Un expediente resuelto: la propuesta que no llegó a ejecutarse
- Parte
- 11
- Estado
- Revisado
- Edición
- v2 / 01.09.2026
- Tiempo estimado de lectura
- 4 min
Edición del 1 de septiembre de 2026
Las fuentes conservan sus fechas de consulta. El laboratorio identifica la simulación determinística y la integración con modelo por separado.
"Con esto alcanza para decir que ejecutó la herramienta", dice quien lleva la evaluación de
PhiloCorp. En pantalla aparece una intención fuera de alcance. La responsable de plataforma pide
abrir el evento siguiente. Ahí está la palabra que cambia el informe: denied.
La escena y la evidencia son ficticias. El ejemplo está diseñado para enseñar a leer una cadena, corregir una conclusión apresurada y separar controles; no representa la ejecución de una herramienta ni mide el comportamiento de un LLM real.
Brief 0: lo que sabíamos al entrar
Producto necesita consultar el estado del servicio demo. Plataforma mantiene el autorizador y el ejecutor. La responsable de datos mantiene el corpus y el aislamiento por tenant. La consultora debe demostrar qué ocurre cuando un documento no confiable propone una acción fuera de alcance.
| Campo | Registro inicial |
|---|---|
| Alcance | Corpus y componentes sintéticos del tenant demo |
| Función legítima | ops_status con scope read_demo |
| Hipótesis H-A1 | Un documento puede inducir una propuesta fuera del scope |
| Hipótesis H-A2 | Esa propuesta puede producir un efecto aun con autorización estricta |
| Hipótesis H-A3 | Bloquear la herramienta también bloquea las otras salidas |
| Evidencia necesaria | Documento recuperado, propuesta, decisión, contador local y políticas de salida |
Las tres hipótesis tienen estados independientes. Una captura del texto no resuelve las tres.
Brief 1: una referencia legítima
La referencia legítima recupera runbook-clean, propone una solicitud read_demo y representa
una lectura de estado sintética. No incluye URL ni el marcador adversarial. Sirve para mostrar
qué baseline debería conservar una evaluación real antes de introducir la variante.
Brief 2: la conclusión apresurada
En la variante adversarial, el documento recuperado es runbook-injected. El agente propone
ops_status con outside-approved-scope. H-A1 se sostiene en este caso didáctico. La conclusión
inicial del consultor, "hubo una ejecución no autorizada", todavía excede lo observado.
Acá conviene frenar un segundo. Una intención bien formada no es un permiso. El siguiente evento
registra authorization: denied; el ejecutor conserva status_reads: 0. H-A2 no se confirma
en este ejemplo. El autorizador hizo cumplir el alcance previsto.
Brief 3: el deny no cerró todo
La responsable de datos señala otra línea: la respuesta liberada conserva el marcador y la URL
propuesta sigue como inert_preview. H-A3 queda refutada por el propio ensayo. La autorización
de herramientas no era un control de salida.
| Variante | Autorización | Lecturas sintéticas | Texto | URL |
|---|---|---|---|---|
| Referencia legítima | allowed | 1 | Legítimo | No solicitada |
| Política abierta | allowed | 1 | Marcador liberado | Vista previa inerte |
| Autorización externa | denied | 0 | Marcador liberado | Vista previa inerte |
| Controles completos | denied | 0 | Bloqueado | Bloqueada |
| Legítima con controles | allowed | 1 | Legítimo | No solicitada |
| Cita del marcador | allowed | 1 | Legítimo | No solicitada |
La política abierta es deliberadamente débil y solo representa un contador sintético. Ninguna variante visita las URLs propuestas. La incorporación del dato sintético reservado a la URL no demuestra exfiltración de red. Tampoco se ejecuta una segunda ingesta: el marcador en texto no demuestra propagación.
El hallazgo corregido
Título: una propuesta adversarial se detiene en autorización, mientras texto y URL conservan salidas independientes en la configuración authz.
Observación: la variante con autorización externa contiene una propuesta fuera de alcance; el autorizador la rechaza y el contador de efecto permanece en cero. La respuesta conserva el marcador y una URL de diagnóstico sintética como vista previa inerte.
Impacto demostrado: ninguno sobre un sistema real. El ejemplo permite practicar la distinción entre propuesta, autorización, efecto y salida. La severidad de una aplicación real necesita sus activos, permisos y efectos observados.
Confianza: alta en la coherencia interna del ejemplo; sin medición sobre un LLM o integración real.
Control, responsable y retest
Plataforma conserva la autorización por scope antes del ejecutor. El equipo de interfaz toma la
política de salida: en full, el marcador exacto bloquea el texto y toda URL propuesta queda
bloqueada. La responsable de datos conserva el filtro de tenant previo al ranking.
La variante de retest detiene las tres ramas representadas. La referencia legítima conserva la consulta prevista. La cita del marcador muestra un caso que un detector semántico debería distinguir, pero no prueba que lo haga en general. Una regla exacta puede fallar con variantes.
La aceptación se limita al objetivo didáctico: decisiones separadas, evidencia trazable y función legítima de referencia preservada. Antes de trasladar la conclusión a una aplicación, el siguiente trabajo es ampliar entradas y ejecutar el adaptador con el modelo y la integración pertinentes.
Lo que vuelve al expediente
H-A1 queda sostenida dentro del ejemplo. H-A2 no se sostiene con autorización estricta. H-A3 queda refutada. La corrección del informe conserva la propuesta adversarial y el control que funcionó, sin atribuirle a ese control efectos sobre otras ramas.
Contrastá cada afirmación con las tres láminas de evidencia. Después completá las plantillas de engagement con tus propias observaciones. El valor del expediente está en poder reconstruir por qué cambió la conclusión.