Cada unidad de trabajo que ha aterrizado, de la más reciente a la primera, cada una con el commit que la cerró y la limitación que dejó atrás. Puedes contrastar cualquiera contra el repositorio en lugar de fiarte de mi palabra.
El endpoint de verificación ganó cuatro estados de veredicto, un informe de firmas y un ancla; la pantalla sigue pintando los dos antiguos. Conectarla implica también devolver la cabeza como ancla para la siguiente comprobación.
La verificación responde ahora VALID, BROKEN, TRUNCATED o UNVERIFIABLE, lleva un informe de firmas y se escribe a sí misma en la cadena que acaba de verificar. El truncamiento solo se afirma contra un ancla que aporta quien llama: una cadena no puede detectar su propia cola ausente.
La pantalla del playground todavía no consume los campos nuevos. Una verificación aterriza en la cadena un tick de drenado después, no en la respuesta que la produjo.
Ed25519 sobre el hash v2 de la entrada. La clave privada vive en la configuración del proceso y nunca toca la base de datos, así que una base de datos por sí sola no basta para falsificar una entrada. El registro de id de clave a clave pública es un fichero que se lee desde fuera de la base de datos.
El JDK no puede derivar la clave pública a partir de la privada, así que se configuran ambas y el par se autocomprueba al arrancar. El informe de cobertura de firmas se quedó interno hasta la unidad 42.
El id entra en la preimagen, los timestamps se serializan con precisión fija de microsegundos y las cadenas de texto se normalizan a NFC, de modo que la misma entrada produce el mismo hash en todas partes. Las entradas antiguas no se recalculan; el verificador bifurca según el esquema que declara cada fila.
Un esquema desconocido se reportaba como entrada malformada, lo cual inducía a error. Corregido en la unidad 42. La especificación de la preimagen vive en Javadoc, no en docs.
El ADR 0003 fija Ed25519, una clave por instancia guardada fuera de la base de datos, cuatro estados de veredicto y un registro de claves publicado en abierto. Un segundo commit corrige una afirmación falsa que el ADR hacía sobre los guards de vocabulario.
Marcado como «aceptado, aún no implementado». Artefacto de exportación, verificador independiente, anclaje temporal externo y claves por tenant, todo diferido.
El endpoint de invocación devuelve los datos de tokens que el libro mayor registró para esa llamada, como campo aditivo y anulable.
Sigue sin haber agregación por tenant ni materialización del coste.
Sesión, conversación, tenants, agentes, claves de API, invocaciones y la cadena de auditoría, todas construidas contra los mockups y leyendo de la API en marcha. Un guard de build falla si la pantalla de auditoría deriva hacia lenguaje de veredicto.
Sin arnés de tests en el frontend; su puerta es un build más verificación manual. El guard de vocabulario cubría la vista de auditoría y su hoja de estilos, no los tipos del wire: ampliado en la unidad 40.
Mockups en HTML estático, un fichero por viewport, cada uno declarando su propio contrato hasta los estados de foco, autocompletado y movimiento reducido. Especificación, no código.
El playground lee su propia identidad en lugar de pedirte que la pegues, y pinta la traza completa de herramientas a partir del contenido estructurado.
El número de rondas sigue sin poder derivarse del wire.
Introspección de claves, contenido estructurado de herramientas en el DTO de mensaje, y UUIDs malformados en un body respondidos con 400 en lugar de 500.
Los tres niveles pintados como un árbol, con agentes creados en el contexto en el que estás.
El id del tenant del workspace había que pegarlo a mano, porque aún no existía un endpoint de identidad.
Enviar a un agente real, consultar el estado de la invocación cada dos segundos y ver el bucle de herramientas como una traza plegable. Sin streaming falso: el motor es asíncrono y la interfaz lo dice.
No hay enlace mensaje-invocación en el wire, así que los metadatos de invocación son por vista.
Shell, sonda de salud y pantalla de sesión. La clave de API vive solo en memoria y nunca se escribe en ningún sitio.
El proxy de desarrollo suple el CORS, que el backend sigue sin configurar.
Un endpoint autenticado recalcula la cadena de un tenant y devuelve el veredicto, la secuencia en la que se rompe por primera vez con una clasificación pública, el recuento de filas previas a la cadena y un bloque de alcance que nombra lo que el recálculo no detecta.
Solo dos estados de veredicto en este punto, y el alcance decía que la firma estaba reservada: cierto entonces, superado por la unidad 41.
Crear un tenant, un agente o una clave, revocar una, configurar un canal: cada uno auditado dentro de la transacción de la propia operación, en la cadena del sujeto, con el tenant que actúa como actor.
Atribución del actor por id de clave, diferida. Dos hooks reservados sin emisión. El bootstrap del operador es la excepción génesis sin auditar.
Mensaje recibido, agente respondió, invocación fallida: cada uno emitido dentro de la transacción del hecho que audita, de modo que un evento auditado y uno sin registrar no pueden separarse.
Cuatro tipos de evento reservados sin emisión: acción externa, acceso a datos, escalado a humano, respuesta entregada.
Una cadena de hashes por tenant, con una fila de cabeza como única fuente de secuencia. Altera una entrada antigua y todos los enlaces posteriores dejan de cuadrar; el verificador reporta la secuencia exacta en la que se rompe por primera vez.
La firma sigue reservada, y con ella el residuo documentado: un atacante con privilegios que recalcule toda la cadena y reescriba la cabeza no es detectable solo con el recálculo.
Un outbox escrito dentro de la propia transacción de negocio de quien llama, y un registro de solo anexado donde update y delete están revocados para el rol de base de datos de la aplicación. Si el hecho de negocio hace commit, su registro de auditoría hace commit con él.
Columnas de cadena creadas reservadas y a null. Todavía sin emisores reales.
Una fila inmutable por llamada al LLM, escrita de forma síncrona antes de publicar el evento de respuesta. Si el insert en el libro mayor falla, la invocación falla.
Coste deliberadamente no materializado: el precio será una tabla versionada y una vista. Sin endpoint de consulta, sin agregaciones.
Un perfil de compose que levanta la app y un Ollama local, descarga el modelo, crea un agente de demo y envía el primer mensaje con uso de herramientas. El modelo por defecto llamó a la herramienta de reloj cinco veces de cinco.
El job de CI solo construye la imagen.
Paginación por keyset sobre el id ordenado en el tiempo, un sobre uniforme en todos los endpoints de listado. Una ruptura de contrato respecto a los arrays desnudos que había antes.
El listado de claves de API se quedó fuera del contrato y sigue devolviendo un array desnudo.
La respuesta aceptada devuelve un id de invocación, y un endpoint informa de su estado en vocabulario público desacoplado del ciclo de vida interno.
Las invocaciones abandonadas por el reaper y los fallos de preparación ajenos al LLM no dejan mensaje en la conversación; su única señal visible es el estado de la invocación.
Entrega saliente a través de un puerto de despacho en el dominio, invocado una vez que el último mensaje del agente ha hecho commit.
Explícitamente best-effort: sin outbox, sin reintentos, sin deduplicación en la entrega.
Una SPI de canal, un binding de una instancia de canal a un agente, y un adaptador de entrada de Telegram cuya ingesta es idempotente sobre el propio update id de la plataforma.
La credencial del bot se guarda en claro en reposo: cifrado diferido junto con las credenciales de LLM por tenant. Los canales soportados siguen siendo un conjunto hardcodeado.
Los ocho eventos de orquestación se convierten en métricas en un endpoint de actuator autenticado. Los hooks tendidos dos unidades antes tienen ya un consumidor.
Sin exportador: ni OpenTelemetry ni Prometheus, en ningún módulo.
Una cabecera de idempotencia opcional: una repetición con la misma clave para el mismo agente devuelve los ids originales y no ingesta nada, sostenida por un bloqueo insert-first sobre una restricción de unicidad.
Sin huella del cuerpo de la petición y sin purga de retención.
Un módulo hoja con un contrato sellado de ocho eventos, emitidos en cada paso del bucle. Nada los consume todavía: existen para que la auditoría pueda engancharse después sin reabrir el orquestador.
Un evento se publica dentro de la transacción de ingesta, así que un consumidor que persista necesitará un hook after-commit o un outbox.
El orquestador ofrece herramientas, ejecuta las que pide el modelo, devuelve los resultados e invoca de nuevo, hasta diez rondas. Las llamadas al modelo corren sin retener una conexión a la base de datos.
El timeout del reaper pasó a ser doce minutos planos en lugar de un heartbeat. Los esquemas de las herramientas no cuentan contra la ventana de contexto.
El mismo modelo neutral de herramientas se mapea sobre los bloques de contenido de Anthropic y sobre la forma compatible con OpenAI. El core nunca aprendió ninguno de los dos formatos.
Definiciones, llamadas y resultados de herramientas como tipos sellados en el dominio, un contrato ejecutable en un módulo nuevo, y mensajes de herramienta persistidos con su payload. Una herramienta de reloj viene incorporada, sobre todo para probar el contrato de extremo a extremo.
El registro de herramientas es global: sin ámbito por agente.
Un registro duradero de trabajo diferido conscientemente, guardado en el fichero que lee el tooling. Los huecos conocidos dejan de ser folclore y pasan a ser una lista.
Un endpoint resuelve o abre la conversación, anexa el mensaje y encola el trabajo en una sola transacción, a prueba de carreras bajo un índice único parcial. La respuesta llega de forma asíncrona.
La respuesta aceptada omitía el id de invocación, así que un cliente no podía preguntar qué había pasado. Corregido en la unidad 22.
Un único adaptador compatible con OpenAI registrado como tres proveedores condicionales, con un modelo local sin clave como valor por defecto en desarrollo. El segundo adaptador entró sin tocar la interfaz: la única prueba real que recibe una abstracción.
Autenticación real por clave en cada ruta: qué tenant eres sale de la clave validada, nunca de una cabecera. Las claves se hashean con un pepper. El ADR 0002 fija que la autoridad es la relación de visibilidad que la base de datos ya impone.
Sin roles y sin scopes. Sigue siendo cierto hoy.
Ahora se conecta como un rol de mínimo privilegio con row-level security activa en tiempo de ejecución. La reclamación entre tenants del worker en segundo plano pasa por funciones de ámbito estrecho, y el ADR 0001 fija esas tres como las únicas salidas sancionadas.
No es un pendiente sino una restricción permanente: cada nueva necesidad entre tenants exige una función nueva y una razón documentada.
Tenants y agentes sobre HTTP, con un contrato global de errores y un id de petición que recorre los logs y vuelve en una cabecera.
Una cabecera de desarrollo hacía las veces de tenant, emparejada con una ruta abierta. Ambas estaban marcadas explícitamente para desaparecer, y desaparecieron, en la unidad 10.
La entidad de clave y el filtro de autenticación aterrizan en el pipeline de seguridad sin ningún endpoint detrás todavía.
Una cola sobre la base de datos, ensamblado de contexto acotado por la ventana del modelo, un worker que reclama filas sin bloquear a sus vecinos, backoff en el reintento y un reaper para las reclamaciones cuyo worker murió. Todo lo que vino después se apoya en esto.
La reclamación y el reap cruzan tenants y aún no funcionaban bajo un rol de mínimo privilegio. Resuelto en la unidad 9.
Un contrato neutral de proveedor con un registro y un modelo neutral de invocación, más el primer adaptador detrás.
Streaming dejado fuera del contrato a propósito. Un proveedor. Sin credenciales por tenant.
Conversaciones y mensajes bajo el mismo aislamiento jerárquico, ids ordenados en el tiempo desde un único punto del dominio, y transiciones de ciclo de vida explícitas.
El escalado se escribió sin ningún llamador. Sigue sin tenerlo: es un hook reservado, y el log lo dice en lugar de dar a entender que la funcionalidad existe.
Operador, partner, cliente: con la visibilidad impuesta por row-level security, donde la regla de cada entidad llama a la de su padre. Olvidar un filtro no puede filtrar las filas de otro tenant, porque la base de datos no las devolverá.
El campo de proveedor era una cadena libre validada contra un conjunto hardcodeado, a la espera del contrato que llegó en la unidad 5.
El build, el stack local y la integración continua, con la forma ya dibujada y nada dentro. Nombrar pronto los módulos vacíos es lo que evita que los llenos crezcan unos dentro de otros más adelante.
Readme, licencia y contexto del proyecto. Source-available ahora, Apache 2.0 cuatro años después de cada release. Sin código todavía, y el fichero lo decía.
Primer commit: 18 de mayo de 2026.