Cada eslabón era válido. Aun así, la cronología podía estar recortada.

Resumen

• La revisión 09 verifica que todas las entradas visibles pertenezcan a una cadena ordenada y coherente. Quien pueda retirar entradas de un extremo y rehacer los enlaces todavía puede presentar una cadena más corta que supere la verificación.
• El compromiso externo opcional enlaza el trabajo, el resumen de la última entrada, el número de entradas y la hora de publicación. El número por sí solo no protege la entrada final, y el anclaje tampoco demuestra acciones que el registrador nunca observó.

Seis pasos forman una cronología impecable. La secuencia comienza en uno, avanza sin saltos y conserva un mismo identificador de trabajo. Cada enlace coincide con el resumen que el auditor calcula de nuevo. Solo el sexto paso cierra el trabajo. No hay error criptográfico ni hueco formal.

Pero la propia cadena no contiene una promesa de que debían existir seis pasos y no ocho.

Esa diferencia entre una historia válida y una historia íntegra es la noticia operativa de la revisión 09 de AER-1: A Portable Execution Receipt for AI Agent Tool Calls. Si una parte elimina el principio o el final y puede recalcular todos los enlaces restantes, la versión abreviada sigue cumpliendo las reglas internas. La cadena identifica alteraciones dentro de un límite presentado; no autentica por sí sola ese límite.

El documento apareció el 1 de octubre de 2026 como Internet-Draft individual activo. Datatracker advierte que una presentación individual no cuenta con el respaldo del IETF ni tiene posición formal en su proceso de estándares. No registra flujo RFC ni estatus RFC previsto; el texto se describe como envío independiente con intención informativa. Expira el 1 de abril de 2027 y no es un RFC.

La fuerza real del encadenamiento

Cada entrada incluye prev_digest, secuencia, identificadores de trabajo y recibo, herramienta, clase de procedencia, bytes canónicos, compromiso de salida y una posible marca de cierre. El verificador comprueba los bytes del recibo, construye un objeto JSON canónico con close, id, job_id, output_hash, prev_digest, provenance_class, seq y tool, y calcula SHA-256.

La primera entrada apunta a 64 ceros. La secuencia empieza en uno y suma uno cada vez. Todas las entradas comparten trabajo. La última debe llevar close:true y las anteriores no pueden llevarlo. La comprobación recalcula los resúmenes; no confía en enlaces almacenados.

La revisión también importa. En la 06, el resumen de entrada cubría únicamente los bytes canónicos decodificados. La 07 incorporó al compromiso las metainformaciones que dan contexto y posición. Las revisiones 08 y 09 conservan esa construcción. Una cadena histórica de la revisión 06 no adquiere las garantías posteriores porque un verificador moderno decida tratarla como si siempre las hubiera tenido.

Así, si alguien cambia el nombre de la herramienta, la procedencia, el recibo, el resultado comprometido, la posición, el trabajo o el cierre sin rehacer la cadena posterior, el vínculo siguiente deja de coincidir. También quedan expuestas las inserciones, eliminaciones y reordenaciones cuando el adversario no puede reconstruir los enlaces dependientes.

El alcance depende de esa última condición.

Recortar y volver a cerrar

En una cadena de ocho entradas, se pueden retirar las dos últimas, marcar la sexta como cierre y recalcular su resumen. No existe una séptima entrada que conserve el antiguo resumen de la sexta. El conjunto abreviado vuelve a ser internamente correcto. También puede eliminarse un prefijo y fabricar una nueva génesis que arranque en uno.

El borrador presenta este resultado como un límite honesto del encadenamiento. La verificación interna no debe anunciarse como prueba contra la truncación. Hace falta una referencia fuera de la cadena: un testigo, una cabeza fechada, un ancla o un manifiesto que ya conozca los pasos o el tamaño esperado.

La revisión 08 recomendó comprometer el resumen final. La 09 define un artefacto opcional e interoperable con job_id, final_entry_digest, entry_count y published_at. El artefacto debe existir fuera de la cadena. Colocarlo en la última entrada crearía un círculo: esa entrada no puede incluir el resumen que solo se obtiene después de terminarla.

El verificador vuelve a calcular el resumen final, cuenta las entradas, compara el trabajo y contrasta todo con la referencia externa. Si la referencia se recuperó de manera independiente, la coincidencia demuestra que la cadena visible alcanza el extremo que aquel testigo publicó en ese momento.

Contar no inmoviliza el último paso

Un compromiso de ocho elementos detecta una cadena reducida a seis. Sin embargo, no distingue necesariamente dos cadenas de ocho cuya última entrada sea diferente.

El resumen de cada entrada salvo la última queda incorporado en el prev_digest de la siguiente. Dentro de la cadena, nadie vuelve a citar el resumen final. Por eso se puede sustituir la octava entrada y recalcular su resumen sin alterar el número total. El contador sigue diciendo ocho. Un compromiso externo del resumen final sí detecta el cambio.

Los cuatro valores no son redundantes. El número limita la longitud; el resumen fija el contenido terminal; el identificador impide reutilizar la cabeza de otro trabajo; la hora documenta cuándo quedó publicada. Aun así, el operador debe conservar quién fue el testigo, cómo y cuándo se recuperó el artefacto y qué resultado produjo la comprobación. Si productor y testigo comparten una misma autoridad mutable, la independencia es nominal.

El testigo no amplía la observación

Una cabeza anclada da continuidad al registro visible, no visibilidad universal. Un recibo cuyo hash coincide confirma los bytes comprometidos. La procedencia LOGGED BY AGENT continúa siendo una declaración del agente. Encadenarla no la transforma en observación independiente.

Tampoco aparecen, por magia, las llamadas omitidas antes de entrar al registrador, los canales laterales, las autorizaciones no capturadas o el efecto empresarial que pertenece a otro sistema. Para trabajos críticos hace falta preservar por adelantado el conjunto de acciones autorizadas o esperadas, reconciliarlo con la cronología y pedir al sistema propietario del resultado la evidencia de que este ocurrió.

El cierre, la cobertura y el resultado son controles diferentes. La disciplina consiste en mantener una capa común pequeña: formato, orden y compromisos verificables. La autoridad para declarar integridad y consecuencia debe seguir siendo explícita y responsable.