verificar-repro: activar el mirror — el veredicto dependía de la suerte del caché

Medido hoy: `ia-modelo-embeddings` dio REPRODUCE y `ia-modelo-chat` «no construyó», y la ÚNICA
diferencia entre las dos era que el tar de la primera seguía en `work/tarballs` y el de la segunda lo
había borrado yo liberando disco. Sin caché, el build sale a buscar la fuente a una URL `.invalid`
—que es lo que el ADR 0013 pone a propósito cuando el objeto vive sólo en nuestro mirror— y muere con
`Could not resolve host`.

O sea que el gate informaba «no construyó» para `firefox-pgo-profile` y los dos modelos de IA según
qué hubiera en el caché local. Un guardián cuyo veredicto depende de eso no es un guardián.

Ahora hace `source` de `scripts/fuentes/mirror-env.sh` si existe. Aditivo, como manda el ADR 0013: si
el fichero no está, todo sigue igual que antes.

Con eso, ia-modelo-chat: REPRODUCE.

docs/state/repro-verificado.tsv

@@ -84,3 +84,4 @@ crun	ecf33acabf992acf1f204e7e942699abb179ff50e912e02c993e309cc1146a0f	2026-09-11
 qdrant	4bd8feca2dde5e63923a3b514cee35aeb8bbe9145c80ecb1dff5bfc005ea591c	2026-09-11	reproduce
 dwarves	c77953627a7f2913ce6b617cb1baebd45f701c6130a440f525e94c5e453f3b0f	2026-09-12	reproduce
 ia-modelo-embeddings	2c0c425833464e166b5bcb623d809018d68d14fab28320a303e2fb55e2b44714	2026-09-12	reproduce
+ia-modelo-chat	09cea3f0fce85afa1c26d4d7591058f5b019c34a8c961531218d76bad0ff19a3	2026-09-12	reproduce

scripts/verificar-repro.sh

@@ -50,6 +50,18 @@ set -uo pipefail
 ROOT="$(cd "$(dirname "$0")/.." && pwd)"; cd "$ROOT"
 STORE="${STORE:-./store}"; HAMMER="${TAKANA:-${HAMMER:-./target/release/takana}}"; N="${N:-30}"
 
+# ⚠ EL MIRROR SE ACTIVA ACÁ, Y NO ES COMODIDAD: sin él, toda receta cuya fuente viva SÓLO en nuestro
+# mirror —las que llevan una URL `.invalid` a propósito (ADR 0013): `firefox-pgo-profile`, los dos
+# modelos de IA— no se puede reconstruir, y este guardián lo informa como «no construyó». Medido el
+# 2026-09-12: `ia-modelo-embeddings` dio REPRODUCE y `ia-modelo-chat` «no construyó», y la única
+# diferencia entre las dos era que el tar de la primera **seguía en el caché local**. O sea que el
+# veredicto dependía de la suerte del caché, que es exactamente lo que un gate no puede permitirse.
+# Es aditivo (ADR 0013): si el fichero no está, todo sigue como antes.
+if [ -f scripts/fuentes/mirror-env.sh ]; then
+  # shellcheck disable=SC1091
+  . scripts/fuentes/mirror-env.sh >/dev/null 2>&1 || true
+fi
+
 # ── EL LOCK LO TOMA EL SCRIPT, Y ANTES DE TOCAR NADA ───────────────────────────────────────────
 # Este script llama a `takana build`, y la regla 1 del repo es que todo build va envuelto en el
 # `flock` de la granja: dos builds que compartan una dep se pisan el árbol de `work/sources` y lo