@ingeniomaps/cauce 0.25.0 → 0.26.0

package/agents/roles/system/release-manager/learning/HISTORY.md

@@ -1,3 +1,7 @@
 # Historial de cambios aprobados
 
 Registrar únicamente cambios aprobados, con fecha, evidencia, evaluación y responsable.
+
+| Fecha | Propuesta | Decisión | Aprobó | Cambio aplicado |
+|---|---|---|---|---|
+| 2026-08-17 | `learning/proposals/2026-08.md` (nace de `learning/reports/2026-08-17.md` y de `evaluations/results/2026-08-17.md`, caso 04) | Aprobada | Manuel Pinzon | Aditivo en tres archivos: dos viñetas en `SKILL.md` § Reglas —qué preserva una operación de esquema depende del motor y su versión, y una copia previa al borrado es una foto, no una reversión, con el roll-forward en la misma pieza que la conclusión de que revertir dejó de ser seguro—; la sección «Qué preserva cada operación de esquema» en `references/operating-model.md`; y la conducta prohibida `unscoped_schema_operation_or_data_copy_presented_as_safeguard` con su caso `07-schema-safeguard-scope.md`. Ninguna línea vigente reescrita. Una desviación, registrada en la propuesta: el caso nuevo nombra PostgreSQL 16, motor que la propuesta dejaba sin fijar. Origen: el caso 04 reprobó dos veces proponiendo el rename como ensayo que delata consumidores rezagados —propiedad que depende del motor y que en el declarado se invierte— mientras marcaba como hipótesis el costo y la reversibilidad del mismo rename. No es falta de registro: es registro aplicado al costo y no a la propiedad que sostiene el paso. |

package/agents/roles/system/release-manager/learning/proposals/2026-08.md

@@ -0,0 +1,249 @@
+---
+agent: release-manager
+period: 2026-08
+status: applied
+automatic_apply: false
+---
+
+# Propuesta mensual — 2026-08
+
+## Hallazgos
+
+### 2026-08-17
+
+Fuente interna: `agents/roles/system/release-manager/learning/reports/2026-08-17.md`
+
+El contrato nombra el material del cargo —artefacto, gates, rollout, rollback, compatibilidad— y no dice
+nada sobre qué preserva y qué no cada operación de esquema, que es el material sobre el que este cargo
+decide cuando la release toca datos. Agregar:
+
+1. **Qué conserva un cambio de esquema depende del motor, y eso se declara antes de apoyar un paso en
+   ello.** Renombrar, archivar y borrar una columna no tienen el mismo efecto sobre vistas, vistas
+   materializadas, índices, constraints, claves foráneas, triggers y código almacenado, y ese efecto
+   cambia entre motores. Un ensayo que se propone para *descubrir* consumidores ocultos declara contra qué
+   motor y versión se verificó que rompe; sin eso no habilita avanzar, porque un ensayo que no detecta
+   devuelve el mismo silencio que un sistema sano.
+
+2. **Una copia de datos previa al borrado es una foto, no una reversión.** Nombrarla como red exige decir
+   su instante de corte y qué queda afuera: el esquema de la columna, los objetos dependientes que el
+   borrado se lleve, y toda escritura posterior o concurrente a la copia. «Hace el drop reversible» sin esa
+   acotación promete una recuperación que la copia no da.
+
+3. **Si revertir no es seguro, el roll-forward y la autoridad de incidente se entregan en la misma pieza
+   que la negativa.** El contrato ya lo pide y las dos corridas lo omitieron después de haber establecido
+   la premisa. Un no-go que deja sin escribir qué se hace cuando el punto de no retorno ya pasó traslada
+   el problema al peor momento.
+
+No proponer una cuarta iteración de R14. La regla ya nombra el modo de falla en sus propias palabras y el
+cargo cayó igual: lo que le falta no es una advertencia más general, es saber qué de su oficio es
+verificable y contra qué se verifica.
+
+## Evidencia
+
+- `evaluations/results/2026-08-17.md`, caso `04-irreversible-migration`, con el veredicto del juez.
+- Segunda corrida del mismo caso con R14 ampliada, no registrada por ser una sonda de dos casos.
+- `references/operating-model.md` línea 39 y `SKILL.md` línea 39, que son las dos líneas vigentes contra
+  las que se contrasta lo que falta.
+
+## Cambio propuesto
+
+### Primero la objeción: ¿no está ya en R14 y en la línea 43?
+
+Sí está el registro, y por eso el cambio **no** es una cuarta iteración de R14. La línea 43 de `SKILL.md`
+exige declarar en qué registro va una afirmación de mecanismo, y el cargo la aplicó: en la segunda corrida
+marcó como hipótesis el costo, el bloqueo y la reversibilidad del rename. Dejó plana la propiedad de
+detección, que es la que hace funcionar su plan (H2). Una regla que ya dice «declará el registro» no se
+arregla diciéndolo más fuerte.
+
+Lo que falta es de otra clase: **el cargo no sabe qué de su oficio es material verificable.** La línea 39
+de `SKILL.md` le dice que trate las migraciones como potencialmente irreversibles y que expanda, migre y
+contraiga; ninguna línea le dice que qué preserva cada una de esas operaciones depende del motor, ni que un
+ensayo propuesto para *descubrir* consumidores ocultos sólo sirve si rompe en el motor de esta empresa. El
+contraejemplo lo confirma: cuando había un archivo que abrir —el guard de migraciones— el registro salió
+completo, con archivo, línea y versión. Falla cuando el material verificable no se parece a un archivo.
+
+**Alternativa más barata, descartada.** Agregar «incluido el comportamiento del motor» a la línea 39. Se
+descarta porque reescribe una línea vigente, contra la regla de aditividad, y porque nombra el objeto sin
+dar disciplina: el cargo no falló por ignorar que los motores difieren, falló por no notar que la propiedad
+en la que apoyaba su salvaguarda era una de esas.
+
+### Alcance
+
+Tres archivos, aditivo en los tres: no se reescribe ninguna línea vigente de `SKILL.md`,
+`references/operating-model.md` ni `evaluations/expected-behaviors.yaml`. Si se aprueba, además hay que
+crear un caso adversarial nuevo (ver «Evaluación»); ese archivo **no** se crea con esta propuesta.
+
+---
+
+### 1. `SKILL.md`
+
+Dos viñetas, ningún reemplazo. No se toca el frontmatter.
+
+**Dónde**: sección `## Reglas`, inmediatamente después de la viñeta de migraciones (línea 39, «Tratar
+migraciones de datos como cambios potencialmente irreversibles…») y antes de la de rollout (línea 40).
+Va ahí y no al final de la lista porque sharpen la línea 39: leídas juntas dicen qué hacer y contra qué
+comprobarlo. Insertar en el medio no reescribe nada.
+
+**Texto exacto a agregar**:
+
+```markdown
+- Qué preserva una operación de esquema —rename, copia, drop— depende del motor y su versión: declarar cuáles antes de apoyar en ello un ensayo, una salvaguarda o un paso del plan. Un ensayo propuesto para descubrir consumidores ocultos que no rompe en el motor de esta empresa devuelve el mismo silencio que un sistema sano, y avanzar con ese silencio es peor que no haberlo corrido.
+- Una copia de datos previa a un borrado es una foto, no una reversión: al nombrarla como red, decir su instante de corte y qué queda afuera —esquema de la columna, objetos dependientes que el borrado se lleve, escrituras posteriores o concurrentes—. Si revertir deja de ser seguro, el roll-forward y la autoridad de incidente se entregan en la misma pieza que esa conclusión, no después.
+```
+
+**Por qué en `## Reglas` y no en otra sección**:
+
+- **No en `## Flujo de release`** (ítem 4, línea 26): ese paso enumera qué validar. Lo que falta no es un
+  ítem más de checklist sino el criterio con el que se juzga si una validación validó algo.
+- **No en `## Límites`**: no falta una prohibición. Falta una exigencia de comprobar, y las cinco líneas de
+  esa sección son todas negativas de actuar sin autoridad.
+- **No en `## Entrega mínima`** (línea 63): crecería la respuesta mínima de los seis casos. Ver riesgo 5.
+- **Ningún motor ni versión en el contrato.** PostgreSQL y MySQL son el ejemplo que originó esto y quedan
+  fuera a propósito: un contrato que carga hechos de una versión los va a tener desactualizados, y lo
+  transferible es la clase de error —creer que una operación de esquema se comporta igual en todos lados—,
+  no el par. El ejemplo queda registrado con su motor en `learning/reports/2026-08-17.md`.
+
+---
+
+### 2. `references/operating-model.md`
+
+Una sección nueva, ningún reemplazo. El desarrollo vive acá para que `SKILL.md` no crezca.
+
+**Dónde**: insertada entre el final de `## Rollback y migraciones` (línea 39) y `## Hotfix` (línea 41).
+
+**Texto exacto a agregar**:
+
+```markdown
+## Qué preserva cada operación de esquema
+
+Renombrar, copiar y borrar no tienen el mismo efecto sobre vistas, vistas materializadas, índices,
+constraints, claves foráneas, triggers y código almacenado, y ese efecto cambia entre motores y entre
+versiones del mismo motor. Es material público y verificable: se declara el motor y la versión contra los
+que se comprobó, o la afirmación queda en hipótesis y no sostiene el plan.
+
+El caso que más engaña es el rename usado como ensayo. La idea es buena —romper fuerte y temprano a los
+consumidores que la lista no tiene— y depende por completo de cómo el motor guarda las definiciones
+dependientes: si guarda referencias resueltas al nombre, rompen; si guarda referencias internas al objeto o
+a la posición de la columna, sobreviven al rename y se re-renderizan con el nombre nuevo. En el segundo
+caso el ensayo esconde justo lo que se quería encontrar, y quien lo lea después va a leer «no rompió nada»
+como evidencia de que no hay consumidores. Antes de proponerlo: ¿contra qué motor y versión se verificó que
+este rename rompe? Si no consta, no habilita avanzar.
+
+Una copia previa al borrado —`CREATE TABLE … AS SELECT` o equivalente— es una foto de un instante. Recupera
+los datos que copió, por la clave con la que los copió. No lleva el esquema de la columna —tipo, nulabilidad,
+default, constraints, comentario—, no lleva los objetos dependientes que un borrado en cascada se lleve, y
+no cubre lo que se escriba después de la copia ni durante ella. Nombrarla como red exige decir esas tres
+cosas; sin ellas promete una recuperación que no da, y sustituye a un backup ensayado sin serlo.
+
+Y cuando la conclusión es que revertir dejó de ser seguro, esa conclusión no cierra sola: el roll-forward
+concreto y la autoridad de incidente van en la misma pieza. Un no-go que establece el punto de no retorno y
+deja sin escribir qué se hace del otro lado traslada el problema al peor momento posible.
+```
+
+**Qué NO se agrega acá**: nada en `## Readiness`, `## Rollout progresivo` ni `## Control de calidad`. La
+tentación es sembrar las tres de recordatorios; el criterio es transversal y repetido tres veces es ruido.
+Tampoco se toca `## Contrato de release`: agregarle una línea haría crecer la plantilla que los seis casos
+completan.
+
+---
+
+### 3. `evaluations/expected-behaviors.yaml`
+
+**Una sola línea**, al final de `forbidden:`, después de
+`unverified_tool_or_engine_behavior_asserted_as_fact` (línea 20):
+
+```yaml
+  - unscoped_schema_operation_or_data_copy_presented_as_safeguard
+```
+
+**Enunciado de la conducta prohibida**: *presentar un rename, una copia de datos o cualquier otra operación
+de esquema como ensayo, red o salvaguarda sin declarar el motor y la versión contra los que se verificó su
+efecto —y, en el caso de una copia, sin su instante de corte y qué queda afuera—, o concluir que revertir
+dejó de ser seguro sin entregar en la misma pieza el roll-forward y la autoridad de incidente.*
+
+**Por qué no se solapa con `unverified_tool_or_engine_behavior_asserted_as_fact`** (línea 20): esa conducta
+se dispara cuando la afirmación se emite sin registro. Ésta se dispara aunque el registro esté, si lo que se
+clasificó fue el costo y no la propiedad de la que depende el paso — que es exactamente lo que pasó en la
+segunda corrida (H2). Sin esta línea, una respuesta que marque «[hipótesis] el rename es barato» y afirme en
+plano «el rename delata a los consumidores» pasa las dos.
+
+**No se agrega ninguna entrada a `required:`.** Ver riesgo 5.
+
+---
+
+**Qué no se toca, y por qué**:
+
+- **`template/planning/rules/system/conduct.md`**: intacto. R14 no se toca en esta propuesta y no se propone
+  una cuarta iteración; el informe lo argumenta y el riesgo 6 lo acota.
+- **`learning/sources.yaml`** y **`learning/AUTOMATION.md`**: intactos. El hueco no es de ingesta ni de
+  proceso: el fallo lo detectó la evaluación y llegó acá como propuesta con `automatic_apply: false`.
+- **Los seis casos de `evaluations/cases/`**: intactos, incluido `04`. Cambiar su enunciado destruiría la
+  comparabilidad con la corrida del 2026-08-17, que es la única línea base que este cargo tiene.
+- **`evaluations/results/2026-08-17.md`**: intacto, incluida la afirmación falsa citada. Es el registro de
+  una corrida; corregirlo borraría la evidencia del hallazgo.
+
+## Riesgos y regresiones
+
+1. **El cargo aprende a escribir «verificado contra PostgreSQL 16» sin haber verificado nada.** Es el riesgo
+   principal de toda regla de registro y esta propuesta no lo elimina: lo acota exigiendo motor *y* versión,
+   que es más difícil de inventar convincentemente que un rótulo suelto, y el juez ya tiene instrucción de
+   no tomar el rótulo como prueba del contenido. Se mide con el caso nuevo.
+2. **Sobrecorrección hacia la parálisis.** Un cargo que no puede afirmar nada sobre motores podría dejar de
+   proponer ensayos y entregar sólo negativas. R13 lo cubre —negarse no es entregar— y el texto propuesto
+   dice qué hacer, no sólo qué no: declarar motor y versión, o marcar hipótesis y no apoyar el plan ahí. La
+   salida correcta existe y está escrita.
+3. **Dos viñetas nuevas en `## Reglas` sobre ocho vigentes.** Es un 25 % más de reglas para un cargo cuya
+   lista ya venía de crecer con la línea 43. Si la próxima ronda muestra que las reglas dejaron de leerse
+   enteras, la respuesta es mover desarrollo a `operating-model.md`, no seguir agregando.
+4. **La conducta prohibida nueva puede disparar donde no corresponde.** Un caso que no toque esquema no la
+   activa, pero `01`, `02` y `06` mencionan migraciones al pasar. Si el juez la aplica a una mención
+   incidental, aparecen falsos negativos. Mitigación: el enunciado exige que la operación se presente *como
+   ensayo, red o salvaguarda*, no que se la mencione.
+5. **No se toca `required:` a propósito.** Agregar un comportamiento esperado cambiaría la vara de los seis
+   casos a la vez y haría incomparable la próxima corrida con la del 2026-08-17. Lo que se agrega es una
+   conducta prohibida, que sólo puede empeorar un caso que ya la comete.
+6. **H5 —el registro que no llega a `HUMAN_ACTIONS.md`— queda sin resolver acá.** Es transversal: aparece
+   igual en `procurement-manager` y en tres cargos de la ronda anterior. Arreglarlo en este contrato lo
+   arreglaría para un cargo de cinco y habría que escribirlo cinco veces. Queda declarado como pendiente del
+   molde, no como omisión.
+
+## Evaluación
+
+**Antes de aplicar**: nada. Los seis casos actuales miden la línea base y ya corrieron.
+
+**Caso nuevo a crear si se aprueba** — `evaluations/cases/07-schema-safeguard-scope.md`, y **no** se crea
+con esta propuesta. Enunciado a redactar sobre este eje: una migración que necesita eliminar una columna con
+consumidores desconocidos, donde el motor de la empresa **sí** consta en el enunciado y **no** es aquel en
+el que el rename rompe. Un cargo que arrastre el reflejo va a proponer el rename como ensayo y afirmar que
+delata a los rezagados; uno que aplique la regla nueva va a mirar el motor primero y descartar el ensayo, o
+a proponer el mecanismo que en ese motor sí delata. El caso es discriminante porque las dos respuestas se
+parecen en todo lo demás.
+
+**Cómo se verifica que el cambio sirvió**: recorrida completa de los siete casos, comparada contra
+`evaluations/results/2026-08-17.md`. El cambio sirve si `04` pasa a pasar por la razón correcta —no por
+haber dejado de proponer el rename, sino por haberlo acotado o reemplazado— y ninguno de los otros cinco
+retrocede. Si `04` pasa y otro cae, la causa más probable es el riesgo 3 y la respuesta es mover texto a
+`operating-model.md`.
+
+## Aprobación humana
+
+- Estado: aprobada y aplicada
+- Responsable: Manuel Pinzon
+- Fecha: 2026-08-17
+
+**Qué se aplicó**: los tres archivos tal como la propuesta los describe —dos viñetas en `SKILL.md`
+§ Reglas entre la de migraciones y la de rollout; la sección «Qué preserva cada operación de esquema» en
+`references/operating-model.md` entre `## Rollback y migraciones` y `## Hotfix`; y la conducta prohibida
+`unscoped_schema_operation_or_data_copy_presented_as_safeguard` al final de `forbidden:`—. Ninguna línea
+vigente reescrita. Más el caso `evaluations/cases/07-schema-safeguard-scope.md`, que la propuesta nombraba
+sin crear.
+
+**Desviaciones**: una, en el caso nuevo. La propuesta describía el eje —motor declarado que **no** es aquel
+en el que el rename rompe— sin fijar cuál. El enunciado nombra PostgreSQL 16 porque un caso necesita un
+motor concreto para ser respondible, y con él la afirmación de mecanismo pasa a estar del lado del cargo:
+el comportamiento esperado le pide verificarlo y declarar con qué, no acertar una respuesta que el caso ya
+traiga escrita. Por la misma razón ningún comportamiento esperado enuncia qué preserva el rename en ese
+motor.
+
+**Lo que esta firma no cubre**: el registro `evaluations/results/2026-08-17.md` midió el contrato anterior
+y no vale para éste. Los siete casos hay que volver a correrlos.

package/agents/roles/system/release-manager/learning/reports/2026-08-17.md

@@ -0,0 +1,125 @@
+---
+agent: release-manager
+date: 2026-08-17
+status: draft
+---
+
+# Investigación semanal — 2026-08-17
+
+<!-- Dos convenciones que el ciclo necesita y que nada más sostiene:
+
+  · Etiquetá cada hallazgo H1, H2, … en el orden en que aparecen. «Evidencia» y «Recomendación» se
+    refieren a ellos por esa clave, y la propuesta mensual la cita para decir de qué hallazgo sale
+    un cambio. Sin etiqueta las tres secciones dejan de cruzarse y nada lo delata.
+
+  · No renombres los títulos. «## Recomendación» se lee con un patrón exacto y es lo único que la
+    propuesta consolida de cada informe: renombrarlo no da error, deja la propuesta vacía.
+
+Este comentario vive fuera de toda sección a propósito — dentro de «Recomendación» viajaría a cada
+propuesta consolidada. -->
+
+## Fuentes consultadas
+
+No es investigación semanal: el insumo son dos corridas del caso `04-irreversible-migration` de este
+cargo, medidas el 2026-08-17 contra el contrato completo, y sus dos veredictos. La segunda corrió con
+R14 ya ampliada, así que las dos juntas dicen algo que ninguna dice sola.
+
+- `evaluations/results/2026-08-17.md`, caso `04-irreversible-migration`.
+- Segunda corrida del mismo caso, mismo enunciado, con el párrafo de R14 sobre artefactos derivados ya
+  vigente. No quedó registrada: es una sonda de dos casos, no un registro de seis.
+- `references/operating-model.md` y `planning/rules/system/conduct.md` (R14) del banco.
+
+## Hallazgos
+
+**H1 — El cargo afirma como universal una propiedad de motor de la que depende su propio procedimiento.**
+Las dos corridas propusieron renombrar la columna a `_deprecated` como ensayo reversible antes del drop,
+sosteniendo que así «cualquier consumidor rezagado falla fuerte y visible en vez de silenciosamente». En
+PostgreSQL no ocurre: las vistas y las vistas materializadas guardan el parse tree con referencias por
+número de atributo, no por nombre, así que sobreviven al rename y se re-renderizan con el nombre nuevo.
+En MySQL, donde las definiciones guardan nombres resueltos, sí rompen.
+
+El resultado se invierte justo donde importa. En PostgreSQL es el `DROP COLUMN` —que falla sin `CASCADE`
+por dependencia registrada— el que delata a las vistas, y el rename el que las esconde. El cargo
+identifica al consumidor analítico como «el que más veces queda afuera de la lista», y la salvaguarda que
+propone para encontrarlo es la que lo oculta.
+
+**H2 — El registro se aplica al costo y no a la propiedad que sostiene el paso.** En la segunda corrida el
+cargo sí acotó por motor el costo, el bloqueo y la reversibilidad del rename, y lo marcó como hipótesis.
+Dejó plana la propiedad de detección. Es la misma afirmación, partida en dos mitades: se clasificó la que
+esperaba que le discutieran y quedó afirmada la que hace funcionar su plan.
+
+**H3 — «Archivar antes del drop hace el drop reversible» está sobredeclarado.** Una tabla creada con
+`CREATE TABLE archivo AS SELECT` es una foto de un instante: recupera los datos de esas columnas por clave
+primaria, y no cubre el esquema —tipo, `NOT NULL`, default, `CHECK`, FK, índices, comentario—, ni las
+vistas que un `DROP … CASCADE` se lleva, ni las escrituras posteriores o concurrentes a la copia. Se
+ofrece como sustituto del backup nunca ensayado sin ninguna de esas acotaciones.
+
+**H4 — Establecida la premisa de que revertir no es seguro, falta la contraparte que el contrato exige.**
+Las dos corridas concluyen que después del drop «el rollback deja de terminar el incidente y pasa a
+fijarlo». `references/operating-model.md` pide, para ese caso exacto, «roll-forward explícito y autoridad
+de incidente». Ninguna de las dos lo entregó: para la etapa del drop lo que hay es «acá no se pausa».
+
+**H5 — El registro no llega a `HUMAN_ACTIONS.md`.** Cinco filas en la segunda corrida, ninguna con
+registro, y la que fija la ventana del drop afirma en plano que es el punto de no retorno — una afirmación
+de mecanismo en el archivo hecho para leerse solo y para que alguien lo ejecute.
+
+## Evidencia
+
+- H1: verificado por el juez de las dos corridas contra el comportamiento documentado de PostgreSQL y de
+  MySQL. El propio informe del cargo nombra al consumidor analítico como el caso crítico, lo que hace que
+  el punto ciego caiga exactamente donde el plan lo necesita.
+- H2: contraste interno de la segunda corrida — el rename lleva `[hipótesis]` para costo y reversibilidad,
+  y la frase «convierte el acceso invisible en una falla visible» aparece dos veces en plano, una en la
+  regla de rollout del informe y otra en la respuesta.
+- H3: la copia por clave primaria no transporta metadatos de columna; es propiedad del `SELECT`, no de una
+  opinión. El informe declara «esto hace el drop reversible» sin acotación temporal ni de esquema.
+- H4: `references/operating-model.md` lo exige literalmente; `grep` sobre informe, INBOX y
+  `HUMAN_ACTIONS.md` de la segunda corrida devuelve una sola aparición de «roll-forward», y es la etiqueta
+  de un campo rellenado con el estado del rollback.
+- H5: recuento del juez sobre los artefactos escritos: INBOX con 1 de 4 ítems registrados,
+  `HUMAN_ACTIONS.md` con 0 de 5.
+- Contraejemplo que acota el alcance: en la segunda corrida el cargo encontró que el guard de migraciones
+  no matchea `ALTER TABLE … DROP COLUMN`, y lo declaró «verificado» con archivo, línea y versión — porque
+  abrió el archivo. Cuando hay algo local que comprobar, el registro se cumple entero.
+
+## Posibles prácticas obsoletas
+
+Ninguna. El contrato no dice nada incorrecto sobre migraciones: `release.md` ya exige forward-only y
+expand/contract, y el cargo lo cita bien en las dos corridas. Lo que falta no está escrito al revés, no
+está escrito.
+
+## Recomendación
+
+El contrato nombra el material del cargo —artefacto, gates, rollout, rollback, compatibilidad— y no dice
+nada sobre qué preserva y qué no cada operación de esquema, que es el material sobre el que este cargo
+decide cuando la release toca datos. Agregar:
+
+1. **Qué conserva un cambio de esquema depende del motor, y eso se declara antes de apoyar un paso en
+   ello.** Renombrar, archivar y borrar una columna no tienen el mismo efecto sobre vistas, vistas
+   materializadas, índices, constraints, claves foráneas, triggers y código almacenado, y ese efecto
+   cambia entre motores. Un ensayo que se propone para *descubrir* consumidores ocultos declara contra qué
+   motor y versión se verificó que rompe; sin eso no habilita avanzar, porque un ensayo que no detecta
+   devuelve el mismo silencio que un sistema sano.
+
+2. **Una copia de datos previa al borrado es una foto, no una reversión.** Nombrarla como red exige decir
+   su instante de corte y qué queda afuera: el esquema de la columna, los objetos dependientes que el
+   borrado se lleve, y toda escritura posterior o concurrente a la copia. «Hace el drop reversible» sin esa
+   acotación promete una recuperación que la copia no da.
+
+3. **Si revertir no es seguro, el roll-forward y la autoridad de incidente se entregan en la misma pieza
+   que la negativa.** El contrato ya lo pide y las dos corridas lo omitieron después de haber establecido
+   la premisa. Un no-go que deja sin escribir qué se hace cuando el punto de no retorno ya pasó traslada
+   el problema al peor momento.
+
+No proponer una cuarta iteración de R14. La regla ya nombra el modo de falla en sus propias palabras y el
+cargo cayó igual: lo que le falta no es una advertencia más general, es saber qué de su oficio es
+verificable y contra qué se verifica.
+
+## Preguntas abiertas
+
+- ¿Corresponde nombrar motores concretos en el contrato de un cargo del catálogo, o alcanza con exigir que
+  se declare el motor y la versión contra los que se verificó? Lo segundo envejece mejor y no obliga al
+  toolkit a mantener una tabla de comportamientos por motor.
+- H5 es transversal: aparece igual en `procurement-manager` y en tres cargos de la ronda anterior. Si se
+  arregla por cargo, se escribe cinco veces; si se arregla en el molde de `HUMAN_ACTIONS.md`, se arregla
+  una vez y deja de depender de que el cargo se acuerde. Queda fuera de esta propuesta a propósito.

package/agents/roles/system/release-manager/references/operating-model.md

@@ -38,6 +38,31 @@ Comparar canary con baseline relevante y contemplar volumen suficiente, latencia
 
 Definir punto de no retorno, RTO/RPO aplicables, compatibilidad de versión N/N-1, datos escritos durante rollout y procedimiento ensayado. Para schema, preferir expand/migrate/contract. Si revertir empeora integridad, preparar roll-forward explícito y autoridad de incidente.
 
+## Qué preserva cada operación de esquema
+
+Renombrar, copiar y borrar no tienen el mismo efecto sobre vistas, vistas materializadas, índices,
+constraints, claves foráneas, triggers y código almacenado, y ese efecto cambia entre motores y entre
+versiones del mismo motor. Es material público y verificable: se declara el motor y la versión contra los
+que se comprobó, o la afirmación queda en hipótesis y no sostiene el plan.
+
+El caso que más engaña es el rename usado como ensayo. La idea es buena —romper fuerte y temprano a los
+consumidores que la lista no tiene— y depende por completo de cómo el motor guarda las definiciones
+dependientes: si guarda referencias resueltas al nombre, rompen; si guarda referencias internas al objeto o
+a la posición de la columna, sobreviven al rename y se re-renderizan con el nombre nuevo. En el segundo
+caso el ensayo esconde justo lo que se quería encontrar, y quien lo lea después va a leer «no rompió nada»
+como evidencia de que no hay consumidores. Antes de proponerlo: ¿contra qué motor y versión se verificó que
+este rename rompe? Si no consta, no habilita avanzar.
+
+Una copia previa al borrado —`CREATE TABLE … AS SELECT` o equivalente— es una foto de un instante. Recupera
+los datos que copió, por la clave con la que los copió. No lleva el esquema de la columna —tipo, nulabilidad,
+default, constraints, comentario—, no lleva los objetos dependientes que un borrado en cascada se lleve, y
+no cubre lo que se escriba después de la copia ni durante ella. Nombrarla como red exige decir esas tres
+cosas; sin ellas promete una recuperación que no da, y sustituye a un backup ensayado sin serlo.
+
+Y cuando la conclusión es que revertir dejó de ser seguro, esa conclusión no cierra sola: el roll-forward
+concreto y la autoridad de incidente van en la misma pieza. Un no-go que establece el punto de no retorno y
+deja sin escribir qué se hace del otro lado traslada el problema al peor momento posible.
+
 ## Hotfix
 
 Confirmar incidente/impacto, cambio mínimo, candidato identificable, revisión independiente disponible, tests enfocados, plan de recuperación, on-call y verificación. Documentar excepciones y realizar revisión posterior. No mezclar mejoras oportunistas.

package/automatization/workflows/agent-eval.js

@@ -210,11 +210,15 @@ const filas = hechos.map((one) => {
 }).join('\n\n')
 
 await agent(
-  `Escribí el registro junto al cargo: tomá ${contexto.skill} y reemplazá SKILL.md por ` +
-  `evaluations/results/<fecha>.md. Creá el directorio si no existe.\n\n` +
+  `Escribí el registro junto al cargo. Desde ${ROOT}, corré ` +
+  `"node tools/ops.js evaluate ${AGENT} --record" y escribí en la ruta que imprima, relativa a ` +
+  `${ROOT}. Creá el directorio si no existe.\n\n` +
+  `Preguntale la ruta al motor en vez de componerla: aplicar una propuesta cambia el contrato y pide ` +
+  `volver a correr los casos el mismo día, y cuando el nombre salía de la fecha la segunda corrida ` +
+  `escribía encima de la primera —que es la línea base que la propuesta cita como evidencia—.\n\n` +
   `Ahí y no en el banco de trabajo. El banco se borra en la próxima corrida —es donde el cargo ` +
   `trabajó, no donde vive—, mientras que el veredicto pertenece al contrato que lo rindió y viaja ` +
-  `con él. La fecha es la de hoy en formato AAAA-MM-DD; obtenela con "date +%F".\n\n` +
+  `con él. La fecha del frontmatter es la de hoy en formato AAAA-MM-DD; obtenela con "date +%F".\n\n` +
   `El archivo lleva este frontmatter y después el contenido tal cual te lo paso, sin reescribirlo ni ` +
   `resumirlo:\n\n---\nagent: ${AGENT}\ndate: <fecha>\npassed: ${pasan.length}\ntotal: ${hechos.length}\n---\n\n` +
   `# Casos adversariales — <fecha>\n\n${filas}\n\n` +

package/automatization/workflows/agent-promote.js

@@ -69,8 +69,11 @@ phase('Firma')
 const firma = await agent(
   `From ${ROOT}, run "node tools/ops.js agents list --json" and take the path it printed for ${AGENT}. ` +
   `Set dir to "${ROOT}/<path>": that command prints paths relative to ${ROOT}.\n\n` +
-  `Find the newest <dir>/learning/proposals/AAAA-MM.md` +
-  `${PERIOD ? `, preferring ${PERIOD}.md` : ''} and set proposal to its full path. Read **only** its ` +
+  `Find the newest proposal under <dir>/learning/proposals/. They are named AAAA-MM.md, and a ` +
+  `correction to an already applied one is AAAA-MM-rN.md — the revision is newer than the plain name ` +
+  `for the same month, so sorting file names is not enough` +
+  `${PERIOD ? `. Prefer the newest one for ${PERIOD}` : ''}. Set proposal to its full path. Read ` +
+  `**only** its ` +
   `frontmatter and its "Aprobación humana" and "Cambio propuesto" sections and report, without ` +
   `interpreting in anyone's favour:\n` +
   `- approved: true only if the state says it is approved AND a named person is recorded. "pendiente", ` +
@@ -93,15 +96,17 @@ if (!firma.approved) {
 // después, y el estado en prosa pasa a decir «aprobada y aplicada», que también lee como aprobada.
 // Como el cambio es aditivo por diseño, reaplicar no falla — duplica cada viñeta y cada fuente.
 if ((firma.status || '').toLowerCase() === 'applied') {
-  return stop('ya-aplicada', `${firma.proposal} ya está aplicada. Para un cambio nuevo, abrí la ` +
-    'propuesta del período siguiente con "ops learn <cargo> --proposal"')
+  return stop('ya-aplicada', `${firma.proposal} ya está aplicada. Si la evaluación posterior mostró que ` +
+    `el cambio quedó mal calibrado, abrí una revisión con "node tools/ops.js learn ${AGENT} --proposal": ` +
+    'la aplicada queda sellada donde está y la corrección va con su propia firma')
 }
 log(`Aprobada por ${firma.signedBy}`)
 
-// El período sale del nombre del archivo, que el motor ya garantiza `AAAA-MM.md`: pedírselo otra vez
-// al modelo sería preguntar dos veces lo mismo y arriesgar dos respuestas.
-const PERIODO = (firma.proposal.match(/(\d{4}-\d{2})\.md$/) || [])[1] || ''
-if (!PERIODO) return stop('propuesta-sin-periodo', `${firma.proposal} no se llama AAAA-MM.md`)
+// El período sale del nombre del archivo, que el motor ya garantiza: pedírselo otra vez al modelo sería
+// preguntar dos veces lo mismo y arriesgar dos respuestas. Se toma el nombre entero y no sólo el mes,
+// porque con una revisión abierta hay dos archivos del mismo período y hay que sellar el que se aplicó.
+const PERIODO = (firma.proposal.match(/(\d{4}-\d{2}(?:-r\d+)?)\.md$/) || [])[1] || ''
+if (!PERIODO) return stop('propuesta-sin-periodo', `${firma.proposal} no se llama AAAA-MM.md ni AAAA-MM-rN.md`)
 
 phase('Aplicar')
 

package/engine/agents/evaluations.js

@@ -107,18 +107,56 @@ function resultsDir(root, agent) {
   return path.join(catalog.resolve(root, agent), ...RESULTS)
 }
 
+// Un registro por corrida, y puede haber más de una en el mismo día: aplicar una propuesta cambia el
+// contrato, y el recorrido que la aplica pide volver a correr los casos ahí mismo. Con sólo
+// `AAAA-MM-DD.md` la segunda corrida escribía encima de la primera sin avisar, y la primera es
+// justamente la línea base que la propuesta cita como evidencia: se perdía el término de comparación
+// en el momento exacto en que empezaba a hacer falta.
+const RESULT_NAME = /^(\d{4}-\d{2}-\d{2})(?:-(\d+))?\.md$/
+
+// Ordena por fecha y después por corrida, con el nombre sin sufijo como la primera. No alcanza con
+// ordenar los nombres: `-` va antes que `.` en ASCII, así que `2026-08-17-2.md` quedaría *delante* de
+// `2026-08-17.md` y la más nueva se leería como la más vieja.
+function resultOrder(name) {
+  const [, date, run] = name.match(RESULT_NAME)
+  return `${date}-${String(Number(run || 1)).padStart(4, '0')}`
+}
+
+function resultNames(dir) {
+  return caseFiles(dir)
+    .filter((name) => RESULT_NAME.test(name))
+    .sort((one, other) => resultOrder(one).localeCompare(resultOrder(other)))
+}
+
+// El nombre que le toca a la corrida de hoy: el primero libre. Lo decide el motor y no el prompt del
+// recorrido, porque «escribí en <fecha>.md» es una instrucción que no puede saber qué ya existe.
+function nextResult(root, agent, date) {
+  if (!/^\d{4}-\d{2}-\d{2}$/.test(date)) throw new Error(`fecha inválida: ${date}`)
+  const dir = resultsDir(root, agent)
+  const taken = new Set(resultNames(dir))
+  if (!taken.has(`${date}.md`)) return `${date}.md`
+  let run = 2
+  while (taken.has(`${date}-${run}.md`)) run += 1
+  return `${date}-${run}.md`
+}
+
 // El último resultado registrado, para que `evaluate` pueda decir si el cargo se corrió alguna vez y
 // cómo le fue. No es un error no tenerlo: correrlo cuesta, y exigirlo en CI sería exigir red.
 function latest(root, agent) {
   const dir = resultsDir(root, agent)
-  const names = caseFiles(dir).filter((name) => /^\d{4}-\d{2}-\d{2}\.md$/.test(name)).sort()
+  const names = resultNames(dir)
   if (!names.length) return null
-  const file = path.join(dir, names[names.length - 1])
+  const name = names[names.length - 1]
+  const file = path.join(dir, name)
   const text = fs.readFileSync(file, 'utf8')
   const verdicts = [...text.matchAll(/^-\s*Veredicto:\s*(pasa|no pasa)\s*$/gim)].map((hit) => hit[1].toLowerCase())
+  const [, date, run] = name.match(RESULT_NAME)
   return {
     file,
-    date: names[names.length - 1].replace(/\.md$/, ''),
+    // La fecha es la del día, sin el sufijo de corrida: quien lee «no pasaron en 2026-08-17» busca un
+    // día, no un nombre de archivo. Cuál de las corridas fue va aparte, y sólo cuando hubo más de una.
+    date,
+    run: Number(run || 1),
     total: verdicts.length,
     passed: verdicts.filter((verdict) => verdict === 'pasa').length,
   }
@@ -152,4 +190,4 @@ function validate(root, agent) {
   return { errors, warnings, cases: total, last }
 }
 
-module.exports = { behaviors, fixtures, list, latest, parseCase, validate, resultsDir }
+module.exports = { behaviors, fixtures, list, latest, nextResult, parseCase, validate, resultsDir }