Ensamblado de evidencia

## Qué es esta tarea

Armar el bloque de evidencia completo que se enviará al modelo: un documento estructurado con secciones etiquetadas que contiene toda la información que el modelo necesita para diagnosticar el incidente.

## Qué se debe hacer

- Ensamblar un bloque con 5 secciones etiquetadas (sección 5.2 del documento de proyecto):
1. **Metadatos**: hostname, timestamp del incidente, tipo de incidente detectado
2. **Logs**: journalctl de la ventana temporal, filtrado por prioridad
3. **Snapshot**: servicios fallidos (`systemctl`), disco (`df`), memoria (`free`), puertos (`ss`), carga (`uptime`)
4. **Cambios recientes**: paquetes instalados/actualizados en 48h, configs modificadas en `/etc`
5. **Historial**: incidentes anteriores de esta máquina (si hay informes previos)
- Cada sección tiene un encabezado claro para que el modelo las identifique
- El formato de salida es texto plano estructurado

## Por qué importa

La calidad del diagnóstico depende directamente de la calidad de la evidencia. Un LLM con evidencia incompleta produce un informe incompleto; con evidencia desordenada, pierde correlaciones. Las 5 secciones le dan al modelo toda la información que un sysadmin consultaría manualmente — en un formato que puede procesar en segundos.

## Criterio de avance

El bloque de evidencia ensamblado contiene las 5 secciones, correctamente etiquetadas, con datos reales del servidor. El bloque completo pesa menos de 12k tokens.