SDD 26: la cadena wasm reproduce byte a byte entre el hub y el worker

Las cinco recetas se construyeron por separado en las dos máquinas —gioser (4c)
y el LXC dev.gioser.net (6c)— y los cinco artefactos salen idénticos comparando
el árbol completo, no sólo el ArtifactHash.

No es un trámite. El lab NO entra en hash_inputs, así que dos labs distintos
pueden sellar bytes distintos en la MISMA dirección del store y nada lo detecta:
la igualdad de hashes no probaba nada por sí sola. Esto dice que para esta
cadena los dos labs coinciden de verdad.

Sale gratis de haber construido en las dos máquinas por otro motivo (el hub no
tenía wasi-libcxx y sin él no podía correr scripts/test-guardianes-wasm.sh).

docs/26-atuq-envoltorio-gecko.md

@@ -221,6 +221,22 @@ apagado) los patrones `w2c_`, `rlbox` y `wasm2c` dan cero los tres en `libxul.so
 cualquiera apareciendo prueba que la jaula entró. Es la tercera repetición de la lección de
 `MOZ_REQUIRE_SIGNING` y `MOZ_BUILD_DATE`: una bandera que el configure acepta y el artefacto ignora.
 
+**Evidencia de reproducibilidad cruzada (2026-09-06).** Las cinco recetas se construyeron por
+separado en las DOS máquinas —el hub (gioser, 4c) y el worker (`dev.gioser.net`, LXC 6c)— y los
+cinco artefactos salen **byte a byte idénticos**, comparando el árbol completo de cada uno:
+
+| receta | sha256 del árbol | |
+|---|---|---|
+| `wasi-libc-headers` | `0d34f9cb27530606…` | ✓ |
+| `wasi-compiler-rt` | `0c4fc6fdf08ef908…` | ✓ |
+| `wasi-libc` | `c13acdf896f2b78c…` | ✓ |
+| `wasi-libcxx` | `b1d9aeec08499063…` | ✓ |
+| `wasi-sdk` | `b49f7a74a5caed3f…` | ✓ |
+
+No es un trámite: **el lab NO entra en `hash_inputs`**, así que dos labs distintos pueden sellar
+bytes distintos en la misma dirección del store y nada lo detecta. Esto dice que para esta cadena
+los dos labs coinciden de verdad, y no sólo que coinciden los `ArtifactHash`.
+
 ## 4. Lo que `atuq` NO promete
 
 Esta sección existe antes que la lista de features a propósito, con el mismo criterio que el modelo