ember-memory-test/episodes/TRAZA_lo-que-el-ataque-encontr_S20260804.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

episode_id	puente_flat	session_code	acto_dialogico	actor_flujo	criticidad_aegis	skill_dominante	fase_proyecto	tipo_semantico	summary_one_line	source_type	trust_boundary	created_at	relectura_tagged	forgejo_commit_sha
db7c7b4f-fea5-4170-b415-0e5332297f6a	TRAZA_lo-que-el-ataque-encontr_S20260804.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD	S20260804.LLMOS_OLAS_AUDITORIA	informar	multi_actor	low	TESSERA	operations	troubleshooting	EPISODIO 1 — MNEMO_PRE_DIGEST: Lo que el ataque encontró	claude_code	internal	2026-08-05T04:48:10.307956+00:00	false	pending

Ataque ejecutado y círculo cerrado. Entregas:

📄 AUDITORIA_ADVERSARIAL_S20260804_ember_atacado_con_prompt_v3.md — el examen adversarial 📄 AUDITORIA_S20260804_ember_vs_doctrina_llm_os_v3_core.md — con AVISO DLC-2, legacy intacto

Lo que el ataque encontró

ADV-EMBER-001 · P1 · el hallazgo grave, y ya no es sospecha. Ayer dije que el gap de memoria era inferencia; hoy lo medí. El constructor del payload en crisol_run.py:459-477 escribe tier, confidence, ingested_via, puente_id, content_sha256… y cero campos que liguen el episodio al desenlace del turno que lo originó. Búsqueda de source_run|run_outcome|outcome|record_state: 0 coincidencias. Consecuencia: si un turno falla o lo revertimos, su episodio entra a la memoria idéntico a uno exitoso, y no hay forma de encontrarlo después para revocarlo. No es que el invariante se viole a veces: es estructuralmente inalcanzable porque el campo no existe. Y no se repara hacia atrás — los episodios ya ingeridos no tienen con qué distinguirse.

ADV-EMBER-002 · P2 · un modo transitorio que lleva 102 días siendo permanente. El flag protocolo_canary.flag dice since: 2026-04-25 y no tiene campo de expiración. Sus criterios de salida —"5 sesiones canary + FP<15%/FN<5% + John auth explícito"— nunca se evaluaron. Es el anti-patrón ZD-AP7 que promulgamos ayer, vivo en nuestro propio disco desde antes de escribirlo.

ADV-EMBER-003 · P2: existe un mcp_strict_mode que viene apagado de fábrica, en la superficie más expuesta a supply-chain. El problema no es el default; es que no hay decisión documentada de por qué.

Y dos hallazgos contra mí mismo, que son los que me dan confianza en que el ataque no fue teatro:

ADV-EMBER-004: mi auditoría de ayer calificó C-01 como ❌ describiendo el deny como "islas". Medido hoy: 23 hooks de producción con deny, 0 muertos, 31/31 gates probables muerden con control positivo. C-01 es 🟡, no ❌. La nota sube de 9.0 a 9.5/18. Me califiqué peor de lo que estoy — un error con signo humilde sigue siendo un error, y va corregido con AVISO en vez de reescritura.