Summary

  • La revisión 04 de Agent Registry Protocol obliga a vincular toda evaluación de umbral, quórum o rol colectivo con una sola instantánea identificada de miembros, controladores y regla de ejercicio.
  • En la construcción local, B vota válidamente en S1 y D vota válidamente en S2; el total sin versión es dos, pero cada instantánea conserva solo un voto elegible y ninguna satisface el 2-de-3.
  • Combinar estados distintos requiere una regla de gobierno que lo permita de forma expresa y evidencia que demuestre la transición autorizada.

El relevo que el panel no entendió

S1 tiene tres integrantes: A, B y C. La regla exige la aprobación de dos miembros actuales y distintos para la acción exacta. B aprueba, de modo que S1 queda en uno de dos.

Después B deja el órgano y D entra. S2 está formado por A, C y D y mantiene, en apariencia, la misma regla. D aprueba. S2 también queda en uno de dos.

Una consulta que cuente aprobadores distintos por acción devuelve B y D. Puede verificar ambas firmas y confirmar que el resumen de acción es idéntico. Incluso puede comprobar que cada persona era miembro al firmar. Aun así, no existe una instantánea en la que ambas contribuciones sean contables: B no pertenece a S2 y D no pertenecía a S1.

La prueba local usa el resumen sha256:8b826aaafbce2a9ca1b653ba3ae6992074fff22fa3b261b49f27704b2afab5c3. El algoritmo ingenuo autoriza porque ve dos nombres. Al agrupar por S1 y S2, cada estado tiene uno y el resultado deja de ser afirmativo. Es una construcción explicativa, no una implementación de ARPA, una prueba de conformidad ni un incidente real.

El principal colectivo no es su rótulo

draft-sankarshan-agent-registry-protocol-04 separa identificación, autenticación, autorización, garantía y ciclo de vida. Resolver un registro, comprobar una prueba o conocer quién controla un agente no concede por sí solo autoridad para una acción.

La sección 23.4 aplica esa separación a los principales colectivos. El evaluador debe establecer el conjunto actual de miembros o controladores, la regla vigente y las contribuciones que pretende contar. Ser miembro no equivale a poseer por separado el poder del colectivo. Una membresía obsoleta o una regla reemplazada no puede autorizar una nueva acción material.

La sección 25.4 añade el vínculo de instantánea. La decisión debe nombrar un punto de control, una versión o un resumen estable del conjunto y la regla. Cada aprobación contada tiene que ser válida bajo ese mismo estado. La eliminación y posterior reincorporación, el cambio material de rol, el cambio de regla y la membresía obsoleta son fronteras que no se mezclan por defecto. La evidencia de la decisión conserva el punto de control.

El nombre del comité puede seguir intacto mientras cambia el sujeto capaz de ejercer poder. Si el software preserva el nombre y descarta el estado, transforma una secuencia histórica en una autoridad simultánea que nunca existió.

Firma, acción, elegibilidad y quórum

Un único icono verde suele ocultar cuatro preguntas. ¿Es auténtica la aprobación? ¿Está vinculada a esta acción exacta? ¿Era elegible el aprobador bajo el rol, el tiempo y el estado aplicables? ¿Coexisten suficientes aportes elegibles y distintos bajo una sola regla?

La firma responde una parte de la primera. El resumen canónico de acción ayuda con la segunda. La resolución de autoridad y estado ayuda con la tercera. La cuarta exige conservar la instantánea y evaluar dentro de ella.

B@S1 y D@S2 pueden superar las tres primeras preguntas y fallar la cuarta. Por eso un registro reducido a acción, aprobador y sí no es solo poco detallado: ha borrado el principal contra el cual afirma que existe quórum.

El cambio de rol plantea la misma trampa sin sustituir a nadie. Una persona puede pasar de un rol operativo a uno financiero. Si la regla exige aportes de ambos roles, la firma no puede adoptar retroactivamente la etiqueta que complete el reparto. También un cambio de 2-de-3 a 3-de-4 crea dos universos de decisión; los votos no flotan libremente entre ellos.

La excepción necesita dos pruebas

La revisión 04 permite que una regla explícita autorice composición entre instantáneas, siempre que la evidencia pruebe la transición permitida. No basta con una política abstracta ni con un historial de cambios; hacen falta ambas cosas juntas.

Una regla puede establecer que un voto sobreviva a la sustitución de un asiento no relacionado durante 24 horas, siempre que el nuevo órgano lo ratifique. Otra puede anular todo al cambiar el umbral o retirarse un aprobador. El protocolo no obliga a escoger una de esas políticas. Sí impide que el agregador elija después la interpretación más conveniente.

El nombre constante del órgano, el orden cronológico de las filas, la identidad del presidente o una lista posterior de miembros no son permisos. La evidencia debe señalar la regla aplicable, la transición concreta y el motivo por el cual la contribución anterior sigue contando.

La salida y el reingreso merecen especial cuidado. El mismo identificador a ambos lados no elimina el intervalo sin autoridad. Recuperar un voto antiguo al reactivar al miembro equivale a extender una autorización a través de una ruptura que la regla quizá no tolera.

El estado debe ser actual y reconstruible

Un punto de control identifica la versión evaluada; no demuestra por sí solo que la fuente era competente, completa y fresca. La revisión exige resultados no afirmativos cuando falta estado material o este es obsoleto, contradictorio, indisponible o indeterminado.

La validez temporal es semiabierta: valid_from <= evaluation_time < valid_until. Las respuestas almacenadas en caché no pueden producir una autorización cuando la política exige información más reciente. RFC 3339 aporta una forma de fecha y hora; RFC 9111 define reglas de caché HTTP. Ninguno reemplaza la evidencia de qué conjunto y qué regla gobernaban la decisión.

Los eventos tampoco pueden usarse como magia cronológica. Un consumidor debe tolerar duplicados sin ampliar autoridad y detectar huecos de secuencia. Si no recibió el evento de salida de B, no conserva legítimamente S1: tiene una reconstrucción incompleta.

El recibo que evita fabricar autoridad

Una decisión de alto impacto debería conservar el resumen exacto de la acción, el principal colectivo, el punto de control de miembros y regla, el momento de evaluación, cada aprobación y su instantánea, el recuento de controladores y roles distintos, los insumos materiales de delegación, ciclo de vida, conflicto y frescura, el resultado motivado y la acción enviada al ejecutor.

Cuando se invoque la excepción, deben añadirse el identificador de la regla de continuidad y la evidencia de transición. Es una propuesta operativa de Daniel Kade derivada de la frontera del borrador, no un conjunto de campos normativos ya definido por ARPA.

Las capas de realidad de Heng Lu ayudan a mantener el control. El rótulo institucional, la membresía, la regla, cada voto, el resultado, la ejecución y el efecto externo no son el mismo hecho. La primacía del código obliga a mirar la consulta que realmente suma. Si agrupa solo por acción, la organización ejecuta otra constitución distinta de la que cree haber aprobado.

Una especificación mínima no tiene que uniformar toda gobernanza. Solo necesita identificadores y fallos seguros suficientes para impedir que la ausencia de contexto ensanche el poder. Sin la instantánea adecuada, la respuesta correcta no es “probablemente sí”, sino no afirmativa.

Sources and limits

La evidencia se congeló el 30 de septiembre de 2026, hora de Shanghái. La revisión 04 es un Internet-Draft individual activo, no un RFC, consenso del IETF, informe de adopción ni producto desplegado. La construcción S1/S2 explica el límite especificado; no demuestra explotación, actor malicioso, firma rota, fallo de implementación, decisión real o pérdida. El documento puede cambiar, ser sustituido o expirar.