2026-08-04

Investigación — Observación, no presunción: un estándar probatorio para la instrumentación de equipos

Estado: NOTA DE INVESTIGACIÓN (previa al plan). No es un sprint. Sin código. Según docs/PROCESS.md §1.1, el análisis exploratorio vive en docs/research/ hasta que se compromete a un sprint. Fecha: 2026-08-04 Origen: una limpieza de vocabulario que resultó ser un argumento de diseño. Quitar la palabra keylogger de la descripción de una pieza obligó a preguntar qué es la capacidad, y la respuesta replanteó el programa: es instrumentación, no herramienta de seguridad. Salida prevista: un artículo. Esta nota es el plan previo, no el artículo.

---

Tesis

Un sensor de equipo que registra observaciones y atribuye la causa después es un mejor instrumento que uno que clasifica amenazas en el momento de la detección — y la disciplina que lo hace así es el método científico, incrustado en la política del proceso en vez de aplicado por criterio.

El nombrado se sigue del diseño en vez de adornarlo: un instrumento que registra observables no puede honestamente llevar el nombre de una conclusión que no saca.

---

Qué hay de nuevo (frente a repetir el método)

1. El nombrado como control de ingeniería. Las banderas de funcionalidad, los nombres de símbolos, las cadenas de eventos de auditoría y las descripciones de las piezas son artefactos duraderos, que se leen después, fuera de contexto, por lectores que pueden ser adversarios. Nombrar una capacidad por la acusación es suministrar la acusación. El corolario afilado: un eufemismo envuelto alrededor de una capacidad encubierta es peor que la palabra cruda, porque se lee como una tapadera — de modo que un renombrado solo es válido cuando una restricción de compilación lo vuelve cierto. El nombrado se vuelve comprobable, y por tanto un control de ingeniería en vez de presentación.

El mecanismo morfológico. Esto no es una afirmación sobre el gusto. keylogger es una nominalización agentivakey + log + -er. El sufijo -er postula a alguien que hace, y quien hace implica propósito; la intención está dentro de la forma de la palabra antes de que se construya ninguna frase a su alrededor. «Raw input» es un sintagma nominal desnudo: datos, sin agente, sin finalidad. La sustitución cambia por tanto de categoría gramatical, no de registro — que es por lo que hace trabajo real y un sinónimo más suave no lo haría.

La misma estructura gobierna surveillance frente a observation: sur- + veiller es vigilar desde arriba, así que la asimetría de poder está en el morfema y no en la connotación; observare es mirar hacia, guardar. La elección no selecciona un registro: selecciona quién está por encima de quién.

La objeción obvia, y el refinamiento que obliga. «Input flight recorder» también es agentivo — carga el mismo -er. La distinción es el objeto de la agencia: el objeto del grabador es el sistema del que forma parte. La forma agentiva es legítima precisamente cuando el agente y la parte registrada coinciden, que es la inversión de la afirmación 3 dicha otra vez al nivel de la formación de palabras. Esto es lo que mantiene el análisis falsable: no se limita a preferir las palabras que elegimos.

Por qué importa en la operación. La forma defendible de la hipótesis de Whorf es la débil — el lenguaje no determina el pensamiento, pero con poca atención la morfología es toda la lectura. Un lector sin contexto, sin tiempo y sin nada en juego funciona solo con la forma de la palabra. Ese lector es exactamente el lector adversario para el que se construye el control.

El argumento etimológico a favor del estándar mismo. Logos significa a la vez palabra y cuenta / razón; nombrar y rendir cuentas comparten una raíz. Ese es el estándar de esta nota dicho de otro modo: un término que nombra un mecanismo comprobable es una rendición de cuentas, y un término que nombra una acusación es un veredicto vestido de sustantivo. «¿Se puede rendir cuenta de este nombre?» y «¿esto es siquiera un nombre?» resultan ser una sola prueba.

2. Atribuir una anomalía sin presumir la causa. Un gato sobre el teclado, un ataque de entrada inyectada, un cable flojo, una tecla atorada y un codo producen la misma observación: entrada cuya causa todavía no se ha atribuido. El gato es un factor de confusión en el sentido preciso: la entrada anómala correlaciona con el ataque y no lo causa. Un instrumento que reporta «ataque detectado» cuando un gato cruzó las teclas no es prudente, está equivocado, y cada reporte así cuesta credibilidad en los reportes que sí importan. La afirmación a poner a prueba: dejar cause abierta hasta que la evidencia la cierre produce medibles menos reportes falsos que el encuadre de detección de amenazas.

3. La tabla de inversión como definición. El registro en primera persona difiere de la intercepción encubierta en cuatro ejes a la vez: de quién es la entrada, quién se beneficia, si consiente la parte registrada, y si hace falta ocultarlo. Los cuatro se invierten. Una lista de dispositivos permitidos que rechaza los que no están en ella vuelve la definición comprobable en vez de afirmada, que es lo que la distingue de una declaración de buena intención.

4. Evolución convergente. Los componentes del método se construyeron aquí uno por uno, por razones locales, antes de que nada se llamara un método:

Método científicoMecanismo existente
Registro previoaction_intent se guarda y se le saca huella antes de la acción; los resultados se juzgan contra un compromiso previo
FalsabilidadPrueba por mutación (HARVEST-PLAYBOOK §13.3) — borra el mecanismo y una prueba tiene que ponerse roja, o no está construido
Observación antes que inferenciacause: unexpected_physical_input — un hueco que se atribuye desde la evidencia, no una etiqueta puesta al detectar
Instrumentos independientesTres oráculos (DOM, captura de pantalla, procedencia de la entrada); el desacuerdo se señala, no se resuelve por decreto
Un resultado nulo es un resultadoUNVERIFIED es de primera clase; el hook de commit-msg lo estampa en vez de redondear a aprobado
Cadena de custodiaRegistro inalterable de solo añadir; action_realized versiona la divergencia en vez de sobrescribirla
Observación directa por encima de la autoridadEl salto del registro inalterable se comprobó corriéndolo en una transacción revertida y observando — no leyendo el SQL

Esa convergencia es en sí misma la evidencia de la tesis: los componentes se adoptaron porque cada uno resolvía una falla real, no porque un método los recetara.

---

Qué falta

Esta nota es hoy un argumento, no un resultado. Se vuelve un artículo cuando:

1. La prueba diferencial produzca números. Sensibilidad y precisión del detector enmascarado, medidas contra la verdad de campo de la compilación instrumentada (ADR 0028). Sin eso, la nota afirma exactamente lo que dice que no se debe afirmar. 2. El invariante 8 tenga un mecanismo. La comprobación de compilación que falla cuando un objetivo distribuible resuelve raw-capture, probada por mutación. Hasta entonces la garantía central es una convención. 3. La afirmación 2 se ponga a prueba en vez de argumentarse. La tasa de reportes falsos bajo el encuadre de observación-primero contra el de detección de amenazas, sobre el mismo corpus de entrada.

Escribirlo antes de que eso exista sería justo la falla de la que trata la nota.

---

Material de origen (fechado, en el repositorio)

CommitAportación
28620750Vocabulario: mecanismo por encima de postura; quita sigilo y evasión
436c56d8Matriz de exposición de rutas — la exposición como superficie medida
ccefd408ADR 0028 — grabador de vuelo de la entrada, contrato de dos compilaciones, tabla de inversión
7902a0e5El defecto de nombrado en los metadatos publicados de la pieza, y su arreglo
b4e8b8dd«Raw input» como el nombre de la interfaz que usan los propios fabricantes de plataforma (Win32, XInput2, evdev)
40476d3bInstrumentación, no detección de intrusiones — el argumento del gato

Contexto de diseño: docs/architecture/adr/0028-input-flight-recorder-and-the-two-build-contract.md, docs/proposals/desktop-actuation/spec.md, docs/research/red-lab.md.

---

Preguntas abiertas

Construirlo puede ser la primera tarea.

pantalla, al audio, a la cámara?

persona disponible presumiblemente no puede renombrarse hacia la legitimidad, que es el límite que vuelve falsable la afirmación 1.

Toda la investigación