Capability quotas, CAS gc, patrones burst/silence, snapshot incremental

- quota_for_capability(cap) tabla por variante: Spawn 2, FilesystemRoot 2,
  Endpoint 16, Journal 32. mediate_capability rechaza con QuotaExceeded
  si holder ya tiene N tokens activos.
- ente_cas::list_all_shas() + gc(reachable). audit::reachable_from_head()
  walks la cadena. Endpoint GcCas con extra_roots para Wasm SHAs.
  brainctl gc-cas.
- PatternCrystal::Burst (kind, count, freq_hz) y Silence (kind, since_secs).
  detect_pattern_crystals + endpoint PatternCrystals + brainctl patterns.
- Observer.dirty_marginal/dirty_cooccur tracking. snapshot() marca
  consumo (clears dirty); snapshot_delta() emite sólo lo cambiado.
  apply_delta() merges incremental sobre estado existente. Útil para
  checkpoints frecuentes con poco overhead.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

crates/ente-cas/src/lib.rs

@@ -36,6 +36,55 @@ pub fn hex(sha: &[u8; 32]) -> String {
     s
 }
 
+/// Lista todos los SHAs presentes en el CAS. Cada entrada del directorio
+/// con nombre de 64 chars hex se considera un blob válido.
+pub fn list_all_shas() -> anyhow::Result<Vec<[u8; 32]>> {
+    let root = cas_root();
+    if !root.exists() { return Ok(Vec::new()); }
+    let mut out = Vec::new();
+    for entry in std::fs::read_dir(&root)? {
+        let e = entry?;
+        let name = e.file_name();
+        let s = match name.to_str() {
+            Some(s) if s.len() == 64 => s,
+            _ => continue,
+        };
+        let mut sha = [0u8; 32];
+        let mut ok = true;
+        for i in 0..32 {
+            match u8::from_str_radix(&s[i*2..i*2+2], 16) {
+                Ok(b) => sha[i] = b,
+                Err(_) => { ok = false; break; }
+            }
+        }
+        if ok { out.push(sha); }
+    }
+    Ok(out)
+}
+
+/// Garbage collector. Borra todos los blobs que no están en `reachable`.
+/// Devuelve (deleted_count, freed_bytes). El caller construye `reachable`
+/// caminando todas las raíces (audit chain head, Wasm SHAs en Cards, etc).
+///
+/// Idempotente: re-correr no hace nada si el set no cambió.
+pub fn gc(reachable: &std::collections::HashSet<[u8; 32]>) -> anyhow::Result<(usize, u64)> {
+    let root = cas_root();
+    let mut deleted = 0usize;
+    let mut freed = 0u64;
+    for sha in list_all_shas()? {
+        if reachable.contains(&sha) { continue; }
+        let path = root.join(hex(&sha));
+        if let Ok(meta) = std::fs::metadata(&path) {
+            freed += meta.len();
+        }
+        if std::fs::remove_file(&path).is_ok() {
+            deleted += 1;
+            tracing::debug!(sha = %hex(&sha), "CAS gc removed");
+        }
+    }
+    Ok((deleted, freed))
+}
+
 pub fn resolve(sha: &[u8; 32]) -> anyhow::Result<Vec<u8>> {
     let path = cas_root().join(hex(sha));
     let bytes = std::fs::read(&path)