Verificar la salida

El modelo entrega un hallazgo para Astilla con todo el aspecto de uno real: descripción, ubicación, pasos, impacto. Vas al laboratorio a reproducirlo y no ocurre nada: la vulnerabilidad no está. El modelo la construyó porque encajaba con el tipo de servicio, y la redactó con la misma seguridad que a las de verdad. Si no la hubieras intentado reproducir, habría entrado en el informe como un hallazgo más.

La regla es sin excepción: un hallazgo se reproduce antes de escribirlo. Lo que no se puede reproducir en el laboratorio no es un hallazgo, por bien redactado que venga.

La trampa es que el hallazgo inventado y el real se leen idénticos: mismo tono firme, misma estructura, misma seguridad. Un modelo no marca sus invenciones con una duda; las afirma igual que los aciertos, porque no sabe cuáles son cuáles. Por eso no se puede filtrar por «esto suena seguro» o «esto suena dudoso»: la confianza del texto no se correlaciona con su verdad.

Lo único que separa un hallazgo cierto de uno fabricado es la evidencia: ¿se reproduce, hay captura, hay pasos que un tercero pueda repetir? El filtro es la prueba, nunca el tono.

El informe es donde el trabajo se vuelve consecuencia: el cliente decide gastos y prioridades con lo que le entregas. Por eso la frontera es estricta: cada afirmación va respaldada por evidencia reproducible —pasos, captura, salida real— o no va. Un hallazgo sin prueba no es un hallazgo con menos peso; es ruido que erosiona la confianza en todo lo demás que escribiste.

Astilla no puede distinguir tus hallazgos sólidos de los frágiles: confía en que todo lo que firmaste pasó tu verificación. Esa confianza es el producto, y un solo hallazgo inventado la rompe entera.

Se acerca la fecha de entrega y falta cerrar un hallazgo que no terminaste de probar. El modelo puede «rellenar» una captura o redactar una salida que parezca la evidencia que falta. Ahí no hay matices: fabricar evidencia es fraude. Destruye la credibilidad del informe, la tuya y, si el cliente actúa sobre un hallazgo falso, puede causarle un daño real.

La evidencia se captura de la reproducción real o no existe. Un modelo jamás rellena el hueco de una prueba que no obtuviste: ese hueco se cierra reproduciendo de verdad, o el hallazgo se retira.

Verificar deja de ser un impulso y se vuelve método cuando, para cada salida del modelo, sabes de antemano cuál es la comprobación: una versión se contrasta en la fuente, un fallo de código se reproduce en el laboratorio, un CVE se busca en la base oficial, un dato de reconocimiento se confirma en su fuente primaria. Afirmación, comprobación, veredicto: tres columnas para cada cosa que el modelo diga.

Ese hábito es lo que hace escalable trabajar con un modelo sin que te meta basura en el informe. No es desconfianza paranoica; es el mismo rigor que aplicas a cualquier herramienta que produce mucho y acierta a veces.

Abre la estación. El modelo entregó dos hallazgos con el mismo tono seguro. Reprodúcelos en el laboratorio: el que no se reproduce no entra al informe, por bien redactado que esté.