Semillas predecibles y estado repetido

Un generador de propósito general guarda un estado interno y lo avanza con una fórmula fija. El único dato que no es fórmula es la semilla con la que arranca ese estado. Si dos procesos usan la misma semilla, producen exactamente la misma serie de valores, y quien conozca el generador y acote la semilla acota toda la serie. Por eso «el generador cambia de valor en cada llamada» no dice nada de si es impredecible: cambia de valor, pero de forma determinada.

La pregunta de revisión es siempre la misma: ¿de dónde sale la semilla y cuántos valores distintos puede tomar?

Sembrar con el reloj parece razonable porque el reloj cambia. Pero la fortaleza de una semilla no es que cambie: es cuántos valores distintos puede tomar. Una semilla sacada de los segundos de un día tiene, como mucho, 86 400 posibilidades; si además el servicio arranca en una ventana corta y programada, el espacio se reduce a los segundos de esa ventana. Medir ese espacio es trabajo defensivo: dice cuánta imprevisibilidad queda, y unos pocos miles de posibilidades son muy pocas para proteger cualquier cosa.

Contar bien incluye los dos extremos de la ventana: del primer segundo al último, ambos inclusive.

Los equipos fijan la semilla en las pruebas automáticas para que los resultados se puedan repetir. Es una práctica legítima en pruebas y un fallo grave en producción: si el valor fijo se cuela en la configuración real, el servicio arranca siempre con el mismo estado y repite siempre la misma serie. Se ve en la configuración, no en el código: una variable de entorno que alguien definió «temporalmente» y nunca retiró.

Hay una tercera forma de repetir el estado: clonar. Si se crea una imagen de máquina o de contenedor con el servicio ya iniciado, el generador de esa imagen ya está sembrado; todas las instancias que nazcan de ella arrancan con el mismo estado interno y emiten la misma serie hasta que alguien las vuelva a sembrar. Pasa con instantáneas de máquinas virtuales, contenedores preparados en caliente y procesos que se bifurcan tras sembrar.

El registro de despliegue lo muestra sin ejecutar nada: dos instancias nacidas a la vez que emiten valores iguales.

Los tres fallos tienen la misma raíz: un generador que se puede reconstruir y una semilla que se puede acotar. Cambiar un número por otro, esconder el archivo de configuración o escalonar los reinicios no la toca. El arreglo es doble: cada instancia se siembra al arrancar desde la fuente criptográfica del sistema (no desde la imagen, el reloj ni un valor fijo), y todo lo que proteja algo sale de un generador criptográfico, que no depende de una semilla que alguien pueda acotar.