diff --git a/scripts/farm/farm-up.sh b/scripts/farm/farm-up.sh
index 6a3f2bc0..7e1ed347 100755
--- a/scripts/farm/farm-up.sh
+++ b/scripts/farm/farm-up.sh
@@ -19,7 +19,23 @@
 set -euo pipefail
 
 N="${1:-1}"
-IMAGE="${IMAGE:-408909310}"
+# ── GOLDEN 417847948 (2026-08-08): la anterior NO TENÍA RUST NI GO ─────────────────────────────
+# `hammer` invoca `cargo vendor` (y el toolchain Go) en el HOST, no dentro del sandbox: el vendoreo
+# pasa ANTES de entrar a la caja. La golden vieja (408909310) no los traía, así que la granja no
+# podía construir NINGUNA receta Rust ni Go — o sea COSMIC entero, las 228 Rust y las 362 Go del
+# corpus: **el 76% del catálogo sólo se podía construir en el hub**, una sola máquina.
+#
+# Esta imagen añade cargo/rustc 1.96.0 y go 1.26.4, **las mismas versiones que el hub**, para no
+# introducir un skew de toolchain nuevo mientras se arregla otro. Verificado antes de snapshotear:
+# `cosmic-bg` —que minutos antes moría con `spawn cargo vendor: No such file`— sella en el worker.
+#
+# NO relaja la hermeticidad: cargo/go son herramientas de FETCH, del mismo orden que `git` para
+# clonar. El build sigue ocurriendo dentro del sandbox con el árbol ya vendoreado. Es lo contrario
+# del caso «no engordar el rootfs del worker», que habla del rootfs DEL SANDBOX.
+#
+# Trae además el store del worker al momento del snapshot (KDE y GNOME reconstruidos el 2026-08-08),
+# así que los workers nuevos arrancan con más caché que antes.
+IMAGE="${IMAGE:-417847948}"
 TYPE="${TYPE:-ccx23}"
 LOCATION="${LOCATION:-hel1}"
 SSHKEY="${SSHKEY:-desarrollo@jlsoltech.com}"