Entradas no confiables por herramientas y documentos

Tu módulo de inyección por resultado de herramienta ya mostró el mecanismo: el modelo no distingue entre el texto que debe procesar y el texto que debe obedecer. Aquí interesa el diseño que lo contiene. Todo contenido que llega de fuera —correos, adjuntos, páginas, resultados de otros servidores— se trata como no confiable, se etiqueta con su origen y nunca decide por sí solo una acción con efecto.

La defensa que sirve no depende de que el modelo «se dé cuenta». Depende de controles fuera de él: una política de salida que mira adónde van los datos, una confirmación humana para las acciones con efecto, y permisos que ya de por sí no alcanzan a hacer daño.

Una traza de agente enumera cada paso: la entrada del usuario, las llamadas a herramientas, el origen del contenido leído, la etiqueta de confianza y lo que el modelo propuso. Leerla en orden permite reconstruir de dónde vino un comportamiento extraño sin tener que adivinar.

Abre la ejecución 8841 y localiza qué adjunto contenía la nota dirigida al asistente.

Una política de salida decide a qué destinos puede enviar información el agente. Funciona con una lista cerrada de dominios permitidos y no necesita entender el texto: solo compara el destino con la lista. Por eso no se deja convencer por una frase bien escrita.

En la misma ejecución, el modelo propuso enviar el expediente a un destino externo y la regla R-07 lo bloqueó. Lee la traza y anota el dominio de ese destino.

La segunda traza muestra lo contrario: el texto venía de un origen que el filtro no cubre, no llevó etiqueta, y la herramienta de cierre no pedía confirmación. El modelo propuso, el sistema ejecutó, y el siniestro quedó cerrado sin que ninguna persona lo viera. No hubo un fallo técnico: hubo un diseño sin ninguna capa que dijera «alto».

Abre la ejecución 8847 y anota qué siniestro quedó cerrado sin aprobador.

Un filtro de etiquetado vale tanto como los orígenes que cubre. El de Huemul se instaló cuando solo existían dos orígenes de contenido, y desde entonces se añadieron otros que no se incorporaron. Un hallazgo de cobertura se corrige cubriendo cada origen nuevo, pero además —y es lo que lo hace resistente— se diseña para que una acción con efecto no dependa solo de que la etiqueta exista.

Lee filtro-de-adjuntos.txt y decide qué corrección cierra el hallazgo de forma duradera.