Resumen Técnico: El Umbral del Sobre de Custodia

Planteamiento del Problema

La infraestructura institucional moderna depende fuertemente de artefactos mantenidos externamente (por ejemplo, dependencias de paquetes, imágenes de contenedores, acciones de CI/CD, módulos de Terraform, pesos de modelos). Si bien estos artefactos son triviales para que un desarrollador individual los obtenga y los componga, las instituciones luchan por admitirlos, gobernarlos, revocarlos o defenderlos tras un fallo. Los marcos existentes como SLSA, NIST SSDF y el S2C2F de Microsoft se centran en la integridad del productor, las prácticas de desarrollo seguro o la madurez del consumo seguro. Sin embargo, no logran explicar un enigma empírico crítico: por qué clases de artefactos comparables producen resultados institucionales divergentes. Algunos artefactos se admiten directamente, otros se gestionan mediante proxies, mediación de políticas, mediación de proveedores, internalización o rechazo. El artículo argumenta que la literatura actual carece de un modelo descriptivo-predictivo que explique por qué diferentes clases de artefactos se vinculan a diferentes condiciones de custodia y cómo las instituciones seleccionan los modos de gobernanza en respuesta.

Metodología

El artículo propone el Umbral del Sobre de Custodia (Custody Envelope Threshold), un modelo de admisión de artefactos escalado por autoridad. La metodología se estructura de la siguiente manera:

1. Linaje Teórico: El modelo sintetiza la tradición del monitor de referencia (privilegio mínimo, mediación completa) y la economía de los costos de transacción (modos de gobernanza como elecciones institucionales comparativas).
2. El Instrumento: Un instrumento ordinal de cuatro condiciones califica los artefactos en un contexto de uso específico:
   • Autoridad de Ejecución ($A$): El nivel de privilegio que recibe el artefacto (0: no ejecutor a 3: infraestructura/producción privilegiada).
   • Identidad del Objeto ($I$): La estabilidad y verificabilidad de la identidad del artefacto (0: inestable/implícita a 3: verificable/vinculada a políticas).
   • Vía de Ingreso ($G$): El control sobre cómo entra el artefacto en la institución (0: obtención pública directa a 3: frontera impuesta por políticas).
   • Capacidad de Revocación ($R$): La capacidad de bloquear, eliminar o reemplazar el artefacto tras su admisión (0: sin vía a 3: revocación rápida y auditable).
3. La Regla de Cierre: La admisión institucional directa es defendible solo si el eslabón más débil de la custodia cumple con el umbral de autoridad:
   $$\min(I, G, R) \ge A$$
   Si esta condición falla ($D = A - \min(I, G, R) > 0$), existe un "déficit de custodia".
4. Heurística de Selección de Gobernanza: Cuando la admisión directa falla, la institución selecciona el modo de gobernanza de menor carga capaz de cerrar el déficit. Esta selección depende de:
   • Especificidad de la Custodia Local ($S$): Cuánta capacidad de conocimiento específico de la institución se requiere para un uso seguro (0: commodity a 3: específico de la institución).
   • Disponibilidad de Cierre Externo: Si un proveedor externo puede suministrar la frontera faltante.
   • Escrutinio Institucional ($Q$): El nivel de presión de revisión externa o interna.
5. Derivación y Validación: El modelo se aplica a seis casos de derivación (dependencias de paquetes, GitHub Actions, imágenes de contenedores, proveedores/módulos de Terraform, extensiones de desarrollador y artefactos de modelos abiertos). Se somete a una prueba de estrés contra flujos de curl | bash y se evalúa frente a evidencia retenida de servidores del Protocolo de Contexto de Modelo (MCP). Se propone un diseño de validación que implica la codificación independiente de entradas y resultados para probar cuatro hipótesis relativas al escalado de autoridad, déficits de vinculación, dependencia del contexto e interacción del escrutinio.

Contribuciones Clave

• Modelo Descriptivo-Predictivo: A diferencia de los marcos de madurez prescriptivos (como S2C2F), este artículo ofrece un modelo que predice por qué las instituciones eligen modos de gobernanza específicos (proxy, mediación de políticas, mediación de proveedores, internalización, cuarentena) basándose en la interacción entre la autoridad del artefacto y el cierre de la custodia.
• Custodia Escalada por Autoridad: El artículo establece que los requisitos de custodia no son estáticos; escalan con la autoridad de ejecución delegada al artefacto. Un artefacto de baja autoridad requiere controles modestos, mientras que uno de alta autoridad exige una identidad fuerte, un ingreso controlado y una revocación rápida.
• Taxonomía de Modos de Gobernanza: Define seis resultados de gobernanza distintos no como etiquetas arbitrarias, sino como respuestas económicas a los déficits de custodia bajo autoridad delegada.
• Instrumento Operativo: Proporciona una rúbrica de puntuación determinista (0–3) para la identidad, el ingreso, la revocación y la especificidad, permitiendo la predicción mecánica de los modos de gobernanza primarios.
• Evidencia Retenida (MCP): El artículo introduce los servidores del Protocolo de Contexto de Modelo (MCP) como una clase de artefacto retenida, demostrando que las superficies de gobernanza emergentes (registros, puertas de enlace, autorización con alcance) se están materializando exactamente como predice el modelo para herramientas de IA de alta autoridad.

Resultados y Observaciones

La aplicación del marco a los seis casos de derivación arroja los siguientes patrones:

• Dependencias de Paquetes: Típicamente exhiben déficits de ingreso y resolución de nombres de espacio. El modo predicho y observado es Proxy (feeds internos, espejos).
• GitHub Actions: A menudo enfrentan déficits de identidad mutable y de alta autoridad. El modo predicho es Mediación de Políticas (vinculación a SHA completo, listas de permitidos) o Cuarentena.
• Imágenes de Contenedores: Frecuentemente sufren déficits de revocación e ingreso. El modo es Proxy con controles de tiempo de ejecución curados.
• Proveedores de Terraform: A pesar de su alta autoridad, su fuerte identidad (firma) e ingreso (espejos) permiten la Admisión con distribución firmada y bloqueada.
• Módulos de Terraform: Se vinculan a la especificidad de la custodia local (conocimiento arquitectónico). El modo es Internalizado (copiado/envuelto internamente).
• Extensiones de Desarrollador: Enfrentan déficits de autoridad de punto final y de control de actualización. El modo es Mediación de Políticas o Mediación de Catálogo.
• Artefactos de Modelos Abiertos: A menudo carecen de mecanismos de carga seguros y rutas de revocación para contextos de alta autoridad. El modo es Mediación de Proveedor (catálogos gestionados) o Cuarentena.
• Servidores MCP (Evidencia Retenida): La evidencia temprana sugiere que los servidores MCP de alta autoridad se están moviendo hacia una gobernanza de Mediación de Proveedor (puertas de enlace, catálogos) a medida que el ecosistema madura.

El artículo señala que "curl | bash" persiste en contextos de bajo escrutinio, pero es transformado o bloqueado en entornos de alto escrutinio, confirmando la predicción del modelo de que el escrutinio impulsa la convergencia hacia una custodia más fuerte.

Significado y Reivindicaciones

El artículo afirma que desplaza la unidad de análisis de la "aprobación de código abierto" a la "admisión de clase de artefacto". Su significancia central radica en proporcionar un marco falsable que explica la divergencia institucional:

1. Falsabilidad: El modelo se debilita si las instituciones de alto escrutinio admiten rutinariamente artefactos de alta autoridad con un cierre de custodia débil sin mediación. Por el contrario, se debilita si un fuerte cierre de custodia no se correlaciona con la admisión.
2. Economía de la Gobernanza: Replantea las decisiones de seguridad como elecciones económicas donde las instituciones seleccionan modos de gobernanza para minimizar la carga de cerrar los déficits de custodia en relación con la tolerancia al riesgo.
3. Poder Predictivo: El marco predice que la obtención pública directa disminuirá en las rutas de producción serias, siendo reemplazada por proxies, registros curados y puertas de enlace, incluso cuando el uso de artefactos públicos aumente.
4. Distinción de Trabajos Previos: Se distingue de SLSA y NIST SSDF al centrarse en la decisión de admisión y la divergencia de resultados entre clases de artefactos, en lugar de solo en la integridad del productor o las prácticas de desarrollo seguro.

El artículo concluye que las instituciones no admiten artefactos externos simplemente porque sean útiles; los admiten solo cuando la utilidad puede convertirse en una custodia escalada por autoridad con una carga de gobernanza aceptable.