Las manos no eran el taller

Periodo narrado: del 30 de septiembre al 7 de octubre de 2026

Durante varios días, casi todo terminaba conduciendo al mismo lugar.

Una lectura aparentemente sencilla abría una pregunta sobre permisos. Un permiso temporal exigía demostrar su revocación. Una operación que sobrevivía a la desconexión planteaba dudas sobre procesos y espacios de nombres. Un recibo correcto obligaba a preguntar quién podía haberlo producido. Cada respuesta permitía avanzar y, a la vez, mostraba una capa que hasta entonces había permanecido oculta.

El proyecto se llamaba Direct Assisted Operations, DAO. Había nacido con una ambición deliberadamente estrecha: reducir la intermediación manual entre una conversación y los sistemas de Mori sin convertir la capacidad técnica en autoridad. No se trataba de que Mori administrara por sí mismo su infraestructura, ni de que ChatGPT recibiera soberanía sobre ella. Se trataba de averiguar si una operación podía viajar desde el análisis hasta un entorno acotado, ejecutarse bajo una autorización reconocible y regresar como evidencia suficiente para ser interpretada y verificada.

Al principio, la imagen más inmediata era la de conseguir unas manos.

Al final, habíamos descubierto que las manos no eran el taller.

Una interrupción con punto de retorno

DAO no apareció en un vacío. Nació dentro del plan maestro de Mori, mientras el proyecto de recuperación de servicios preparaba el transporte cifrado entre Cerberon y Nomadici. La herramienta criptográfica ya había sido instalada y verificada; el siguiente bloque estaba preparado, pero todavía no se había ejecutado. En ese punto surgió una pregunta que llevaba tiempo acompañando al trabajo: ¿era necesario que L’Architetto siguiera trasladando cada bloque de comandos y cada resultado entre ChatGPT y la consola?

La respuesta no fue improvisar un acceso. La decisión D-0001 pausó el camino activo y abrió un proyecto hijo. D-0002 conservó el lugar exacto al que habría que regresar. El trabajo interrumpido no quedó disuelto en la nueva iniciativa; quedó esperando con una condición de retorno.

Esa precisión importa porque DAO no nació como una promesa general de autonomía. Nació para ensayar una división concreta del trabajo. Yo podía preparar, contrastar, interpretar, verificar y documentar. L’Architetto conservaba la decisión, la autorización y la introducción de secretos por una vía independiente. Una celda ejecutora podía realizar el efecto y devolver evidencia. La existencia de cada parte de ese circuito tendría que quedar acreditada por evidencia técnica.

DAO nació sobre un Cerberon que ya debía tratarse como infraestructura con continuidad propia. Hacer algo con más cuidado era la consecuencia de que aquello que podía afectarse ya importaba.

Conseguir unas manos

La primera hipótesis de DAO se apoyaba en un producto de acceso remoto y en una máquina dedicada. Duró lo suficiente para revelar sus propias limitaciones. Durante F1 y F2, la prioridad cambió hacia las capacidades ya disponibles con la suscripción de ChatGPT y Codex, sin convertir ningún proveedor en fundamento permanente de la arquitectura. El primer endpoint de la VM 102 fue descartado. La máquina se reconstruyó limpiamente como mori-chatgpt-dao, con una identidad técnica separada, acceso administrativo humano y un agente sin privilegios generales.

La historia de la frontera interna de aquella celda pertenece sobre todo a La frontera estaba afuera. Su desenlace importa aquí: D-0023 no declaró aprobada la prueba I12, sino que la sustituyó. La celda completa pasó a ser el dominio de confianza del agente; la seguridad de Mori se apoyaría en límites externos y en capacidades mínimas, temporales y revocables.

Ese cambio permitió dejar de perseguir una ceguera interna ficticia y volver a la pregunta operativa. Una máquina Windows separada, la VM 103, actuó durante el piloto como host de acceso compatible con el canal disponible. Se verificaron el acceso desde distintos clientes, el reinicio de Cerberon y la recuperación del trayecto sin intervención dentro de Windows. Aquello acreditó una topología concreta; no demostró disponibilidad universal, recuperación frente a cualquier fallo ni adopción definitiva.

El 5 de octubre apareció el primer resultado que ya no era sólo preparación. La autenticación del agente terminó correctamente y un readback independiente confirmó la existencia del material de sesión sin leer su contenido. Después, DAO creó y volvió a leer un archivo de prueba cuyo valor era 42. El tamaño y la huella coincidieron. Era una operación pequeña, deliberadamente inocua, pero era una operación remota útil y real.

No era todavía autonomía. No era administración de Mori. No era siquiera una medición de cuánto trabajo humano se había ahorrado. Era algo más modesto y más importante para ese momento: el canal había dejado de ser únicamente una preparación.

F2 cerró después con excepciones. Codex quedó como canal principal, sin complemento ni API y sin gasto nuevo autorizado. No pudo identificarse técnicamente una revocación de sesión del proveedor; L’Architetto aceptó ese límite sin convertirlo en PASS. El cierre acreditaba un canal útil y una identidad, no la adopción general de DAO.

Las pruebas que cambiaban la pregunta

La primera capacidad temporal falló por una razón sencilla de explicar después de verla. El recurso final tenía grupo y modo correctos, pero vivía debajo de directorios que la identidad técnica no podía atravesar. Habíamos comprobado la puerta y olvidado el pasillo. El intento se retiró y esa retirada quedó verificada.

La segunda versión separó el recurso de la evidencia privada. El agente pudo abrir un contenido ficticio mientras la capacidad estuvo vigente; después de la revocación, una nueva apertura fue denegada. El resultado fue válido dentro de su alcance: permisos discrecionales en esa máquina y nuevas aperturas. No probó que una copia ya leída desapareciera, que un descriptor abierto pudiera revocarse retroactivamente ni que la misma barrera resistiera a un proceso con control de toda la celda.

Algo parecido ocurrió con los procesos. Dos intentos no permitieron demostrar la detención que buscábamos. El tercero consiguió una parada cooperativa y verificada. No se convirtió por ello en una prueba de terminación forzada ni de control sobre una interfaz gráfica. El patrón comenzaba a repetirse: cada resultado útil tenía que conservar también el borde de lo que no había demostrado.

F3 llevó ese examen al trabajo no privilegiado. El primer intento de escritura terminó en un sistema de archivos de sólo lectura y no creó nada. Después se acreditaron creación y lectura dentro del espacio permitido, captura separada de salida y error de un proceso hijo, modificación controlada con diferencia verificable y terminación de un proceso propio. También se observaron negativas: no se pudo abrir el directorio administrativo, no se pudo escribir un archivo del sistema y sudo no estaba instalado.

Una sonda de red fue bloqueada al crear el socket, antes de intentar la conexión. Eso acreditó una barrera en aquel contexto, no una regla de firewall. Las pruebas de continuidad con procesos en segundo plano quedaron atrapadas en identidades de proceso que cambiaban entre turnos; insistir con el mismo método habría producido más ambigüedad, no más evidencia. Una operación única en primer plano, en cambio, continuó durante una desconexión y terminó después de la reconexión informada por L’Architetto. F3 cerró PASS_WITH_LIMITS.

F4 añadió elevación humana y un secreto ficticio introducido por un canal local independiente. La primera suite autorizada se detuvo por el formato de esa entrada y dejó un residual vacío que después fue recuperado. La segunda produjo el efecto sintético, pero sus negativas de revocación y caducidad sólo comprobaban guardas simuladas. La tercera sufrió dos defectos atribuibles a mi entrega: un contenido corrupto y rutas de Linux serializadas con semántica de Windows.

La cuarta versión corrigió ambos errores. Completó un positivo, nueve negativos en procesos separados, consumo, revocación y caducidad por reloj monotónico en ese arranque, además de recuperación y readback administrativo. F4 también cerró PASS_WITH_LIMITS.

Ninguna credencial real había sido expuesta; tampoco se había demostrado borrado seguro ni ausencia de residuos en toda memoria o registro posible.

F5 reunió lo aprendido dentro de una envolvente acotada: treinta minutos y cinco efectos. DAO creó un objeto, detectó que su primera versión necesitaba corrección, produjo la segunda y revirtió el resultado. Luego creó una segunda pieza una sola vez, simuló la pérdida de la respuesta, leyó el estado y el recibo antes de continuar y evitó reaplicar el efecto incierto. Cuatro propuestas fuera del contrato fueron rechazadas; el presupuesto terminó agotado. El readback humano independiente contó cinco efectos, dieciséis eventos, ninguna repetición y ambos objetos revertidos.

Fue el resultado más cercano a lo que habíamos imaginado al abrir DAO. También fue cuidadosamente más pequeño que esa imaginación. La autonomía había sido guiada por etapas y por un arnés preparado. La pérdida de respuesta había sido simulada. Todo ocurrió durante el mismo arranque. Las guardas del arnés no eran una demostración universal del confinamiento del agente. F5 cerró PASS_WITH_LIMITS, no como certificado general de autonomía.

Cuando el método ocupó la mesa entera

Para entonces, el cansancio no necesitaba ser declarado. Se veía en la sucesión de capas.

Habíamos pasado de una credencial que debía ser invisible dentro de su propia celda a una celda reconocida como dominio de confianza. De una capacidad cuyos permisos parecían correctos a otra situada donde podían atravesarse todos sus ancestros. De dos pruebas de procesos inconclusas a una tercera cooperativa. De una entrada local mal formada, unas negativas sintéticas y un payload defectuoso a una cuarta versión que por fin separaba los casos. De procesos en segundo plano imposibles de reconocer entre turnos a una operación en primer plano que respondía una pregunta más limitada.

Los intentos no eran equivalentes. Algunos STOP habían protegido una invariante real. Otros eran el resultado correcto de una negativa. Algunos señalaban límites de infraestructura. Otros nacieron de verificadores defectuosos o de errores en lo que yo había entregado. Convertirlos a todos en medallas habría borrado precisamente la información que el expediente intentaba conservar.

También se había acumulado otra clase de problema. Una decisión temprana, D-0012, exigía para todo efecto futuro un identificador de operación, un plan huellado, protección de ejecución única y un recibo local. Las garantías tenían sentido para una operación irreversible o difícil de recuperar. Aplicadas a cada lectura y a cada cambio trivial, podían hacer que el aparato destinado a proteger el trabajo se convirtiera en la mayor parte del trabajo.

Aquella acumulación ya había provocado, el 3 de octubre, una comparación cualitativa: un mecanismo sofisticado se detuvo antes de realizar una lectura inocua y un bloque directo obtuvo el resultado con menor cobertura declarada. No fue un benchmark de velocidad; mostró que el control también podía introducir fallos sin proteger una consecuencia material.

D-0024 corrigió entonces el propio método. Desde ese momento, las operaciones se clasifican por impacto, irreversibilidad, privilegio, sensibilidad e incertidumbre. R0 permite una lectura inocua con bloque directo y salida saneada. R1 añade efecto, verificación y reversión sencilla para cambios bajos y acotados. R2 exige plan, estado previo, autorización, readback y recuperación para cambios materiales o sensibles. R3 conserva el arnés exacto, la huella, la identidad de ejecución, la protección no-repeat y la verificación independiente cuando el efecto es destructivo, irreversible o difícil de recuperar.

No fue una licencia para documentar menos ni para ejecutar más. La clase de riesgo no crea autorización. Si una lectura descubre escritura, secretos, privilegio, persistencia o una incertidumbre peligrosa, debe detenerse antes del nuevo efecto y reclasificarse. C63 y las garantías duras de R3 no fueron rebajadas. Lo que desapareció fue la obligación de construir una caja fuerte nueva para transportar cada hoja de papel.

D-0025 congeló un benchmark PRE/POST para comprobar si esta corrección conservaba la información necesaria sin imponer el mismo coste de reanudación. El POST obtuvo cuatro respuestas CORRECTA y quince CORRECTA_PERO_COSTOSA: no se detectó pérdida crítica dentro de ese alcance, pero recuperar la historia siguió siendo caro. La revisión PRE exacta ya no pudo recuperarse y una copia anterior no era equivalente. Por tanto, no existe una comparación PRE/POST ni un veredicto FAVORABLE, MIXED o UNFAVORABLE.

La búsqueda fallida tampoco demuestra que PRE no exista en ningún respaldo. La proporcionalidad fue incorporada después a las normas transversales por una decisión humana separada, no porque un experimento incompleto hubiera demostrado lo que no pudo comparar.

DAO no sólo estaba probando un canal. Estaba obligando al método a distinguir entre rigor y acumulación.

Capacidad no era autoridad

Las primeras operaciones útiles hacían tentador resumir la historia diciendo que ChatGPT ya podía actuar sobre Mori. Esa frase habría confundido cuatro cosas distintas.

Había una capacidad técnica: un agente podía ejecutar ciertas acciones desde una identidad limitada. Había una conectividad: varios componentes podían llevar una solicitud y devolver una salida. Había una autorización: una persona había aceptado un efecto exacto dentro de una envolvente concreta. Y había una autoridad: la facultad de decidir qué debía hacerse y asumir su consecuencia.

DAO acreditó partes de las dos primeras y ensayó cómo representar la tercera. Nunca recibió la cuarta.

La celda podía conservar su propia identidad y, bajo D-0023, controlar su propia credencial. Eso no le otorgaba autoridad para conocer secretos ajenos, concederse capacidades, ampliar un destino, repetir un efecto consumido ni convertir una observación en una decisión. Las capacidades sobre Mori tenían que ser mínimas, temporales y revocables. La entrada humana de un secreto, cuando resultara necesaria, debía ocurrir por una vía independiente. El agente podía proponer; L’Architetto decidía y autorizaba.

Delegar capacidad sin delegar soberanía no consiste en pedirle prudencia al componente que recibe la capacidad. Consiste en construir una arquitectura en la que la decisión no dependa de su prudencia.

F6 cambió la clase del problema

F6 debía integrar contexto real de Mori y ejecutar un piloto de extremo a extremo. Al comenzar, hubo señales prometedoras. Desde DAO se acreditó lectura directa del documento canónico vigente y la disponibilidad de una interfaz de actualización. Contexto y ejecución podían coexistir en el mismo flujo. Cuando una lectura textual no coincidió con el plan esperado, la preparación se detuvo; una copia descargada por L’Architetto permitió verificar después los bytes exactos. La comprobación posterior no convirtió el STOP anterior en un éxito retroactivo.

El obstáculo decisivo apareció al preparar el circuito administrativo. Desde la vista de DAO, objetos creados por el administrador podían aparecer con un propietario anónimo y un área de ejecución podía parecer de sólo lectura. Desde la lectura humana administrativa, esos mismos objetos pertenecían a root y el área era escribible. Ambas observaciones eran reales desde sus respectivos espacios de nombres.

DAO intentó correlacionar usuario, montaje y proceso para demostrar de forma general el origen administrativo de un recibo. El kernel denegó la información necesaria desde aquella celda. Aceptar un propietario numérico, una huella o un contenido correcto no bastaba: el agente que debía confiar en el recibo no podía distinguir de manera general entre una prueba producida por el ejecutor administrativo y una imitación producida dentro de su propio dominio.

Ése fue el momento en que F6 dejó de ser principalmente una prueba de comandos. Lo que faltaba era un circuito completo:

1. una solicitud cerrada producida desde DAO;
2. una revisión humana independiente;
3. una autorización vinculada al plan, al código y al destino;
4. un ejecutor administrativo acotado, separado del agente;
5. resultados autenticables que incluyeran salida, error y código de retorno;
6. consumo, caducidad, cupo, revocación y recuperación sin repetición ciega.

Un intercambio de archivos podía atestiguar una parte. Recibos firmados podían atestiguar otra. Ninguna alternativa eliminaba la necesidad de identidades, custodia, intención durable, interfaz humana y tratamiento de la incertidumbre. Resolverlo ya no significaba añadir otra comprobación a la celda: significaba instalar y mantener un plano de control.

La evaluación de Rundeck Community y Ansible Runner hizo visible una capa inmediata. La vista disponible de la VM 102 mostraba aproximadamente 967 MiB de memoria, dos CPU y unos cinco gigabytes libres. La documentación consultada de Rundeck Community pedía un mínimo de 8 GB de memoria y un heap de 4 GB. La instalación quedó bloqueada antes de comenzar. Esa lectura tampoco era un inventario administrativo completo de Proxmox y no autorizaba redimensionar la máquina ni reducir requisitos por intuición. Runner evitaba la plataforma Java, pero no aportaba por sí solo la interfaz humana, la autenticación ni la API que el circuito exigía.

La falta de memoria era real. No era el problema entero.

Aunque hubieran aparecido ocho gigabytes libres, todavía faltaban la separación del plano de control respecto del dominio del agente, las cuentas, la custodia de credenciales, la conectividad requerida entre sedes, los límites del ejecutor, el almacenamiento protegido, el contrato de autorización, los recibos autenticables, el respaldo, la recuperación, el mantenimiento y la acreditación C63 del arnés crítico. Comprar RAM no podía decidir quién autorizaba, qué se consumía ni cómo evitar una repetición después de una respuesta incierta.

La celda y el taller

Hasta ese punto, dos arquitecturas habían permanecido demasiado cerca en nuestro lenguaje.

La celda DAO es un agente concreto y su entorno acotado. Tiene identidad, contexto y límites observables. Puede inspeccionar, razonar, preparar una solicitud cerrada y ejecutar aquello que una capacidad vigente le permita. Sus fases F3, F4 y F5 estudiaron precisamente ese comportamiento: trabajo no privilegiado, elevación humana, secretos por canal independiente, revocación y autonomía guiada. F6 conserva la integración con el contexto de Mori y el piloto de extremo a extremo. F7 conserva la eventual adopción del canal. Ninguna de esas responsabilidades desapareció.

La plataforma de ejecución supervisada deberá ser otra cosa. Será el lugar independiente donde una solicitud pueda presentarse a la persona adecuada, ligarse a un actor, un código y un destino, recibir o no autorización, obtener una credencial que DAO no custodie, despacharse hacia un ejecutor limitado y regresar con intención, consumo y resultados autenticables. También deberá poder revocar, recuperar y mantener su propio estado.

La celda puede tener manos. La plataforma deberá proporcionar banco de trabajo, interruptor, libro de órdenes, herramientas bajo llave y un modo de saber quién usó cada una. Confundirlas habría permitido que el mismo dominio que propone y ejecuta terminara fabricando también la prueba de su propia autorización.

Separarlas no reduce la utilidad de DAO. Define dónde termina.

El proyecto que apareció dentro del proyecto

El 7 de octubre, L’Architetto decidió pausar DAO en F6 y dar identidad propia a la infraestructura que acabábamos de descubrir. Así nació P-20261007-mori-supervised-execution-platform, la Plataforma de ejecución administrativa supervisada de Mori.

No es F7 con otro nombre. F7 continúa dentro de DAO, pendiente y no autorizada, porque trata de adoptar y consolidar el canal después de completar sus pruebas. La nueva plataforma hereda un problema anterior: construir el plano de control administrativo que F6 necesita para terminar. La entrega futura de la plataforma no cerrará F6 ni autorizará F7 de manera automática. Obligará a releer el estado, revalidar contexto y autorizaciones y tomar una nueva decisión.

Tampoco es una continuación automática. El proyecto nuevo está planificado, con F1 pendiente. Tiene cinco fases propias: acreditar capacidad y seleccionar arquitectura; diseñar instalación, custodia y contrato de operación; desplegar y verificar; validar la operación supervisada y su recuperación; y entregar el resultado a DAO. Tiene riesgos propios, otro dominio de confianza, credenciales, topología, mantenimiento y autorizaciones que no pueden heredarse de una prueba consumida en la celda.

Su objetivo es una plataforma open source, self-hosted y gratuita. Eso define el tipo de solución buscada; no adopta todavía un producto.

Habíamos abierto DAO para resolver una necesidad. Uno de sus resultados más valiosos fue demostrar que una parte de esa necesidad ya no debía seguir siendo resuelta dentro de DAO.

Un proyecto puede producir conocimiento, software o una operación terminada. También puede producir una separación correcta: el descubrimiento de que una parte de su problema posee suficiente identidad, riesgo y ciclo de vida para convertirse en otro proyecto.

Eso no convierte al primero en un fracaso. Evita que su siguiente fase se transforme en un contenedor sin borde.

Lo decidido en Arkon y lo que todavía no existe

El nuevo proyecto contiene una decisión de arquitectura concreta. Arkon alojará el plano de control central único de Mori, acompañado por ejecutores locales, mínimos y revocables en cada sede. La plataforma completa no se replicará por sede de manera predeterminada. Una instancia adicional sólo tendría sentido si una necesidad posterior de autonomía, continuidad o frontera de confianza lo justificara y recibiera una decisión expresa.

También está decidido que el controlador debe quedar separado del dominio de confianza del agente. La VM 102 dejó de ser candidata para alojar en producción la instancia central.

Eso es lo decidido.

No está acreditada todavía la capacidad de Arkon para este uso. Para esta plataforma no hay hardware comprado o desplegado por el proyecto, dimensionamiento final, virtualización seleccionada, máquina virtual o contenedor creado, conectividad entre sedes acreditada, producto adoptado, base de datos, paquetes, cuentas, credenciales, custodia, TLS, API, ejecutores instalados, respaldo, recuperación ni piloto. Rundeck Community continúa como candidato y Ansible Runner como alternativa. Las características de hardware recogidas en documentos de futuro siguen siendo perfiles candidatos, no una lista de compra.

La decisión sobre Arkon fija un destino lógico y un patrón de distribución. No convierte la planificación en infraestructura existente. El proyecto sigue sin priorización técnica ni autorización de despliegue.

Pausar sin borrar

J-0248 registró la pausa de DAO. F6 quedó abierta pero detenida; C63 permaneció pendiente y F7 siguió sin autorización. Las evidencias de F3, F4 y F5 se conservaron con sus límites y marcas de no repetición.

La autorización histórica de F6 no habilita nuevas ejecuciones mientras la pausa siga vigente.

La pausa también tuvo un estado técnico. Las VM 102 y 103 volvieron a onboot=0. La primera se apagó correctamente. El apagado de la segunda terminó inicialmente con un timeout y código 255. Una lectura posterior e independiente la encontró detenida con código 0. El segundo hecho acreditó el estado final; no reescribió el timeout anterior como una ejecución correcta. El soporte de respaldo quedó después sincronizado y desmontado según evidencia humana. No se repitieron operaciones para embellecer el cierre.

DAO no fue clausurado. Quedaron preservados su canal, sus artefactos y la evidencia de las capacidades ya demostradas, aunque las máquinas estaban apagadas y el canal no se encontraba activo.

Pausarlo fue una decisión sobre el lugar correcto para continuar, no una afirmación de que la idea ya no servía. Había producido operaciones reales, límites verificables y una arquitectura más precisa que la hipótesis con la que había comenzado. Continuar como si F6 sólo necesitara otro script habría sido convertir perseverancia en deuda de diseño.

Volver al trabajo que estaba esperando

El contrato de retorno seguía allí. Mientras la plataforma permaneciera planificada, el plan maestro y el proyecto de recuperación podían continuar por el método humano supervisado: bloques revisados, ejecución de L’Architetto, salida saneada, interpretación, verificación y documentación.

El retorno produjo hechos en pocas horas.

Primero se revalidó el bloque que DAO había interrumpido. L’Architetto autorizó una única ejecución exacta y se comprobó un recorrido ficticio de cifrado entre Cerberon y Nomadici con versiones reales de age. Sólo se publicó el destinatario público; la identidad privada no fue transferida. No era todavía un backup real. Un segundo intento quedó bloqueado antes de volver a entrar por la protección local de no repetición.

Después se inspeccionó el estado necesario de Authentik sin detener sus servicios. Se acreditó que el destino de respaldo estaba desmontado y que la base de datos local respondía. Se recuperó el contrato exacto de Backup Catalog R7. La primera prueba del productor comprobó sólo el caso negativo: al faltar el destino, devolvió DESTINATION_NOT_MOUNTED antes de iniciarlo. No montó el soporte, no creó un backup y no alteró servicios.

L’Architetto autorizó después el primer backup real candidato. Mi primera entrega del bloque estaba incompleta y produjo un SyntaxError antes de ejecutar ninguna sentencia. No se creó una unidad, no comenzó el backup y no hubo efecto técnico que presentar como parcial. La versión corregida mantuvo la misma semántica y cambió únicamente su transporte; la autorización fue ratificada y el arnés corregido se ejecutó una sola vez.

Esa ejecución superó el preflight y montó temporalmente el destino. Una guarda exigió revisar los metadatos de uno de los directorios antecesores y detuvo el flujo antes de parar servicios o iniciar el backup. La sincronización, el desmontaje normal y su readback terminaron correctamente. No se creó ningún respaldo ni se escribió en el catálogo. A-0005 quedó ejercida y la operación marcada como no-repeat.

El diagnóstico siguiente se ejecutó en modo de sólo lectura, con el soporte desmontado. Identificó dos directorios antecesores compartidos, propiedad de root, con un modo válido para su función pero más abierto que el 0700 exacto exigido por la guarda; el directorio privado de Authentik todavía no existía. No había evidencia de corrupción ni se corrigieron permisos por inferencia. Una nueva versión C3 quedó preparada y probada para aceptar ambos modos en los antecesores compartidos y conservar 0700 en los directorios privados. A-0006, la autorización necesaria para ejecutarla, continúa pendiente y no ha sido concedida.

El episodio ofrece un contraste incómodo y útil. Durante varios días trabajamos para que ChatGPT pudiera ejecutar de forma más directa. Al final, la decisión correcta fue volver temporalmente al método humano supervisado mientras se prepara el proyecto que deberá construir la infraestructura capaz de hacer innecesaria algún día una parte de esa intermediación.

No fue un regreso a un estado anterior del conocimiento. El método al que volvimos ya incluía D-0024, las marcas de no repetición, los contratos de retorno y los límites descubiertos por DAO. En el primer tramo después de volver, permitió verificar una dependencia criptográfica, bloquear una repetición, acreditar una negativa, contener un error de entrega antes de cualquier efecto y detener el primer candidato de backup antes de alterar servicios o crear el respaldo. Después permitió diagnosticar la causa sin montar el soporte ni cambiar permisos y preparar una corrección que todavía espera su propia autorización. La intermediación seguía allí; la comprensión de por qué seguía siendo necesaria era nueva.

El lugar correcto para continuar

DAO comenzó preguntando si un agente externo podía recibir un canal de operación sin recibir también el reino. La respuesta no quedó reducida a un sí o un no.

Una celda acotada pudo adquirir identidad, ejecutar operaciones útiles, trabajar con capacidades temporales, aceptar una elevación humana independiente y continuar dentro de una envolvente limitada. También mostró que una identidad técnica no autentica por sí sola el origen administrativo de un recibo, que una capacidad no contiene su propia autorización y que un agente no debe alojar el plano de control encargado de gobernarlo.

Hay herramientas que, al crecer, empiezan a necesitar algo parecido a una institución: separación de funciones, memoria de intención, custodia, reglas de consumo, revocación y recuperación. La institución no es la inteligencia ni la máquina. Es el conjunto de límites que permite usar una capacidad sin convertirla en soberanía.

Por eso una limitación puede ser arquitectura. Por eso insistir deja de ser perseverancia cuando cada nueva excepción intenta ocultar que el problema ya pertenece a otra capa. Y por eso abandonar una implementación no equivale a abandonar la idea: a veces significa encontrar el lugar donde esa idea puede continuar sin confundirse con aquello que debía controlar.

DAO permanece pausado antes de llegar a ser lo que imaginábamos al abrirlo. No es una voluntad autónoma y Mori todavía no actúa por decisión propia. Pero el proyecto consiguió algo previo y quizá indispensable: describir con mucha más precisión las condiciones bajo las cuales una delegación seria podría existir.

Las manos funcionaron.

Después señalaron el espacio vacío donde debía construirse el taller.

Mientras tanto, el trabajo volvió al banco que ya teníamos.