recipes/arje-zero: pinear al commit con Cargo.lock (reproducibilidad self-host)

Bump del commit fijado 35ec8ef9 → 9967b02c (rama tawasuyu selfhost/arje-zero-lockfile =
35ec8ef9 + Cargo.lock del workspace committeado). Causa raíz del drift del baseline: el
monorepo tawasuyu gitignora Cargo.lock ⇒ el fetch de hammer vendoreaba SIN --locked ⇒ las
versiones de deps derivaban en el tiempo ⇒ arje-zero (y of_tree(stage1)) no reproducible
entre corridas (musl/busybox/hammerd sí, por tener lock o ser C). Con el lock fijo, el
fetch detecta Cargo.lock y vendorea --locked ⇒ build bit-reproducible.

Verificado: el fetch resuelve el commit nuevo (mirror --all) y vendorea SIN el warn de
"sin Cargo.lock". El input-hash de la receta cambia ⇒ nuevo baseline estable (≠ 9adefb82,
que queda como ancla histórica pre-lock).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

recipes/arje-zero.toml

@@ -16,9 +16,12 @@ version = "0.0.1"
 
 [source]
 # El `commit` es el identificador inmutable (la URL es sólo locator, no entra al hash). Fijado en
-# el commit de la migración A0 (arje-cas → BLAKE3), para que el CAS sea coherente con hammer.
+# `selfhost/arje-zero-lockfile` = la migración A0 (arje-cas → BLAKE3, 35ec8ef9) + el Cargo.lock del
+# workspace committeado encima: sin lock, el monorepo lo gitignora y el fetch vendorea SIN --locked
+# ⇒ las deps derivan en el tiempo y arje-zero (y of_tree(stage1)) deja de ser reproducible. Con el
+# lock fijo el build es --locked y bit-reproducible.
 repo   = "gitea@git.tawasuyu.net:tawasuyu/tawasuyu.git"
-commit = "35ec8ef9e55049e9c1f58e2938aab189ad2be451"
+commit = "9967b02cf597df6d065edbad8d6669b5653d4928"
 
 [build]
 compiler = "zig-cc"