Alcance y autorización de una evaluación

Probar la resistencia de un sistema con IA es, mirado desde fuera, lo mismo que atacarlo: se le mandan entradas hechas para que falle. Lo único que separa una evaluación de un incidente es la autorización por escrito de quien tiene el poder de darla. La carta dice qué sistema, qué entorno, en qué fechas y quién firma; sin ella, un intento contra un servicio ajeno no es trabajo, es un acceso no autorizado, aunque la intención fuese buena.

El alcance hace dos cosas a la vez: protege al cliente de que se toque lo que no debía y protege a quien evalúa de que se le acuse de haberlo hecho. Por eso se lee antes de preparar nada y se vuelve a leer cuando algo parece «casi» dentro.

Abre la carta de autorización de Tordo. Hay dos entornos nombrados: uno se puede tocar y otro se menciona justamente para que nadie lo toque. La confusión más cara en este oficio no es técnica: es apuntar la herramienta al host equivocado porque los dos nombres se parecen.

Fíjate en cómo está escrito cada uno y en qué lo distingue: la copia de pruebas lleva datos sintéticos; el otro es el servicio que atiende a clientes de verdad.

El archivo de alcance enumera lo que está dentro y, igual de importante, lo que está fuera. Una de las exclusiones merece atención: la infraestructura del proveedor del modelo. Calandria usa un modelo que corre en un servicio de un tercero. Que Tordo firme la carta no autoriza nada sobre un servicio que no es suyo: para eso haría falta el permiso de ese proveedor, bajo sus propias condiciones de uso.

Lo mismo vale para cualquier componente que el cliente use pero no controle: se evalúa lo que él puede autorizar, y lo demás se anota como riesgo a tratar con quien corresponda.

Las reglas de participación fijan qué hacer cuando algo no sale como estaba previsto. Un sistema de pruebas con datos sintéticos no debería devolver nada real; si lo hace, la regla no es «seguir y ver hasta dónde llega», es detener, no copiar y avisar a un contacto concreto. Tener ese contacto escrito antes de empezar es lo que evita decidir con prisa en el peor momento.

Lee las reglas y localiza a quién hay que avisar de inmediato.