Tools, permisos y límites de confianza
La lista de tools describe capacidad. La frontera efectiva decide qué efectos pueden ocurrir.
Los enlaces con ?t= abren el vídeo en un segundo concreto.
Las ideas que debes retener
La pregunta correcta no es «¿qué tools tiene el agente?»
Hay al menos seis planos distintos:
Tool availability y permission son controles diferentes
Reducir el catálogo de tools que ve el modelo tiene valor. Disminuye el espacio de acciones que puede proponer y evita intentos inútiles.
La policy debe vivir fuera de la inferencia del modelo
Una instrucción como esta puede orientar comportamiento:
Ve directamente a una sección
Leer transcripción revisada
Vídeo sin narración. Esta transcripción reproduce el texto visual del vídeo; no atribuye una voz inexistente.
Disponible no significa permitido
La herramienta shell admite técnicamente muchas órdenes.
La política permite leer este repo, pero deniega escribir fuera de su workspace.
La lista de tools describe capacidad. La frontera efectiva decide qué efectos pueden ocurrir.
Permitir, preguntar o denegar
La política evalúa la acción concreta antes de ejecutarla.
Una lectura puede permitirse; una publicación requerir aprobación; un destino prohibido se deniega.
Pedir permiso no es ejecutar. Sólo la rama autorizada llega al efecto.
Aprobar esta acción exacta
Se aprueba publicar el diff A en la rama de revisión.
Cambiar el diff a B o el destino a main cambia el alcance de la decisión.
El recibo debe vincular acción, destino y versión. Un “sí” antiguo no autoriza cualquier sustitución.
Comprobar y usar no son lo mismo
La política comprueba el destino cuando apunta a A.
Antes de ejecutar, otro proceso lo cambia. La comprobación ya no describe el estado actual.
Hay que evitar esa carrera o revalidar la identidad al aplicar el efecto.
El secreto no es parte del prompt
El modelo solicita una operación; no necesita leer la credencial que la ejecuta.
Un mediador usa una identidad limitada al repo y a la acción autorizada.
El secreto queda fuera del contexto y la credencial tiene un alcance mínimo. La política sigue siendo obligatoria.
El contenido no cambia la política
Un archivo del repo contiene una frase que pide saltarse la revisión.
Esa frase se trata como dato no fiable, no como una nueva regla del harness.
La publicación sigue pasando por el control externo. Un hook editable no debe ser su única defensa.
