Mi hai indirizzato bene verso la soluzione: cercando qua e là, ho trovato che bisogna compilare queste opzioni nel kernel:
CONFIG_AUDITSYSCALL=y
CONFIG_AUDIT_WATCH=y
CONFIG_AUDIT_TREE=y
che prima non avevo, e adesso funziona tutto, anche con ~/.xinitrc
(Per la cronaca il link è questo: http ...