feat(nouser): Phase D-2 — proveedor Nous real (LLM) detrás de feature

Cierra el ciclo del módulo Nous: existe un proveedor que produce
embeddings reales con un modelo LLM, mientras que `cargo build` sin
features sigue siendo liviano (no descarga ni compila ML deps).

Crate nuevo crates/modules/nouser/nous-real con dos modos según feature:

- Sin feature (default): stub.
  cargo build -p nouser-nous-real (~10s, sin ML deps).
  Bin arranca, sidecarea a brahman-init declarando la Card,
  escucha en el socket Nous, rechaza requests con un ErrorResponse
  explicativo: "compilado sin la feature embeddings, rebuild con
  cargo build -p nouser-nous-real --features embeddings".
  cargo build --workspace SIGUE siendo limpio.

- Con --features embeddings: real.
  Pulls fastembed = "4" → ort 2.0.0-rc.9 (ONNX Runtime con binarios
  descargados por Cargo) + tokenizers 0.21 + ~30 transitive deps.
  Compila en ~50s.
  Modelo default: all-MiniLM-L6-v2 (384-d, descargado a
  ~/.cache/fastembed la primera vez).
  EmbedText: pasa el texto al modelo → vector 384-d.
  EmbedFile: lee primeros 8KiB UTF-8 lossy, embed como texto.
  Ping: devuelve model_id + embed_dim reales.

Card declara label "nouser.nous_real" + priority_contexts.prod = +1.
En contexto prod gana sobre el mock; en test el mock gana por su +1
en test. Sin contexto, empate alfabético.

Validación end-to-end con modelo real:
  $ ente-zero & nouser-nous-real &
  $ python3 socket-probe '{"kind":"embed_text","payload":{"text":"..."}}'
    model: real-fastembed-allMiniLML6V2-384d
    elapsed_ms: 8
    embed_dim: 384

Tradeoff: dim mock (32) vs real (384) son incompatibles. Cambiar
proveedor invalida centroides cacheados — documentar "limpiar DB al
swap".

Workspace state:
- cargo build --workspace limpio sin features (no ML deps pulled).
- cargo build -p nouser-nous-real --features embeddings funciona.
- 0 errores, 0 warnings en ambos modos.

Pendientes para D-3 / futuro:
- Discovery de socket: el consumer hoy usa NOUSER_NOUS_SOCKET hardcoded.
  Para que el broker elija real vs mock per-contexto, falta o un campo
  socket en el MatchEvent o un broker query "dame socket de session X".
- Coexistencia: ambos providers compiten por el mismo socket path por
  default. Parametrizarlos cuando se quiera correrlos juntos.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

CHANGELOG.md

@@ -6,6 +6,67 @@ ratio/diff ver `git show <sha>`.
 
 ## 2026-05-08
 
+### feat(nouser): Phase D-2 — proveedor Nous real (LLM) detrás de feature flag
+Cierra el ciclo del módulo Nous: existe un proveedor que produce
+embeddings reales con un modelo LLM, mientras que `cargo build` sin
+features sigue siendo liviano (no descarga ni compila ML deps).
+
+Crate nuevo:
+
+- `crates/modules/nouser/nous-real`: bin con dos modos según feature.
+  - **Sin feature (default)**: stub. Bin compila en ~10s, arranca,
+    sidecarea a brahman-init declarando la Card de real-nous, escucha
+    en el socket Nous, y rechaza toda request con `ErrorResponse {
+    error: "compilado sin la feature embeddings. Rebuild con
+    cargo build -p nouser-nous-real --features embeddings" }`.
+    `cargo build --workspace` sigue siendo limpio.
+  - **Con `--features embeddings`**: pulls `fastembed = "4"`. Ese crate
+    arrastra `ort 2.0.0-rc.9` (ONNX Runtime con binarios descargados
+    por Cargo) + `tokenizers 0.21` + ~30 deps más. Compila en ~50s.
+    Modelo default: `all-MiniLM-L6-v2` (384-d, descargado a
+    `~/.cache/fastembed` la primera vez).
+  - `EmbedText`: pasa el texto al modelo, devuelve vector 384-d.
+  - `EmbedFile`: lee primeros 8KiB con UTF-8 lossy, embed como texto.
+    Para binarios el resultado no es semánticamente útil — caller
+    decide.
+  - `Ping`: devuelve `model_id` y `embed_dim` reales.
+
+- Card de real-nous:
+  - label `nouser.nous_real` (distinto del mock para coexistir).
+  - `priority_contexts.prod = { priority_offset: +1 }`. En contexto
+    prod gana sobre el mock; en `test` el mock gana por su propio
+    `+1`. Sin contexto activo, empate alfabético entre ambos.
+
+Validación end-to-end con modelo real:
+
+  $ cargo build -p nouser-nous-real --features embeddings   # ~50s
+  $ ente-zero & nouser-nous-real &
+  $ # probe vía python al socket Unix:
+  $ echo '{"kind":"embed_text","payload":{"text":"hello brahman"}}' \
+    | python3 -c "..." | head
+    model: real-fastembed-allMiniLML6V2-384d
+    elapsed_ms: 8
+    embed_dim: 384
+    first 5 values: [0.0034, -0.0036, 0.0078, -0.0218, -0.0162]
+
+Tradeoff conocido: las dimensiones del mock (32-d) y real (384-d) son
+incompatibles. Cambiar de proveedor invalida los centroides cacheados
+de Mónadas. Documentar como "limpiar DB al cambiar proveedor".
+
+Workspace state:
+- cargo build --workspace sigue limpio sin features (no ML).
+- cargo build -p nouser-nous-real --features embeddings funciona.
+- 0 errores, 0 warnings en ambos modos.
+
+Pendientes para D-3 / futuro:
+- Discovery de socket: hoy el consumer hardcodea NOUSER_NOUS_SOCKET.
+  Para que el broker brahman elija real vs mock per-contexto, falta
+  inyectar el socket del provider electo en el MatchEvent o exponer
+  un broker query "dame el socket de la sesión X".
+- Coexistencia: hoy los dos providers compiten por el mismo socket
+  path por default. Habría que parametrizarlos a sockets distintos
+  cuando coexistan.
+
 ### feat(nouser): Phase D — proveedor Nous mock + cliente remoto
 Cierra el patrón "Nous como módulo aparte intercambiable": el contrato
 del proveedor de embeddings vive en su crate, el mock determinístico