El cerebro de Koinessa: cinco planos, un sistema

2026-08-30 · Arquitectura de IA ·

Tus decisiones de ingeniería viven en el historial de chat de un agente. Los resultados de tus campañas viven en una hoja de cálculo que alguien exportó en junio. La razón por la que elegiste Postgres en lugar de DynamoDB para ese servicio vive en un hilo de Slack que ya no puedes encontrar. Cada nueva sesión de IA empieza por rederivar un contexto que ya existía en alguna parte — datos de negocio, conocimiento de código, resultados de campañas y decisiones dispersas en sistemas que no se hablan entre sí y que olvidan según su propio calendario.

La sección 3 del libro blanco de Koinessa aborda esto con el cerebro: no es otro panel más, sino un único sustrato de memoria y coordinación del que leen y ante el que responden los agentes, la verificación y la planificación. Este artículo recorre la arquitectura: los cinco planos, el gateway de escritor único y el fallo que hay detrás de él, lo que realmente garantizan los protocolos MCP y A2A (con las brechas de seguridad medidas), la historia de incorporación del sexto proveedor, y por qué la sesión del modelo es desechable mientras que el sistema operativo es duradero.

Una sola memoria para ingeniería y operaciones

Primero, el resultado de negocio: una sola fuente de verdad operativa. La consolidación no es una cuestión de orden — es que un agente que responde una pregunta de marketing y un agente que retoma un PRD a medio terminar se apoyen en los mismos hechos verificados, con procedencia, en lugar de volver a investigar lo que la organización ya sabe. Recuperación antes que repetición.

El sustrato es deliberadamente poco vistoso: una sola base de datos DuckDB. El 2026-08-23 contenía 346 tablas base y 21 vistas (27 de ellas backups de migración conservados), y el alcance por tenant se mide por relación en lugar de asumirse: 333 de las tablas base llevan project_id; 13 tablas compartidas o de infraestructura no. El hecho instructivo es una migración, no el número de tablas: una migración completa de la clave de identidad en 47 tablas y 110,811 filas se ejecutó en vivo con cero corrupciones, usando reconstrucciones completas de tabla, nunca actualizaciones de clave en el propio lugar. Esa es la doctrina de autonomía por niveles de riesgo aplicada al propio corazón del sistema, y existe por la vez en que esa regla no se siguió.

Cinco planos, no «una herramienta de IA con memoria»

El libro blanco rechaza la descripción «un sistema operativo de IA con memoria» y en su lugar describe cinco planos distintos que forman un solo sistema:

Lo que une a los planos es un invariante, que vale la pena citar completo: la inferencia puede fallar, desaparecer, alucinar, compactarse, cambiar de proveedor, perder su sesión, exceder su contexto o volverse demasiado costosa — sin que la organización pierda estado, autoridad, evidencia o control. La intercambiabilidad de proveedores está etiquetada como un objetivo de diseño respaldado solo donde existen comprobantes de código y de tiempo de ejecución, con etiquetas de capacidad (en vivo, no habilitado, en curso, planeado) impresas por componente — la misma disciplina que el informe de estado de limitaciones. La descomposición completa está en la sección de arquitectura del libro blanco.

El gateway de escritor único es una cicatriz, no un estilo

Toda escritura externa cruza un único gateway HTTP. Las escrituras y las transacciones están protegidas por bearer token a través de un mutex de escritor único, los arriendos de elementos de trabajo llevan fencing tokens, y las lecturas están libres de token solo cuando el gateway está enlazado a la interfaz de loopback; en cualquier otro enlace, las lecturas requieren un principal identificado por bearer token exactamente igual que las escrituras.

Una ruta de escritura estrecha puede parecer una limitación de rendimiento hasta que lees por qué existe. Una actualización anterior de clave primaria en el propio lugar corrompió el write-ahead log de la base de datos, y la recuperación funcionó solo porque las snapshots y la repetición del log ya habían sido diseñadas antes del fallo. El diseño de escritor único es esa cicatriz convertida en arquitectura — y la razón por la que la migración de clave de identidad mencionada arriba usó reconstrucciones completas de tabla.

La postura de lectura viene de una doctrina más antigua. El SP 800-207 del NIST, Zero Trust Architecture (2020), formalizó el principio de que ninguna ubicación de red otorga confianza implícita: cada acceso se autentica y se autoriza por solicitud, porque se asume que el perímetro ya está vulnerado (csrc.nist.gov). Koinessa lo aplica literalmente: una conexión LAN no otorga confianza implícita, y un trabajador puede alcanzar un recurso sin tener la autoridad de política para usarlo — ambos hechos se verifican. Por encima del gateway, el plano de coordinación registra sesiones y heartbeats, detecta colisiones de reclamos de archivo de forma cooperativa, y permite que una sesión sucesora, de cualquier proveedor, reanude desde un checkpoint sin historial de chat.

MCP y A2A estandarizan la conectividad, no la confianza

Los protocolos de agentes son los bordes del sistema, y la posición del libro blanco es que la conectividad es la mitad fácil. La especificación del Model Context Protocol estandariza cómo una aplicación dirigida por un modelo llega a las herramientas y al contexto, incluyendo un marco de autorización basado en OAuth (revisión 2026-07-28) que es opcional a nivel de protocolo. El protocolo Agent2Agent, un proyecto de la Linux Foundation aportado por Google, aborda la comunicación entre agentes independientes. Ninguno de los dos es un sistema de identidad.

La letra pequeña importa. El marco de autorización HTTP de MCP es opcional y se basa en OAuth 2.1. La firma de Agent Card de A2A 1.0 (sección 8.4) permite tarjetas firmadas con JWS; la verificación contra una clave de confianza establece la integridad de la tarjeta y el origen del proveedor, pero la firma es opcional y no es un sistema de identidad global para agentes. Internet estandarizó la entrega de paquetes sin resolver la identidad, el fraude o la confianza; los protocolos de agentes están repitiendo el patrón.

2026 produjo mediciones. Un primer estudio de medición de la seguridad de autenticación en el ecosistema MCP identificó 7,973 servidores MCP remotos activos y encontró que el 40.55% expone herramientas sin ninguna autenticación. De los 119 servidores con OAuth habilitado y comprobables, un marco de detección semiautomatizado encontró que todos y cada uno presentaba al menos una falla — 325 fallas en total, con fallas de registro dinámico de clientes que afectaban al 96.6% — lo bastante graves como para producir 9 CVE mediante divulgación responsable. Se aplica la propia advertencia del estudio: es una instantánea v1 de mayo de 2026 de los servidores comprobables, no una propiedad universal de los despliegues de MCP. Pero «los 119 servidores probados con fallas» no es una cifra que puedas ignorar.

Un segundo artículo, Breaking the Protocol, atacó la especificación misma. Identifica tres vulnerabilidades a nivel de protocolo — ausencia de atestación de capacidades (los servidores pueden reclamar permisos arbitrarios), muestreo bidireccional sin autenticación de origen (que permite inyección de prompts desde el servidor), y propagación implícita de confianza entre configuraciones multiservidor — y muestra, a través de 847 escenarios de ataque en cinco implementaciones de servidor MCP, que las decisiones arquitectónicas de MCP amplificaron las tasas de éxito de los ataques entre un 23 y un 41% frente a integraciones equivalentes sin MCP. La extensión retrocompatible de los autores redujo el éxito de los ataques del 52.8% al 12.4%. El artículo limita estos riesgos a MCP v1.0, y el borrador actual de mejores prácticas de seguridad de MCP ya ofrece mitigaciones — pero el contenido no confiable de servidores y herramientas todavía requiere validación, aislamiento y autorización del lado del cliente.

La respuesta de Koinessa es estructural, no esperanzada: la procedencia y la autoridad son campos del contexto, no propiedades que un modelo adivina a partir de la prosa. El registro de herramientas contiene 366 herramientas (137 rutas de API, 104 skills, 91 scripts, 29 agentes, 3 componentes de CI, 2 servidores MCP) detrás de un único contrato de búsqueda de dos niveles, donde el bloque de invocación de una herramienta es dato, nunca algo inferido a partir de un nombre. Cada adaptador de proveedor llega a ese contrato a través de la misma superficie MCP local; la parte específica de cada proveedor es un solo bloque de registro. Los agentes deben consultar un corpus de investigación curado de 5,351 documentos (sin cambios desde el 2026-08-18) antes que la web abierta, de modo que las respuestas se mantengan trazables hasta las fuentes que la empresa eligió.

Seis proveedores registrados, seis deshabilitados: la salvaguarda es la funcionalidad

La capa de proveedores unificada tiene estado No habilitado: seis descriptores de proveedor (Kimi Code, Claude Code, Codex, Grok, Ollama local y Devin CLI) registrados bajo una única forma tipada y tres transportes de sesión, cada uno de ellos deshabilitado. Ese es el diseño funcionando como se pretendía.

Un descriptor lleva todo lo específico del proveedor como datos: un binario fijado por SHA-256 y una versión de CLI sondeada, una sonda de credenciales que comprueba la presencia de archivos y nunca lee su contenido, ventanas de contexto por modelo con un vocabulario de procedencia de cuatro valores (medido, sondeado, documentado por el proveedor, sustituto no verificado), y un flag de habilitación fail-closed. Los campos no sondeados llevan un marcador explícito que ningún gate acepta, de modo que un descriptor registrado antes de que su binario se ejecutara alguna vez falla el preflight de forma cerrada. Los tres transportes comparten un solo contrato con ocho tipos de fallo de preflight nombrados y resultados libres de secretos por construcción.

El sexto descriptor, Devin CLI, es el ejemplo trabajado de cómo incorporar a un proveedor sin extender confianza por delante de la evidencia. Antes de cualquier habilitación, Koinessa implementó una salvaguarda de denegación total (una configuración que deniega toda clase de herramienta más un hook previo a la herramienta que bloquea con un rechazo legible por máquina) y la probó con un canario dentro del propio árbol: la única llamada a herramienta de la sesión fue rechazada, y un marcador plantado nunca salió del árbol. La precondición de gobernanza de datos se verificó en lugar de asumirse: los términos de Cognition permiten usar los datos del cliente para entrenar modelos, con una opción de exclusión en el nivel de pago que habilita retención cero de datos, así que el operador pasó a un nivel de pago y confirmó la exclusión antes de la primera prueba gobernada (reportado por el operador, 2026-08-23). El límite de la salvaguarda se declara con el mismo cuidado: gobierna el carril de la CLI local; una sesión de proveedor en la nube sobre su propio clon está gobernada por las reglas del repositorio y los controles del lado del proveedor. La integración más profunda está especificada y en revisión, con estado En curso.

Sesiones desechables sobre un sistema operativo duradero

El Context Compiler (implementado el 2026-08-10) ensambla, para cada sesión física de modelo, un Context Packet acotado y con procedencia a partir del estado canónico: el requisito aprobado, el estado y el diff de Git, los hechos autoritativos del cerebro, los símbolos de código con rangos de origen precisos, la propiedad, el último checkpoint, la evidencia de verificación, la política aplicable y el presupuesto. Un elemento de trabajo lógico abarca muchas sesiones físicas cortas — sesión A, checkpoint, sesión B, checkpoint, finalización verificada — y ninguna sesión física es dueña de la verdad. La inferencia está en arriendo: un trabajador lógico no ocupa ningún cupo del proveedor mientras corren las pruebas locales, de modo que el tamaño del enjambre se mantiene independiente del margen de concurrencia de cualquier proveedor. La verificación, no el relato del generador, es la condición de parada: la disciplina fail-closed detrás de evidence-gated agentic development. La postura sobre la compactación es absoluta: ningún resumen conversacional con pérdida es jamás la copia autoritativa del estado organizacional, de modo que el contexto de una sesión siempre puede reconstruirse a partir del estado canónico.

Durabilidad ganada a pulso. La máquina que sirve al cerebro perdió energía dieciséis veces en catorce días; dos cortes desgarraron el archivo principal de la base de datos, y uno, sin vigilancia, produjo un bucle de caídas de varios días contra una instantánea más reciente de diez días de antigüedad. La respuesta, aterrizada en código y pruebas el 2026-08-23 y corriendo en el gateway desde su cambio a un servicio nativo de Windows el 2026-08-24, trata una caída como un costo medido en segundos: checkpoints cada sesenta segundos o cincuenta escrituras; tres clases de corrupción manejadas de forma distinta (un bloqueo transitorio se reintenta, un write-ahead log no reproducible se pone en cuarentena, un archivo principal desgarrado se restaura desde la instantánea importable más reciente y se promueve de forma atómica); la recuperación escribe su propia fila de auditoría en la base de datos restaurada antes de la promoción; y cuando ninguna instantánea se puede importar, el gateway se niega a iniciar con un código de salida dedicado que su supervisor interpreta como «detente, no reinicies» — servir un cerebro vacío sería peor que no servir ninguno. La memoria institucional que no puede sobrevivir a una caída no es memoria institucional.

Lo esencial

El estado disperso no es un problema de información; es un problema de autoridad. Cuando las decisiones, el conocimiento de código, los resultados de campañas y la evidencia viven en sistemas distintos con curvas de olvido distintas, cada sesión de agente paga el impuesto de la re-derivación y nadie puede demostrar lo que la organización sabe. La respuesta del cerebro es arquitectónica: cinco planos unidos por un invariante (la inferencia es desechable, el estado no lo es), un gateway de escritor único construido a partir de una cicatriz real de corrupción, bordes de protocolo tratados como conectividad y no como confianza porque las mediciones de 2026 dicen exactamente eso, y una incorporación de proveedores que empieza en denegación total y se gana su lugar. El argumento completo, con cada fecha de instantánea y etiqueta de capacidad, está en el libro blanco de Koinessa.