash del anfitrión ⇒ su superficie sólo obliga el día del auto-alojamiento.
794Lo que sí importa hoy acá es otra cosa:
795
796> **¿algún guion se declara POSIX y no lo es?** Porque ése se rompe HOY: en la imagen `/bin/sh` es
797> el ash de busybox, no bash.
798
799## Las cuatro poblaciones, y quién las parsea
800
801De 118 ficheros descartados por no ser shell (`.html`, `.c`, `.mp4`, `.toml`…):
802
803| población | n | líneas | parsea ash | parsea bash |
804|---|---|---|---|---|
805| **POSIX** (`#!/bin/sh`, `#!/usr/bin/env sh`) | 81 | 10 167 | **81/81** | 81/81 |
806| **bash** (`#!/bin/bash`, `#!/usr/bin/env bash`) | 76 | 10 269 | **48/76** | 76/76 |
807| **EMPOTRADOS** (un `/init` escrito por heredoc) | 21 | 714 | **21/21** | 21/21 |
808| **`source`-only** (`.sh` sin shebang) | 6 | 138 | 6/6 | 6/6 |
809
810> **Cero guiones se declaran POSIX y fallan bajo ash.** Ni los 81 sueltos ni los 21 empotrados.
811
812La clasificación es por la **primera línea**, no por «contiene un shebang»: un `grep -rl '^#!/bin/sh'`
813da 86 porque cuenta los scripts bash que EMPOTRAN un `#!/bin/sh` en un heredoc. Con ese grep,
814`mirada-usb.sh` y `selfhost-verify.sh` aparecían como «POSIX roto bajo ash» — y son bash legítimos.
815
816**Los 21 empotrados son la población que importa para el producto**, y hoy nadie los parsea: son los
817`/init` de los initramfs y los envoltorios que viajan a la imagen, escritos por 13 ficheros
818(`takana-live-install.sh` ×3, `metal-desktop-image.sh` ×5, `install-image-efi.sh` ×2, `disk-image.sh`,
819`metal-iso.sh`, `metal-usb-sdboot.sh`, `mirada-usb.sh`, `selfhost-verify.sh`, `cc-por-zig.sh`,
820`jaula-herramientas.sh`, `atuq-en-cosmic.sh`, `dunst-headless.sh`, `metal-desktop-image-dual.sh`).
821**Los 21 los parsea el ash.**
822
823## Por qué los 28 bash son bash: arrays, y casi nada más
824
825| bashismo | guiones |
826|---|---|
827| **`array=( )`** | **31** |
828| `declare`/`typeset` | 7 |
829| `+=` en asignación | 6 |
830| `[[ ]]` | 5 |
831| `<<<` | 4 |
832| `<( )` | 4 |
833| `${arr[i]}` | 3 |
834| `(( ))` | 3 |
835| `mapfile` | 1 |
836
837No aparece ninguna vez: `${v//x/y}`, `${v^^}`, `function nombre`, `PIPESTATUS`/`BASH_*`, `echo -e`,
838`read -a/-d`, `source` en vez de `.`.
839
840**De los 28 que el ash no parsea, 26 lo son por arrays y nada más.** Ése es el presupuesto completo
841de un `sh` propio que quisiera correr la herramienta del proyecto: **arrays indexados**. Los otros
842dos suman `[[ ]]`, `<( )` y `mapfile`.
843
844⚠ **Parsear no es correr.** 48 de los 76 `#!bash` parsean tal cual bajo ash y eso NO significa que
845funcionen: `local`, `echo -e` o un `trap` de subshell parsean en los dos y se portan distinto (lo de
846brush#1396 es justo eso). La tabla mide sintaxis.
847
848## La superficie del lenguaje
849
850Los 81 POSIX usan **todo** lo que las cards no usan: `if` 63/81, funciones 30/81, `${…}` 74/81,
851posicionales 66/81, here-docs 22/81, `case` 26/81, `until` 3/81. **Comparado con las cards —8
852builtins, ningún `if`, ninguna función— es otro lenguaje.** Builtins en todo `scripts/`: 27
853(`echo`×1996, `[`×1270, `exit`×473, `export`×239, `printf`×236, `trap`×40, `local`×19, `ulimit`×3…).
854
855Órdenes externas: **257 por nombre desnudo** (las resuelve el `PATH`) y **35 por ruta absoluta** (no
856pasan por `PATH` y por lo tanto **no pueden ser un applet**). Cruzadas con el recorte:
857**0 applets retirados** — que es lo que dice `busybox-vigia.py`, y ahora los dos instrumentos
858coinciden.
859
860## Los siete bugs del INSTRUMENTO, que son la parte que hay que contar
861
862Cada número de arriba salió mal primero. Vale más anotar esto que la tabla:
863
8641. **Comentarios.** El escáner no los quitaba, y en este repo los comentarios son prosa llena de
865   `` `backticks` ``: medido en `scripts/farm/cosecha-cron.sh`, **89 backticks y los 89 dentro de
866   comentarios**. Daba «sustitución `` `…` `` 75/81» cuando la cifra real es 9/81.
8672. **`shlex` sobre el fichero entero.** Se desincroniza —no es un parser de shell— y una comilla
868   suelta desplaza el estado de TODO lo que sigue: `takana-live-install.sh` daba la orden `init`
869   porque el token venía de dentro de un `echo "…(busybox + /init …)"`. Reescrito sobre el texto
870   que el escáner ya deja sin comillas.
8713. **Cuerpos de heredoc.** No son shell del script que los contiene: `scripts/desplegar-strip.sh`
872   empotra un programa de **Python**, y su `for p in glob.glob(…)` aparecía como la orden `p`.
873   Sacarlos bajó las órdenes externas de 680 a 257 — o sea que **el 62 % del inventario era ruido**.
8744. **Patrones de `case`.** `case $n in proc|sys|dev|init) continue ;;` daba `init` como orden
875   invocada, y eso marcaba un applet retirado que nadie invoca — contradiciendo al vigía, que tenía
876   razón. Ahora hay estado de `case`.
8775. **Cuerpos de `$(( ))`.** `i=$((i+1))` daba la orden `i+1`.
8786. **Descriptores de fichero.** `>&2` daba la orden `2`.
8797. **Nombre desnudo vs ruta absoluta.** `exec switch_root /newroot /sbin/init` marcaba el applet
880   `init`; pero una ruta absoluta no se resuelve por `PATH` y no puede ser un applet — en el
881   producto ese `/sbin/init` es arje (ADR 0007). Ahora se cuentan por separado, y de paso eso
882   **mide algo útil**: 35 órdenes van por ruta absoluta y no dependen del `PATH`.
883
884**Ninguno de los siete se veía en la salida.** Todos daban números plausibles. Es la misma lección
885del banco diferencial —un banco sintético pasa y el consumidor real falla— aplicada al instrumento
886en vez de al shell.
887
888## Una librería, no dos copias
889
890El escáner vive en `scripts/lib/sh_analisis.py` y lo importan los dos instrumentos. Duplicarlo era
891repetir el problema del ADR 0019 un piso más abajo: dos emisores del mismo formato, cada uno con un
892campo distinto mal. Comprobado que la extracción no cambió nada: la salida de
893`sh-superficie-cards.py` es byte-idéntica antes y después (y su md5 se repite entre corridas — el
894orden de los empates se volvió determinista a propósito, para que la salida sea diffable).
895
896Y los arreglos 3–7 **corrigieron también la medición de las cards**: apareció `sleep`, que el
897tokenizador viejo se comía, y desapareció `i+1`.
898
899## Lo que esto NO mide
900
901- **`|` dentro de un patrón de `case`** se cuenta como tubería. Inflaba poco y no se arregló: hace
902  falta gramática, no regex.
903- **`sh -n` no es ejecución.** Nada de esto dice que los 48 `#!bash` que el ash parsea funcionen
904  bajo ash.
905- **No se midió qué guion corre DÓNDE.** Que `takana-install.sh` sea bash no obliga a nada porque
906  corre en el hub; el que corre dentro de la imagen es `takana-live-install.sh`, y ése es POSIX.
907  La lista de «quién corre en la imagen» sigue sin estar medida, salvo los 21 empotrados, que lo son
908  por construcción.
909
910
911---
912
913# `simi` — el `/bin/sh` propio, ESCRITO y MEDIDO (2026-09-21)
914
915**Crate:** `crates/simi/` (4448 líneas, `libc` y nada más) · **receta:** `recipes/simi.toml`,
916**sellada** en `b3:46ff6fcf…` · **nombre:** *simi* es «boca, lengua» en quechua — es cómo se
917le habla a la máquina. `rimay` estaba tomado (la familia de embeddings de tawasuyu).
918
919## El veredicto, primero
920
921Banco diferencial contra el ash de busybox 1.36.1, **159 casos** — 10 fixtures de regresión, 107 de
922tortura de comillas, los 23 fragmentos de las cards y los 19 `/init` empotrados:
923
924| shell | divergencias duras | binario | latencia |
925|---|---|---|---|
926| **simi** (sellada, estática) | **0** | **0,48 MB** | **1,04×** el ash |
927| bash 5.3.0 | 8 | 1,57 MB | 1,3× |
928| brush 0.4.0 | 35 | 6,92 MB | 4,1× |
929
930Incluye el **bucle real de `config.status`** que genera cualquier `configure` de autotools — el que
931tumbó a brush. Y 47 pruebas propias del crate en verde.
932
933## SELLADA, y medida contra el artefacto (2026-09-21)
934
935`takana build recipes/simi.toml` en el worker, bajo `flock -o work/.farm-build.lock`:
936
937```
938sealed path=./store/46ff6fcf67bd23dece4d130c92855908520200f88ca85981317f81fcc56bb834-simi
939b3:46ff6fcf67bd23dece4d130c92855908520200f88ca85981317f81fcc56bb834      rc=0
940```
941
942El artefacto trae exactamente dos ficheros: `usr/bin/simi` y su `.hammer/recipe.toml`.
943
944| qué | medido sobre el ARTEFACTO |
945|---|---|
946| tipo | ELF x86-64, **estático**, stripped |
947| tamaño | **498 736 bytes** (0,48 MB) |
948| `scripts/static-audit.sh simi` | «estáticos de verdad: 1 · MIENTEN: 0» |
949| banco diferencial, 159 casos vs el ash | **0 divergencias** (bash: 8 · brush: 35) |
950| latencia de arranque | **468 µs** contra **449 µs** del ash — **1,04×** (brush: 1569 µs, 3,5×) |
951| `scripts/verificar-repro.sh simi` | **`✓ simi REPRODUCE`** — bit a bit, apartando el artefacto y reconstruyendo |
952
953⚠ **La latencia del estático musl no es la del build nativo**: el build del hub (glibc, dinámico)
954daba 865 µs, o sea 1,4× el ash. El estático baja a 1,04×. **Medir el binario que viaja, no el que se
955compila a mano** — la diferencia acá fue de un 35 % y habría quedado escrita como si fuera del shell.
956
957⚠ Todavía NO está en ningún perfil de `docs/state/targets.toml`. Declararla es meterla en la raíz de
958confianza del arranque, y eso es el paso 3 de abajo.
959
960⚠ **Y el artefacto vive SÓLO en el store del worker.** El worker sella con `PROMOTE=0` y la cosecha
961baja el **manifiesto**, no el store: el hub no lo tiene. Promoverlo es otro paso.
962
963### Dos trampas operativas que costaron dos corridas
964
965**1. `--store <tirable>` NO sirve para verificar reproducibilidad, y falla con un error que no dice
966nada.** Un store vacío da `Error: io: No such file or directory (os error 2)` a secas, sin decir qué
967falta, porque las DEPS del build no están ahí. El método correcto ya estaba escrito y es
968`scripts/verificar-repro.sh`: **aparta** el artefacto dentro del MISMO store (un rename, que sobrevive
969a un kill) y reconstruye, así las deps siguen en su sitio. Dos corridas perdidas por no leer el
970instrumento que ya existía antes de inventar uno.
971
972**2. La cosecha BORRA una receta sembrada a mano.** `cosecha-cron.sh` siembra hub→worker con
973`rsync --delete`, y el hub del que siembra es **gioser**, no el clon donde se trabaja. Entre el build
974y la verificación, el worker perdió `recipes/simi.toml` —el artefacto sellado sobrevivió, la receta
975no— y el verificador informó `REPRODUCEN: 0 · sin artefacto: 0`, o sea **nada**, porque su primer
976`[ -f "$f" ]` falla y salta en silencio. Hasta que gioser haga `pull` del commit, cualquier corrida en
977el worker necesita reponer la receta primero. Comprobado de paso que el hash NO cambia al editar los
978comentarios de la receta: `hash_inputs` es una lista explícita de campos.
979
980## El alcance salió de la medición, no de POSIX
981
982| consumidor | qué necesita | estado |
983|---|---|---|
984| las 23 cards de arje con shell | 8 builtins, 13 construcciones, ningún `if`, ninguna función | ✅ |
985| los 21 `/init` empotrados | + `if`, funciones, `case`, aquí-documentos, `${…}`, posicionales, `&` | ✅ |
986| `takana-live-install.sh` (corre en la imagen viva) | POSIX entero | ✅ parsea; sin correr |
987| la shell interactiva de `getty` | edición de línea, historial, control de trabajos | ❌ **no está** |
988
989Lo que **no** trae, dicho en vez de fingido: control de trabajos, edición de línea, historial,
990`alias`, `getopts`, `times`, `[[ ]]`, arrays. El shell de `getty` es otro consumidor y sigue
991pendiente.
992
993## Los siete bugs — que es la parte que enseña
994
995Ninguno se veía en la salida. Todos daban resultados plausibles, y **los seis primeros los destapó
996el banco diferencial**, no el juicio:
997
9981. **El lexer fundía lo entrecomillado con lo desnudo.** `x="a  b"` quedaba como UN seg
999   entrecomillado, el parser ya no veía la asignación —el prefijo antes del `=` tiene que ser
1000   desnudo— y **la ejecutaba como una orden**. El error decía «no encontrado», que manda a buscar al
1001   lugar equivocado. Ahora el comillado es por carácter.
10022. **La marca de escape interna chocaba con las barras reales.** La primera versión usaba `\` como
1003   marca y la quitaba al final, así que `$(echo \\$V)` perdía la barra que la sustitución había
1004   PRODUCIDO (ash: `\hola`, simi: `hola`). **La quita de comillas es sobre las comillas de la
1005   palabra, nunca sobre el resultado de una expansión** — y eso no se representa con un escape
1006   dentro del texto: hace falta una máscara de protección por carácter.
10073. **`set -e` no se suspendía dentro de una función llamada desde una condición.** Ahora es un
1008   contador DINÁMICO, y por eso entra solo donde tiene que entrar.
10094. **Los delimitadores de `$( )` y `${ }` no respetaban la barra invertida**: `$(echo \)` cerraba la
1010   sustitución cuando el paréntesis estaba escapado y no debía cerrar nada.
10115. **Las clases `[…]` no entendían `\`** — y `*[\\\`\"\$]*` es literalmente el patrón del
1012   `config.status` de libtool.
10136. **Dentro de comillas dobles, el cuerpo de un backtick sigue entre comillas**, así que la barra
1014   también se elimina ante `"`. Sin eso, dos casos de la tortura divergían en los dos sentidos.
10157. **Y uno que el banco NO vio:** el `trap EXIT` **heredado** se disparaba en el subshell. POSIX
1016   §2.12 manda resetearlo al entrar — es la mitad complementaria de brush#1396, y al revés. Lo
1017   encontró la prueba de regresión del crate, porque ningún caso del banco lo probaba. **Los dos
1018   oráculos hacen falta**, y el caso quedó agregado al fixture 08.
1019
1020Las dos invariantes que el fichero de ejecución sostiene a propósito, las dos porque se midieron
1021rotas en el candidato ajeno: **el `trap EXIT` de un subshell corre** (brush#1396) y **`exec`
1022reemplaza el proceso** (si el shell forkea, arje supervisa al shell y no al daemon).
1023
1024## Lo que queda, en orden
1025
10261. ~~**Construir la receta en el lab** y sellarla.~~ **HECHO** — `b3:46ff6fcf…`, ver arriba.
10272. **ADR** — escribir un shell propio y meterlo en `ATTEST_PATHS` es una decisión de frontera, y el
1028   nombre `simi` también. Este documento la registra; el ADR la decide.
10293. **Cablear `/bin/sh`**: `USERLAND_COMPONENTS` + el retiro del homónimo (`lib.rs:676`). Es frente C
1030   y toca la raíz de confianza del arranque.
10314. **Medir EJECUTANDO**, no sólo parseando: los `/init` en un arranque de QEMU
1032   (`product-boot-test.sh`) y `takana-live-install.sh` en la imagen viva.
10335. **La shell interactiva de `getty`**, que es el consumidor que falta entero.
10346. **El sandbox de build sigue con busybox**, y con razón: eso es otro planeta y no está prometido.
1035
1036
1037---
1038
1039# El censo de proveedores — el reparto applet→dueño, MEDIDO (2026-09-21)
1040
1041**Instrumento:** `scripts/busybox-censo-proveedores.py` · **columnas nuevas del TSV:**
1042`proveedor_medido`, `medido_el` · **qué mide:** índice inverso de
1043`<store>/<hash>-<paquete>/{bin,sbin,usr/bin,usr/sbin,libexec}` sobre los 1407 artefactos del store
1044del hub, cruzado con los 277 applets vivos.
1045
1046## Por qué había que medirlo
1047
1048Este documento decía, arriba y en letra clara: «**el reparto applet→destino es juicio, no medida**.
1049La asignación de dueño la escribí yo y hay que revisarla receta a receta». Revisada:
1050
1051| | n | qué significa |
1052|---|---|---|
1053| el dueño que el TSV nombra **sí lo provee** | 167 | el reparto era correcto |
1054| **lo provee OTRO paquete** | 31 | el dueño estaba mal escrito, pero hay sustituto |
1055| **no lo provee NADIE salvo busybox** | **79** | el trabajo real, y son 56 más de los 23 previstos |
1056
1057> **Los 23 applets «sin dueño» eran 79.** No porque falte escribir más userland, sino porque
1058> **nueve paquetes que el TSV daba por dueños no instalan el binario que se les atribuía.**
1059
1060## Lo que aparece cuando se mira el artefacto en vez de la tabla
1061
1062**`xz` es el caso que más duele, y no es un olvido: es la receta haciendo lo que pide.**
1063`recipes/xz.toml` pasa `--disable-xz --disable-xzdec --disable-lzmadec --disable-lzmainfo
1064--disable-scripts` ⇒ el artefacto sellado tiene **`usr/bin` vacío**: es liblzma y nada más. Y `xz`
1065figura **en seis perfiles**. O sea que la imagen declara `xz` y el único `xz` que hay adentro es el
1066applet de busybox. Lo mismo, por la misma razón, con **`ncurses`**: su receta instala
1067`make install.libs install.includes` ⇒ ni `clear`, ni `reset`, ni `tput`, ni `infocmp`.
1068
1069**Es un patrón, no dos accidentes: una receta de LIBRERÍA no es un paquete de HERRAMIENTAS**, y
1070`build-state.json` no distingue entre las dos — las dos salen `sealed` y con sus perfiles. Es
1071[[catalogo-no-es-imagen]] un piso más abajo: ahí el paquete existía y no viajaba; acá **viaja y no
1072trae el binario**. Ninguna métrica actual lo ve; el censo sí.
1073
1074Los demás huecos nuevos, por qué cada uno:
1075
1076| dueño | applets que NO provee | causa |
1077|---|---|---|
1078| `iproute2` | 18 | 12 son net-tools (ya marcados NO-drop-in) y **6 son nombres internos de busybox** — `ipaddr iplink ipneigh iproute iprule iptunnel` son `ip addr`/`ip link`/… escritos como applet. **No son comandos de nadie: se BORRAN del defconfig**, no se reemplazan |
1079| `shadow` | 8 | `addgroup adduser delgroup deluser mkpasswd cryptpw` ya estaban marcados; `add-shell` y `remove-shell` son de debianutils y nadie los trae |
1080| `xz` | 6 | receta de librería (arriba) |
1081| `kbd` | 4 | `loadfont loadkmap dumpkmap` son los NOMBRES de busybox de `setfont`/`loadkeys`/`dumpkeys`, que kbd **sí** trae ⇒ es NO-drop-in de nombre, no hueco de función. `vlock` no lo trae nadie |
1082| `iputils` | 3 | trae `ping arping tracepath clockdiff`; `traceroute`/`traceroute6` son otro paquete y `ping6` es `ping -6` |
1083| `ncurses` | 2 | receta de librería (arriba) |
1084| `util-linux` | 2 | `hd` es el alias de `hexdump`, que sí trae ⇒ falso hueco. **`setpriv` es hueco real**: el `configure` lo desactivó |
1085| `uutils` | 2 | `arch` y `hostname` — ver abajo, los cubre el feature |
1086| `vim` | 1 | instala `vim ex view rvim vimdiff xxd`, **no `vi`**: falta el symlink, una línea |
1087| `cronie` | 1 | `run-parts` es de debianutils |
1088| `libarchive` | 1 | instala `bsdcpio`, no `cpio` |
1089| `socat` `chrony` `dhcpcd` | 6 | los NO-drop-in ya conocidos |
1090
1091## Y tres correcciones al revés — el dueño estaba mal, pero el sustituto EXISTE
1092
1093Los 31 «otro proveedor» son casi todos `coreutils` (GNU, sellado, sin perfil) cubriendo lo que
1094`uutils` no traía. Los tres que cambian una conclusión del plan:
1095
1096- **`switch_root` lo trae `util-linux`** — es uno de los cinco indultos del paso 1, y tiene
1097  sustituto real. (El `/init` del initramfs sigue necesitando el de busybox porque ahí no hay
1098  util-linux, pero eso es el initramfs, no la imagen.)
1099- **`sulogin` lo trae `util-linux`**, no shadow. **`partprobe` lo trae `parted`**, no util-linux.
1100- **`getty` tiene sustituto: `agetty`, de `util-linux`, que está en los 7 perfiles.** El TSV lo
1101  daba como `getty-ESCRIBIR`. No es escritura: es cambiar el `exec` de la card
1102  (`takana-bootstrap/src/lib.rs:240`) y medirlo. Lo que sigue faltando entero es la **shell
1103  interactiva**, que es otro consumidor — `simi` no trae edición de línea ni historial.
1104
1105## `uutils` no traía 25 de sus 90 — arreglado en la receta
1106
1107El artefacto sellado `b3:9005da83…` instala **78 symlinks**, no los 90 que este documento le
1108atribuía, y el propio multicall lo dice sin ambigüedad:
1109
1110```
1111$ …-uutils/usr/bin/coreutils chmod --version
1112coreutils: unknown program 'chmod'
1113```
1114
1115Faltaban exactamente estos 25: `arch chgrp chmod chown chroot groups hostid hostname id install
1116kill logname mkfifo mknod nice nohup nproc stat stty sync timeout uname users who whoami`. La causa
1117es que `recipes/uutils.toml` construía con las **default features** (`feat_common_core`), y el
1118`Cargo.toml` del tag pineado pone el resto detrás de `feat_os_unix_musl` — que cubre **esos 25 y
1119ninguno más**. Arreglado con un flag en la receta.
1120
1121⚠ **Esto importaba más de lo que parece:** `USERLAND_COMPONENTS` hidrata `uutils` DESPUÉS de
1122busybox para que lo ensombrezca, y **lo que no existe no ensombrece nada**. O sea que en el producto
1123de hoy `chmod`, `chown`, `id`, `uname` y `stat` los sigue dando busybox, con el userland Rust
1124instalado encima y la métrica diciendo que están cubiertos.
1125
1126⚠ **Lo que el feature NO arregla:** `who`, `users`, `uptime` y `pinky` compilan contra los stubs de
1127utmpx de musl y **contestan vacío**. No es regresión (el `who` de busybox en musl está igual de
1128ciego), pero tampoco es sustitución.
1129
1130## Qué cambia en el orden de ataque
1131
11321. **`xz` y `ncurses` necesitan su paquete de herramientas** — variante de receta, no perilla: tocar
1133   `--disable-xz` re-hashea xz y arrastra a todos sus dependientes. Patrón `elfutils-libdw`.
11342. **Los 6 `ipaddr/iplink/…` salen del defconfig** en el próximo recorte: 277 → 271 sin escribir nada.
11353. **`vi` en la receta de vim** y **`cpio`→`bsdcpio` en libarchive**: un symlink cada uno.
11364. **`getty` deja de ser escritura** y pasa a ser migración de card a `agetty`.
11375. **Falta un guardián nuevo**, hermano del vigía de applets retirados: uno que falle cuando una
1138   receta declare un perfil y su artefacto **no instale el binario homónimo**. El censo es el
1139   instrumento; falta cablearlo a CI.
1140
1141## Lo que este censo NO mide
1142
1143- **Equivalencia de nombre, no de banderas.** `nc` de socat cuenta como proveedor aunque su sintaxis
1144  difiera. La columna `equivalencia` del TSV sigue haciendo falta y sigue diciendo `sin-verificar`
1145  en 230 filas.
1146- **El store del HUB.** Un artefacto sellado sólo en el worker no aparece; `build-state.json` dice
1147  `sealed` igual. Los 79 hay que releerlos como «no está en el store del hub».
1148- **Qué applets EJECUTA el producto de verdad**, que sigue sin medirse y sigue siendo lo que
1149  abarataría todo lo demás.
1150
1151## Lo hecho con el censo en la mano (2026-09-21, misma tanda)
1152
1153> **El número que baja: 79 → 69 applets que sólo provee busybox**, y ninguno de los diez
1154> costó escribir userland.
1155
1156| unidad | estado | sello |
1157|---|---|---|
1158| `uutils` con `feat_os_unix_musl` | ✅ **79 → 106 applets**, 27 nuevos, 0 perdidos | `b3:614ff653…` |
1159| `recipes/xz-tools.toml` — variante con las herramientas | ✅ 23 binarios, estático, round-trip probado | `b3:194c7d69…` |
1160| `vi` en `recipes/vim.toml` | ✅ `usr/bin/vi → vim` | `b3:d303ec31…` |
1161| `cpio` en `recipes/libarchive.toml` | ✅ `usr/bin/cpio → bsdcpio` | `b3:3f999ff8…` |
1162| **paso 2 del plan** — declarar la munición en `targets.toml` | ✅ `uutils findutils findutils-xargs diffutils gzip grep xz-tools` en `base` | — |
1163| guardián de regresiones (`--guardian`) | ✅ probado en los dos sentidos | — |
1164
1165Los cuatro artefactos sellaron con **el mismo hash en el store tirable y en `/store`** —dos
1166`work_root` distintos, bytes idénticos—, o sea reproducibilidad confirmada de paso, que no era el
1167objetivo. Y el reparto del TSV mejoró solo: «el dueño que el TSV nombra sí lo provee» pasó de
1168**167 a 194**, porque los 25 que antes cubría el `coreutils` de GNU ahora los da el `uutils` al que
1169el TSV se los atribuía.
1170
1171⚠ **`xz-tools` salió DINÁMICO en la primera corrida** —`interpreter /lib/ld-musl-x86_64.so.1`—
1172pese al `link = "static"` de la receta, y funcionaba perfectamente: comprimía y descomprimía. Es el
1173relink de libtool, que ya documentan `libarchive.toml` y `bluez.toml`: **hace falta
1174`LDFLAGS=-all-static` en `compile` Y en `install`**, y sin él el `link` de la receta se ignora en
1175silencio. Lo delató mirar el `file` del binario, no una prueba que fallara — [[link-static-mentira-libtool]].
1176
1177**`xz-tools` es el tercer caso de la familia de `zstd-cli`**, y eso ya estaba escrito en
1178`targets.toml`: «la receta canónica construye sólo `lib/` y su artefacto no tiene `usr/bin`;
1179declararla no habría arreglado nada». Lo mismo pasó con `zlib-shared`, `libffi-shared` y
1180`musl-shared`. **Cuatro veces la misma forma**: la receta publica la lib, la imagen declara el
1181paquete, y el binario no está. El censo es el primer instrumento que lo ve sin que se rompa nada
1182primero.
1183
1184**El guardián vigila pérdidas, no un número**, y esa decisión es el punto:
1185
1186```
1187✗ REGRESIÓN: 2 applets PERDIERON su proveedor y vuelven a depender de busybox:
1188    xz             lo proveía xz
1189    xzcat          lo proveía xz
1190```
1191
1192Un umbral («no más de 79 sin dueño») hay que subirlo cada vez que se retira un applet, y a la
1193tercera nadie lo sube con criterio — [[umbral-a-mano-envejece]]. Una pérdida, en cambio, es siempre
1194una regresión. Probado en los dos sentidos, que es lo que hace falta para saber que un guardián
1195sirve: `rc=0` contra `/store` completo, `rc=1` contra un store mutilado, nombrando applet y
1196proveedor perdido.
1197
1198**Lo que NO se hizo, y por qué:** `ncurses-tools` (para `clear`, `reset`, `tput`) parece el gemelo
1199de `xz-tools` y no lo es. La receta canónica instala `install.libs install.includes` y **tampoco
1200instala la base de datos terminfo**: una variante con los `progs` obliga a decidir si terminfo entra
1201en la imagen (~7 MB) o si basta con los `--with-fallbacks` ya compilados dentro de la lib. Es una
1202decisión de producto, no un enlace que faltaba — y se decide, no se hace de paso.
1203
1204### Y el barrido general, con su límite
1205
1206Buscado el mismo patrón en TODO el corpus —recetas declaradas en algún perfil cuyo directorio de
1207binarios existe y está VACÍO— salen **dos, y las dos son la familia xz**: `xz` (6 perfiles) y
1208`xz-shared` (8 perfiles). O sea que el caso está acotado y `xz-tools` lo cierra.
1209
1210⚠ **Pero el barrido no habría encontrado `ncurses`**, y conviene decir por qué: su receta no deja un
1211`usr/bin` vacío, **no crea el directorio**, y eso es indistinguible de una librería legítima — `zlib`
1212tampoco trae binarios y está bien así. Sin una declaración por receta de «qué binarios publico», no
1213hay señal que separar del ruido. **Lo que da la señal es el TSV de applets**, porque es lo único del
1214repo que escribe la EXPECTATIVA (este applet debería venir de este paquete) contra la cual medir.
1215Es la misma forma que [[subcomando-sin-driver]]: el problema no se ve mirando el artefacto, se ve
1216cruzándolo con lo que alguien prometió que tendría.
1217
1218
1219## Segunda tanda: las dos piezas que el plan marcaba TRAER (2026-09-21)
1220
1221> **64 applets** sólo-busybox, desde 79. Cinco más, y otra vez sin escribir userland.
1222
1223| receta | applets | sello |
1224|---|---|---|
1225| `recipes/psmisc.toml` (23.7) | `killall pstree fuser` (+`prtstat pslog`) | `b3:b361bd04…` |
1226| `recipes/bc.toml` (gavinhoward/bc 7.0.3) | `bc dc` | `b3:050efb84…` |
1227
1228**`bc` es gavinhoward/bc y no el de GNU**, y la razón es de cadena: C99 sin dependencias, `bc` **y**
1229`dc` del mismo árbol, y es el bc de sistema de Alpine y FreeBSD. El de GNU arrastra `ed` y `flex`
1230como build-deps y su `dc` va en otro paquete.
1231
1232⚠ **`killall5` NO lo trae psmisc** — es de sysvinit. Acá lo cubre `arje-zero` por FUNCIÓN (es PID 1
1233y apaga él), así que el applet se retira con los indultos en vez de reemplazarse. Son 3 de los 4 que
1234la tabla prometía, y decirlo así evita que vuelva a prometer lo que no hay.
1235
1236### Los dos pisones de psmisc, que enseñan más que el resultado
1237
1238**1 · `-lncurses` no existe en este corpus, y hay dos formas de no arreglarlo.** El `configure` de
1239psmisc busca `tgetent` por NOMBRE de librería (`-ltinfo`, `-lncurses`, `-ltermcap`) y la nuestra es
1240`--enable-widec`, o sea `libncursesw.a`. Falló primero con `LIBS=-lncursesw` —el `AC_CHECK_LIB` no
1241pregunta si el símbolo resuelve, **compila un programa de prueba con `-lncurses`**— y falló después
1242con `ac_cv_lib_ncurses_tgetent=yes` + `make TERMCAP_LIB=-lncursesw`, porque
1243`src_pstree_LDADD = @TERMCAP_LIB@` se sustituye **en tiempo de configure** y el Makefile queda con
1244`-lncurses` literal, no con una referencia a la variable. Lo que funciona es darle el nombre que
1245busca: un enlace `libncurses.a → libncursesw.a` en el scratch y un `-L` a ese directorio.
1246
1247**2 · Y ese `-L` se comió el `-static`.** Primera versión: `LDFLAGS="-L$PWD/.compat-ncurses"`. El
1248harness inyecta `LDFLAGS=-static` para las recetas `link = "static"`
1249(`takana-build/src/lib.rs:285`), así que reemplazarlo lo pierde. **Los seis binarios sellaron
1250DINÁMICOS y nada falló**: `killall --version` contestaba bien, y sólo `pstree` —el único que enlaza
1251ncurses— moría en ejecución con `Error relocating /lib/libncursesw.so.6`, tomando la librería del
1252anfitrión. Un `file` sobre los binarios lo dice en un segundo; ninguna prueba del build lo iba a
1253decir. Es [[cgo-sin-baseline-sigill]] otra vez: **redefinir una variable que el harness ya puebla
1254pierde en silencio lo que el harness había puesto**, y el síntoma aparece lejos.
1255
1256## Quién usa lo que queda — `busybox-vigia.py --uso` (2026-09-21)
1257
1258Esto es **lo que el documento dejó sin medir tres veces**: «no se midió qué applets usa el producto
1259de verdad; eso abarataría el paso 1». Ahora se mide. El modo nuevo lee del TSV los applets con
1260`proveedor_medido = SOLO-BUSYBOX` y los busca en el repo con las reglas anti-ruido del vigía.
1261
1262De los **64**, sólo **12 tienen un llamador dentro del producto**:
1263
1264| applet | quién lo llama |
1265|---|---|
1266| `sh` | 28 sitios — el `/bin/sh` de todo; lo cierra `simi` |
1267| `ifconfig` `route` `udhcpc` `netstat` | `metal-iso.sh`, `cosmic/metal-desktop-image.sh`, `test-foco-egress.sh`, `mudanza/censar.py` — **todos con `ip`/`ss` como primera opción y el applet como respaldo** (`ip link set … \|\| ifconfig …`) |
1268| `insmod` | `iso-image.sh`, `install-image.sh` — ⚠ **es el `insmod` de GRUB**, no el de busybox: `insmod part_gpt` dentro de un `grub.cfg`. Falso positivo del grep, no migración |
1269| `setuidgid` | `gitea`, `pacha-secretos`, `tejido` — tres cards |
1270| `getty` | la card de la consola (`ssh-e2e-test.sh`, `takana-bootstrap`) |
1271| `adduser` | `servidor/alta-usuario.sh` |
1272| `nc` | `test-foco-egress.sh` |
1273| `nslookup` | `drive-netup.py` |
1274| `poweroff` | `farm/harkaq-campana-vol.sh` |
1275
1276**Los otros 52 no los invoca nadie en el repo.** Y ahí está la trampa, escrita en la salida del
1277propio comando para que no se lea como una lista de borrado:
1278
1279> **«Candidato» no es «retirable».** Un grep ve a quien invoca POR NOMBRE. Hay dos clases de
1280> consumidor que no aparecen nunca: **el kernel** —llama a `/sbin/modprobe` por
1281> `call_usermodehelper` y al gestor de `/dev` por hotplug, así que `modprobe lsmod depmod rmmod
1282> modinfo mdev uevent makedevs` salen «libres» y no lo son— y **el usuario de la máquina**, que
1283> espera encontrar `clear`, `reset`, `vi` o `traceroute` al entrar por ssh.
1284
1285### Y los dos falsos negativos que tuvo el modo, que son la parte que enseña
1286
1287La primera versión decía **10 invocados** y estaba mal en dos casos, los dos peligrosos porque
1288llevan a retirar un applet que el producto usa:
1289
12901. **`setuidgid`** — se invoca como `exec /usr/bin/setuidgid pacha`, con **ruta absoluta**. El
1291   patrón de comando pide el nombre pegado al `exec`, y ahí hay un `/usr/bin/` en medio.
12922. **`getty`** — vive como `"argv": ["getty", "-n", …]`, **elemento de un array JSON**. La regla que
1293   filtra cadenas de Rust/TOML por «parece una línea de comandos» —la que en su día bajó el ruido de
1294   91 hits a 0— descarta una cadena que es sólo un nombre.
1295
1296Las dos reglas que quitan ruido son las mismas que crean ceguera, y la diferencia es hacia dónde se
1297equivoca cada una. En el modo original —«¿alguien llama a algo que ya retiré?»— un falso positivo
1298cuesta un minuto y un falso negativo cuesta un boot roto. En este modo pasa igual, así que ahora
1299busca **tres formas**: nombre desnudo, ruta absoluta y primer elemento de `argv`.
1300
1301---
1302
1303# El frente `kmod` no existe: los kernels de takana no tienen módulos (2026-09-22)
1304
1305**Cómo salió:** al ir a escribir el `kmod` en Rust que este plan pide —la pieza más grande que
1306quedaba, 6 applets— lo primero fue mirar contra qué módulos probarlo. **No hay ninguno.**
1307
1308| medida | resultado |
1309|---|---|
1310| `.ko` en los artefactos sellados de los 4 kernels | **0** — sólo `boot/bzImage` y el `.config` |
1311| recetas del corpus que hacen `modules_install` | **0** |
1312| drivers `=m` en los `.config` sellados | **0** (contra 1809 `=y` en `linux-metal`) |
1313| `CONFIG_MODULES` en los tres kernels del store | **`# CONFIG_MODULES is not set`** |
1314| quién enciende `CONFIG_MODULES` en el repo | **nadie** |
1315
1316Los cuatro kernels son monolíticos por construcción: `compile = "make … bzImage"` y
1317`install = "cp arch/x86/boot/bzImage /out/boot/"`. Sin `CONFIG_MODULES`, el kernel **ni siquiera
1318implementa `init_module`/`delete_module`** — un `insmod` escrito en Rust recibiría `ENOSYS`.
1319
1320> **Los 6 applets de kmod no son trabajo de escritura: son 6 applets a RETIRAR.** Y con ellos se van
1321> otros 3: `CONFIG_DEVTMPFS_MOUNT=y` hace que el kernel cree y monte `/dev` con sus nodos, no hay
1322> `CONFIG_UEVENT_HELPER` (o sea que el kernel no llama a ningún helper de hotplug), y `libudev-zero`
1323> ya viaja en los 8 perfiles. `mdev`, `makedevs` y `uevent` tampoco tienen consumidor.
1324
1325## Lo que esto le hace a la cuenta del plan
1326
1327De los **23 applets** que este documento llamó «el trabajo real», queda muy poco:
1328
1329| pieza | decía | es |
1330|---|---|---|
1331| kmod (6) | escribir en Rust | **retirar** — el kernel no tiene módulos |
1332| gestor de /dev (3) | escribir o decidir | **retirar** — devtmpfs + libudev-zero |
1333| psmisc (4) | traer | ✅ hecho (3; `killall5` es de sysvinit, lo cubre arje-zero por función) |
1334| bc (2) | traer | ✅ hecho |
1335| grep (3) · sed (1) | escribir en Rust | GNU declarado como puente ✅; el Rust nativo sigue siendo deseable, no urgente |
1336| getty (2) | escribir | **migrar**: `agetty` de util-linux está en los 7 perfiles |
1337| awk (1) | decidir | sigue siendo un ADR |
1338| nslookup (1) | traer | **decidir**: ninguno de los candidatos (ldns→`drill`, knot→`kdig`, doggo) publica `nslookup`; el único llamador es `scripts/drive-netup.py` y migrarlo es más barato que traer BIND |
1339
1340## Y la corrección que me toca a mí
1341
1342Hace dos horas escribí en la salida de `busybox-vigia.py --uso`, como advertencia:
1343
1344> «el KERNEL — llama a `/sbin/modprobe` por `call_usermodehelper` … `modprobe lsmod depmod rmmod
1345> modinfo mdev uevent makedevs` salen «libres» acá y no lo son: es el frente kmod, que es escritura
1346> pendiente, no un borrado.»
1347
1348**Es plausible, es la forma correcta de razonar, y es falsa para este producto.** La escribí sin
1349medirla, en el mismo commit en el que presumía de haber arreglado dos falsos negativos. Corregida en
1350el script. Es [[la-etiqueta-no-es-el-hecho]] exacta: la advertencia sonaba a experiencia y era una
1351suposición, y lo que la desarmó fue ir a buscar contra qué probar el código que iba a escribir.
1352
1353## Qué hacer con los 9 — y por qué NO ahora
1354
1355Retirarlos es editar `RETIRADOS` en `recipes/busybox.toml`, y eso **re-hashea busybox**. Las 24
1356recetas que lo declaran build-dep se invalidan, y **15 de esas 24 siguen HOY en deuda por el recorte
1357del 2026-09-21** (`linux`, `llama-cpp`, `protobuf`, `qdrant`, `valkey`, `zlib-ng`, los firmware…).
1358Recortar otra vez ahora duplica ese trabajo para la granja.
1359
1360**El siguiente recorte junta todo lo que ya está decidido y se hace UNA vez:** los 6 de kmod, los 3
1361de /dev, y los 6 alias internos de iproute2 (`ipaddr iplink ipneigh iproute iprule iptunnel`, que no
1362son comandos de nadie) — **15 applets, 277 → 262**, sin escribir una línea y sin reemplazar nada.
1363
1364## El paso 2, verificado en una hidratación real (2026-09-22)
1365
1366El criterio de terminado del paso 2 era «cuando `build-state.py` los marca con perfil **y la imagen
1367los lleva**». Lo segundo no se comprueba declarando: se hidrata y se mira. Hecho, con el orden real
1368del ensamblado —busybox primero, el userland encima, que es lo que hace `USERLAND_COMPONENTS`:
1369
1370```
1371grep → grep      find → find      diff → diffutils   xz   → xz (xz-tools)
1372sed  → sed       xargs → xargs    cmp  → diffutils   bc   → bc      dc → bc
1373gzip → gzip      zcat → zcat      vi   → vim         cpio → bsdcpio
1374killall/pstree/fuser → psmisc     chmod/uname/id/stat/ls/cat → coreutils (uutils)
1375```
1376
1377**Ningún binario de los declarados lo sigue ganando busybox.** Y la prueba que faltaba: hidratar la
1378`xz` canónica ENCIMA de `xz-tools` —el escenario que motivó quitarle `lib/` e `include/` a la
1379variante— deja `liblzma.a` de la canónica, `usr/bin/xz` de la variante, y `xz --version` sigue
1380contestando. **Conviven**, que es lo que la receta afirmaba y ahora está medido en vez de razonado.
1381
1382---
1383
1384# `akllay` — el `awk` propio, ESCRITO y MEDIDO (2026-09-22)
1385
1386**Crate:** `crates/akllay/` (3531 líneas, `libc` y nada más) · **receta:** `recipes/akllay.toml`
1387(sellada, `b3:400e8114…`) · **nombre:** *akllay* es «escoger, seleccionar» en quechua — lo que hace
1388awk con los registros.
1389
1390⚠ **Se llamó `qillqa` durante un commit y ese nombre estaba TOMADO**, lo que es su propia lección:
1391en `tawasuyu/02_ruway/qillqa` hay un producto entero —registro público a prueba de manipulación, 16
1392crates, SDD propio— cuyo `qillqa-cli` declara un binario llamado exactamente `qillqa`. Y takana
1393EMPAQUETA recetas de tawasuyu (`boveda`, `tejido`, `pacha`, `shuma-pregunta`…), así que los dos
1394binarios habrían acabado en el mismo `/usr/bin` de la misma imagen: colisión silenciosa, gana el
1395último que hidrate. **La práctica de comprobarlo ya estaba escrita en el otro repo** —
1396`01_yachay/qhali/SDD.md`: «Nombre: `qhali`. Verificado sin colisión:»— y no la seguí: elegí por
1397significado. Verificado ahora en los dos repos y contra los 2193 nombres de binario del store:
1398`akllay` libre, y `simi` también lo estaba (sus apariciones en tawasuyu son «runa simi», el nombre
1399del idioma). **Comprobar el nombre contra tawasuyu es parte de nombrar, no un trámite posterior.** El comando instalado es `awk` — eso es
1400contrato. El nombre propio lo registra este documento y lo decide un ADR, igual que `simi`.
1401
1402## El veredicto, primero
1403
1404> **Construye el corpus y reproduce bit a bit.** Tres recetas autotools reales con akllay como
1405> `/usr/bin/awk` del lab: **3 de 3 sellaron, y las tres con el hash IDÉNTICO** al vigente construido
1406> con el `awk` de busybox. Es exactamente la prueba que brush falló 0 de 3.
1407
1408| | akllay | busybox awk | gawk 5.3.2 |
1409|---|---|---|---|
1410| banco diferencial (109 casos, dos oráculos) | **104 iguales, 0 divergencias** | oráculo | oráculo |
1411| `pkgconf` · `flex` · `oniguruma` con él de `awk` | **3/3, hash idéntico** | 3/3 (control) | — |
1412| binario | **0,64 MB** | 0,98 MB (401→277 applets) | 0,83 MB |
1413| latencia de arranque | **1,04×** | 1,00× | 1,10× |
1414
1415Los hashes, para que se pueda repetir: `pkgconf b3:cfb6a37e…`, `flex b3:6b25e351…`,
1416`oniguruma b3:751a5270…` — los tres son los que ya estaban en `build-state.json`.
1417
1418⚠ **Son tres recetas, no las 943.** Lo que prueban es que el camino que tumbó a brush —el
1419`config.status` que genera el `libtool`, donde awk hace el trabajo pesado— aquí pasa. No prueban
1420que no haya un cuarto caso.
1421
1422## El banco es DIFERENCIAL y contra DOS oráculos, y eso decidió cosas
1423
1424`scripts/awk-banco-diferencial.py` corre los mismos 109 casos en akllay, en el `awk` de busybox y en
1425`gawk --posix`. El veredicto no es «igual a X» sino «igual a LOS DOS», y **los oráculos discrepan
1426entre sí en 5 casos** — que es justo para lo que sirve tener dos:
1427
1428| caso | busybox | gawk | POSIX manda | akllay |
1429|---|---|---|---|---|
1430| `2^3^2` | 64 | **512** | derecha ⇒ 512 | 512 ✓ |
1431| `index(s,"")` | 0 | **1** | 1 | 1 ✓ |
1432| `gsub(/a*/,"-")` sobre `xax` | 4 · `-x--x-` | **3 · `-x-x-`** | 3 | **era 4, corregido** |
1433| `printf "%*d"` | no lo soporta | **sí** | sí | sí ✓ |
1434| `length(array)` | **2** | rechaza (`--posix`) | no lo define | 2 |
1435
1436El tercero era nuestro: **una coincidencia vacía pegada al final de la anterior no sustituye**. Sin
1437esa regla, `gsub` mete guiones de más. Se ve sólo cuando los dos oráculos no coinciden, y por eso un
1438banco contra un único awk lo habría dado por bueno.
1439
1440## Las cinco cosas que el banco destapó — ninguna reventaba
1441
1442Todas daban un resultado plausible, ninguna imprimía un error. Quedan como pruebas de regresión en
1443`crates/akllay/tests/divergencias_medidas.rs`:
1444
14451. **Leer `NF` no forzaba el partido en campos** ⇒ `{print NF}` daba **0** hasta que alguien tocara
1446   un campo. El partido es perezoso a propósito —es lo que hace barato asignar a `$0`— y el precio
1447   es acordarse de forzarlo en cada lectura que dependa de los campos.
14482. **`length` sin paréntesis** se leía como una VARIABLE llamada `length`, que vale vacío. Es el
1449   único builtin al que POSIX permite omitirlos, y el brazo que lo trataba estaba DESPUÉS del brazo
1450   general de identificador: inalcanzable.
14513. **Los arrays se pasan por referencia**, y eso se decide mirando si la función usa el parámetro
1452   como array. `a["k"]=1` tiene el nombre en el **lugar** de la asignación y sólo se miraba el valor.
14534. **`substr` con inicio ≤ 0** recorta a 1 **sin ajustar el largo**, y los no enteros se truncan. La
1454   lectura estricta de POSIX daría otra cosa; ni busybox ni gawk la hacen, y lo que hay que ejecutar
1455   son los guiones escritos contra ellos.
14565. La regla del vacío en `gsub`, arriba.
1457
1458## Por qué el motor de expresiones regulares es propio
1459
1460**POSIX es leftmost-LONGEST; la familia Perl —y el crate `regex` en su modo por defecto— es
1461leftmost-first.** Para `/a|ab/` sobre `"ab"`, POSIX devuelve `ab` y Perl devuelve `a`. En un awk eso
1462no es académico: decide qué borra un `sub()`, dónde parte un `split()` y cuánto valen `RSTART` y
1463`RLENGTH`. Adoptar un motor ajeno es adoptar su semántica.
1464
1465Construcción de Thompson con conjunto de hilos: sin retroceso, así que `(a*)*b` contra sesenta `a`
1466termina igual de rápido que cualquier otra cosa, y quedarse con el final más lejano alcanzado da el
1467«más largo» de POSIX sin trabajo extra.
1468
1469## Lo que queda
1470
14711. **Declararlo en `targets.toml`** y decidir si sustituye al applet en el defconfig. Va con el
1472   recorte de los 15, no suelto.
14732. **ADR** — el nombre y la adopción de un awk propio, junto con el de `simi`.
14743. **Medir más recetas**: las tres son el camino de autotools, que es el duro, pero el corpus tiene
1475   943.
14764. **Lo que NO trae, dicho en vez de fingido:** las extensiones de gawk (`gensub`, `asort`,
1477   `PROCINFO`, `RT`, arrays multidimensionales de verdad, `--re-interval` es siempre on), `getline`
1478   desde coprocesos, y las localizaciones. Es awk POSIX, no gawk.
1479
1480---
1481
1482# Recorte 2 — los 15, HECHO y MEDIDO (2026-09-22)
1483
1484> **277 → 262 applets.** 15 retirados, 0 indultos nuevos, binario de **977.096 → 961.632 bytes**.
1485> Nuevo hash `b3:4bd934f6…` (el vigente era `a24fdbf6…`). Y el censo de proveedores baja de **62 a
1486> 47**: los 15 eran, todos, applets que sólo daba busybox.
1487
1488| grupo | applets | por qué salen |
1489|---|---|---|
1490| **kmod** | `insmod rmmod lsmod modprobe depmod modinfo` + `MODPROBE_SMALL` | el kernel no tiene módulos: `# CONFIG_MODULES is not set` en los cuatro, cero `=m`, ningún `modules_install` |
1491| **gestor de /dev** | `mdev makedevs uevent` | `DEVTMPFS_MOUNT=y` monta `/dev` con sus nodos, no hay `UEVENT_HELPER`, y `libudev-zero` viaja en los 8 perfiles |
1492| **alias de iproute2** | `ipaddr iplink ipneigh iproute iprule iptunnel` | no son comandos de nadie: son `ip addr`, `ip link`… escritos como applet. El `ip` de verdad no se toca |
1493
1494## Verificación
1495
1496| qué | resultado |
1497|---|---|
1498| applets tras el recorte | **262**, exactamente los previstos |
1499| los 15 fuera | ✅ ninguno queda |
1500| indultados presentes | ✅ `setuidgid switch_root poweroff halt reboot adduser`, y también `sh`, `ash`, `getty`, `ip` |
1501| **el sandbox sigue construyendo** | ✅ `zlib-ng`, `jq` y `logrotate` reconstruidas y selladas con el recortado |
1502| vigía | ✅ 138 applets retirados, 0 invocaciones |
1503| reproducible | ✅ mismo hash en el store tirable y en `/store` |
1504
1505## Las dos cosas que el recorte enseñó, que no estaban en el plan
1506
1507**1 · Cinco applets no se podían vigilar, y nadie lo sabía.** `insmod rmmod lsmod modprobe depmod`
1508tenían **`?`** en la columna `simbolo_kconfig` del TSV: sus líneas `//applet:` del fuente llevan un
1509`IF_NOT_MODPROBE_SMALL(...)` anidado que el extractor no entendía. El TSV avisó con `?` en vez de
1510inventar —que es lo correcto— pero **sin símbolo no hay cruce, así que el vigía no los miraba**: se
1511habrían retirado cinco applets sin guardián, que es exactamente el fallo que el vigía existe para
1512evitar. Rellenados desde el fuente ANTES de retirarlos.
1513
1514**2 · `insmod` es también una directiva de GRUB.** El vigía dio 6 hits en `iso-image.sh`,
1515`install-image.sh` y `takana-live-install.sh`, y los 6 son `insmod part_gpt` / `iso9660` / `ext2`
1516dentro de un `cat > …/grub.cfg <<CFG`: los lee GRUB en el arranque, cuando el applet ni existe. Es
1517la **quinta regla anti-ruido** del vigía, y se blanquea la REGIÓN del heredoc y no una lista de
1518módulos de GRUB — una lista envejece, y el día que alguien escriba `insmod gzio` volvería el falso
1519positivo.
1520
1521## Lo que cuesta, dicho claro
1522
1523Tocar `RETIRADOS` re-hashea busybox y con él **las 24 recetas que lo declaran build-dep**. Tres se
1524reconstruyeron aquí como prueba; las otras 21 las paga la granja. **No es deuda nueva de este
1525recorte**: 15 de esas 24 ya estaban en deuda por el recorte del 21/09, y esto las junta en una sola
1526reconstrucción en vez de dos.
1527
1528⚠ **Y la columna del TSV ya no lleva fecha.** Era `recorte_2026_09_21`; con el segundo recorte se
1529vio que no escala. Ahora son `recorte` (sigue/RETIRADO) y `retirado_el` (la fecha), que es lo que
1530debió ser desde el principio: una columna por tanda convierte el fichero en un registro de
1531tandas en vez de un estado.
1532
1533## La deuda del recorte, PAGADA — 21 recetas, y la que no se pudo (2026-09-22)
1534
1535Las 24 recetas que declaran `busybox` build-dep quedaron invalidadas por el recorte. Tres se
1536reconstruyeron en el hub como prueba; **las 21 restantes las molió la granja en 44 minutos**
1537(`dev.gioser.net`, 12:05 → 12:49), bajo el mismo `flock -o` que usa su loop.
1538
1539**Verificado por cruce de hashes, no por código de salida:** para cada receta se calculó en el HUB
1540el hash que espera y se comprobó que ese artefacto exacto está en el store del WORKER. **20 de 21.**
1541
1542> ⚠ **Y el código de salida no servía**, que es la parte que enseña: el guión de la tanda hacía
1543> `takana build … | tail -3` y leía `rc=$?`, **que es el código de `tail`, no el del build**. Las 21
1544> salieron «rc=0» y una había fallado. Un `rc` detrás de una tubería mide el último eslabón.
1545
1546### La que no se pudo, y por qué no es deuda del recorte
1547
1548`ia-modelo-embeddings` no construye **en ninguna de las dos máquinas**, y no por el recorte: su
1549`[source]` apunta a `https://no-hay-upstream.invalid/…` a propósito. Es una de las **tres recetas
1550cuya fuente sólo vive en el mirror** (ADR 0013; las otras son `ia-modelo-chat` y
1551`firefox-pgo-profile`), y el mirror es un Storage Box por **sftp**. Fallan **dos cosas a la vez**:
1552
15531. **El `curl` del corpus no habla sftp.** `takana` lo invoca por nombre y el PATH del lab pone
1554   primero `/work/sergio/bin/curl` (8.20.0 musl, sin libssh2) ⇒ `curl: (1) Protocol "sftp" disabled`.
1555   El de la imagen sí lo trae. **Mismo patrón que el `git` sin `remote-https`.**
15562. **La clave no está**: `~/.ssh/github5` no existe en el hub y `id_ed25519` no está autorizada en
1557   el Storage Box (`(67) Authentication failure`).
1558
1559Arreglar una sola no destraba nada, y cada una falla con un error que no menciona a la otra. Anotado
1560en `scripts/fuentes/mirror-env.sh`, que es donde alguien lo va a buscar.
1561
1562### El estado que queda
1563
1564```
1565sealed 946 · debt 1 · ajeno 3
1566base 85/85 · cli 153/153 · servidor 186/186 · mirada 41/41 · metal-tigerlake 7/7
1567grafo: CIERRA | topo-sort: OK
1568```
1569
1570Todas las imágenes completas. La única deuda del corpus es esa receta, y está esperando una
1571credencial, no un compilador.
1572
1573⚠ **El manifiesto de sellados del worker no existía en este hub** (`work/farm-sellados.txt`), así
1574que el grafo reportaba `never` sobre artefactos que sí existen. Se trajo a mano —es lo mismo que
1575hace la cosecha, sin tocar el lock— y con él aparecen los 26 sellados que no están en el disco de
1576esta máquina pero sí en el del worker.
1577
1578---
1579
1580# Paso 6 — busybox sale de las build-deps, y con eso de las IMÁGENES (2026-09-22)
1581
1582> **`busybox → perfiles: NINGUNO`.** Era el paso que de verdad lo saca del producto.
1583
1584`busybox` **nunca estuvo declarado en `targets.toml`** (cero menciones): llegaba a los 7 perfiles
1585por la **clausura**, porque 24 recetas lo pedían en `[deps] build`. Quitarlo de ahí lo saca de todas
1586las imágenes sin escribir una línea de userland.
1587
1588## La dep era redundante, y se midió antes de tocar las 24
1589
1590El sandbox monta el **rootfs Alpine completo** (`.dev-fs/alpine`) como base read-only
1591(`takana-build/src/sandbox.rs:4`), y ese rootfs **ya trae su propio busybox**: el shell y los
1592coreutils del build salen de ahí. La dep sólo añadía el busybox de takana encima.
1593
1594| comprobación | resultado |
1595|---|---|
1596| `zlib-ng` sin la dep | ✅ sella igual (`b3:f2439671`) |
1597| recetas que MENCIONAN busybox en sus fases | **ninguna** de las 23 |
1598| las 4 que lo nombran (`e2fsprogs kbd vim networkmanager`) | lo hacen en **comentarios** |
1599
1600## El tropiezo del cambio mecánico
1601
1602Dos recetas se resistieron: `jq` y `linux`. El regex con `count=1` pegó en una línea de
1603**comentario** que también dice `build = [` —las dos documentan sus deps en prosa— y, como ahí no
1604había busybox, la sustitución no cambiaba nada y el fichero no se escribía. El efecto fue dejar
1605intacta la dep real de más abajo. Arregladas a mano, y verificado con `git diff` que **ningún
1606comentario quedó alterado** en las otras 22: un cambio masivo sobre ficheros con prosa necesita esa
1607comprobación, no basta con que el resultado parezca correcto.
1608
1609## Lo que queda de busybox
1610
1611Ya no está en ninguna imagen. Lo que sigue es el **frente C**, que es ADR y toca la evidencia de
1612reproducibilidad:
1613
1614- `STAGE1_COMPONENTS` (`takana-bootstrap/src/lib.rs:172`) — es 1 de los 4 del self-host
1615- `ATTEST_PATHS` (`:465`) — `bin/busybox` está atestado
1616- dos cards con `exec "/bin/busybox"`: la consola (`:240`) y sshd (`:429`)
1617
1618Y los **47 applets** del censo, que ya no viajan en ninguna imagen pero siguen siendo el inventario
1619de lo que el producto tendría que proveer por otra vía el día que el frente C se cierre.
1620
1621## `getty → agetty` NO es migrar un `exec` — corrección (2026-09-22)
1622
1623Este documento decía, y yo lo repetí: «`getty` deja de ser escritura y pasa a ser **migrar el
1624`exec` de la card**, porque `agetty` de util-linux ya está en los 7 perfiles». **Es falso, y el
1625cambio hecho a ciegas deja el arranque SIN CONSOLA.**
1626
1627Lo que falta no es sintaxis. Eso sí se verificó y está bien: `agetty` acepta el argv del applet tal
1628cual —documenta las dos formas, `<line> [<baud>]` y `<baud>,... <line>`, y admite `-n`
1629(`--skip-login`) y `-l` (`--login-program`) con la misma semántica—, comprobado contra el binario
1630sellado y no contra la documentación.
1631
1632**Lo que falta es el binario.** La card `console-getty` vive en `STAGE1_SEED_CARD`, o sea en la
1633seed del **núcleo**, y el rootfs del núcleo tiene exactamente **cuatro** componentes:
1634
1635```rust
1636const STAGE1_COMPONENTS: &[&str] = &["musl", "busybox", "hammerd", "arje-zero"];
1637const USERLAND_COMPONENTS: &[&str] = &["uutils", "findutils", "findutils-xargs", "diffutils", "ripgrep"];
1638const SERVICE_COMPONENTS:  &[&str] = &["netup", "openssh"];
1639```
1640
1641`util-linux` **no está en ninguna de las tres**. Comprobado en los artefactos sellados, que es donde
1642se ve y no en `targets.toml`:
1643
1644| | `sbin/agetty` | `sbin/getty` |
1645|---|---|---|
1646| `stage1-rootfs` (`1a3823b4…`) | **no existe** | ✅ (symlink a busybox) |
1647| `product-rootfs` (`86398943…`) | **no existe** | ✅ |
1648
1649Que `util-linux` esté en los 7 perfiles de `targets.toml` **no lo pone en el rootfs del producto**:
1650el producto se ensambla de esas tres listas, no del catálogo. Es la distinción
1651[[catalogo-no-es-imagen]] otra vez, y esta vez me la tragué entera: la habría dejado apuntando a un
1652binario inexistente, con `supervision: Restart` reintentando para siempre y el arranque sin consola
1653— que es justo el fallo que sólo se ve en metal, tarde.
1654
1655### Entonces, qué es de verdad
1656
1657Una decisión de arquitectura, no una línea:
1658
16591. **Meter `util-linux` en `STAGE1_COMPONENTS`** — el núcleo pasa de 4 a 5 componentes, cambia el
1660   `of_tree` del self-host y toca la evidencia de reproducibilidad. **Es ADR.**
16612. **Mover la card de consola a la capa de producto** y añadir `util-linux` a
1662   `USERLAND_COMPONENTS` — no toca el núcleo, pero entonces **el stage1 se queda sin consola** (o
1663   conserva la suya de busybox y hay dos cards distintas, una por capa).
1664
1665Las dos son defendibles y ninguna es «migrar un exec». Lo que queda medido y aprovechable es que el
1666argv no cambia: cuando se decida, el `exec` es lo único que se toca.
1667
1668⚠ **Y la validación de un getty no se hace con pruebas unitarias.** Se intentó ejercitar `agetty`
1669contra un pty real —con `setsid`, y también como root— y **no ejecuta el programa de login**: su
1670contrato necesita ser el tty de control de una sesión de arranque. Los 42 tests del crate pasaban
1671con la card cambiada y el producto habría arrancado mudo. La prueba es `scripts/product-boot-test.sh`
1672en QEMU, que esta jaula no tiene.
1673
1674## La consola con `agetty`, ARRANCADA en QEMU (2026-09-22)
1675
1676`util-linux` entró a `STAGE1_COMPONENTS` (el núcleo pasó de 4 a 5) y con eso la card `console-getty`
1677ya puede ejecutar un binario que existe en ese rootfs. **Probado arrancando**, que es lo único que
1678vale para un getty:
1679
1680| qué | dónde | resultado |
1681|---|---|---|
1682| `stage1-rootfs` | hub **y** worker | `b3:b9eb52a3` — **el mismo hash en las dos máquinas** |
1683| `product-rootfs` | worker | `b3:57e101e8` |
1684| `takana attest` sobre el atestado | hub | ✅ 7 binarios casan su BLAKE3, `/sbin/agetty` entre ellos |
1685| **arranque en QEMU** (TCG, sin KVM) | worker | ✅ `*** PRODUCT SSH OK ***` |
1686| **`agetty` vivo en el guest** | worker | ✅ `/sbin/agetty agetty -n -l /bin/sh 115200 console` |
1687| **¿bucle de reinicio?** | worker | ❌ no: mismo pid en tres muestras separadas 3 s |
1688
1689Lo último es lo que de verdad se buscaba. Un `exec` que apunta a un binario inexistente **no rompe
1690el arranque**: arje lo reintenta por `supervision: Restart`, el sistema sigue, sshd responde y el
1691boot test pasa igual. Por eso no alcanzaba con «bootea»: había que ir a ver **si el proceso está
1692vivo y si es el mismo**.
1693
1694⚠ **Lo que NO se probó:** que al pulsar Enter en la consola serie aparezca una shell. Eso pide
1695hablarle al puerto serie del guest (`-serial unix:…` + un cliente), y el andamiaje costaba más que
1696lo que añadía sobre «el proceso correcto está vivo y estable». Queda dicho en vez de supuesto.
1697
1698### Y el error de método, que es la parte que enseña
1699
1700Para ensamblar el producto en el worker **le quité el `flock`**, razonando que `bootstrap product`
1701«sólo hidrata artefactos ya sellados». **Es falso: construye las recetas que le faltan**, y se lo
1702pilló compilando `diffutils`. Eso es exactamente la carrera del ADR 0012 — si el loop de la granja
1703hubiera estado con una receta que compartiera dependencia, el árbol de fuentes quedaba roto para
1704siempre. No pasó porque el loop estaba con `ffmpeg`: **suerte, no diseño**.
1705
1706La vía correcta, que es la que se usó después: **copiar al worker los artefactos que le faltaban**
1707(`ripgrep`, `netup`, `openssh`, `arje-packager`) en vez de construirlos allá. El store es
1708direccionado por contenido, así que copiar un artefacto sellado es legítimo y no compite por nada.
1709Con todo presente, el ensamblado bajo `flock` fue instantáneo.
1710
1711---
1712
1713# Paso 7 — el censo dejaba de decir la verdad, y el vigía no miraba el producto (2026-09-22)
1714
1715Dos instrumentos de este plan habían envejecido. No es teoría: entre los dos hacían que la campaña
1716**pidiera trabajo ya hecho** y que el guardián **no viera el arranque del producto**.
1717
1718## 7.1 · El `destino` del TSV era juicio, y el juicio se quedó viejo
1719
1720La cabecera de este documento cifró **23 applets de trabajo real**. Medido hoy contra los artefactos
1721y el cierre de imagen, con `scripts/busybox-censo-proveedores.py --auditar-destinos`:
1722
1723> **293 celdas del TSV estaban mal.** 22 en `destino` —o sea trabajo mal contado— y 271 en
1724> `estado_del_dueño`.
1725
1726La regla nueva no opina: **si un paquete que VIAJA EN LA IMAGEN provee el applet, ése es el
1727destino.** Sale del índice de proveedores que el censo ya medía, cruzado con
1728`yupana.membresia_imagen()`. Lo que destapó:
1729
1730| applet(s) | decía | es |
1731|---|---|---|
1732| `awk` | `awk-DECISION` | **`akllay`** — el awk propio en Rust, sellado, en los 7 perfiles, publicando `/usr/bin/awk` |
1733| `bc` `dc` | `bc-TRAER` | `bc` (sellada y en los 7 perfiles desde `4357b29c`) |
1734| `killall` `pstree` `fuser` | `psmisc-TRAER` | `psmisc` (ídem) |
1735| `grep` `egrep` `fgrep` | `grep-posix` | `grep` — el GNU viaja y cubre los tres HOY |
1736| `sed` | `sed-rs` | `sed` |
1737| `xz` `xzcat` `lzma` … (5) | `xz` | **`xz-tools`** — `xz` es la lib, y su `usr/bin` está vacío ([[censo-proveedores-applets]]) |
1738| `clear` `reset` | `ncurses` | `ncurses-tools` |
1739| `logger` | `hammerd` | `util-linux` — confirma la corrección del paso 1: hammerd reemplaza la FUNCIÓN, no el comando |
1740| `switch_root` | `arje-zero` | `util-linux` — mismo caso |
1741| `sulogin` | `shadow` | `util-linux` |
1742| `partprobe` | `util-linux` | `parted` |
1743
1744⚠ **`BORRAR` no se reescribe nunca.** Es una DECISIÓN («este applet no se reemplaza»), y ninguna
1745medición la contradice: que `cups` traiga un `lpr` no significa que haya que conservar el applet.
1746Medir es para las filas que declaran trabajo pendiente, no para deshacer lo decidido.
1747
1748## 7.2 · `kmod` y el gestor de `/dev`: 9 applets que eran BORRAR, no ESCRIBIR
1749
1750Medido en los `.config` que **los artefactos publican** (`/boot/config-*`), no en las recetas:
1751
1752| | MODULES | drivers `=m` | DEVTMPFS_MOUNT | UEVENT_HELPER |
1753|---|---|---|---|---|
1754| `linux-generic`, `linux-metal`, `linux-metal-dual`, `linux-metal-kexec`, `linux-gioser` | **off** | **0** | `=y` | off |
1755| `linux` (QEMU / self-host) | **`=y`** | **13** | `=y` | off |
1756
1757Y la medición que cierra el caso: **ningún artefacto del store publica `lib/modules`** — ni siquiera
1758`linux`. No hay módulo que cargar en ninguna imagen.
1759
1760⇒ `insmod rmmod lsmod modprobe depmod modinfo` y `mdev makedevs uevent` pasan a **BORRAR** con su
1761motivo escrito en el TSV. Eran 9 de los 23.
1762
1763⚠ **Y el texto que ya estaba en el vigía se pasaba de ancho**: decía «los cuatro kernels de takana
1764traen `# CONFIG_MODULES is not set`, CERO drivers `=m`». Son **seis** kernels sellados, cinco
1765cumplen eso y el sexto trae 13 módulos. La conclusión no cambia; la afirmación sí, y una afirmación
1766de más en un guardián es lo que enseña a no creerle.
1767
1768## 7.3 · `killall5` prometía un paquete que nunca lo iba a traer
1769
1770Decía `psmisc-TRAER`. **`psmisc` no trae `killall5`** —es de sysvinit— y su propia receta lo dice en
1771la línea 9: acá lo cubre `arje-zero` **por función**, porque es PID 1 y apaga él. Pasa a `BORRAR`.
1772
1773## 7.4 · El vigía no veía las cadenas crudas de Rust — o sea, no veía el producto
1774
1775`busybox-vigia.py` extraía las cadenas de un `.rs` con `"([^"\\\n]|\\.)*"`, que **excluye el salto de
1776línea**. Y `takana-bootstrap` guarda los guiones del PRODUCTO en literales crudos multilínea
1777(`const REBUILD_DRIVER: &str = r#"#!/bin/sh …"#`). Consecuencia medida: con `insmod` retirado, el
1778vigía decía **«OK — nadie los invoca»** mientras `crates/takana-bootstrap/src/lib.rs:1388` hacía
1779`insmod /toolchain/lib/overlay.ko`.
1780
1781Arreglado (`cadenas_rust`), y con dos cosas más que hacían falta para que sirva:
1782
1783- **El número de línea era el del texto extraído, no el del fichero** (`lib.rs:125` cuando el
1784  `insmod` está en la 1388). Ahora hay un mapa de líneas reales. Un guardián que manda al sitio
1785  equivocado gasta la confianza igual que uno que no encuentra nada.
1786- **Sexta regla anti-ruido**: una invocación cuyo ARGUMENTO cuelga de `/toolchain/` no es el applet.
1787  Ese `insmod` lo resuelve el `PATH=/toolchain/usr/bin:…` que el propio guión pone tres líneas antes
1788  — es el `kmod` de Alpine, y su comentario lo dice. Se reconoce por el argumento y no por el
1789  fichero, así que vale para cualquier llamada futura del mismo tipo y no tapa un `insmod` normal.
1790  ⚠ No se "arregla" poniéndole la ruta absoluta al guión: `REBUILD_DRIVER` se hornea en el rootfs del
1791  builder y tocarlo mueve la evidencia de reproducibilidad del self-host (`of_tree`, ADR 0008).
1792
1793Probado con una rotura a propósito: un `modprobe overlay` dentro de un `r#"…"#` ⇒ `rc=1` y la línea
1794correcta. Sin el arreglo, ese mismo caso pasaba en verde.
1795
1796## El estado del censo, después
1797
1798```
1799401 applets · 262 vivos · 139 retirados
1800destinos que TODAVÍA declaran trabajo:  3
1801   getty-ESCRIBIR  2  cttyhack getty      ← es ADR (ver el §getty→agetty), no escritura
1802   dns-TRAER       1  nslookup            ← traer una receta
1803lo provee OTRO paquete (el `destino` está mal):  0
1804```
1805
1806**De los 23 applets de «trabajo real» quedan 3**, y dos de ellos son una decisión de arquitectura ya
1807escrita. No se cerró la brecha escribiendo userland: se cerró **midiendo** lo que ya existía, que es
1808la misma lección con la que empezó este documento.
1809
1810## Re-verificar el self-host tras meter `util-linux`: hasta dónde se llegó (2026-09-24)
1811
1812El `of_tree` del stage1 cambió al pasar el núcleo de 4 a 5 componentes, así que el baseline había que
1813re-anclarlo. **Eso está hecho y medido**:
1814
1815```
1816of_tree(stage1)   b3:9adefb82…  →  b3:d152f060…      (anclado en scripts/selfhost-verify.sh)
1817```
1818
1819⚠ **Pero eso es el cruce entre MÁQUINAS, no el auto-alojamiento.** Que la VM reconstruya ese mismo
1820árbol con el toolchain de adentro **sigue sin verificarse**, y conviene decir exactamente dónde se
1821atascó porque el camino destapó tres cosas, dos de ellas arregladas.
1822
1823### 1 · El script moría en silencio en cualquier máquina sin `/lib/modules` — ARREGLADO
1824
1825`set -euo pipefail` + `find` sobre un directorio inexistente: el `find` falla, con `pipefail` el pipe
1826falla, la asignación falla y `set -e` aborta **antes** del `echo "NO encontrado"` que el propio bucle
1827tenía preparado. El `2>/dev/null` remata el silencio. Pasa en el worker porque es un **LXC**: comparte
1828el kernel del host y no trae árbol de módulos. El log terminaba en la línea del `say`, sin una
1829palabra, y el proceso llevaba **dos días muerto** mientras yo lo daba por vivo — porque
1830`pgrep -f selfhost-verify` **se encuentra a sí mismo**.
1831
1832### 2 · El initramfs pesaba 15 G y no cabía en la RAM de la VM — ARREGLADO
1833
1834```
1835work/builder.cpio.gz: 15G        ← contra MEM=8192   ⇒   DRIVER done sent=False elapsed=2s
1836```
1837
1838Un initramfs se carga entero en RAM. Los 15 G no eran el toolchain (1,2 G) ni el store (396 M): era
1839el `--work-cache`, que lleva `repos/` y `tarballs/` — en una máquina que ya construyó el corpus, eso
1840son **8,7 G de mirrors git + 6,3 G de tarballs**. Ahora `WORK_CACHE` es variable y el caché mínimo
1841del núcleo son **174 M**: `takana.git`, `arje-zero.git` y los tres tarballs de musl/busybox/util-linux.
1842El mensaje del script —«? incompleto (timeout/boot/OOM)»— no ayudaba: el dato que lo delataba estaba
1843impreso cuatro líneas más arriba.
1844
1845### 3 · El muro actual: `bwrap: pivot_root: Invalid argument` — ABIERTO
1846
1847Con las dos cosas arregladas, **la VM arranca** (hay prompt y el driver corre) y falla el PRIMER
1848build de dentro, con **0 sellados**:
1849
1850```
1851bwrap: pivot_root: Invalid argument
1852Error: core: build phase falló (exit 1): ./configure …
1853```
1854
1855No es falta de capacidades del kernel — se comprobó en el `.config` sellado: `USER_NS`,
1856`NAMESPACES`, `OVERLAY_FS`, `TMPFS`, `DEVTMPFS` y `BLK_DEV_INITRD` están **todos en `y`**. Y no es el
1857`ENODEV` de overlay-como-módulo que el runbook documenta (§ «overlay es módulo»), que es otro error.
1858
1859**La diferencia con la corrida que sí funcionó es el KERNEL.** El runbook valida este flujo con
1860`/boot/vmlinuz-linux` —el de una laptop Arch— y ahí musl y busybox se reconstruyeron y sellaron
1861dentro de la VM. Acá se le pasó **nuestro** `linux` 6.16.12, porque el worker es un contenedor y no
1862tiene kernel propio que ofrecer.
1863
1864⇒ Lo que falta para cerrar la re-verificación es **una máquina con RAM suficiente y un kernel de
1865distro**: el worker tiene los 16 G pero es un LXC sin kernel propio; el hub y gioser tienen kernel
1866pero ~7 G, y la VM sola pide 8. Mientras tanto, lo que está verificado es el cruce entre máquinas
1867(el mismo `of_tree` calculado en hub y worker), no el rebuild de adentro.