From 9a2a55a4c8c297ac89d2d18a8b86ff22f0cf33dd Mon Sep 17 00:00:00 2001 From: Sergio Date: Sun, 6 Sep 2026 02:16:54 +0000 Subject: [PATCH] SDD 26: la cadena wasm reproduce byte a byte entre el hub y el worker MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Las cinco recetas se construyeron por separado en las dos máquinas —gioser (4c) y el LXC dev.gioser.net (6c)— y los cinco artefactos salen idénticos comparando el árbol completo, no sólo el ArtifactHash. No es un trámite. El lab NO entra en hash_inputs, así que dos labs distintos pueden sellar bytes distintos en la MISMA dirección del store y nada lo detecta: la igualdad de hashes no probaba nada por sí sola. Esto dice que para esta cadena los dos labs coinciden de verdad. Sale gratis de haber construido en las dos máquinas por otro motivo (el hub no tenía wasi-libcxx y sin él no podía correr scripts/test-guardianes-wasm.sh). --- docs/26-atuq-envoltorio-gecko.md | 16 ++++++++++++++++ 1 file changed, 16 insertions(+) diff --git a/docs/26-atuq-envoltorio-gecko.md b/docs/26-atuq-envoltorio-gecko.md index 0cd5dc82..f155e824 100644 --- a/docs/26-atuq-envoltorio-gecko.md +++ b/docs/26-atuq-envoltorio-gecko.md @@ -221,6 +221,22 @@ apagado) los patrones `w2c_`, `rlbox` y `wasm2c` dan cero los tres en `libxul.so cualquiera apareciendo prueba que la jaula entró. Es la tercera repetición de la lección de `MOZ_REQUIRE_SIGNING` y `MOZ_BUILD_DATE`: una bandera que el configure acepta y el artefacto ignora. +**Evidencia de reproducibilidad cruzada (2026-09-06).** Las cinco recetas se construyeron por +separado en las DOS máquinas —el hub (gioser, 4c) y el worker (`dev.gioser.net`, LXC 6c)— y los +cinco artefactos salen **byte a byte idénticos**, comparando el árbol completo de cada uno: + +| receta | sha256 del árbol | | +|---|---|---| +| `wasi-libc-headers` | `0d34f9cb27530606…` | ✓ | +| `wasi-compiler-rt` | `0c4fc6fdf08ef908…` | ✓ | +| `wasi-libc` | `c13acdf896f2b78c…` | ✓ | +| `wasi-libcxx` | `b1d9aeec08499063…` | ✓ | +| `wasi-sdk` | `b49f7a74a5caed3f…` | ✓ | + +No es un trámite: **el lab NO entra en `hash_inputs`**, así que dos labs distintos pueden sellar +bytes distintos en la misma dirección del store y nada lo detecta. Esto dice que para esta cadena +los dos labs coinciden de verdad, y no sólo que coinciden los `ArtifactHash`. + ## 4. Lo que `atuq` NO promete Esta sección existe antes que la lista de features a propósito, con el mismo criterio que el modelo