Estado: NOTA DE INVESTIGACIÓN (previa al plan). No es un sprint. Sin código. Según docs/PROCESS.md §1.1, el análisis exploratorio vive en docs/research/ hasta que se compromete a un sprint. Fecha: 2026-08-04 Origen: una limpieza de vocabulario que resultó ser un argumento de diseño. Quitar la palabra keylogger de la descripción de una pieza obligó a preguntar qué es la capacidad, y la respuesta replanteó el programa: es instrumentación, no herramienta de seguridad. Salida prevista: un artículo. Esta nota es el plan previo, no el artículo.
---
Tesis
Un sensor de equipo que registra observaciones y atribuye la causa después es un mejor instrumento que uno que clasifica amenazas en el momento de la detección — y la disciplina que lo hace así es el método científico, incrustado en la política del proceso en vez de aplicado por criterio.
El nombrado se sigue del diseño en vez de adornarlo: un instrumento que registra observables no puede honestamente llevar el nombre de una conclusión que no saca.
---
Qué hay de nuevo (frente a repetir el método)
1. El nombrado como control de ingeniería. Las banderas de funcionalidad, los nombres de símbolos, las cadenas de eventos de auditoría y las descripciones de las piezas son artefactos duraderos, que se leen después, fuera de contexto, por lectores que pueden ser adversarios. Nombrar una capacidad por la acusación es suministrar la acusación. El corolario afilado: un eufemismo envuelto alrededor de una capacidad encubierta es peor que la palabra cruda, porque se lee como una tapadera — de modo que un renombrado solo es válido cuando una restricción de compilación lo vuelve cierto. El nombrado se vuelve comprobable, y por tanto un control de ingeniería en vez de presentación.
El mecanismo morfológico. Esto no es una afirmación sobre el gusto. keylogger es una nominalización agentiva — key + log + -er. El sufijo -er postula a alguien que hace, y quien hace implica propósito; la intención está dentro de la forma de la palabra antes de que se construya ninguna frase a su alrededor. «Raw input» es un sintagma nominal desnudo: datos, sin agente, sin finalidad. La sustitución cambia por tanto de categoría gramatical, no de registro — que es por lo que hace trabajo real y un sinónimo más suave no lo haría.
La misma estructura gobierna surveillance frente a observation: sur- + veiller es vigilar desde arriba, así que la asimetría de poder está en el morfema y no en la connotación; observare es mirar hacia, guardar. La elección no selecciona un registro: selecciona quién está por encima de quién.
La objeción obvia, y el refinamiento que obliga. «Input flight recorder» también es agentivo — carga el mismo -er. La distinción es el objeto de la agencia: el objeto del grabador es el sistema del que forma parte. La forma agentiva es legítima precisamente cuando el agente y la parte registrada coinciden, que es la inversión de la afirmación 3 dicha otra vez al nivel de la formación de palabras. Esto es lo que mantiene el análisis falsable: no se limita a preferir las palabras que elegimos.
Por qué importa en la operación. La forma defendible de la hipótesis de Whorf es la débil — el lenguaje no determina el pensamiento, pero con poca atención la morfología es toda la lectura. Un lector sin contexto, sin tiempo y sin nada en juego funciona solo con la forma de la palabra. Ese lector es exactamente el lector adversario para el que se construye el control.
El argumento etimológico a favor del estándar mismo. Logos significa a la vez palabra y cuenta / razón; nombrar y rendir cuentas comparten una raíz. Ese es el estándar de esta nota dicho de otro modo: un término que nombra un mecanismo comprobable es una rendición de cuentas, y un término que nombra una acusación es un veredicto vestido de sustantivo. «¿Se puede rendir cuenta de este nombre?» y «¿esto es siquiera un nombre?» resultan ser una sola prueba.
2. Atribuir una anomalía sin presumir la causa. Un gato sobre el teclado, un ataque de entrada inyectada, un cable flojo, una tecla atorada y un codo producen la misma observación: entrada cuya causa todavía no se ha atribuido. El gato es un factor de confusión en el sentido preciso: la entrada anómala correlaciona con el ataque y no lo causa. Un instrumento que reporta «ataque detectado» cuando un gato cruzó las teclas no es prudente, está equivocado, y cada reporte así cuesta credibilidad en los reportes que sí importan. La afirmación a poner a prueba: dejar cause abierta hasta que la evidencia la cierre produce medibles menos reportes falsos que el encuadre de detección de amenazas.
3. La tabla de inversión como definición. El registro en primera persona difiere de la intercepción encubierta en cuatro ejes a la vez: de quién es la entrada, quién se beneficia, si consiente la parte registrada, y si hace falta ocultarlo. Los cuatro se invierten. Una lista de dispositivos permitidos que rechaza los que no están en ella vuelve la definición comprobable en vez de afirmada, que es lo que la distingue de una declaración de buena intención.
4. Evolución convergente. Los componentes del método se construyeron aquí uno por uno, por razones locales, antes de que nada se llamara un método:
| Método científico | Mecanismo existente |
|---|---|
| Registro previo | action_intent se guarda y se le saca huella antes de la acción; los resultados se juzgan contra un compromiso previo |
| Falsabilidad | Prueba por mutación (HARVEST-PLAYBOOK §13.3) — borra el mecanismo y una prueba tiene que ponerse roja, o no está construido |
| Observación antes que inferencia | cause: unexpected_physical_input — un hueco que se atribuye desde la evidencia, no una etiqueta puesta al detectar |
| Instrumentos independientes | Tres oráculos (DOM, captura de pantalla, procedencia de la entrada); el desacuerdo se señala, no se resuelve por decreto |
| Un resultado nulo es un resultado | UNVERIFIED es de primera clase; el hook de commit-msg lo estampa en vez de redondear a aprobado |
| Cadena de custodia | Registro inalterable de solo añadir; action_realized versiona la divergencia en vez de sobrescribirla |
| Observación directa por encima de la autoridad | El salto del registro inalterable se comprobó corriéndolo en una transacción revertida y observando — no leyendo el SQL |
Esa convergencia es en sí misma la evidencia de la tesis: los componentes se adoptaron porque cada uno resolvía una falla real, no porque un método los recetara.
---
Qué falta
Esta nota es hoy un argumento, no un resultado. Se vuelve un artículo cuando:
1. La prueba diferencial produzca números. Sensibilidad y precisión del detector enmascarado, medidas contra la verdad de campo de la compilación instrumentada (ADR 0028). Sin eso, la nota afirma exactamente lo que dice que no se debe afirmar. 2. El invariante 8 tenga un mecanismo. La comprobación de compilación que falla cuando un objetivo distribuible resuelve raw-capture, probada por mutación. Hasta entonces la garantía central es una convención. 3. La afirmación 2 se ponga a prueba en vez de argumentarse. La tasa de reportes falsos bajo el encuadre de observación-primero contra el de detección de amenazas, sobre el mismo corpus de entrada.
Escribirlo antes de que eso exista sería justo la falla de la que trata la nota.
---
Material de origen (fechado, en el repositorio)
| Commit | Aportación |
|---|---|
28620750 | Vocabulario: mecanismo por encima de postura; quita sigilo y evasión |
436c56d8 | Matriz de exposición de rutas — la exposición como superficie medida |
ccefd408 | ADR 0028 — grabador de vuelo de la entrada, contrato de dos compilaciones, tabla de inversión |
7902a0e5 | El defecto de nombrado en los metadatos publicados de la pieza, y su arreglo |
b4e8b8dd | «Raw input» como el nombre de la interfaz que usan los propios fabricantes de plataforma (Win32, XInput2, evdev) |
40476d3b | Instrumentación, no detección de intrusiones — el argumento del gato |
Contexto de diseño: docs/architecture/adr/0028-input-flight-recorder-and-the-two-build-contract.md, docs/proposals/desktop-actuation/spec.md, docs/research/red-lab.md.
---
Preguntas abiertas
- ¿Se puede medir la afirmación 2 sin un corpus de anomalías etiquetado?
Construirlo puede ser la primera tarea.
- ¿La tabla de inversión se generaliza más allá del registro de la entrada — a la
pantalla, al audio, a la cámara?
- ¿Dónde deja de aplicar el argumento? Una capacidad sin ningún encuadre en primera
persona disponible presumiblemente no puede renombrarse hacia la legitimidad, que es el límite que vuelve falsable la afirmación 1.