Separar la configuración sensible del modelo

La separación tiene un principio sencillo. El modelo recibe solo lo que necesita para redactar y para elegir qué herramienta pedir: su papel, el tono, el formato y la lista de herramientas. Todo lo demás vive en componentes deterministas que el modelo no lee: las credenciales en un gestor de secretos, las direcciones de los sistemas en la configuración de la aplicación, los límites de negocio en el servicio que ejecuta la acción, y el nivel o los permisos del cliente en el sistema que los guarda, leídos con la identidad de la sesión.

Cuando el modelo pide una herramienta, propone una acción con argumentos. Es el backend quien autentica la llamada con su propia identidad, quien comprueba los límites y quien decide si se ejecuta. El modelo nunca toca la credencial, y lo que no toca no lo puede filtrar.

Una tabla de parámetros con las columnas «dónde vive», «quién lo lee» y «es sensible» permite revisar una propuesta en pocos minutos: basta buscar las filas donde lo sensible coincide con lo que lee el modelo. Es justo la regla que el equipo de Tiaca escribió en la nota de la tabla.

Consulta la tabla de parámetros de la v13 y encuentra el parámetro sensible que la propuesta sigue dejando donde el modelo lo lee.

El registro de llamadas a herramientas enseña lo que pasa en la práctica. Cada fila dice qué argumentos propuso el modelo y con qué se identificó la llamada ante el sistema de destino. Una llamada autenticada con algo que el modelo escribió en los argumentos es la prueba de que el modelo maneja la credencial: si puede escribirla en una llamada, también puede escribirla en una respuesta.

Consulta las llamadas de septiembre y localiza la que se autenticó con una credencial escrita por el propio modelo.

El registro tiene otra fila que conviene leer: una compensación pagada sin revisión con la identidad del servicio. Con la v12, el único freno era que el modelo respetase la cifra del prompt. Mover el límite fuera del prompt no es solo quitarlo de la vista: es convertirlo en algo que se cumple aunque el modelo pida otra cosa.