Principios de diseño de Agent NAS: ocho tesis, siete apuestas

1. La unidad de acceso es la ejecución, no la cuenta

La práctica actual es darle a un agente un token de larga duración o una cuenta humana: el token del incidente de abril de 2026 estaba “hecho para gestionar dominios, pero podía hacerlo todo”. Una ejecución tiene principio, fin, propósito y un responsable, lo que la convierte en una unidad natural de autorización y de rendición de cuentas.

Descarta: las claves compartidas, los tokens de larga duración y las cuentas humanas prestadas.

2. Deshacer es más barato que prevenir

La prevención (aprobaciones, clasificadores, reglas en los prompts) siempre tendrá fugas: los clasificadores fallan, las personas fallan más, y los modelos rompen los principios escritos en sus prompts. Hacer que los errores sean reversibles (ramas, borrado lógico, instantáneas) es mucho más fácil que hacer que cada acción sea correcta, y más fácil de verificar. Un corolario: la vía de recuperación debe quedar fuera del radio de impacto de lo que protege, por eso las instantáneas están en manos del propietario y fuera del poder de cualquier concesión.

Descarta: tratar “una línea en el prompt que pide confirmación” como un control.

3. La autoridad se presta por tarea, no se concede por identidad

Una ejecución recibe una concesión estrecha y limitada en el tiempo, con presupuestos; las claves de larga duración se quedan con el orquestador o con el propietario, y el modelo nunca las ve.

Descarta: los permisos permanentes, amplios y de larga duración.

4. Las notas son la verdad, la inteligencia es caché

La memoria debería ser archivos que las personas puedan leer y editar; los índices, los embeddings y los resúmenes son derivados desechables y reconstruibles. Así el algoritmo de recuperación puede cambiar sin perder memoria, y el envenenamiento y el borrado se vuelven manejables.

Descarta: los almacenes de memoria opacos que no se pueden inspeccionar ni mover.

5. La procedencia es la columna vertebral

Cada recuerdo, cada derivado y cada fusión pueden responder a “¿de dónde viene y qué lo influyó?”. La procedencia es la base de la auditoría y también del control del envenenamiento, de las etiquetas de confianza y del olvido.

Descarta: la memoria sin procedencia.

6. La política es determinista, y los modelos solo pueden endurecerla

Las decisiones de autorización las toma el código, no la “opinión” de un modelo. Un clasificador o un LLM puede sugerir que “este paso necesita aprobación”, pero nunca puede aprobar.

Descarta: dejar que un modelo decida por sí mismo si algo puede pasar.

7. Mantén el almacenamiento aburrido y pon la innovación en el contrato

Ningún motor nuevo; primero los archivos, porque la interfaz que mejor conocen los modelos es el archivo; los protocolos cambiarán, los seis sustantivos no.

Descarta: inventar un motor de almacenamiento nuevo en nombre de la IA.

8. Lo escaso son los tokens y la atención humana

Las lecturas tienen un presupuesto; las aprobaciones son pocas y concretas, y están donde una persona puede juzgar de verdad: en los planes y las fusiones, no en cada acción.

Descarta: devolver archivos enteros por defecto; una ventana emergente por cada acción.

Siete apuestas y qué las refutaría

Un diseño que aspira a durar años debería decir a qué apuesta y cuándo se equivocaría.

Apuesta	Fundamento	Si falla
B1 Los agentes seguirán usando el sistema de archivos y Git como su principal medio de trabajo	Varios runtimes importantes ya se han pasado a los archivos.	Si pasan a “APIs de memoria” dedicadas, Agent Home se degrada a un formato de exportación; los demás conceptos no dependen de los archivos y siguen en pie.
B2 “Una ejecución” sigue siendo la unidad natural de autorización y de rendición de cuentas	Los orquestadores suelen arrancar sandboxes por tarea o por sesión.	Si aparecen procesos autónomos de larga vida, las concesiones pasan a ser renovaciones continuas con presupuestos, y el concepto se mantiene.
B3 La inyección de prompts no se erradicará en la capa del modelo en un futuro previsible	La propia formulación de Meta; las tasas de fallo de los clasificadores; varios estudios de ataques.	Si se erradica, las Trust Labels pasan a ser una capa barata de defensa en profundidad.
B4 La atención humana sigue siendo escasa	Datos publicados por Anthropic.	Si la automatización total llega a ser lo bastante fiable, una Human Gate deja paso a una política de autorización previa, y la auditoría se mantiene.
B5 La capa de almacenamiento es el lugar adecuado para imponer la procedencia y la contaminación	La investigación sobre seguridad de la memoria insiste en la procedencia en el momento de escribir; OpenClaw hizo lo mismo dentro de un runtime.	Si cada runtime lo hace bien por sí mismo, al NAS solo le queda almacenar las etiquetas, y su papel se adelgaza.
B6 La memoria compartida entre runtimes y agentes se convertirá en una necesidad real	La colaboración entre varios agentes; el coste de migrar de framework.	Si la memoria sigue siendo una función privada de cada framework, el valor de Agent Memory estará sobre todo en la portabilidad para particulares y equipos pequeños.
B7 Los protocolos cambiarán, pero “archivos más herramientas” como dos puertos seguirá estable	Las migraciones de versión de MCP; A2A 1.0.	Se cambian los adaptadores; por eso los adaptadores aíslan los protocolos.

Qué esperamos que siga estable y qué esperamos que cambie

Se espera que siga estable	Se espera que cambie
Los seis sustantivos	Los protocolos y transportes concretos
La convención de directorios de un Home	Los modelos de embeddings y los algoritmos de recuperación
Las cuatro promesas	Los formatos de token
La garantía de que “exportar significa poder irse”	Los frameworks de agentes y las interfaces persona-máquina

Citar esta página

Direcciones estables y una cita sugerida para personas, buscadores y agentes.

URL canónica: https://agentnas.com/es/principles/
Versión en Markdown: https://agentnas.com/es/principles/index.md
Cita sugerida: Agent NAS project. “Principios de diseño.” agentnas.com, 2026-11-11. https://agentnas.com/es/principles/

1. La unidad de acceso es la ejecución, no la cuenta #

2. Deshacer es más barato que prevenir #

3. La autoridad se presta por tarea, no se concede por identidad #

4. Las notas son la verdad, la inteligencia es caché #

5. La procedencia es la columna vertebral #

6. La política es determinista, y los modelos solo pueden endurecerla #

7. Mantén el almacenamiento aburrido y pon la innovación en el contrato #

8. Lo escaso son los tokens y la atención humana #

Siete apuestas y qué las refutaría #

Qué esperamos que siga estable y qué esperamos que cambie #