SDD 25 §9.5: el 7x mueve la telemetria de lado de la frontera de privilegio

El iterador pide CAP_BPF+CAP_PERFMON, y en tawasuyu el barrido de /proc de hoy
vive en `sandokan-local`, que corre SIN privilegio (se mete en un user
namespace a proposito). El unico proceso privilegiado es `sandokan-daemon`
—lo dice su propio cortafuegos.rs—. Verificado leyendo el repo espejo, no
supuesto: W2 por esta via no es un reemplazo en el lugar, cruza la frontera.
Es un coste de diseño que el cociente de 7x no muestra.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01ACUcwo9mZsE5ocYVE9npih

docs/25-tasas-del-kernel.md

@@ -662,8 +662,13 @@ sandokan que mire la máquina una vez por segundo, medio minuto.
    iterador **se ata por id de tipo BTF del vmlinux**. Un kernel sin `DEBUG_INFO_BTF` no publica
    `/sys/kernel/btf/vmlinux` y no hay a qué atarse. **No hay versión de esto que esquive H7.**
 2. **Privilegio**: `CAP_BPF`+`CAP_PERFMON` o root. Sin él, `bpf_object__load` sale
-   `Operation not permitted`. Una Card no lo tiene ni debe tenerlo ⇒ **el consumidor es el
-   supervisor, no la Card** — que es donde vive sandokan, así que encaja.
+   `Operation not permitted`. Una Card no lo tiene ni debe tenerlo ⇒ **el consumidor tiene que
+   ser el proceso privilegiado**. Y del lado tawasuyu eso **no es un cambio en el sitio**: el
+   barrido de `/proc` de hoy vive en `sandokan-local`, que corre **sin privilegio** (se mete en un
+   user namespace a propósito), mientras que el único proceso privilegiado de la máquina es
+   `sandokan-daemon` —lo dice su propio `cortafuegos.rs`—. O sea que W2 por esta vía **no es un
+   reemplazo en el lugar: mueve la telemetría al otro lado de la frontera de privilegio**, y ése
+   es un coste de diseño que no aparece en el cociente de 7×.
 
 **Y los dos caminos NO dicen exactamente lo mismo.** De 245 procesos, **24 `comm` difieren**, y
 son **todos kworkers**: `/proc` **sintetiza** el nombre pegándole la workqueue que el hilo está