sourcecode 5.8.23__tar.gz → 5.8.25__tar.gz

sourcecode-5.8.25/.github/workflows/windows-battery.yml

@@ -0,0 +1,41 @@
+name: Windows battery
+
+# AUD-601-X01 / S-10. Five defect witnesses have come from Windows and not one
+# has been reproduced here, because the platform lived in a report and not in the
+# battery: `envelope_status: degraded` on 13 of 13 payloads, `peak_rss_mb: 0.0`
+# on four loads, a 457.6 s figure held rather than closed. This job is the
+# reproduction those rows have been waiting for — it runs the same suite on the
+# platform that produces them.
+
+on:
+  push:
+    branches: ["**"]
+  pull_request:
+  workflow_dispatch:
+
+jobs:
+  battery:
+    runs-on: windows-latest
+    steps:
+      - uses: actions/checkout@v4
+
+      - uses: actions/setup-python@v5
+        with:
+          python-version: "3.11"
+
+      - name: Install
+        run: |
+          python -m pip install --upgrade pip
+          pip install -e .
+          pip install pytest pytest-xdist
+
+      - name: Suite
+        run: pytest
+
+      # Named separately so a Windows-only failure is legible in the job list
+      # rather than one dot in nine thousand.
+      - name: The envelope names its command on every entry path
+        run: pytest tests/test_the_envelope_names_its_command_on_every_entry_path_aud601_x01.py -v
+
+      - name: A footprint sample is a number or a stated null, never a zero
+        run: pytest tests/test_resource_budget_d10.py -v

{sourcecode-5.8.23 → sourcecode-5.8.25}/CHANGELOG.md

@@ -1,5 +1,71 @@
 # Changelog
 
+## [5.8.25] — 2026-08-23
+
+*Version and documentation synchronization release. The audited `5.8.24` tree is
+unchanged; the current package identity and user-facing documentation now report
+`5.8.25`. Verification: `12,700 passed, 40 skipped` with writable cache locations.*
+
+## [5.8.24] — 2026-08-22
+
+*The thirteenth audit-pass queue is closed entire: all six rows as separate
+commits, the regression first, with the full suite green at 12 329 tests. Three
+of the reported mechanisms are wider than reported and are corrected against
+measurement; one defect was found by the battery rather than by either.*
+
+### Fixed — the regression the pass led with
+
+- **`cache warm` warms every root view (`AUD-600-R01`)** — the warm built the
+  compact view only, so the first `--agent` call after an explicit warm paid a
+  full analysis: measured on `mall` (524 Java files) `--agent` 7.59 s → 0.34 s
+  (×22) and the raw contract view 3.20 s → 0.33 s (×9.7), against `--compact`
+  flat at 0.34 s. The field measured ×49.2 at ~3 000 files. Each view turns a
+  different set of analysers on and therefore has its own L1 core;
+  `cache_model.ROOT_VIEWS` is now the one authority the warm iterates and
+  `cache model` publishes a row per view. `--views` warms a subset, and a view
+  left cold is named rather than discovered by its first call.
+
+### Fixed — the new pack surface
+
+- **The gate composes `verify-edit` (`AUD-600-B01`)** — a pack named *Change
+  Safety Gate* did not compose the change-safety command, so a working tree
+  that had just gained `GET /internal/dump-config` returning `System.getenv(key)`
+  answered `NO_CHANGES` / exit 0. It now answers `UNVERIFIED` / exit 2 with the
+  route and its `access_policy`. The general half is the rule: every pack
+  publishes a `non_coverage` block, in its payload and in `pack list`, and the
+  battery asserts it over the axis and rule catalogues.
+- **`--compact` bounds the assessment pack (`AUD-600-B02`)** — the flag was
+  forwarded to the children and nothing else. It now substitutes each
+  component's own decision summary for its body: `mall` 608 K → 42 K estimated
+  tokens, `thingsboard` 8.5 K, both under the ceiling. A refusal may not deny a
+  variant the command declares, so `--format markdown` is derived as the
+  bounded rendering it is.
+- **The report keeps the figures the pack carries (`AUD-600-B03`)** — three
+  cells read `unknown` while the figure sat in a component payload the same
+  pack had written. One catalogue, `MARKDOWN_FIGURES`, read with the same
+  reader the bounded projection uses; every remaining `unknown` names what it
+  looked for.
+- **A write refusal is decided from `argv` (`AUD-600-D01`)** — `--output-dir`
+  inside a read-only tree cost 47.9 s before refusing. The destination is now
+  decided before any component runs and the run is served without its artefacts,
+  the shape `verify --init --no-write` established. Nothing is created inside
+  the analysed tree and every refusal is still announced with its path and type.
+
+### Added
+
+- **`ask schema packs-v1` (`AUD-600-D02`)** — what each pack composes, what it
+  does not, its verdict vocabulary, its exit codes and the aggregation rule that
+  produced the verdict, generated from the pack declarations. The rule was
+  inferable from one run and published nowhere.
+- **Per-component timing in the pack manifest** — `duration_ms` per component
+  and a `timing` rollup naming the slowest one, so a 47 s gate can be attributed
+  from outside. A clock is never an answer: `timing` is excluded from
+  `content_id`, or two runs of an unchanged tree would disagree.
+- **The fourth exit code for packs** — when every unverified component was cut
+  short by its budget the pack leaves with `75` and names them in
+  `components_cut_short`. A mixed run keeps the stronger `2` and the verdict
+  word never moves.
+
 ## [5.8.23] — 2026-08-22
 
 *The external corpus follow-up is closed: pack output is durable by default,

{sourcecode-5.8.23 → sourcecode-5.8.25}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sourcecode
-Version: 5.8.23
+Version: 5.8.25
 Summary: Persistent structural context and ultra-fast repeated analysis for AI coding agents
 Project-URL: Homepage, https://github.com/HarounDominique/sourcecode
 Project-URL: Repository, https://github.com/HarounDominique/sourcecode
@@ -58,7 +58,7 @@ Description-Content-Type: text/markdown
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.23-blue)
+![Version](https://img.shields.io/badge/version-5.8.25-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -176,7 +176,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.23 retains the shared Canonical IR
+**Current performance status.** Release 5.8.25 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -210,7 +210,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.23 — and, on a build that has aged,
+ask version                    # ask 5.8.25 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 

{sourcecode-5.8.23 → sourcecode-5.8.25}/README.md

@@ -10,7 +10,7 @@
 > question. All analysis is local and deterministic; see [Privacy](#configuration--privacy)
 > before inspecting a repository whose telemetry policy you need to control.
 
-![Version](https://img.shields.io/badge/version-5.8.23-blue)
+![Version](https://img.shields.io/badge/version-5.8.25-blue)
 ![Python](https://img.shields.io/badge/python-3.9%2B-green)
 
 Copyright (c) 2026 Dominique Haroun. All rights reserved. ASK Engine 5.7.0 and
@@ -128,7 +128,7 @@ set `ASK_MAX_RSS_MB=<megabytes>`; if the process exceeds it, ASK refuses the
 answer with `MEMORY_TOO_LARGE`, including the observed peak and limit. Leave it
 unset, or set it to `0`, to disable the ceiling explicitly.
 
-**Current performance status.** Release 5.8.23 retains the shared Canonical IR
+**Current performance status.** Release 5.8.25 retains the shared Canonical IR
 path used by `validation` and now passes that same CIR into labelled `data-exposure`
 runs; the no-label path remains parse-free. The one-model-per-declared-label path is
 also retained. These are implementation properties, not duration promises:
@@ -162,7 +162,7 @@ brew tap haroundominique/sourcecode && brew install sourcecode
 # pip / pipx
 pipx install sourcecode        # or: pip install sourcecode
 
-ask version                    # ask 5.8.23 — and, on a build that has aged,
+ask version                    # ask 5.8.25 — and, on a build that has aged,
                                # how many releases have probably shipped since
 ```
 

sourcecode-5.8.25/docs/AUDIT-2026-08-23-5.8.24.md

@@ -0,0 +1,251 @@
+# ASK Engine 5.8.24: auditoría de regresión, dos rondas
+
+**Fecha:** 2026-08-23
+**Artefacto auditado:** release `5.8.24`, `build_commit`
+`61b9c12b0e354cda157038bc8be6e19384a42368`
+**Sujetos:** banco de 16 repositorios Java/Spring sobre Windows 11 Pro (ronda A, ~145
+invocaciones) · MSAS / `banyan-v2`, HEAD `3dde0376`, 3 342 ficheros Java (ronda B, octava
+ronda sobre el mismo árbol bit a bit, ~55 invocaciones, `ASK_READONLY=1` y techo explícito
+en todas, 0 tracebacks, 0 escrituras)
+**Registro relacionado:** [`DEFECT-LEDGER.md`](DEFECT-LEDGER.md), *Fourteenth Audit Pass* y
+filas `AUD-601-*`
+
+## Resultado ejecutivo
+
+| Ronda | Nota | Anterior | Veredicto del auditor |
+|---|---:|---:|---|
+| A — banco de 16 repos | `8,7/10` | 8,3 | Adoptar |
+| B — MSAS | `8,88/10` | 8,84 | Comprar y actualizar, con una reserva operativa |
+
+Ronda B marca **su propio eje de rendimiento como provisional** y nombra el confound. Ronda A
+**retracta una fila propia** tras cuatro informes. Ambas cosas cuentan a favor del método y
+están recogidas abajo.
+
+## 1. Lo primero: el sujeto es verificable
+
+Las dos rondas leen `build_commit 61b9c12b0e35…` y el mismo
+`version.provenance.closure_coverage` — **107 filas cerradas, 88 `present`, 19 `uncited`, 0
+`absent`, 0 `unresolved`** — y este árbol lo reproduce exacto. Es `AUD-597-X01` y
+`AUD-598-X01` cobrando juntos, y cambia una conclusión que se arrastraba dos rondas:
+
+> En `5.8.22` y `5.8.23` la ronda B concluyó *«el fix no llegó al artefacto»*. Ahora el
+> artefacto declara que sí llegó, el bloque del help demostrablemente cambió, y las dos
+> líneas rotas siguen ahí. La lectura correcta pasa a ser: **el fix está y no cubre estos dos
+> casos.**
+
+El tercer estado `uncited` (19 de 107) distingue *no rastreado* de *rastreado y ausente* en
+lugar de halagar el total. Es exactamente lo que `AUD-598-X01` declaró como su límite 2.
+
+## 2. Cerrado y verificado desde fuera
+
+| Fila | Qué era | Medido en `5.8.24` |
+|---|---|---|
+| `AUD-600-R01` | `cache warm` no calentaba la vista `--agent` | **Cerrada sin residuo.** Mismo protocolo (`cache clear -y` → `cache warm` → 1.ª → 2.ª): `struts` (~3 000 ficheros) **40 911 → 688 ms**, ×59 de mejora, 2.ª a 674 ms (ratio 1,0 donde era ×49,2); `mall` 12 487 → 665 ms; `spring-petclinic` 1 615 → 683 ms |
+| `AUD-600-B01` | `pack gate` no componía `verify-edit` | **Cerrada.** `commands: ['verify','verify-edit','posture','pr-impact']`. Con una ruta nueva `GET /internal/dump-config` devolviendo `System.getenv(key)`: `verdict: UNVERIFIED`, `exit_code: 2`, proceso rc 2 |
+| `AUD-600-B02` | `pack assessment` sin variante acotada (rechazaba con `OUTPUT_TOO_LARGE`) | **Cerrada.** `--compact` → rc 0, **35 619 B ≈ 8,9 K tokens** contra 1 901 108 B: **×53**, con margen bajo el techo |
+| `S-20` · `S-22` | dos sugerencias de diseño de la ronda anterior | **Enviadas y verificadas por ambas rondas**: `non_coverage` por pack con ids propios (`NC-PACK-001`, `NC-PACK-003`) y el registro `packs-v1` con la regla de agregación publicada (*«BLOCK wins over UNVERIFIED, and UNVERIFIED over PASS»*), cuyo `basis` dice *«Generated from the pack declarations in `packs.py` … Nothing here is maintained by hand beside the code it describes»* |
+
+**No tomadas, y las dos rondas lo dicen sin que se les pregunte:** el bloque `intersections`
+(`S-23`) y `--format sarif` (`S-28`). `--format sarif` rechaza con `INVALID_USAGE` listando
+los cuatro válidos, así que no hay ambigüedad. Es la tercera confirmación independiente de
+la primera y la segunda de la segunda.
+
+## 3. La cola nueva, con las correcciones de mecanismo
+
+Siete filas, `AUD-601-*`. **Tres de los mecanismos reportados se corrigen al reproducir**, y
+una fila sube de severidad por una mitad que nadie reportó.
+
+### `AUD-601-M01` — el estado de caché no es un input que un auditor pueda establecer · **P1 de método**
+
+La ronda A **retracta `B-27` / `C3-128`** tras cuatro informes. *«`timeline` es la única orden
+con forma de puerta por encima de 120 s y sin techo posible»*, publicada a 198 s, 163,9 s,
+75,2 s y 161,6 s, es un artefacto de caché. Su propio control, mismo comando, misma sesión:
+
+| Estado | `timeline --since HEAD~3` |
+|---|---:|
+| 1.ª vez sobre ese rango de commits | 161 641 ms |
+| Repetición inmediata | 547 ms |
+| 2.ª y 3.ª seguidas | 509 ms · 505 ms |
+| Tras `cache clear ./spring-security -y` | 512 ms |
+
+La capa es **por commit muestreado**, así que un `cache clear` del repositorio no la
+invalida — y el producto lo declara por escrito en `ask cache model`
+(*«timeline · nothing (repeat cached) · [timeline-samples]»*). El coste atribuido cuatro
+rondas al comando es el precio de sembrar una capa que la herramienta documenta como sembrada
+una vez.
+
+**Cuarto hallazgo falso que el estado de caché produce en ese banco en seis rondas** (×10,4 en
+`5.8.16`, ×2,42 y ×1,39 en `5.8.18`, ×1,93 en `5.8.20`, y éste). Dos cifras más quedan sin
+atribuir esta ronda por la misma razón: `B-21` (`posture ./thingsboard` 59,7 s intercalado
+contra 4,9 / 4,3 s aislado) y `migrate-check ./spring-security` (×1,59, **publicado como no
+atribuible** y no como regresión, con la serie de seis rondas 6,02 → 11,60 → 11,30 → 10,66 →
+6,81 → 10,82 s y tres pasadas controladas a 10 365 / 10 400 / 10 825 ms).
+
+⚠ **Una mitad de la fila ya está respondida y el informe no la vio:** `cache clear --global`
+vacía los almacenes compartidos de parseo y CIR (`cli.py:18213`). Que `--all` los preserve es
+comportamiento declarado, no el defecto. Lo que sobrevive es el presupuesto: **559,95 MB
+sobre 512**, y es real.
+
+### `AUD-601-R01` — `peak_rss_mb: 0.0` · **P1** (el informe la clasificó P2)
+
+Síntoma reportado: `_meta.memory.peak_rss_mb: 0.0` en cuatro cargas que abarcan 49 → 3 000
+ficheros, incluida la vista de agente, contra un control independiente por `tasklist` de
+~1,4 GB sobre `thingsboard`.
+
+Reproducido en fuente, y es **peor de lo reportado, por dos vías**:
+
+1. El cero **no es un descuido**. `resource_budget.peak_rss_mb()` devuelve `0.0` cuando el
+   módulo `resource` no existe, con el comentario *«the zero value explicitly means the
+   platform did not expose a sample»* — la falsedad confiada escrita como decisión, en el eje
+   que este producto existe para rechazar.
+2. **Mitad no reportada:** `resource_budget.exceeded()` sólo rehúsa cuando `peak > ceiling`.
+   Con `peak` clavado en `0.0`, **`ASK_MAX_RSS_MB` no puede dispararse nunca y
+   `MEMORY_TOO_LARGE` es inalcanzable en Windows** — la plataforma declarada — mientras el
+   help promete lo contrario (`cli.py:805`). Es una puerta que no puede fallar, la misma forma
+   que `AUD-597` ya rechazó una vez.
+
+Contraste medido en este host: `peak_rss_mb: 54.69` en `posture ./spring-petclinic`. La rama
+de plataforma es la falla entera.
+
+**Aceptación:** `peak_rss_mb: null` con `peak_rss_basis` donde la plataforma no lo expone, y
+medición real donde sí — el criterio del propio informe, que es el correcto. Y la mitad que es
+P1: donde la muestra sea `null`, `exceeded()` debe **rehusar responder** en vez de devolver
+`None`, y `MEMORY_TOO_LARGE` debe declararse no disponible en vez de quedar mudo.
+
+### `AUD-601-B01` — el advisory de presupuesto está en el comando que no puede aplicarlo · **P2**
+
+La ronda A reproduce `N-02` por quinta vez (`ASK_MAX_ANALYSIS_SECONDS=1e9` y `=1_000` → rc 0,
+0 bytes de stderr, sin advisory) y lo lee como la fila que `AUD-598-B04` rechazó. Medido aquí,
+**el informe mira la superficie equivocada y debajo hay un defecto real**:
+
+- `budget_binds` **funciona** tal como se cerró: `migrate-check` publica *«1e+09s is more than
+  100x the 11.3s this product has measured for `migrate-check`, so no run of it reaches that
+  deadline»*, con `measured_anchor_seconds: 11.3`.
+- Pero `_budget_disclosure()` tiene **exactamente un call site** (`cli.py:14437`) y es ese
+  comando, cuyo scope es `advisory_only`.
+- Los tres miembros de `phased_run.BUDGET_RUNNER_COMMANDS` — `spring-audit`, `risk`,
+  `audit-report`, los únicos donde un plazo puede parar algo — **no publican ningún bloque
+  `analysis_budget`**: medido sobre `spring-audit ./spring-petclinic` con el presupuesto
+  puesto, no aparece ninguna clave que contenga *budget* en todo el payload.
+
+Quien pone un plazo en un comando que lo aplica no se entera de nada; quien lo pone en el
+comando que lo ignora recibe el advisory completo. Es la clase más repetida de este ledger —
+un arreglo correcto que paró en un call site — y la población que debe es
+`BUDGET_RUNNER_COMMANDS ∪ {migrate-check}`, leída del registro.
+
+### `AUD-601-B02` — el modelo de futilidad no describe la bandera que juzga · **P3**
+
+La ronda B abre `ASK-PACK-004`: `pack assessment .` rehúsa con *«No flag this command declares
+can bring this answer under the ceiling»* mientras `--compact` lleva la misma respuesta a
+~8 800 tokens estimados — *«un agente que lea el hint nunca probará `--compact`»*.
+
+Reproducido aquí forzando el techo
+(`ASK_MAX_OUTPUT_TOKENS=2000 ask pack assessment ./spring-petclinic`), y el mecanismo lo
+publica el propio rechazo: `bounded_floor_tokens: 18201`, con `bounded_floor_basis` =
+*«this payload with every list emptied — the smallest answer any list-bounding flag can
+produce»*, y `hint_basis.declared_flags: ["--compact"]` impreso al lado de la frase que dice
+que ninguna bandera declarada ayuda.
+
+**El suelo modela truncado de listas, y `--compact` sobre un pack no es un truncado: es una
+sustitución** — reemplaza el cuerpo de cada componente por el resumen de decisión de ese
+componente (`S-21` / `AUD-600-B02`, tal como se envió). El hint es honesto contra un modelo
+que no describe la superficie. Nota para quien lo tome: `bounding_is_futile` **no tiene call
+site de producción** (sólo `output_ceiling.py` y un test), así que este hint llega por la rama
+`nothing_smaller`, no por la medida que construyó `AUD-598-B02`.
+
+### `AUD-601-X01` — el envelope se declara averiado en campo y aquí no reproduce · **P3, en espera**
+
+La ronda B mide `_meta.envelope_status: "degraded"`,
+`envelope_status_reason: "the running command could not be named"` y `command: "unknown"` en
+**13 de 13 payloads**, y lo gradúa moderado precisamente porque el campo se autodeclara en vez
+de fallar en silencio — que es la observabilidad que ese mismo auditor pidió.
+
+Medido en este árbol al **mismo `build_commit`**, por cuatro caminos de entrada — `run_cli.py`;
+`python -c "from sourcecode.cli import main_entry"` (el camino que usa `packs.py:555`); el
+script instalado `ask`; y cada uno bajo `ASK_READONLY=1` y con presupuesto explícito —
+`command` resuelve a `posture` siempre, `envelope_status` está ausente y `peak_rss_mb` es real.
+`_active_command_context()` devuelve `""` sólo donde Click no tiene contexto actual en el
+momento de emitir, y nada de aquí puede nombrar el entorno que lo produce.
+
+**Se sostiene con la medición en ambas direcciones en vez de cerrarse**, igual que se sostuvo
+la cifra de 457,6 s de `ASK-17` en Windows. Se ata a `S-10` (runner de Windows en CI), que
+pasa a tener **cinco** testigos de defecto y cero reproducciones. Ése es el arreglo.
+
+### `AUD-601-D01` y `AUD-601-D02` — declaración, quinta ronda
+
+`AUD-601-D01`: *«Runs now»* sigue con `posture . --diff dev:prod` y `endpoints .` sin bandera
+acotada; sólo `migrate-check . --compact` la lleva. Pero **el bloque sí cambió** — `risk .` se
+movió a una categoría nueva *«Too big for this session»* — así que el generador ya consulta
+coste y no cubre esas dos líneas. Lo mismo para `ASK-UX-002` (`56a4bf7`, `present`) con el
+payload sin mover un byte: sin bandera / `--compact` / `--limit 20` dan los tres exactamente
+71 483 tokens / 285 935 B. La frase que cierra `ASK-UX-002` **ya existe en el producto**: el
+hint honesto de techo *«the weight is not in the lists they bound»* se envió para packs y no
+se aplicó a `posture --diff`.
+
+`AUD-601-D02`: `validation` gana `schema_version: validation-v1`; la identidad de repositorio
+sigue ausente en `posture`, `validation` y `data-exposure`, y **`data-exposure` es
+byte-idéntico entre `mall` y `struts`** — dos repositorios, una respuesta, y nada dentro que
+nombre a ninguno. Es la forma de negativa idéntica de `B-14` y la razón de que las dos filas
+viajen juntas.
+
+## 4. Regresiones
+
+**De contenido: ninguna, en las dos rondas.** Ronda A: 17 comprobaciones intactas (poblaciones
+de rutas de `halo` 158/173 y control `mall` 246/246, `route_surface_changed`, `confidence_level`
+sobre 0 findings, separadores POSIX, presupuestos inválidos a exit 2, `selftest` 12 filas / 0
+error, la guarda de escritura cubriendo `pack`). Ronda B: cero deriva por **octava** ronda
+(`endpoints` 3763 / 725, censo 3763-3872-1120, `repo_id 7fced5c877cacfc5`; `spring-audit`
+373 / 94 / 43 003 símbolos), y el determinismo **mejoró**: `spring-audit --min-severity high`
+byte-idéntico a 156 902 B en dos corridas donde antes oscilaba ±1–3 B por relojes,
+`endpoints --compact` 14 702 B ×3 incluido `--no-cache`, `posture` 144 742 B ×5, y el
+`content_id` de `posture` idéntico en cinco corridas (`124b61d1bf3f9d84`).
+
+**De rendimiento: las dos rondas se contradicen, y no se declara regresión.**
+
+| | Ronda A (banco, protocolo con `cache warm` explícito, intercalado ×4, mediana, primera descartada) | Ronda B (MSAS) |
+|---|---|---|
+| Lectura | **8 de 9 anclas mejoran 4–17 %**, y las seis que subieron en `5.8.23` vuelven todas a su banda o por debajo. `ask --help` a 1,74 s, bajo el ×1,25 de vigilancia | `posture` +55 %, `spring-audit` ×2,1, `migrate-check` ×2,2, `selftest` +45 %, `compare` +39 %, `export --c4` peor — y `ask . --compact` **mejor 1,3×** (94,6 → 74,9 s), `validation` 1,5×, `verify --init` 1,3× |
+| Estado | firme | **provisional, declarado por su autor** |
+
+La ronda B nombra su propio confound: su primera invocación de la sesión costó **94,9 s contra
+8,9 s** en la segunda corrida, así que la sesión arrancó fría, y su almacén de parseo bajó de
+28 106 a 22 491 entradas. Ninguna ronda se descarta y no se abre fila de regresión: los dos
+protocolos difieren exactamente en la variable de la que trata `AUD-601-M01`.
+
+**Lo que sí es señal limpia** es `S-22` cobrando: `pack gate --compact` pasó de 45,6 s a
+127,9 s y `manifest.timing` lo atribuye sin cronómetro externo —
+
+```
+verify         566 ms
+verify-edit   2854 ms   <- componente NUEVO
+posture      99539 ms   <- 78 % del coste
+pr-impact    24175 ms
+sum_of_component_ms = 127134   slowest_component = "posture"
+```
+
+La hipótesis de que el gate se ralentizó por componer un cuarto comando **queda refutada por
+los datos del propio producto**: `verify-edit` cuesta 2,9 s. El coste es `posture` en forma
+comparativa, 99,5 s frente a 8–9 s en forma plana. Igual con `pack assessment` a 471 s: `risk`
+son 401 012 ms (85 %) y sale `PARTIAL` porque agotó el techo de 400 s que el auditor le puso.
+Es la primera ronda en que un coste compuesto se atribuye sin instrumentación externa.
+
+Detalle que merece quedar escrito: publicar `duration_ms` metió un reloj en la respuesta y rompió
+el `content_id`; lo detectó su propio test (`test_two_runs_of_an_unchanged_tree_agree`) y
+`timing` se unió a `_CLOCK_KEYS`.
+
+## 5. Movimiento en filas largas — no re-derivar
+
+| Fila | Antes | Ahora |
+|---|---|---|
+| `B-11` / `AUD-598-B03` anclas de coste | 19 anclas, 17 en `5.1.0` | **16 en `5.1.0`, 1 regenerada en `5.8.23`** — primer movimiento en diez informes, consistente con que la fila cerrara la mitad de falsabilidad y deba las 16 cifras de campo |
+| `B-13` identidad | `validation` sin `schema_version` | `schema_version: validation-v1`; identidad de repositorio aún ausente en tres payloads |
+| `N-06` / `AUD-597-D03` | `source_file: ""` | `null` — el string vacío confiado desaparece y la ausencia se declara como ausencia. El fichero sigue sin poblarse, que es la mitad que la fila publicó como debida |
+| `ASK-GATE-001` | — | **parcial, sin cambio**: `spring-audit` / `risk --ci` → 75; `migrate-check --ci` y `migrate-apply --ci` → rc 2 `No such option`. Coherente con la mitad que `AUD-597` rechazó con precio (una puerta que no puede fallar) |
+
+## 6. Reserva operativa publicable
+
+Es de la ronda B y se apoya en cifras del propio producto, no en un cronómetro:
+
+> Si el coste importa en tu pipeline, mide `spring-audit` y `migrate-check` en tu propio árbol
+> antes de mover el techo de CI. Y `posture` en forma comparativa cuesta 99,5 s — dato del
+> propio producto — así que `pack gate` en cada push necesita presupuesto o `--detach`.

sourcecode-5.8.25/docs/AUDIT-2026-08-23-COMMERCIAL.md

@@ -0,0 +1,195 @@
+# ASK Engine — auditoría comercial y de nicho, 2026-08-23
+
+**Fecha:** 2026-08-23
+**Artefacto auditado:** árbol `fix/aud600-queue`, `__version__` `5.8.24`, HEAD `61b9c12`
+**Origen:** tercer memo estratégico externo, escrito desde seis rondas de auditoría sobre
+el binario (no sobre la web). A diferencia de los dos memos de 2026-08-21, éste no audita
+defectos: audita **posicionamiento, unidad de venta y techo de precio**.
+**Auditoría de defectos del mismo día:**
+[`AUDIT-2026-08-23-5.8.24.md`](AUDIT-2026-08-23-5.8.24.md) — dos rondas técnicas sobre el
+mismo `build_commit`. Confirma desde el campo dos cosas que este memo también toca: `B-30`
+(los 20 contratos derivados son de un solo tipo, cuarta ronda) y que `--format sarif` no
+existe todavía, y **contradice al memo en una**: `pack gate` publica ya el coste por
+componente, así que la composición no es opaca.
+**Registros relacionados:** [`EXECUTION-PLAN-12MO.md`](EXECUTION-PLAN-12MO.md) (autoridad
+sobre estrategia), [`DEVELOPMENT-ROADMAP.md`](DEVELOPMENT-ROADMAP.md) → *Product-strategy
+queue* (mecanismo y orden de ataque), [`DEFECT-LEDGER.md`](DEFECT-LEDGER.md) clase `P`.
+
+## Alcance y método
+
+El memo se depuró fila a fila contra el árbol antes de aceptarse, que es el mismo
+procedimiento que los dos memos anteriores. Lo que sigue separa tres cosas que el memo
+mezcla: **hechos que no se sostienen en HEAD**, **propuestas aceptadas** y **propuestas
+rechazadas con motivo**. Ninguna cifra de esta página se recuerda; todas se leyeron del
+árbol el 2026-08-23.
+
+## 1. Correcciones de hecho
+
+Seis afirmaciones del memo cambian de estado al medirse. Tres de ellas **cambian la
+prioridad de la propuesta que sostienen**, que es la razón de poner esta sección primero.
+
+| Afirmación del memo | Estado medido en HEAD |
+|---|---|
+| «la caché de parseo no sostiene 16 repositorios → **la caché es el roadmap**» | Capacidad **sí**, rendimiento **no**. `ASK-17` ya cerró con medición controlada: el sweep LRU cuesta **~3 %**, no el 66 % que se le atribuyó, y esa cifra ya fue retractada con número. La ley medida es **~20 KB de store por fichero Java** → ~500 MB por repositorio de 24 000 ficheros. Es un problema de **dimensionado y planificación de flota**, no de motor. La propuesta sobrevive; su precondición declarada, no |
+| «`cache clear --all` no reduce el almacén compartido» | Cierto, y **por diseño declarado**. Existe `--global` (`cli.py:18213`), que sí vacía los almacenes compartidos de parseo y CIR, y el propio help dice por qué son dos banderas distintas. El memo no vio la bandera |
+| «los payloads ya están en memoria dentro de `pack`, así que la intersección es gratis» | **Falso**. `packs.py:555` lanza cada componente en un `subprocess` (`sys.executable -c …`). Pero la conclusión **mejora**: los artefactos quedan en disco indexados por `manifest.components`, así que la intersección es un *join sobre respuestas ya publicadas* — más barato de construir, y **no rompe «una autoridad por hecho»**, que es lo que sí haría recalcularla en un proceso compartido |
+| «`verify --init` sólo sabe derivar `forbid_finding`; los 20 contratos son de un solo tipo» | Mecanismo equivocado. `verify_rules._KINDS` son **tres** (`forbidden_edge`, `require_endpoint_security`, `forbid_finding`) y `contract_init` deriva las tres, con su motivo escrito en el docstring del módulo. El 20/20 observado es el efecto de los umbrales (`MIN_EDGE_POPULATION=5`, `MAX_EDGE_RULES=5`, `MIN_ENDPOINTS_PER_PREFIX=3`) más el auto-descarte de reglas violadas en el árbol del que se derivan. **El síntoma es real y la causa no es la que se reporta**: la derivación degenera en silencio y no dice por qué |
+| «las anclas de coste llevan diez informes en 5.1.0» | **Medio cerrado tras `5.8.24`** (`c63cb24`, `AUD-598-B03`): cada ancla publica ya su **sujeto** y su **build**, y donde la cifra precede al sello el commit va como `unrecorded` en vez de inventarse. Quedan las 16 cifras de campo sin re-medir, que es la mitad que sigue abierta |
+| «el ledger es un activo que se vuelve pasivo si miente una vez» | El mecanismo ya envió: `CLOSURE_PROVENANCE` (`AUD-598-X01`) está en el árbol y **cazó su primer caso**. Los dos límites que declara — ancestría ≠ efecto, y una fila no rastreada es incontradecible — siguen siendo los límites correctos |
+
+**Y el hallazgo que sostiene el resto:** la clave de join **existe**.
+`CanonicalEndpoint.make_id` (`canonical_ir.py:480`) produce un identificador de endpoint
+estable, y `posture`, `risk`, `pr_impact`, `spring_impact` y `data_exposure` lo cargan
+todas. Eso convierte la propuesta de intersecciones de investigación en trabajo acotado.
+
+## 2. Veredicto por propuesta
+
+| Propuesta del memo | Veredicto | Destino |
+|---|---|---|
+| Bloque `intersections` | **CONSTRUIR YA** | `S-23`, ya abierta desde la 13.ª pasada — el memo la confirma desde fuera y por segunda vez |
+| SARIF de **salida** | **CONSTRUIR YA** | `S-28` (nueva) |
+| Página pública del ledger, **proyectada** | **CONSTRUIR YA** | `S-29` (nueva) — nunca el `.md` crudo, ver §4 |
+| `--since` + `--budget` sobre las vistas existentes | **CONSTRUIR YA** | `S-30` (nueva), como la mitad sin estado de su idea |
+| `ask fleet <manifest.yml>` | **CONSTRUIR DESPUÉS** (trimestre) | `S-18` ya existe (*de repositorio a organización*); la precondición declarada por el memo es la equivocada |
+| Contratos de arquitectura estilo ArchUnit | **CONSTRUIR DESPUÉS, recortado** | Dos tipos de regla nuevos, no un producto (§3) |
+| Deriva arquitectónica en el tiempo | **RELATO, NO CÓDIGO** | `baseline`, `trend` y `regress` ya existen. Falta la diapositiva, no el comando |
+| Medir «tokens por tarea de agente, con y sin ASK» | **CONSTRUIR YA, con condiciones** | `S-30`; bajo la regla de benchmarks honestos y con arnés reproducible en el repo |
+| `ask context --since <sha> --budget N` con sesión de agente | **RECHAZADA la forma, aceptado el diagnóstico** | §5 de `EXECUTION-PLAN-12MO.md` |
+| Canal `stable` mensual junto a `latest` | **APLAZADA** | Precondición incumplida: no hay **ni un tag** |
+| Escrow de código / cláusula de liberación | **RECHAZADA hoy** | §5 de `EXECUTION-PLAN-12MO.md` |
+| Canal indirecto de consultoras para `assessment` | **RECHAZADA como construcción** | La versión barata ya existe (`--format markdown`) |
+| «la caché es el roadmap» | **RECHAZADA** | Refutada con medición (§1) |
+| «no pasar de cuatro packs» | **ACEPTADA** | Coincide con `S-26`, que ya fija el tope en cuatro |
+
+## 3. Detalle de las tres que importan
+
+### `intersections` — la única que ningún competidor copia
+
+No como comando nuevo: como **bloque derivado dentro del payload del pack**, calculado por
+join sobre `manifest.components`. Tres reglas que la mantienen honesta y que son las mismas
+que ya rigen los packs:
+
+- nunca afirma más de lo que afirmaron sus componentes;
+- publica `non_coverage` diciendo **qué eje no pudo unirse y por qué** — un endpoint que
+  `posture` ve y `pr-impact` no es una intersección que no se puede computar, no una
+  intersección vacía;
+- **tres o cuatro intersecciones nombradas**, nunca un lenguaje de consulta. Un lenguaje de
+  consulta devuelve al cliente a su `jq` con más pasos intermedios.
+
+El argumento comercial del memo se acepta entero y es el mejor de los tres memos recibidos:
+un listado de hallazgos es un *commodity* y se compara por número; una intersección de
+cuatro autoridades es una **conclusión**, y las conclusiones no se comparan por número.
+
+### Contratos de arquitectura — dos reglas, no un producto
+
+De los cinco contratos que propone el memo, dos valen, uno vale y va primero, y dos no:
+
+| Contrato propuesto | Veredicto |
+|---|---|
+| `max_unauthenticated_routes: 17` | **Sí, y primero.** Es un trinquete, cuesta casi nada sobre el censo que `--init` ya calcula, y es el único de la lista que se vende solo |
+| `layer_may_not_call(controller → repository)` | **Sí.** Es lo que un usuario de ArchUnit escribe a mano y lo que necesita el grafo resuelto que sólo este build tiene |
+| `module_may_not_depend_on(billing → shipping)` | **Sí**, mismo argumento |
+| `no_new_unauthenticated_route` | Es el trinquete anterior con otro nombre |
+| `no_transactional_outside(service)` | El modelo tx existe, pero es el que menos comprador nombrado tiene. Va detrás |
+
+**Y no se construye un DSL de reglas ni un ecosistema de plugins.** El memo cita «grep
+creció por las reglas de la comunidad» como virtud a imitar; para este producto es la
+trampa: reglas de terceros rompen «una autoridad por hecho», que es el diferencial entero.
+
+El censo que `--init` ya imprime y no usa (`contract_init.py:425`, *«Endpoints seen: 19 ·
+types seen: 41»*) es exactamente el insumo del trinquete. Ahí el memo acierta de pleno.
+
+### `fleet` — la lectura comercial es correcta, la precondición no
+
+El instinto es correcto y el argumento de precio también: el comprador real de Java/Spring
+tiene 40 microservicios, no un monolito, y la pregunta que hace — *«¿cuántas rutas sin
+autenticar tiene mi organización, y cuáles cambiaron esta semana?»* — hoy no tiene comando.
+Pasar de precio por desarrollador a licencia de sitio es la diferencia entre una suscripción
+y un contrato anual.
+
+Lo que no es cierto es que la precondición sea reescribir la caché. Las precondiciones
+reales son tres, y ninguna es de motor:
+
+1. identidad por repositorio y contrato de *rollup* — la misma forma que `pack` ya tiene;
+2. `non_coverage` **por repositorio**, porque una flota donde un repositorio no se pudo
+   analizar y el total no lo dice es exactamente la falsedad confiada que este producto
+   existe para no cometer;
+3. un documento de dimensionado con la ley ya medida (~500 MB de store por repositorio de
+   24 000 ficheros) y la cobertura por repositorio que `cache status` publica desde `5.8.5`.
+
+`fleet` es orquestación sobre N subprocesos. Es la misma forma que `pack`, un nivel arriba —
+que es justo lo que el memo dice, con la precondición cambiada.
+
+## 4. Lo que el memo no vio
+
+Cinco puntos. El primero es, en mi lectura, más grave que cualquier cosa de su propia lista.
+
+**1 · El eje de licencia contradice al comprador que el memo identifica correctamente.**
+`is_large_repo()` cuenta ficheros Java **por repositorio** contra
+`_FREE_REPO_JAVA_FILE_LIMIT = 500` (`license.py:121`, `:521`). Una organización de 40
+microservicios de 300 ficheros cada uno **paga cero**: ningún repositorio cruza el umbral,
+y el único eje de automatización que existe es la cuota de `delta`. El comprador que el memo
+describe bien — el que tiene flota y necesita defendibilidad — **no es cobrable hoy**. Es el
+mayor defecto comercial del producto y no está en el informe. `fleet` no es sólo el techo del
+precio: es el **suelo**. Filas `P-13` en el ledger y `S-27` en la cola.
+
+**2 · No hay tags, y por eso su riesgo de cadencia está mal ordenado.** El problema no es
+publicar cuatro veces al día; es que ninguna de esas publicaciones tiene identidad en git.
+Un canal `stable` mensual sobre un repositorio sin un solo tag no resuelve nada: fija una
+versión que nadie puede nombrar. `build_commit` ya envía dentro del wheel (`AUD-597-X01`,
+`354338b`); el tag no. Se arregla el tag **antes** de inventar canales.
+
+**3 · Riesgo de publicar el ledger que el memo no evaluó.** `docs/DEFECT-LEDGER.md` lleva
+rutas absolutas de la máquina del mantenedor, nombres de repositorios de terceros usados
+como sujetos de evaluación, y autocrítica a un nivel de detalle que un comprador puede leer
+como inestabilidad en vez de como rigor. Publicar el crudo filtra e insinúa que esos
+proyectos fueron auditados. Lo que se publica es una **proyección generada**: filas abiertas
+y cerradas por versión, mediana de días hasta el cierre, y las declinadas con su motivo.
+Cifras, no prosa. Fila `P-14`.
+
+**4 · `enrich` debe ser gratis para siempre.** El memo acierta en que es la mejor cuña del
+catálogo: convierte a un competidor en entrada, no sustituye nada y hace que la herramienta
+que el cliente ya paga valga más. Una cuña de pago no es una cuña. Hoy está en
+`experimental` porque ninguna ronda de campo lo ha ejercido de extremo a extremo — eso es
+una fila de validación, no una razón para cobrarlo.
+
+**5 · La superficie de 41 comandos de primer nivel no es un problema de ingeniería.** La
+queja del memo (*«`enrich` es la orden nº 40 de una lista»*) se disuelve documentando la
+jerarquía que ya existe: **los packs son el producto, los comandos son el SDK**. No hace
+falta retirar nada; hace falta decir cuál de las dos superficies se compra.
+
+## 5. Lo que el memo acierta y conviene no diluir
+
+Dos cosas, y ambas se aceptan sin recorte.
+
+**El nicho está mejor descrito en este memo que en la documentación propia.** «Contabilidad
+epistémica sobre un grafo de Spring» nombra lo que el producto hace mejor que nadie y ya
+ejecuta: unidad, población, base, techo y no-cobertura en cada cifra. Y define al comprador
+mejor que la segmentación actual: no es quien quiere más hallazgos — ése compra Snyk — sino
+**quien tiene que defender una decisión ante alguien**. Los cuatro compradores que enumera
+(arquitecto justificando una migración, lead aprobando un PR de riesgo, consultor entregando
+una auditoría, agente que no puede inventar) pagan por defendibilidad, no por cobertura.
+
+**La velocidad de remediación medida es material comercial y hoy vive en un `.md`.** Veinte
+filas cerradas y verificadas en campo en veinticuatro horas, con mecanismo en fuente por
+fila y dos rechazadas con su medición y su precio. La objeción número uno a un producto
+propietario de un solo autor es *«¿y si desaparece?»*, y la respuesta más dura no es una
+promesa de SLA: son las cifras del propio historial. Convierte el mayor riesgo percibido en
+la prueba más fuerte — con la redacción de §4.3.
+
+## 6. Orden de ejecución
+
+Difiere del que propone el memo en el segundo puesto, y la diferencia es la corrección de §1.
+
+1. **`intersections`** (`S-23`) — coincide con el memo. Es la semana mejor invertida y lo
+   único de la lista que ningún competidor puede copiar sin reconstruir el IR.
+2. **Eje de licencia (`S-27`) y `fleet` (`S-18`)** — no «la caché». Es a la vez el techo y el
+   suelo del precio, y hoy el comprador correcto sale gratis.
+3. **Tag de release** (horas) → **SARIF de salida** (`S-28`) y **página del ledger generada**
+   (`S-29`) en el mismo incremento. Ambos baratos, ambos atacan objeciones de compra
+   distintas.
+
+Y la cuarta que el memo pone aparte — medir tokens por tarea de agente con y sin ASK — se
+acepta con una condición: arnés reproducible en el repositorio y la regla de benchmarks
+honestos aplicada, mirando «qué no funcionó» antes de enseñar nada. Un número sobre agentes
+que no se puede reproducir se vuelve en contra en la primera demo.