binutils: --enable-deterministic-archives — la cura de raíz del ar con hora de pared

El wrapper del sandbox (commit anterior) tapaba el síntoma. Esto arregla la causa:
nuestra receta de binutils no pasaba el flag que Alpine SÍ pasa, así que su `ar` y su
`ranlib` estampaban la hora de pared en la cabecera del miembro `/` de cada `.a`.

POR QUÉ AHORA Y NO "AGENDADO", Y POR QUÉ ESTE ORDEN. Arreglar la raíz PRIMERO evita
la parte fea del arreglo por wrapper: al cambiar el hash de binutils (c316212f… →
4b5fbf3b…) los artefactos contaminados caen en DIRECCIONES NUEVAS. No hay transición
"mismo ArtifactHash, otros bytes" — que es justo el peligro que la huella del lab
existe para eliminar. Los viejos quedan superados y podables, no reemplazados en el
sitio. Re-sellar en el sitio habría sido la opción peligrosa.

COSTE, MEDIDO CON yupana radio (no estimado): 422 dependientes transitivos, 365
sellados caen a deuda, las siete imágenes. Se asume a propósito: el corpus ya está en
campaña de reconstrucción (1093/1125) y la cascada se arrastra sola, porque cada
`hammer build` construye sus deps.

El wrapper del sandbox se mantiene como defensa en profundidad: es byte-neutral para
todo lo que ya sellaba con mtime 0, y cubre a cualquier herramienta futura que archive
sin pedir permiso.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01LykB7vw38b4Ck1Zij15RQ4

recipes/binutils.toml

@@ -50,6 +50,14 @@ build = ["make"]
 # --disable-nls: sin gettext (ausente en el toolchain hermético). --disable-werror: binutils promueve
 # varios warnings a error por defecto. --disable-gprofng: el profiler de binutils 2.4x no es parte del
 # toolchain ar/ld/as y arrastra chequeos de profiling (mcount) innecesarios.
-configure = "./configure --prefix=/usr --disable-nls --disable-werror --disable-gprofng"
+#
+# --enable-deterministic-archives: SIN esto, `ar` y `ranlib` estampan la HORA DE PARED en la cabecera
+# del miembro `/` (la tabla de símbolos) de cada `.a` ⇒ dos builds idénticos producen bytes distintos
+# BAJO EL MISMO ArtifactHash. Medido el 2026-08-28 comparando zlib construido en dos máquinas:
+# `why-differs` dio «13 entradas idénticas · 1 diverge — usr/lib/libz.a, cabecera ar del miembro /,
+# mtime 1787326910 vs 1787950875». Aislado por bisección: `zig ar` sella 0, el `ranlib` del rootfs
+# Alpine sella 0 (Alpine SÍ pasa este flag), y sólo el nuestro estampaba la hora.
+# Es el mismo flag que usa Alpine, así que además acerca esta receta a su referencia.
+configure = "./configure --prefix=/usr --disable-nls --disable-werror --disable-gprofng --enable-deterministic-archives"
 compile   = "make -j\"$(nproc)\""
 install   = "make install DESTDIR=/out PREFIX=/usr"