Investigación: de la regla a la evidencia¶
Estado: investigación y propuestas de aplicación · 17-oct-2026. Este estudio no cambia ASILO 0.1, MILPA 0.1 ni SCAFFOLD 0.2, no acepta perfiles y no acredita una implementación. El registro de fuentes conserva URL, edición, sección consultada y límites de cada referencia. Una correspondencia es análisis, no reconocimiento por parte de la organización citada.
Pregunta y método¶
¿Qué evidencia hace falta entre una obligación metodológica y una acción del sistema? Se contrastaron requisitos aceptados, perfiles propuestos y las limitaciones declaradas de implementación. La búsqueda externa empleó preguntas genéricas y documentación primaria, sin enviar código, borradores privados, credenciales o expedientes a buscadores. Los contraejemplos técnicos y datos locales se conservan en el expediente de implementación; esta página presenta una síntesis apta para documentación pública.
Conviene distinguir cuatro resultados: declaración válida, observación realizada, acción autorizada y resultado aceptado. Pasar uno no acredita los demás. Un archivo existente no demuestra que una prueba se ejecutó ni que examinó la revisión actual.
Correspondencias y trabajo pendiente¶
| Área | Base metodológica existente | Propuesta de aplicación y evidencia |
|---|---|---|
| Autoridad y procedencia | MILPA-R-001/002/007/008; SCAFFOLD-R-033. | Relacionar requisito, revisión, control, caso negativo, resultado, entorno y responsable. W3C PROV-DM aporta entidades, actividades y derivaciones; no demuestra verdad ni autoría jurídica. |
| Identidad y efectos | ASILO-R-001/004/005/006; SCAFFOLD-R-037. | Obtener identidad por el protocolo y aplicar permisos vigentes antes del efecto. NIST SP 800-207 descarta confianza implícita por ubicación. Como aplicación al desarrollo, se propone distinguir comprobaciones Git de controles efectivos de ejecución; loopback no autentica el proceso. |
| Herramientas y extensiones | ASILO-R-001/003/004/008; SCAFFOLD-R-037. | Inventariar habilidad, complemento y servidor: revisión, procedencia, capacidades, inicio, datos y salida de red. MCP diferencia riesgos de transporte; Agent Skills depende del anfitrión para aplicar restricciones. No se prescribe un proxy universal. |
| Entrega y recuperación | SCAFFOLD-R-025 a R-029 y R-034 a R-036. | Integrar comprobaciones del lenguaje, infraestructura y datos, y conservar resultados por revisión. NIST SSDF 1.1 orienta el desarrollo seguro; SLSA 1.2 orienta la verificación de procedencia del artefacto. |
| Reintentos y concurrencia | ASILO-R-007; SCAFFOLD-R-028/035/037. | Probar resultado incierto, actualización concurrente, compatibilidad y recuperación. RFC 9110 §9.2.2 limita reintentos no idempotentes; un registro append-only no implementa esas propiedades por sí solo. |
| Medición y evaluación | ASILO-R-008; SCAFFOLD-R-023/024/032. | Definir fuente, ventana, unidad, entorno, línea base y límites. NIST AI 600-1 trata riesgos de IA; DORA mide entrega por servicio. Tokens o cantidad de nodos no prueban valor ni productividad. |
Los IDs de la tabla remiten a ASILO, MILPA, SCAFFOLD 0.1 y sus adiciones 0.2. La mayoría de estas necesidades son implementación o perfiles de verificación, no nuevas normas.
Prácticas documentadas por organizaciones grandes¶
Microsoft SDL documenta revisión de amenazas, seguridad de la cadena de suministro y del entorno de ingeniería, pruebas, monitorización y respuesta. Es un contraste útil para distribuir evidencias a lo largo del ciclo; no demuestra que este ecosistema use su proceso o logre sus resultados.
Google SRE explica despliegues canarios y su evaluación según tráfico, duración y objetivos del servicio. La propuesta es registrar criterios y mediciones del proyecto, sin imponer 48 horas, un porcentaje universal o una promesa de ausencia de interrupciones.
Idioma, datos regionales y contratos de máquina¶
El texto humano es necesario; el riesgo aparece cuando decide permisos o estados por su
redacción. Se propone separar códigos estables, parámetros tipados y mensajes traducibles
en la presentación. RFC 9457 §3.1.4
desaconseja extraer información del campo humano detail en HTTP; extender ese principio
a una CLI es una decisión técnica del proyecto.
Registrar versión del catálogo, revisión de traducción y versiones de CLDR/TZDB permite reproducir resultados regionales. Idioma, región de datos y jurisdicción son distintos. La guía W3C sobre cadenas consultada es Working Draft, no una recomendación aceptada. Las convenciones GenAI de OpenTelemetry v1.37.0 también están en desarrollo en esa revisión: se propone fijar versiones y minimizar telemetría, no registrar prompts y resultados privados por comodidad.
Cuestiones normativas que siguen abiertas¶
La enmienda R-017 no está aceptada: un consumidor no controla por sí solo la declaración del proveedor externo y no puede darla por hecha. La propuesta pendiente necesita preservar contrato público versionado, responsabilidad del consumidor, evidencia y ausencia de aprobación del proveedor, mediante el proceso de cambio de MILPA; no se resuelve fingiendo bilateralidad.
Los huecos de contraste ya reconocidos, como envenenamiento de datos/modelos y ejecución inesperada de código, necesitan amenaza, condición y evaluación acotadas antes de proponer una ampliación de ASILO. El perfil de ingeniería y el de arquitectura conservan su estado propuesto.
SCAFFOLD sigue limitado a proyectos de software: no obliga a abandonar Scrum, Jira o reuniones, ni convierte metáforas de MILPA en clases de agentes o escalas de madurez. La asignación de personas, herramientas y responsabilidades conserva el alcance de cada requisito aceptado.
Privacidad, licencias y cumplimiento¶
Se propone una ficha de aplicabilidad por proyecto: actividad, datos, roles de tratamiento, jurisdicción, fuente jurídica oficial y versión, responsables, controles y evidencia. La evaluación técnica no decide la aplicabilidad jurídica. Usar un estándar, correr localmente o excluir entrenamiento no resuelve por sí solo retención, acceso, subprocesadores o transferencias.
Las referencias se enlazan y se explican con síntesis originales; no se reproducen normas de pago, textos extensos, gráficos o marcas. Una firma o un sello RFC 3161 no prueban por sí solos originalidad, titularidad o uso ilícito para entrenamiento. Una revisión de IA ayuda a contrastar; no constituye revisión humana independiente ni certificación.