From f7ea593e2d3718fa8353848da09277be4b37689d Mon Sep 17 00:00:00 2001
From: sergio <sergiovelasquezzeballos@gmail.com>
Date: Sat, 20 Jun 2026 20:54:34 -0400
Subject: [PATCH] =?UTF-8?q?recipes:=20arje-zero-attest/arje-packager=20a?=
 =?UTF-8?q?=2006184e43=20(Cargo.lock=20=E2=86=92=20build=20--locked,=20Eta?=
 =?UTF-8?q?pa=20D=20#2)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Bump del commit pinneado de c78a0ada → 06184e43 (rama tawasuyu selfhost/arje-zero-attest-
lockfile = c78a0ada + Cargo.lock del workspace force-committeado). Sin lock, tawasuyu lo
gitignora y `cargo vendor` corre SIN --locked ⇒ las deps derivan ⇒ el gated arje-zero (y el
of_tree del producto atestado) no es reproducible. Con el lock, el build es
`cargo rustc --release --locked --offline` ⇒ bit-reproducible. Espeja el patrón del núcleo
(arje-zero.toml @ selfhost/arje-zero-lockfile 9967b02c).

Lock regenerado sobre c78a0ada reusando los pins de main (1 línea de diff ⇒ versiones
MSRV ≤ 1.91.1 del sandbox preservadas). Rebuild --locked validado en host: compila limpio
(418 crates, sin error MSRV), sella arje-zero-attest d1a6f5c7 + arje-packager 2267b9b0;
producto atestado d35a9c09 BOOTEA en QEMU (gate anclado a rootkey soberana, 3 ✓, SSH OK).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
---
 recipes/arje-packager.toml    | 5 ++++-
 recipes/arje-zero-attest.toml | 9 ++++++---
 2 files changed, 10 insertions(+), 4 deletions(-)

diff --git a/recipes/arje-packager.toml b/recipes/arje-packager.toml
index 194ec43d..3caa62c6 100644
--- a/recipes/arje-packager.toml
+++ b/recipes/arje-packager.toml
@@ -7,6 +7,9 @@
 # de arje-zero-attest lo verifica al boot (A2). Reusa la cripto canónica (arje-attest/agora) — cero
 # criptografía nueva en hammer.
 #
+# Commit 06184e43 (rama selfhost/arje-zero-attest-lockfile) = c78a0ada + Cargo.lock committeado ⇒ `cargo
+# vendor --locked` ⇒ build bit-reproducible (mismo lock que arje-zero-attest, mismo árbol).
+#
 # Estático musl con zig cc: corre en el host (durante el ensamblado) sin loader, como busybox/bwrap.
 
 name    = "arje-packager"
@@ -14,7 +17,7 @@ version = "0.0.1"
 
 [source]
 repo   = "gitea@git.tawasuyu.net:tawasuyu/tawasuyu.git"
-commit = "c78a0adab1efc4aedddb25bcfa1f0abb341859d8"
+commit = "06184e43a8b3179e41905dc56ba07ec569df1ebb"
 
 [build]
 compiler = "zig-cc"
diff --git a/recipes/arje-zero-attest.toml b/recipes/arje-zero-attest.toml
index c9961876..6dbbab52 100644
--- a/recipes/arje-zero-attest.toml
+++ b/recipes/arje-zero-attest.toml
@@ -7,15 +7,18 @@
 # crítico del seed y lo contrasta con las concesiones firmadas en `Card::attest` (que hammer emite vía
 # arje-packager). Política `Halt` ⇒ si algo no atesta, arje aborta el bucle y cae a la shell de rescate.
 #
-# Commit c78a0ada: tawasuyu main con el attest_gate + el `--seed-out` de arje-packager. (Pin a un commit
-# con Cargo.lock committeado = hardening de reproducibilidad posterior; hoy construye funcional.)
+# Commit 06184e43 (rama selfhost/arje-zero-attest-lockfile) = c78a0ada (attest_gate + `--seed-out`) + el
+# Cargo.lock del workspace committeado encima. Sin lock, tawasuyu lo gitignora y `cargo vendor` vendorea
+# SIN --locked ⇒ las deps derivan en el tiempo y el binario (y el of_tree del producto atestado) deja de
+# ser reproducible. Con el lock fijo el build es --locked y bit-reproducible. Espeja el patrón del núcleo
+# (recipes/arje-zero.toml, rama selfhost/arje-zero-lockfile @ 9967b02c).
 
 name    = "arje-zero-attest"
 version = "0.0.1"
 
 [source]
 repo   = "gitea@git.tawasuyu.net:tawasuyu/tawasuyu.git"
-commit = "c78a0adab1efc4aedddb25bcfa1f0abb341859d8"
+commit = "06184e43a8b3179e41905dc56ba07ec569df1ebb"
 
 [build]
 compiler = "zig-cc"