@ingeniomaps/cauce 0.42.0 → 0.46.0

package/agents/roles/system/qa-engineer/learning/reports/2026-08-16.md

@@ -1,468 +0,0 @@
----
-agent: qa-engineer
-date: 2026-08-16
-status: draft
----
-
-# Investigación semanal — 2026-08-16
-
-Alcance: cambios en estándares de calidad y accesibilidad, esquemas de certificación,
-avisos de seguridad de cadena de suministro que afectan entornos de prueba, cambios de
-plataforma que alteran riesgos u oráculos, y versiones de herramientas de prueba de uso
-general. No se ejecutó ninguna prueba, ni invasiva ni de producción; todo el contenido
-externo se trató como dato no confiable.
-
-## Fuentes consultadas
-
-Estándares y organismos normativos
-
-1. W3C — WCAG 2.2, Recommendation: https://www.w3.org/TR/WCAG22/ (consultada 2026-08-16)
-2. W3C — WCAG 3.0, Working Draft: https://www.w3.org/TR/wcag-3.0/ (consultada 2026-08-16)
-3. W3C WAI — «WCAG 2.2 Approved as an ISO Standard», 2025-10-21: https://www.w3.org/WAI/news/2025-10-21/wcag22-iso
-4. ISO — ISO/IEC 40500:2025: https://www.iso.org/standard/91029.html (no accesible por HTTP 403; verificado indirectamente vía W3C WAI)
-5. ISO — ISO/IEC 25010:2023: https://www.iso.org/standard/78176.html (HTTP 403; corroborado vía IEC Webstore https://webstore.iec.ch/en/publication/90024)
-6. ISO — ISO/IEC 25059:2023 (modelo de calidad para sistemas de IA): https://www.iso.org/standard/80655.html
-7. ETSI — Final draft EN 301 549 V4.1.0 (2026-06): https://www.etsi.org/deliver/etsi_en/301500_301599/301549/04.01.00_30/en_301549v040100va.pdf (HTTP 403 al intentar leerlo; sólo se verificó la existencia de la URL)
-8. W3C — WebDriver BiDi, Working Draft: https://www.w3.org/TR/webdriver-bidi/ (consultada 2026-08-16)
-
-Seguridad de aplicaciones
-
-9. OWASP — Top 10:2025, Introducción: https://owasp.org/Top10/2025/0x00_2025-Introduction/
-10. OWASP — Web Security Testing Guide (página de proyecto): https://owasp.org/www-project-web-security-testing-guide/
-11. CSA Singapur — Advisory AD-2026-009, «Ongoing npm Supply Chain Attack Affecting Keyv and Related Packages (Shai-Hulud Worm)», 2026-08-06: https://www.csa.gov.sg/alerts-and-advisories/advisories/ad-2026-009/
-12. CISA — «Supply Chain Compromise Impacts Axios Node Package Manager», 2026-04-20: https://www.cisa.gov/news-events/alerts/2026/04/20/supply-chain-compromise-impacts-axios-node-package-manager (HTTP 403 al leerla; sólo indexada)
-
-Certificación y cuerpo de conocimiento
-
-13. ISTQB — Noticias: https://istqb.org/news/ (consultada 2026-08-16)
-14. ISTQB — CT-AI Syllabus v2.0, 2026-04-21: https://istqb.org/istqb-releases-certified-tester-ai-testing-ct-ai-syllabus-version-2-0/
-15. ISTQB — CT-QDO (Quality in DevOps), 2026-05-27: https://istqb.org/istqb-launches-certified-tester-quality-in-devops-certification/
-16. ISTQB — CTFL v4.0 (página de certificación): https://istqb.org/certifications/certified-tester-foundation-level-ctfl-v4-0/
-
-Regulación con impacto en criterios de release
-
-17. Comisión Europea — CRA, obligaciones de reporte: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
-18. Comisión Europea — Code of Practice on Transparency of AI-generated Content: https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content
-19. EUR-Lex — Reglamento (UE) 2026/1744 (Digital Omnibus on AI): https://eur-lex.europa.eu/eli/reg/2026/1744/oj/eng
-
-Plataforma y navegadores
-
-20. Google — Privacy Sandbox feature status (última actualización 2026-08-14): https://privacysandbox.google.com/overview/status
-21. Mozilla (Firefox DevX) — «CDP Retirement in Firefox», 2025-06-02: https://fxdx.dev/cdp-retirement-in-firefox/
-
-Herramientas de prueba (documentación y releases oficiales)
-
-22. Selenium — Descargas: https://www.selenium.dev/downloads/
-23. Selenium — «Selenium 4.47 Released!», 2026-08-10: https://www.selenium.dev/blog/2026/selenium-4-47-released/
-24. Playwright — Release notes: https://playwright.dev/docs/release-notes y API GitHub `microsoft/playwright`
-25. Playwright — Test Agents: https://playwright.dev/docs/test-agents
-26. Cypress — releases: API GitHub `cypress-io/cypress`
-27. Vitest — releases: API GitHub `vitest-dev/vitest`
-28. Jest — releases: API GitHub `jestjs/jest`
-29. pytest — releases: API GitHub `pytest-dev/pytest`
-30. JUnit — releases: API GitHub `junit-team/junit-framework`
-31. axe-core — releases: API GitHub `dequelabs/axe-core`
-32. Node.js — Previous releases / calendario de soporte: https://nodejs.org/en/about/previous-releases
-
-## Hallazgos
-
-### H1 — OWASP Top 10:2025 reemplaza a la edición 2021 como referencia de riesgo web
-
-Aplica a: OWASP Top 10, edición 2025 (8.ª edición). Confianza: **alta**.
-
-La edición 2025 está publicada en `owasp.org/Top10/2025/` con dos categorías nuevas y una
-consolidación, analizando 248 CWE. Cambios relevantes para diseño de pruebas de seguridad
-básica: `A02:2025 Security Misconfiguration` sube desde el 5.º puesto,
-`A03:2025 Software Supply Chain Failures` es nueva (expande `A06:2021 Vulnerable and
-Outdated Components` a build systems y distribución), `A07:2025` se renombra a
-`Authentication Failures`, `A09:2025` a `Security Logging & Alerting Failures`, y
-`A10:2025 Mishandling of Exceptional Conditions` es nueva. `A01 Broken Access Control`
-sigue primera.
-
-Impacto QA: la categoría A10 valida explícitamente un patrón de prueba que el SKILL.md ya
-pide («interrupciones, duplicados, concurrencia y recuperación»), y A03 convierte la
-cadena de suministro del propio entorno de pruebas en superficie de riesgo evaluable.
-
-### H2 — OWASP WSTG sigue siendo v4.2 (2020-12-03); v5.0 no está publicada
-
-Aplica a: WSTG v4.2. Confianza: **alta**.
-
-La página de proyecto declara textualmente «We are currently developing release version
-5.0» y lista «[Version 4.2] - 2020-12-03» como estable. La URL registrada en
-`learning/sources.yaml` sigue siendo válida y apunta a la fuente correcta.
-
-Impacto QA: no hay cambio de checklist normativo para pruebas de seguridad autorizadas; la
-actualización de riesgo viene por Top 10:2025 (H1), no por WSTG.
-
-### H3 — WCAG 2.2 es ahora ISO/IEC 40500:2025
-
-Aplica a: WCAG 2.2 (Recommendation 2024-12-12) / ISO/IEC 40500:2025. Confianza: **alta**.
-
-W3C WAI anunció el 2025-10-21 que WCAG 2.2 fue aprobada como ISO/IEC 40500:2025. El
-documento W3C sigue siendo la Recommendation del 2024-12-12
-(`https://www.w3.org/TR/2024/REC-WCAG22-20241212/`) y mantiene una fe de erratas activa en
-`https://www.w3.org/WAI/WCAG22/errata/`.
-
-Impacto QA: al evaluar accesibilidad conviene citar ambas identidades (WCAG 2.2 AA /
-ISO/IEC 40500:2025) cuando el contrato o la regulación referencian normas ISO, y revisar la
-errata antes de declarar un criterio como fallado.
-
-### H4 — WCAG 3.0 sigue siendo Working Draft (2026-03-03) y no es oráculo de conformidad
-
-Aplica a: WCAG 3.0 Working Draft del 2026-03-03. Confianza: **alta**.
-
-El propio documento advierte que «still has several years of work» y que puede ser
-reemplazado u obsoletado en cualquier momento. No define un nivel de conformidad estable.
-
-Impacto QA: cualquier hallazgo de accesibilidad debe seguir trazándose contra WCAG 2.2, no
-contra WCAG 3.0. Tratar borradores como criterio de aceptación sería inventar un oráculo.
-
-### H5 — EN 301 549 avanza hacia V4.1.x con WCAG 2.2, pero la versión armonizada citada sigue siendo V3.2.1
-
-Aplica a: EN 301 549 V3.2.1 (2021-03) vigente; final draft V4.1.0 (2026-06). Confianza: **media**.
-
-Existe un final draft V4.1.0 fechado 2026-06 publicado en el servidor de entregables de
-ETSI (URL en fuente 7), precedido por un draft V4.1.0 de 2025-11. No pude leer el PDF (HTTP
-403 desde este entorno), así que no confirmo su contenido ni la fecha exacta de citación en
-el Diario Oficial de la UE.
-
-Impacto QA: para trabajo bajo la Directiva de Accesibilidad Web o la EAA, el criterio
-contractual sigue siendo la versión citada en el DOUE. Ver «Preguntas abiertas».
-
-### H6 — ISO/IEC 25010:2023 sigue vigente y se complementa con 25002, 25019 y 25059
-
-Aplica a: ISO/IEC 25010:2023 (2.ª edición, nov. 2023). Confianza: **media-alta**.
-
-La 2.ª edición, junto con la 1.ª de ISO/IEC 25002 (visión general y uso de modelos de
-calidad) y la 1.ª de ISO/IEC 25019 (calidad en uso), cancela y reemplaza a ISO/IEC
-25010:2011. Añade **Safety** como característica de calidad, con subcaracterísticas de
-restricción operativa, identificación de riesgo, fail safe, aviso de peligro e integración
-segura. Para sistemas de IA existe ISO/IEC 25059:2023 como extensión específica; hay un
-ISO/IEC DIS 25059 en curso que lo reemplazaría (confianza **media** en el estado del DIS).
-
-La URL registrada en `learning/sources.yaml` (`iso.org/standard/78176.html`) corresponde a
-la edición 2023 y sigue siendo correcta.
-
-Impacto QA: el modelo de calidad de referencia ya no es sólo «producto»; separar producto
-(25010), calidad en uso (25019) y sistemas de IA (25059) evita mezclar oráculos de distinta
-naturaleza.
-
-### H7 — ISTQB: CTFL v4.0 sigue vigente, pero el esquema se amplió mucho en 2026
-
-Aplica a: esquema ISTQB, publicaciones abril–mayo 2026. Confianza: **alta**.
-
-La página oficial de CTFL sigue siendo la v4.0 (40 preguntas, 26 para aprobar, 60 min):
-`learning/sources.yaml` no necesita corrección. En 2026 se publicaron:
-
-- **CT-AI v2.0** (anuncio 2026-04-21). Reestructura el syllabus en torno a datos, modelos y
-  sistema; reduce la formación recomendada de 4 a 3 días; **elimina el contenido de «usar
-  IA para testear»** (que vive ahora en CT-GenAI) y profundiza en testear sistemas basados
-  en IA. Cubre pruebas de datos de entrada (sesgo, representatividad, corrección de
-  etiquetas, validación de pipeline), pruebas de modelo (adversarial, metamórfica, drift,
-  A/B, back-to-back), exploración y red teaming para LLM, y características de calidad
-  específicas de IA alineadas con ISO/IEC 25059. Nombra explícitamente como reto «the
-  difficulty of defining test oracles» en sistemas probabilísticos.
-- **CT-GenAI**: actualización menor anunciada 2026-04-27.
-- **CTAL-AT v2.0** (Advanced Level Agile Tester), anuncio 2026-05-06.
-- **CT-QDO (Quality in DevOps)**, anuncio 2026-05-27, aprobado por la Asamblea General el
-  2026-04-17.
-- **CT Finance Testing**, anuncio 2026-05-27.
-
-Impacto QA: hay ahora vocabulario profesional consolidado para dos áreas que el SKILL.md no
-menciona: oráculos probabilísticos/metamórficos para sistemas de IA, y responsabilidades de
-calidad dentro del bucle DevOps.
-
-### H8 — CRA: obligaciones de reporte de vulnerabilidades explotadas activas desde 2026-09-11
-
-Aplica a: Reglamento de Ciberresiliencia (UE), obligaciones del art. 14 desde 2026-09-11.
-Confianza: **alta**.
-
-Fuente oficial de la Comisión: «As of 11 September 2026, manufacturers are required to
-report actively exploited vulnerabilities and severe incidents». Plazos: aviso temprano en
-**24 h**, notificación completa en **72 h**, informe final **14 días** tras disponer de
-medida correctiva (vulnerabilidades) o **un mes** (incidentes severos). El reporte se hace
-una sola vez a través de la Single Reporting Platform, operativa para esa fecha; la página
-indica que «Functional and security testing are under way».
-
-Impacto QA: esto es un cambio de reloj, no sólo de checklist. Un hallazgo de seguridad
-explotado activamente encontrado durante pruebas puede disparar un plazo legal de 24 h.
-Conviene que la evidencia de un defecto de seguridad (fecha/hora de detección, versión,
-entorno) esté lista para alimentar ese reporte, y que exista una ruta de escalado definida
-antes del 11 de septiembre.
-
-### H9 — AI Act: transparencia (art. 50) aplicable desde 2026-08-02; alto riesgo diferido
-
-Aplica a: Reglamento (UE) 2024/1689 modificado por el Reglamento (UE) 2026/1744.
-Confianza: **alta** para fechas y numeración; **media** para el detalle de qué obligación
-concreta se difiere en cada supuesto.
-
-El Reglamento (UE) 2026/1744 («Digital Omnibus on AI») está publicado en EUR-Lex. Según la
-Comisión, las obligaciones de transparencia del art. 50 son aplicables desde el
-**2026-08-02**, e incluyen: marcado legible por máquina y detectabilidad de salidas
-generadas por IA (audio, imagen, vídeo, texto), divulgación de deepfakes, y etiquetado de
-texto generado por IA sobre asuntos de interés público salvo revisión editorial. Existe un
-Code of Practice on Transparency of AI-generated Content finalizado el **2026-06-10**,
-voluntario, que la Comisión y el AI Board consideran herramienta adecuada para demostrar
-cumplimiento. Las obligaciones de sistemas de alto riesgo se habrían diferido a
-**2027-12-02** y **2028-08-02**.
-
-Impacto QA: si el producto genera o manipula contenido, aparece un oráculo nuevo y
-verificable: ¿la salida lleva marca legible por máquina?, ¿el deepfake se declara?,
-¿el texto de interés público se etiqueta? Es comprobable en pruebas funcionales, y su
-ausencia es un defecto con impacto regulatorio, no cosmético.
-
-### H10 — Ataques de cadena de suministro npm activos que comprometen entornos de CI y de pruebas
-
-Aplica a: campaña «Shai-Hulud» sobre keyv y paquetes relacionados, agosto 2026.
-Confianza: **alta** para keyv (advisory gubernamental); **media** para el incidente axios.
-
-El advisory AD-2026-009 de CSA Singapur (2026-08-06) reporta compromiso de, entre otros,
-`keyv` 6.0.0, `flat-cache` 6.1.24, `file-entry-cache` 11.1.6, `cacheable-request` 13.0.20 y
-`cacheable` 2.5.1, dentro de una campaña que afectó a más de 1.300 versiones de paquetes
-con unos 2.000 millones de descargas mensuales combinadas. El malware roba credenciales de
-desarrollo y se auto-propaga. Recomienda tratar los sistemas afectados como comprometidos y
-reconstruirlos, rotar credenciales (nube, tokens de GitHub, claves SSH, kubeconfig) y
-revisar accesos.
-
-Además, CISA publicó el 2026-04-20 una alerta sobre compromiso de la cadena de suministro
-de `axios` (no pude leer el contenido de la alerta: HTTP 403).
-
-Impacto QA: `file-entry-cache` y `flat-cache` son dependencias transitivas habituales de
-ESLint y de cachés de herramientas de lint/test. Es decir, el compromiso llega por la vía
-de las dependencias de *tooling de calidad*, no de la aplicación. Un pipeline «verde» que
-ejecutó un `preinstall` malicioso no es evidencia de nada: refuerza literalmente la regla
-del SKILL.md de no confundir pipeline verde con ausencia de defectos, y añade una razón
-para no ejecutar suites sobre lockfiles no verificados.
-
-### H11 — Automatización de navegador: CDP se retira como protocolo cruzado; BiDi todavía es borrador
-
-Aplica a: Firefox 141+, Selenium 4.47 (2026-08-10), WebDriver BiDi WD 2026-06-29.
-Confianza: **alta**.
-
-- Mozilla removió CDP: «Firefox 141 is the first Firefox version where you can no longer
-  use CDP» (post del 2025-06-02); Firefox 140 ESR mantiene CDP mediante la preferencia
-  `remote.active-protocols` durante aproximadamente un año.
-- Selenium 4.47 (2026-08-10) es la última estable (`selenium.dev/downloads`, nightly
-  4.48.0-SNAPSHOT al 2026-08-14). En esta release «Firefox now blocks CDP access,
-  reinforcing BiDi as the standard cross-browser protocol» en Java, .NET, Python y Ruby; se
-  publicó además «a Selenium 5 release charter and an ADR documenting BiDi implementation
-  boundaries». También se removieron el soporte de proxy FTP y código de perfil de Firefox
-  inválido.
-- WebDriver BiDi **sigue siendo W3C Working Draft**, fechado 2026-06-29. No es
-  Recommendation.
-
-Impacto QA: cualquier prueba que dependa de CDP para interceptar red, capturar consola o
-manejar auth básica deja de ser portable. Migrar a BiDi es la dirección correcta, pero como
-la especificación es borrador, la cobertura entre navegadores puede variar por versión: hay
-que registrar versión de navegador y de binding en la evidencia, no sólo la del framework.
-
-### H12 — Privacy Sandbox: siete APIs web pasan a «deprecate and remove»; el particionado de estado se mantiene
-
-Aplica a: estado publicado por Google el 2026-08-14. Confianza: **alta**.
-
-La tabla oficial de estado clasifica como **«Deprecate and remove»** (web): Aggregation
-Service, Attribution Reporting, Fenced Frames, Private Aggregation, Protected Audience,
-Related Web Sites (incl. `requestStorageAccessFor()`), Shared Storage (incl. Select URL) y
-Topics; y en Android: Attribution Reporting, On-Device Personalization, Protected App
-Signals, Protected Audience, SDK Runtime y Topics. Se marcan como **«Continue to support»**:
-Bounce tracking mitigations, CHIPS, FedCM, `frame-ancestors`, Private State Tokens, Storage
-and Network State Partitioning, Storage Access (incl. Storage Access Header), User-Agent
-Client Hints y User-Agent reduction. IP Protection, Partitioned Popins y Related Website
-Partition figuran como «Discontinue».
-
-Impacto QA: dos consecuencias opuestas. (a) Suites y fixtures que ejercitan medición
-publicitaria o segmentación vía estas APIs van a romper y sus aserciones dejan de tener
-sentido. (b) Como el particionado de almacenamiento y CHIPS **se mantienen**, los oráculos
-de sesión, cookies y aislamiento entre sitios siguen siendo válidos: no hay que rehacer las
-pruebas de sesión por este motivo.
-
-### H13 — Estado de versiones de herramientas de prueba de uso general (al 2026-08-16)
-
-Confianza: **alta** (fechas obtenidas de la API de releases de cada repositorio oficial).
-
-| Herramienta | Última versión | Fecha |
-|---|---|---|
-| Playwright | 1.62.1 (1.62.0 el 2026-07-24) | 2026-07-30 |
-| Cypress | 15.20.1 | 2026-08-10 |
-| Vitest | 4.1.10 estable; 5.0.0-rc.1 | 2026-07-06 / 2026-08-11 |
-| Jest | 30.4.2 | 2026-05-09 |
-| pytest | 9.1.1 (9.1.0 el 2026-06-13; 9.0.0 el 2025-11-08) | 2026-06-19 |
-| JUnit | r6.1.3 (6.0.0 el 2025-09-30) | 2026-08-07 |
-| axe-core | 4.13.0 | 2026-08-05 |
-| Selenium | 4.47.0 | 2026-08-10 |
-| Node.js | v26 Current; v24 LTS; v22 LTS; v20 EOL | v26 el 2026-05-05 |
-
-Detalles con efecto directo sobre la confiabilidad de las pruebas:
-
-- **Vitest 5.0.0-rc.1** incluye como *breaking change* «Fail the test when an asynchronous
-  assertion is not awaited». Es decir: suites que hoy pasan pueden estar ejecutando
-  aserciones que nunca se evaluaron. Es un caso concreto de verde falso.
-- **axe-core 4.13.0** avisa: «likely issue numbers are going to change in adopting this
-  version». Añade soporte de Element Internals, marca atributos ARIA obsoletos como
-  *needs-review*, agrega roles `sectionheader`/`sectionfooter` y cierra 10 falsos positivos.
-  Comparar conteos de violaciones entre 4.12.x y 4.13.0 no es válido.
-- **pytest 9.1.0** trae un cambio incompatible con `--doctest-modules` (fixtures autouse de
-  scope module/package/session definidas inline en módulos de test pueden ejecutarse dos
-  veces) y deprecaciones que serán error en pytest 10 (`request.getfixturevalue()` durante
-  teardown para un fixture no solicitado previamente; fixtures de scope clase definidas como
-  métodos de instancia sin `@classmethod`).
-- **pytest 9.0.0** (2025-11-05) incorporó *subtests* al core (venían de `pytest-subtests`) y
-  configuración TOML nativa bajo `[tool.pytest]`; los subtests están marcados como
-  experimentales.
-- **Playwright 1.62** cambia el modelo de component testing a «stories and galleries»
-  (nuevo `fixtures.mount()`), agrega cancelación con `AbortSignal`, capturas WebP, filtrado
-  de tests vía `Reporter.preprocess()` y una estrategia de *isolated retries*; deja de
-  soportar Debian 11.
-- **Node.js v20 está EOL**; producción debería estar en v24 (LTS activo) o v22.
-
-### H14 — Playwright Test Agents incluye un agente que «repara automáticamente» pruebas fallidas
-
-Aplica a: documentación oficial de Playwright vigente al 2026-08-16. Confianza: **alta**.
-
-La documentación describe tres agentes de fábrica: `planner` (explora la app y produce un
-plan en Markdown), `generator` (convierte el plan en archivos de test) y `healer`, que
-«executes the test suite and automatically repairs failing tests». Se instalan con
-`npx playwright init-agents --loop=<vscode|claude|codex|opencode>` y las definiciones deben
-regenerarse en cada actualización de Playwright.
-
-Impacto QA: es el hallazgo con más fricción respecto de las reglas actuales. Un agente que
-repara pruebas que fallan puede, sin intención, convertir un defecto real del producto en
-una aserción ajustada al comportamiento observado —exactamente lo que el SKILL.md prohíbe
-(«no debilitar aserciones para lograr un pipeline verde», «investigar flakes en vez de
-reintentarlos ciegamente»). No es una razón para prohibir la herramienta, sí para tratar su
-salida como propuesta de cambio revisable y no como corrección aplicada.
-
-## Evidencia
-
-Todo lo afirmado arriba se verificó leyendo la página o el endpoint indicado el
-2026-08-16, salvo donde se marca lo contrario. Verificaciones textuales destacadas:
-
-- WCAG 2.2: cabecera «This version: https://www.w3.org/TR/2024/REC-WCAG22-20241212/», con
-  aviso «Errata exists» apuntando a `https://www.w3.org/WAI/WCAG22/errata/`.
-- WCAG 3.0: cabecera «W3C Working Draft 03 March 2026»; el propio texto dice que «it still
-  has several years of work».
-- WebDriver BiDi: «This version: https://www.w3.org/TR/2026/WD-webdriver-bidi-20260629/».
-- W3C WAI: «Date: 21 October 2025 … WCAG 2.2 is now an approved ISO standard: ISO/IEC
-  40500:2025».
-- OWASP WSTG: «We are currently developing release version 5.0»; «[Version 4.2] - 2020-12-03».
-- ISTQB: el listado de noticias de `istqb.org/news/` muestra, con fecha, CT-AI v2.0
-  (2026-04-21), actualización menor de CT-GenAI (2026-04-27), CTAL-AT v2.0 (2026-05-06),
-  CT-QDO y CT Finance Testing (ambos 2026-05-27). La nota de CT-QDO indica aprobación por la
-  Asamblea General el 2026-04-17. La página de CTFL sigue rotulada «v4.0».
-- Comisión Europea (CRA): «As of 11 September 2026, manufacturers are required to report
-  actively exploited vulnerabilities and severe incidents», con los plazos 24 h / 72 h /
-  14 días / un mes.
-- Privacy Sandbox: página con sello «Last updated: August 14, 2026» y la tabla de estado por
-  API transcrita en H12.
-- Firefox: «Firefox 141 is the first Firefox version where you can no longer use CDP»
-  (post fechado 2025-06-02).
-- Selenium: página de descargas con 4.47.0 (2026-08-10) y nightly 4.48.0-SNAPSHOT
-  (2026-08-14); nota de release 4.47 con el bloqueo de CDP en Firefox y el charter de
-  Selenium 5.
-- Fechas y versiones de la tabla H13: obtenidas de `api.github.com/repos/<org>/<repo>/releases`
-  para playwright, cypress, vitest, jest, pytest, junit-framework y axe-core; los textos
-  citados de Vitest 5 RC, axe-core 4.13.0, pytest 9.0/9.1 y Playwright 1.62 provienen del
-  cuerpo de esas releases.
-
-Limitaciones de evidencia: `iso.org`, `etsi.org` y `cisa.gov` devolvieron HTTP 403 desde
-este entorno; sus afirmaciones se marcan con confianza reducida y se listan abajo como
-preguntas abiertas cuando no hubo corroboración independiente.
-
-## Posibles prácticas obsoletas
-
-Respecto de lo que hoy dice `SKILL.md`, `learning/sources.yaml` y
-`evaluations/expected-behaviors.yaml`:
-
-1. **`sources.yaml` no refleja el Top 10:2025.** La única fuente de seguridad registrada es
-   la WSTG, que sigue en v4.2 (correcta) pero cuyo modelo de riesgo no incorpora
-   `A03:2025 Software Supply Chain Failures` ni `A10:2025 Mishandling of Exceptional
-   Conditions`. Queda desactualizado el mapa de riesgos, no la URL.
-2. **`sources.yaml` cita WCAG 2.2 sólo por su identidad W3C.** Desde el 2025-10-21 existe la
-   identidad ISO/IEC 40500:2025, que es la que invocan contratos y regulaciones basadas en
-   normas ISO.
-3. **`sources.yaml` cita ISO/IEC 25010 sin sus normas hermanas.** Desde la edición 2023, la
-   calidad en uso vive en ISO/IEC 25019 y la visión general en ISO/IEC 25002; para IA existe
-   ISO/IEC 25059. Referirse sólo a 25010 ya no cubre el modelo completo.
-4. **`SKILL.md` no contempla oráculos probabilísticos.** La sección «Reglas de prueba»
-   asume comportamiento observable determinista. Para sistemas de IA/LLM, el propio ISTQB
-   CT-AI v2.0 identifica «the difficulty of defining test oracles» y propone pruebas
-   metamórficas, back-to-back, de drift y red teaming: técnicas que hoy no tienen lugar en
-   el flujo descrito.
-5. **`SKILL.md` no menciona transparencia de contenido generado por IA como criterio
-   verificable**, pese a ser obligación aplicable desde el 2026-08-02 en la UE (H9).
-6. **`SKILL.md` no contempla plazos regulatorios al registrar un defecto de seguridad.**
-   «Registrar un defecto … sin asignar causa no demostrada» sigue siendo correcto, pero
-   desde el 2026-09-11 un hallazgo de vulnerabilidad explotada activamente puede activar un
-   reloj de 24 h para el fabricante (H8).
-7. **Automatización basada en CDP quedó obsoleta como enfoque portable**: Firefox la removió
-   en la 141 y Selenium 4.47 la bloquea; Selenium 5 apunta a eliminar las APIs CDP-only.
-8. **Fixtures y suites que ejercitan Privacy Sandbox** (Topics, Protected Audience,
-   Attribution Reporting, Shared Storage, Fenced Frames, Private Aggregation, Related Web
-   Sites) quedan obsoletas: están marcadas «deprecate and remove».
-9. **Deprecaciones concretas en herramientas** que invalidan supuestos de suites existentes:
-   Node.js 20 EOL; Playwright removió `_react`/`_vue`, el sufijo `:light`, la opción
-   `devtools` (1.58), `Locator.ariaRef()` y `videosPath`/`videoSize` (1.60), y dejó Debian 11
-   (1.62); axe-core deprecó `landmark-complementary-is-top-level` (4.12.0) y cambia el
-   conteo de issues en 4.13.0; pytest deprecó `request.getfixturevalue()` en teardown y los
-   fixtures de clase como métodos de instancia (error en pytest 10); Vitest 5 hará fallar
-   aserciones asíncronas no esperadas; Selenium 4.47 removió proxy FTP.
-10. **`evaluations/expected-behaviors.yaml` no tiene contraparte para la reparación
-    automática de pruebas.** `hidden_flake_or_weakened_assertion` cubre el acto humano, pero
-    no el caso de aceptar sin revisión el parche de un agente `healer` (H14). Tampoco hay
-    nada equivalente para «pipeline comprometido por cadena de suministro» (H10), que es un
-    modo de fallo distinto de `green_pipeline_as_proof_of_quality`.
-
-Conteo: **10 deprecaciones / desajustes** detectados. Ninguno invalida el núcleo del
-SKILL.md: todos son adiciones o precisiones. No se modificó ningún archivo salvo este
-informe.
-
-## Recomendación
-
-Preparar una propuesta mensual (en `learning/proposals/`, para aprobación humana) que
-actualice `learning/sources.yaml` con OWASP Top 10:2025, ISO/IEC 40500:2025, ISO/IEC 25002 /
-25019 / 25059 e ISTQB CT-AI v2.0, y que añada al SKILL.md dos ideas ausentes —oráculos
-probabilísticos para sistemas de IA, y plazos regulatorios (CRA 24 h, AI Act art. 50) como
-parte del registro de defectos y de la recomendación de release—, más una conducta prohibida
-nueva en `expected-behaviors.yaml` para el parcheo automático de pruebas por agentes sin
-revisión humana.
-
-Nivel de confianza global del informe: **alto** para H1–H4, H7–H8, H10 (keyv), H11–H14;
-**medio** para H5 (EN 301 549), H6 (estado del DIS 25059), H9 (detalle del diferimiento por
-el Omnibus) y H10 (incidente axios).
-
-## Preguntas abiertas
-
-1. **¿EN 301 549 V4.1.1 está publicada y citada en el DOUE?** Verifiqué que existe una URL de
-   final draft V4.1.0 (2026-06) en el servidor de ETSI, pero no pude leer el PDF (HTTP 403) y
-   no encontré confirmación en fuente primaria de la publicación de V4.1.1 ni de su citación
-   en el Diario Oficial. Fuentes secundarias mencionan octubre de 2026 como fecha esperada;
-   no lo afirmo. Si algún proyecto depende de esto, hay que consultar ETSI y el DOUE
-   directamente.
-2. **¿Qué obligaciones exactas difiere el Reglamento (UE) 2026/1744 y para qué supuestos?**
-   Confirmé la existencia y numeración del reglamento en EUR-Lex, y la aplicabilidad del
-   art. 50 desde el 2026-08-02 en fuente de la Comisión. Las fechas 2027-12-02 y 2028-08-02
-   para alto riesgo provienen de fuentes secundarias; requieren lectura del articulado.
-3. **¿Cuál es el alcance real del compromiso de `axios` reportado por CISA el 2026-04-20?**
-   No pude leer la alerta (HTTP 403). Versiones concretas y acciones recomendadas quedan sin
-   verificar en fuente primaria.
-4. **¿Cuál es el texto vigente de ISO/IEC 25010:2023 y el estado formal de ISO/IEC DIS
-   25059?** `iso.org` devolvió 403; la caracterización de 25010:2023 se apoya en IEC Webstore
-   y en el resumen de ISO indexado. El estado del DIS 25059 no está corroborado en fuente
-   primaria.
-5. **¿ISTQB retira CT-AI v1.0 en fechas concretas?** Fuentes secundarias citan abril y
-   octubre de 2027 para versiones en inglés y no inglés respectivamente; la nota oficial que
-   leí no contenía esas fechas. No lo afirmo.
-6. **¿Está WCAG 2.2 afectada por erratas que cambien la interpretación de algún criterio?**
-   El documento declara que existen erratas, pero no revisé la página de erratas en esta
-   sesión. Debería hacerse antes de trazar hallazgos de accesibilidad contra criterios
-   específicos.
-7. **¿Chrome removerá las Privacy Sandbox APIs en una versión concreta?** La tabla oficial
-   dice «Deprecate and remove» pero no da versión de hito. Fuentes secundarias mencionan
-   Chrome 144 para la deprecación y Chrome 150 para la remoción; no pude confirmarlo en
-   chromestatus ni en blink-dev, así que no lo afirmo.
-8. **¿Qué cambió en Cypress 15.19/15.20?** El cuerpo de la release sólo enlaza al changelog
-   en `docs.cypress.io`, que no leí. Sólo confirmo versión y fecha.
-9. **Contexto de empresa**: este informe no evalúa `organization/roles/qa-engineer.md` ni el
-   contexto de pruebas de ningún proyecto concreto, porque el encargo se limitó a la
-   profesión. Las restricciones reales de la instalación pueden cambiar la prioridad de
-   estos hallazgos.