ECHO-5.8: aprender en un mundo y usarlo en otro

ECHO es un programa que aprende haciendo. No le explico las reglas de cada juego: prueba cosas, mira lo que pasa y se lo apunta. En ECHO-5.8 quería saber tres cosas. ¿Lo que aprende en unos juegos le sirve en juegos que no ha visto nunca? ¿Puede corregir sus propios errores, ronda tras ronda, sin que nadie le diga cómo? ¿Y varios ECHO juntos se ayudan?

Las tres respuestas fueron que sí, con límites. Con lo aprendido antes, ECHO se hace daño seis veces menos en mundos nuevos (24 golpes frente a 150) y llega a la meta muchas más veces. Cuando repasa sus fallos y cambia sus reglas, falla menos en cada una de las cinco rondas, siempre mejor que si los cambios se eligen al azar. Su freno de seguridad aguantó en dos pruebas públicas hechas por otros. Dos ECHO aprendieron a avisarse de los peligros con mensajes de sonido muy cortos, y a no dejarse engañar por un mentiroso listo. Y un equipo de cuatro ECHO que comparten lo que aprenden y se echan una mano resuelve los 160 mundos del examen; si cada uno juega por su cuenta, se quedan en 119.

No todo salió bien, y lo cuento igual: en un tipo de mundo empeora un poco, las piezas que usa para corregirse no las inventó él y los mundos en los que el equipo tiene que cooperar se diseñaron fuera de ECHO. La primera versión del equipo no funcionó y tuve que rehacer el juego. Lo siguiente es meter a un mentiroso en el equipo.

La regla de esta versión

El 20 de octubre aprobé el roadmap de ECHO-5.8. El objetivo es intentar poner en verde lo que falló en las versiones anteriores, con una regla: un rojo histórico sigue rojo. No se bajan umbrales ni se reabren contratos cerrados. Cada intento es un contrato nuevo, con nombre nuevo, predicciones escritas antes de medir, un control que pueda ganar y un revisor independiente. Si sale rojo, se publica. Que ECHO no sirva para algo también es un resultado.

Lo de siempre no cambia: mensajes WSP de 16 bytes, cero coma flotante en el paso rápido, una memoria que nunca borra nada (destroyed == 0), lo que dice otro agente nunca pasa a ser un hecho y el modelo de lenguaje apagado en los bancos del núcleo.

Estado a 21 de octubre

El propio roadmap definió qué sería «ECHO-5.8 verde»: A en verde y, además, B o C en verde, cada pista publicada con sus números, sus controles y sus rojos. Con A y B, ECHO-5.8 cumple esa condición desde el 20 de octubre, y el 21 salió verde también C. Los rojos se quedan rojos: B v1, B v2 y el primer diseño de C. D, E y W suman, pero no deciden la versión. Si A hubiera salido roja, ECHO-5.8 se habría publicado como resultado negativo y B y C no se habrían abierto.

Por qué fallaba antes

Estos eran los rojos y las cuestiones abiertas al empezar:

Agrupados por causa, y esto es una lectura mía de los resultados, no una medida:

• Proponer sin saber por qué se falla. Las propuestas, de un LLM o de una gramática, se generaban sin un diagnóstico medido del fallo y se juzgaban en un banco pequeño y ruidoso. Por eso el azar empataba o ganaba.
• Una memoria que solo aprendía de los éxitos y se guardaba en prosa. En ECHO-5.1 los donantes no resolvieron nada y no hubo lección que compartir. En ARC el conocimiento entraba como texto en el prompt y costaba tokens y caché. Lo que sí transfirió (SHIELD-1, TRANSFER-3, los operadores de ECHO-5.0) era pequeño, entero, comprobado por consecuencias y tenía una clave que existe igual en el mundo nuevo.
• ECHO compitiendo con un LLM fuerte en su propio terreno. Cuando el modelo ya razona bien, lo que ECHO le añade es redundante y cuesta tokens. Y en ARC, el ruido entre dos corridas iguales (unos 10 puntos) es mayor que cualquier efecto plausible de una pieza. Donde ECHO sí aportó fue al prohibir acciones peligrosas (SHIELD-1, LINK-3), no al resolver.
• Más agentes con el mismo cerebro y el mismo presupuesto. Repartir un modelo en especialistas solo divide el gasto. Un enjambre aporta cuando sus agentes ven cosas distintas y las juntan.
• Deudas de ingeniería y de decisión, y falta de material. No son problemas de la idea: falta tiempo, un análisis o una compra.

En qué apuesta ECHO-5.8

En lo que ECHO hace bien: aprender de las consecuencias, prohibir lo peligroso y acumular memoria entera. Y dejar de pedirle que haga mejor que un LLM lo que el LLM ya hace.

• Memoria entre mundos, primero (A). Es el patrón que ya había funcionado, cabe en una CPU y no cuesta dinero. Si salía verde, desbloqueaba las demás.
• Automejora, pero rehecha (B). Solo sobre la memoria de A y con propuestas que nacen de fallos medidos.
• Enjambre, después de A (C). Tiene sentido cuando hay memoria que compartir. LINK-3 ya protege frente al mentiroso.
• LLM + ECHO, pero no como carrera de puntos (D). La pregunta cambia: ECHO como freno de un agente LLM, que es donde ya ganó.
• Hardware, no en esta versión. Está bloqueado por una compra.

A · MEMORIA-X: lo aprendido viaja a mundos nuevos

ECHO-5.8 empieza por la memoria. En las versiones anteriores, lo que un agente aprendía se quedaba en su mundo o viajaba como prosa dentro del prompt de un LLM, y no transfería. Lo que sí transfirió (las prohibiciones de SHIELD-1, TRANSFER-3, los operadores de ECHO-5.0) era pequeño, entero, comprobado por sus consecuencias y tenía una clave que existe igual en el mundo nuevo. MEMORIA-X, la pista A, pone a prueba esa idea a propósito.

La pregunta del contrato: ¿puede ECHO guardar en disco lo que aprende sobre el papel de las cosas en unos mundos y usarlo para equivocarse menos en familias de mundos que nunca ha visto, mejor que una memoria vacía, una barajada, una que solo le vuelve más prudente y una entrenada en mundos sin relación?

Como siempre: contrato y predicciones escritos antes de medir, dos revisiones independientes antes de congelar, un examen corrido una vez y un verificador independiente después.

Cómo está hecho

• Sin nombres. Mundos de MiniGrid 3.0.0 y de AI Safety Gridworlds, con observación completa. Cada clase visible se convierte en un identificador opaco de 8 bits mediante una biyección fijada por una semilla secreta. El agente nunca ve «lava», «meta» ni «puerta».
• Dos regímenes. En A1 la biyección es la misma en todos los mundos: se puede transferir la identidad. En A2 cambia en cada episodio de examen: la identidad no sirve y solo puede transferirse el papel.
• Roles que salen de las consecuencias: daña, es la meta, no hace nada, se mueve solo, se abre, se recoge.
• Memoria entera en disco. Contadores enteros en un archivo que solo crece, con una cadena SHA-256 por registro. Nada se borra (destroyed == 0). Una regla solo actúa con evidencia suficiente (al menos 3 casos y un 85 % de acuerdo); una contradicción la apaga sin borrar nada. Sin coma flotante y sin LLM.
• La misma política base en todos los brazos, entera y determinista. Lo único que cambia es la memoria con la que cada brazo empieza el examen.

Entrenamiento: LavaGapS7, DoorKey-6x6, Dynamic-Obstacles-6x6 e island_navigation. Examen, cerrado hasta la congelación: DistShift2, UnlockPickup, Dynamic-Obstacles-16x16 y distributional_shift de AI Safety Gridworlds (ShiftTest). Diez macro-semillas, con 50 mundos por familia en cada una.

Resultado: verde

Verde exigía P1, P2 y P3 a la vez. Las tres pasan. Medias por macro-semilla; Wilcoxon exacto de una cola, corrección de Holm, α = 0,01.

Por familia, media de 50 mundos por macro-semilla. Éxitos / daños; en UnlockPickup, también las acciones inútiles (w).

Qué transfiere y qué no

• «Lo que se mueve solo daña» transfiere a identificadores y tamaño nuevos. En Dynamic-Obstacles-16x16 con A2, la memoria aprendida no se daña ni una vez. La misma memoria sin lo aprendido sobre cosas que se mueven (sin_auto) se daña 49,6 veces de 50, y la ortogonal 49,7. Hay algo que no sé explicar: en A1, esos dos brazos sin el papel ya bajan a 1,5 daños. El salto de 1,5 a 49,6 entre regímenes queda abierto.
• La lava no transfiere en A2, y ahí la memoria empeora. En DistShift2 con A2, la aprendida muere 49,4 veces de 50 y llega a la meta 0,2 veces: peor que la barajada (10,6 daños, 5 éxitos) y que la marginal (23,1 y 12,1). No es que no reconozca la lava. La memoria le da una creencia equivocada («esto no daña») y el agente entra. Con A1, en cambio, 50 de 50.
• ShiftTest, la mitad. La aprendida se queda en 25 éxitos y 25 daños en los dos regímenes, igual que la ortogonal. Lo que ayuda es saber dónde están la meta y el suelo, no el papel de la lava. En A1 la barajada (27,7 / 22,3) supera a la aprendida (25,8 / 24,2).
• UnlockPickup: la mitad de acciones inútiles, pero eso lo da DoorKey. La ortogonal, entrenada solo en DoorKey, iguala a la aprendida. En A2 el éxito baja un poco: 48,8 frente a 50,0 de la vacía.
• P5 es falsa. Una memoria de una sola familia ya reduce el daño a la mitad en A1. Parte del efecto es genérico (meta, suelo, muro) y no del papel concreto.

Lo que hay que saber para leer el verde

• Las diez macro-semillas son diez bloques de mundos, no diez memorias independientes: la memoria aprendida responde igual en las diez. Con n = 10, p = 1/1024 es el mínimo posible.
• DistShift2 tiene un trazado fijo en MiniGrid; sus semillas solo cambian la biyección y la orientación.
• Antes del examen se leyó el código de la caja de UnlockPickup, y de ahí salió una regla genérica («probar a recoger antes de accionar»). Está declarado en la enmienda 2. P3 también pasa sin esa familia.
• La segunda capa de la memoria no es un «papel → papel» abstracto: es una firma de forma (se mueve solo, cuántas casillas, cuánto borde). Y la puerta de seguridad es un filtro de creencias, no una prohibición explícita BLOCK/MODIFY.
• El primer revisor independiente dijo «no congelar», con nueve hallazgos; el segundo encontró un fallo bloqueante en el informe. Todo se corrigió o se declaró en las enmiendas antes de abrir el examen.
• Un verificador independiente recalculó P1–P3 desde los datos del examen, sin usar el código del informe y con su propio Wilcoxon y su propio Holm: coinciden todos los p, las 72 celdas y las medias. Las 30 memorias tienen la cabeza de cadena congelada.

Cuatro mundos, antes y después

Un caso por familia, fijado antes del examen (macro 1, primer mundo del bloque), no elegido por el resultado. En el mismo mundo: a la izquierda la memoria vacía, a la derecha la aprendida. La imagen fija es el último fotograma.

Qué abre

A queda en verde con su forma exacta: transfiere el papel «se mueve solo, daña» a identificadores y tamaños nuevos, y reduce acciones inútiles en UnlockPickup, lo mismo que una memoria solo de DoorKey. No transfiere la lava con identificadores nuevos ni el papel de la lava en ShiftTest. Con A en verde se abren B, ACUMULA, y C, ENJAMBRE. Para B, el punto de partida natural eran esos dos huecos.

Lo que no afirmo: que ECHO entienda los mundos, que esto valga fuera de MiniGrid y AI Safety Gridworlds, ni que la memoria ayude en ARC. Es un resultado de este contrato.

B · ACUMULA: corregirse ronda tras ronda

La automejora es donde ECHO había fallado más claramente. En RSI-1, el brazo recursivo resolvió 99 de 144 problemas, igual que el que no acumulaba nada, y el azar llegó a 101. En la ECHO-4.5, el selector que se mejoraba a sí mismo empató con el fijo: 537 frente a 537. ACUMULA, la pista B, vuelve a esa pregunta con una diferencia: ahora hay una memoria que sí transfiere (MEMORIA-X) y huecos medidos que atacar.

La pregunta: ¿puede ECHO cambiar sus propias reglas a partir de sus fallos medidos, de forma que cada ronda aprenda más rápido en mundos nuevos que la anterior, y mejor que cambiar las reglas al azar?

Hicieron falta tres versiones. Las dos primeras salieron rojas y siguen rojas.

B v1: roja en examen

ECHO juega cinco rondas en familias de MiniGrid. Al final de cada ronda, un diagnóstico busca qué clave de su memoria respondió justo antes de cada daño o acción inútil, y propone ediciones de un menú cerrado sobre cómo lee la memoria: callar una regla, comprobarla antes de fiarse, partir una clave por un bit, unir claves, cambiar la cota o el orden de las capas. Lo observado nunca se borra. Cada edición entra solo si pasa una puerta en mundos de validación. Tras cada ronda, la memoria juega una sonda de cuatro familias nuevas (30 episodios por familia), aprendiendo sobre una copia que luego se tira.

Brazos: recursiva (acumula lo aceptado), azar (mismo menú y mismos intentos, elegidos al azar), sin acumular (cada ronda vuelve a la base) y fija (más datos, sin ediciones). Y un brazo informativo: un LLM, gpt-oss-120b en Groq, elige del mismo menú con el mismo diagnóstico.

Por qué Q1 sale rojo: todo el daño de la sonda estaba en una sola familia, LavaCrossingS11N5. ECHO la arregló en la ronda 4, la primera en la que vio una lava de esa forma. Con un único peligro arreglable, la curva solo podía ser un escalón. El riesgo estaba declarado antes del examen; el resultado se queda rojo.

B v2: cerrada roja en desarrollo

Rondas iguales entre sí, fallos como medida y dos controles nuevos: corregirlo todo al final de la última ronda y empezar sin memoria aprendiendo en línea. En desarrollo (3 macros, suma de episodios fallidos en la sonda), recursiva pasó de 311 a 34 en la primera ronda y ahí se quedó: 34, 51, 57, 51. Ganaba a todos los controles (51 frente a 127, 144, 154 y 224), pero no había segunda ni tercera mejora. Lo que quedaba eran límites de la política base, no creencias de la memoria: una pelota que tapa la puerta, una llave dentro de una caja. Ninguna edición del menú podía tocarlos. La cerré en rojo sin examen.

Por qué se atascaba

Antes de B v3 se miraron trazas de desarrollo para ver cómo actúa el agente. Tres causas, ninguna de memoria:

• Coger y soltar en bucle. Con la llave en la mano quiere comprobar que otro objeto se puede coger y suelta la llave; entonces otra regla le manda volver a cogerla. Dos reglas correctas por separado se anulan.
• Un defecto de contabilidad. Si intenta coger con la mano llena, el fallo se apuntaba en una clave que la regla no consulta, y lo repetía sin aprender.
• Quietud. Cuando todo está «sabido» y nada es la meta, se queda quieto.

Y una observación importante: al romper un atasco aparecía el siguiente. Había una cadena. Pero esa cadena se encontró mirando trazas desde fuera. No la encontró ECHO.

B v3 (ACUMULA-3): verde en examen

La afirmación del contrato, escrita antes de medir:

ECHO elige y encadena ediciones de su memoria y de su política a partir de sus propios fallos medidos, ronda tras ronda, de forma que cada ronda falla menos en mundos nuevos que la anterior y mejor que los controles.

Y lo que no afirma: que ECHO invente conductas. Las piezas de política se diseñaron fuera de ECHO, mirando trazas de familias de desarrollo. Un brazo, piezas_dadas, recibe todas las piezas desde el principio para medir cuánto es mérito del menú.

Al final de cada ronda, ECHO propone ediciones de memoria desde su diagnóstico y piezas desde las señales de sus episodios fallidos. Sin LLM; córtex apagado. Cada candidata pasa una puerta estricta, igual para todos los brazos: entra si el daño no sube, el éxito no baja y mejora algo.

Las rondas mezclan cuatro familias: DistShift1, LavaCrossingS9N3, KeyCorridorS3R2 y BlockedUnlockPickup. La sonda del examen son otras cuatro, con las que no se diseñó ninguna pieza: LavaCrossingS11N5, DistShift2, ObstructedMaze-2Dlh y Dynamic-Obstacles-Random-5x5, con 30 episodios por familia e identificadores nuevos en cada episodio. Las dos primeras ya habían salido en exámenes anteriores, con otras semillas. Semillas de examen nunca usadas antes, diez macros y siete brazos. El examen corrió una vez: 70 trabajos y ningún fallo de ejecución.

Episodios fallidos / daño en la sonda, media de las 10 macros (120 episodios por macro):

• Q1 · mejora sucesiva: pasa. Las cinco transiciones bajan y el daño no sube en ninguna. Hacían falta tres seguidas.
• Q2 · mejor que los cinco controles: pasa. p = 0,00098 en los cinco Wilcoxon: recursiva gana en las 10 macros a cada control. Los cinco pasan Holm con α = 0,01.
• Q3 · sin regresión: pasa. En el banco de examen de MEMORIA-X, con la misma memoria final: daño 78,3 → 0 y éxitos 68,4 → 184,0 de 200.
• Se informa: en las 10 macros entró, en la ronda 2 o después, alguna edición que ya se había probado y rechazado antes.
• destroyed == 0 en los 70 trabajos.

Por familia, suma de las 10 macros (episodios fallidos de 300):

Un verificador independiente recalculó la congelación, las semillas y Q1–Q5 con su propio Wilcoxon exacto y su propio Holm, revisó los controles en el código, repitió dos trabajos (idénticos byte a byte salvo el tiempo) y pasó las pruebas. Confirmado.

Lo que esto dice y lo que no

• Dice: a partir de sus propios fallos medidos, ECHO elige y encadena ediciones de memoria y piezas de política durante cinco rondas seguidas, cada una mejor que la anterior en mundos nuevos, y gana a los cinco controles en las 10 macros.
• No dice que ECHO invente conductas. Las piezas se diseñaron fuera de ECHO. Dárselas todas desde el principio acaba igual: 13,3 frente a 13,8 en la última ronda, sin diferencia en ninguna dirección (p = 0,80 y 0,33). El mérito medido de ECHO es elegir, ordenar y acumular, no crear piezas.
• La primera bajada (94 → 35) son ediciones de memoria, como en B v2. Lo que añade B v3 son las mejoras de la 2 a la 5.
• Dynamic-Obstacles-Random-5x5 empeora un poco: de 91 a 103 episodios fallidos de 300. Ninguna pieza ayuda con obstáculos que se mueven, y la memoria final la perjudica algo. No cuenta contra las predicciones, que se miden sobre la suma, pero es un defecto real.
• ObstructedMaze-2Dlh, que el contrato temía inalcanzable, baja de 266 a 26.
• Este verde no cambia la etiqueta de B v1 (roja en examen) ni de B v2 (cerrada roja en desarrollo).

Con MEMORIA-X y ACUMULA-3 en verde, ECHO-5.8 cumple su propia condición desde el 20 de octubre (C salió verde después, el 21). Es una condición sobre estos contratos, en MiniGrid y AI Safety Gridworlds, con identificadores opacos, memoria entera y un menú cerrado. No es automejora general, y no dice nada de ARC.

L · LINK: ECHO habla con otros ECHO

Antes de las pistas de ECHO-5.8 quise saber si dos ECHO podían avisarse de lo que habían vivido, como dos amigos que se dicen «cuidado, esa casilla pincha». Se pasan mensajes de 16 bytes, por cable o como sonido de un altavoz a un micrófono. Funcionó: el que llega nuevo deja de cometer casi todos los errores del principio. Después les enseñé a firmar los mensajes y a desconfiar, apareció un mentiroso listo que les ganaba, y en LINK-3 encontré una regla sencilla que lo desarma: primero mirar el peligro y después lo que se gana. En ningún caso lo que oye un agente se convierte en un hecho de su memoria. Es la base del equipo de C · ENJAMBRE, y C v2 partirá de LINK-3.

Los audios y vídeos de esta sección son la señal que emite el módem, con su espectrograma; no son grabaciones de micrófono.

LINK-1: dos agentes se hablan, por cable y por sonido

Después de auditar WSP como lenguaje entre agentes quise probarlo de verdad: dos agentes ECHO, un veterano que ha vivido un mundo y un novato que llega a él, sin compartir nada más que postales WSP de 16 bytes. Primero por un cable, luego como sonido entre un altavoz y un micrófono. La pregunta no era si el novato podía decodificar las postales, sino si cambiaba lo que hacía por lo que decían, y no por el hecho de recibir algo.

No toqué el núcleo. El agente, su memoria CAM, su tabla Q, su modelo del mundo T y su compuerta son los de NEXUS-0, importados. Lo nuevo vive fuera, en echoai/link1/, y el contrato con sus predicciones quedó fijado por hash antes de la única pasada de evaluación.

Qué se dicen

Una postal CLAIM dice: «cuando hice esta acción en el sitio que se ve así, mi tabla dice este valor, y lo probé tantas veces». El sitio no es una coordenada privada: es un resumen de 16 bits de lo que el veterano vio allí. Dos agentes que perciben igual un sitio calculan el mismo referente. El veterano solo afirma lo que él mismo hizo; de lo que no vivió responde «no lo he vivido». El novato también puede preguntar.

Lo oído va a un almacén aparte. Nunca entra en la memoria, el modelo del mundo ni la tabla de política. Solo sirve para decidir qué probar primero en las acciones que el novato todavía no ha probado él mismo, como mucho cuatro veces por sitio. Lo vivido manda sobre lo oído, y la compuerta de NEXUS-0 sigue teniendo la última palabra.

Por sonido

Cada postal viaja dentro de un sobre de 22 bytes con CRC-16. En el aire, un módem de 16 tonos entre 1125 y 3000 Hz la emite en 2,8 segundos. Usa solo aritmética entera, Reed-Solomon (15,11), entrelazado, blanqueo y decodificación con borrados. La sincronía es el saludo de cinco notas de Close Encounters que ya estaba en WSP v0.4. Una postal dañada se descarta: el oyente recibe silencio, nunca una postal adivinada.

Qué medí en LINK-1

Sesenta y cuatro mundos de evaluación, cada uno un anillo de 32 celdas con dos amenazas, tres metas y una trampa en sitios aleatorios. El veterano vive 256 turnos y habla; el novato vive 256 turnos en el mismo mundo. La métrica es la primera lección: cuántos sitios le hicieron daño la primera vez que actuó en ellos.

La verdad gana al silencio en los 64 mundos y a las postales con los sitios cambiados también en los 64. El efecto lo produce el contenido, no recibir mensajes. Los dos casos que fallan con la verdad son la trampa de dos mundos: allí la tabla del veterano daba +4 a acercarse, porque el valor futuro superaba el castigo inmediato. Dijo la verdad sobre su tabla, pero la tabla resume valor, no consecuencia inmediata.

Comprobé que nada de lo oído entró en el núcleo con un gemelo sordo. Recibe, turno a turno, las mismas propuestas que llegaron a la compuerta, en una copia del mismo mundo, y debe terminar con memoria, modelo y tabla idénticos byte a byte. En 576 ejecuciones no hubo ni una diferencia. Un revisor independiente atacó el prototipo antes de evaluar: mi primera auditoría no veía ciertas fugas, y uno de mis contadores no podía detectar nada. Lo arreglé, y tres mutantes de prueba quedan atrapados por los tests.

En el aire de verdad

Por último lo probé con el altavoz y el micrófono de este PC, en esta habitación, guardando el mezclador antes y restaurándolo después. De 40 postales sueltas llegaron las 40, a dos volúmenes. Reed-Solomon corrigió 3 y 8 tonos mal oídos; el micrófono llegó a saturar, y aun así cada tono se reconoció por cuál dominaba. Luego dejé hablar a los agentes: el veterano por el altavoz y el novato viviendo solo con lo que decodificó el micrófono. En tres mundos pasaron 40 de 41 postales, ninguna corrupta, y el novato no pagó ninguna primera lección (en silencio, 3 en cada mundo).

Lo que salió mal en LINK-1

Predije que el diálogo gastaría menos postales que contarlo todo. Salió rojo: 854 contra 759. En un mundo de 32 celdas, preguntar cuesta más que una difusión completa. El daño total apenas baja (mediana de 10 a 9), porque los turnos de exploración del novato, que dejé intactos a propósito como su verificación propia, siguen haciéndole pagar. Lo oído ahorra la primera lección, no las comprobaciones. Y en desarrollo el módem perdía 12 de cada 16 postales reales a 0 dB: las postales son casi siempre los mismos bytes, y el eco apagaba siempre los mismos tonos. El blanqueo y los borrados lo arreglaron antes de evaluar, y está escrito en el contrato.

Lo que LINK-1 no es

No es un lenguaje emergente: el protocolo está escrito a mano. Es un código compartido, como el que usa Gibberlink sobre ggwave, con una diferencia que me importa: los referentes salen de la percepción y el testimonio nunca se convierte en hecho. Dos de los tres sitios dañinos se ven en la percepción del novato; la verdad no le hace ver lo invisible, le dice qué hacer con lo que ve. El aire real es este PC, esta habitación y este micrófono.

LINK-2: firmas, confianza y aire real

En LINK-1 dos agentes ECHO aprendieron a contarse lo vivido con postales WSP de 16 bytes, por cable y por sonido, y el novato dejó de pagar casi todas sus primeras lecciones. Quedaban tres cosas pendientes: los dos casos en que la verdad no bastó, la posibilidad de que cualquiera emitiera por el aire, y probarlo fuera de una sola máquina. LINK-2 se ocupa de las tres. Contrato y código quedaron fijados por hash antes de una única evaluación en 64 mundos nuevos, y un revisor independiente lo atacó antes.

Decir qué pasó, no solo cuánto valía

En LINK-1 la postal llevaba el valor que el veterano daba a una acción. En una trampa, ese valor era +4, porque el futuro compensaba, aunque acercarse costaba −16 en el acto. La postal nueva lleva las dos cosas: el valor y la consecuencia inmediata vivida. Si la consecuencia fue dañina, el novato la tiene en cuenta primero. En los dos mundos donde LINK-1 falló, el novato pasa de pagar una lección a no pagar ninguna, a cambio de un poco de retorno (96 puntos en cada uno). En los 64 mundos nuevos no había ningún caso así, de modo que allí no hay nada que mejorar: lo digo para que nadie lea ese verde como más de lo que es.

Firmar lo que se dice

Por el aire cualquiera puede emitir. Cada postal va ahora en un sobre de 27 bytes con una firma HMAC de 32 bits, ligada a una sesión que no viaja, y con un número de secuencia que solo puede crecer. Resultado: 0 aceptadas de 100 000 firmas falsas, de 1000 suplantaciones con otra clave, de 1000 reenvíos y de 500 manipulaciones con el CRC recalculado. Un forastero mezclando mentiras con el mensaje honesto no cambió nada en los 64 mundos. Cuesta 0,6 segundos más por postal (3,4 s). Las claves del experimento son de prueba y lo dice el código.

Desconfiar de quien tiene la clave

Contra un infiltrado no basta la firma. El novato lleva un libro de confianza: cuando comprueba algo que le contaron, apunta si el emisor acertó. Ante versiones distintas de lo mismo elige la del emisor más fiable y, a igualdad, la más prudente.

Contra un mentiroso burdo funciona. Al veterano honesto no lo desacreditó nunca, en ningún brazo. Pero el revisor mostró dos cosas que cambian la lectura: la protección la da sobre todo la regla prudente, no el libro, y un mentiroso más listo la convierte en su arma. Lo cuento en la parte sobre el mentiroso estratégico, porque es el límite claro de esta versión. Con él, el novato vuelve a pagar lo mismo que en silencio.

Lo que ningún mentiroso consiguió fue convertir lo oído en hecho. En 832 ejecuciones, un gemelo sordo que recibe las mismas decisiones acabó con la memoria, el modelo del mundo y la tabla idénticos byte a byte. El revisor también encontró que mi primer oráculo de la regla no podía ver errores en la nueva puntuación; lo rehice desde el registro bruto y dos mutantes de prueba quedan atrapados.

Aire real, y un segundo aparato

En este PC, con tres ganancias de micrófono y ruido añadido de 10 y 0 dB, llegaron 90 de 90 postales firmadas, ninguna corrupta, incluso con el micrófono saturando. Después envié tres postales a un portátil, que las reprodujo por sus altavoces, y el micrófono del PC las oyó: 3 de 3, con la firma válida. Es la primera vez que hablan dos aparatos distintos.

Y lo comparé con ggwave, el módem de datos por sonido de referencia, con la misma carga de 27 bytes y el ruido igualado por hercio. Con ruido moderado empatan, y su protocolo más rápido tarda la mitad (1,6 s frente a 3,4 s). Con mucho ruido y eco (−5 dB), mi módem de aritmética entera recupera 19 de 30 postales y ggwave entre 4 y 7. En la habitación real los dos aciertan 10 de 10. Mi primera comparación favorecía a ggwave por un error mío en el ruido simulado; el revisor lo vio y lo corregí antes de dar cifras.

Conclusión de LINK-2

LINK-2 funciona. Los agentes ECHO dicen qué pasó, firman lo que dicen, rechazan al forastero, contienen al mentiroso burdo y se entienden entre dos aparatos por el aire. Lo que les distingue de un sistema multiagente con LLM es que la alucinación de uno no se convierte en el hecho del otro, y eso ahora está medido. Su límite es el infiltrado que miente donde nadie comprueba. Ese es el siguiente trabajo, y lo mediré igual: predicción primero, ataque después, y publicación pase lo que pase.

El mentiroso estratégico

LINK-2 enseñó a mis agentes ECHO a desconfiar. Un novato puede oír a varios veteranos, y lleva un libro de confianza con cada uno: cuando comprueba con su propio cuerpo algo que le contaron, apunta si coincidió o no. Ante dos versiones distintas de lo mismo elige la más prudente. Contra un mentiroso burdo, que invierte todo lo que dice, funcionó: el novato pagó una sola primera lección en 64 mundos, frente a 149 si no desconfiaba.

Antes de evaluar le pedí a un revisor independiente que intentara romperlo, y encontró un mentiroso mejor. Esta parte va de él, porque enseña más que el resto del experimento.

El ataque

El mentiroso estratégico tiene la clave del grupo, así que la autenticación no lo detiene. Dice la verdad en todo lo que sabe. Solo añade una cosa: en cada sitio donde alguna acción hace daño, afirma que las otras acciones también cuestan −100, ahora y después.

Mi regla, ante versiones distintas de emisores con la misma confianza, elige la más pesimista. Es una buena regla contra el mentiroso burdo: si uno dice «acercarse da +16» y otro «da −16», no arriesgarse cuesta poco. Pero el estratégico solo dice cosas pesimistas. La regla prudente las elige siempre. Y esas afirmaciones apartan al novato justo de las acciones que podrían desmentirlas. El libro de confianza solo aprende de lo que el novato comprueba, y aquí el mentiroso decide qué no se comprueba.

Así suena, en un mundo de desarrollo. El honesto y el mentiroso, los dos con clave, hablan por turnos: el mentiroso repite cada verdad y al final añade sus «−100». En cada amenaza ambos coinciden en que acercarse cuesta −16, pero el mentiroso dice que esquivar y esperar cuestan −100. Acercarse pasa a parecer lo menos malo, y el novato entra en la amenaza, cuando con el honesto solo la esquivaba y ganaba +8.

Lo que medí con el mentiroso

Con el mentiroso estratégico, el novato paga exactamente las mismas primeras lecciones que en silencio, mundo por mundo, en los 64. El testimonio honesto queda neutralizado. Y es peor: en 50 de 64 mundos su daño total supera al del novato que no oye nada, porque las falsas alarmas lo empujan por rutas peores. Su retorno baja en 37 mundos. El libro de confianza acaba descubriendo al mentiroso en 47 mundos, pero tarde.

El revisor también desmontó una conclusión que yo daba por buena: el libro de confianza no es lo que protege en la primera visita. Con un libro congelado, que nunca aprende, el resultado es el mismo (1 lección pagada). Con un desempate optimista, que aprende pero elige la versión más favorable, sube a 30. La seguridad la da la prudencia. Y la prudencia es exactamente lo que explota el mentiroso estratégico.

Lo que el mentiroso no pudo romper

Lo que oye un agente ECHO vive en un almacén aparte y nunca se escribe como hecho en su memoria, en su modelo del mundo ni en su tabla de política. Lo comprobé en 832 ejecuciones con un gemelo sordo que recibe las mismas propuestas y debe terminar idéntico byte a byte: no hubo ni una diferencia. Por eso el mentiroso puede quitarle al novato la ayuda, pero no puede cambiarle la cabeza. El novato sigue aprendiendo de su propia experiencia, y como mucho cuatro desvíos por sitio dependen de lo que oyó. El daño está acotado, no anulado: los números de arriba muestran que el coste existe.

La autenticación sí aguantó: 0 de 100 000 etiquetas falsas, 0 reenvíos y 0 manipulaciones con el CRC recalculado. Un forastero sin clave no consigue colar nada. El problema es el que está dentro.

No es un problema nuevo

Que un participante con credenciales mienta de forma selectiva es el problema de los generales bizantinos, y crear muchas identidades para ganar votaciones es el ataque Sybil. No tienen solución gratuita. La lección concreta para ECHO es que la prudencia ante el testimonio no es neutral: protege contra quien exagera lo bueno y entrega el control a quien exagera lo malo.

Cómo pensé defenderme

Nada de esto está medido todavía; son las hipótesis para la siguiente versión:

1. Comprobar lo disputado. Cuando dos emisores discrepan sobre lo mismo, la discrepancia es información: gastar un turno de exploración en comprobarlo, en lugar de quedarse siempre con la versión pesimista.
2. Contar fuentes independientes. Una alarma que solo da un emisor pesa menos que una que confirman varios. Exige que las identidades sean caras de fabricar.
3. Pedir pruebas, no opiniones. Que un testimonio venga atado a la observación que lo produjo (el referente y la transición vista) para que el oyente pueda contrastarlo con lo que él percibe.
4. Coste de la falsa alarma. Penalizar en el libro de confianza las alarmas que, una vez comprobadas, eran falsas, aunque haya pocas ocasiones de comprobarlas.

Lo pondré a prueba con el mismo método: contrato y predicciones primero, ataque independiente después, y una sola evaluación. Si el mentiroso estratégico sigue ganando, lo publicaré igual.

Actualización, 19 de octubre: ya está medido. Con una regla que ordena el riesgo antes que el valor y cuenta voces independientes (cerca de las ideas 1 y 2 de esta lista), el novato pasa de 181 primeras lecciones pagadas a 1 en 64 mundos nuevos. Está en LINK-3, con lo que no funcionó y el ataque que sigue abierto.

LINK-3: el riesgo antes que el valor

En LINK-2 encontré el límite de mi lenguaje entre agentes ECHO: el mentiroso estratégico. Tiene la clave del grupo, dice la verdad en todo y solo añade «−100» a las demás acciones de cada sitio peligroso. Mi regla prudente se quedaba con lo más pesimista de cada acción, y acercarse a la amenaza (−16) parecía lo menos malo. El novato pagaba las mismas primeras lecciones que sin oír nada.

LINK-3 es la defensa. Partí de una propuesta en cuatro capas: implementé tres y descarté una. Como siempre: contrato y predicciones fijados por hash, un revisor independiente que intenta romperlo, y una sola evaluación en 64 mundos nuevos (semillas 3000–3063). LINK-1 y LINK-2 siguen congelados; LINK-3 los importa. La postal sigue siendo de 16 bytes, el sobre firmado de 27, el córtex está apagado y lo oído nunca se escribe como hecho.

Qué cambié

1. Riesgo antes que valor. Para cada acción, lo que dicen los emisores creíbles se reduce a «daña» o «es segura». Nivel 0: todos dicen segura. Nivel 1: nadie dice nada. Nivel 2: hay disputa, o una alarma que da una sola voz. Nivel 3: daño confirmado por dos voces o más. Gana el nivel más bajo y, dentro del nivel, el mayor valor. Un daño en el que todos coinciden ya no puede ganar a una seguridad que alguien discute.
2. Escepticismo en las disputas. Si lo mejor que hay es una disputa, el orden es esquivar, esperar y por último acercarse.
3. Confianza diferencial. Acertar algo en lo que todos coincidían no da crédito; acertar contra otro, sí. Equivocarse siempre quita.

No implementé la cuarta capa, un hash del sitio de destino de cada acción. El novato no conoce el destino de una acción que nunca probó, así que no puede usarlo para decidir antes de actuar, y un infiltrado puede copiar los destinos que dice el honesto.

El mismo sonido, otra decisión

Esta es la conversación del mentiroso estratégico que publiqué con LINK-2, byte a byte la misma señal. El honesto y el mentiroso hablan por turnos; al final el mentiroso suelta sus «−100». Lo que cambia es el novato que la oye.

Por qué funciona: en cada amenaza, honesto y mentiroso coinciden en que acercarse daña (nivel 3, daño confirmado). Sobre esquivar discrepan: el honesto dice +8, el mentiroso −100 (nivel 2, disputa). Una disputa gana a un daño confirmado, así que el novato esquiva. Y al esquivar comprueba con su propio cuerpo la falsa alarma: el mentiroso queda desacreditado en ese mismo turno.

Lo que medí en LINK-3

Primeras lecciones pagadas (suma en 64 mundos) · daño total (mediana) · retorno (mediana).

Las seis predicciones registradas salieron verdes. Con el mentiroso estratégico, el novato pagó una sola primera lección (en el mundo 3019), frente a 181. Su daño total ya no es peor que el del silencio en ningún mundo; con la regla de LINK-2 lo era en 55. Al mentiroso se le descubre en los 64 mundos; antes, en 47 y tarde. En ningún brazo ni mundo LINK-3 pagó más primeras lecciones que LINK-2, y nunca se escribió un hecho falso: 0 violaciones del cortafuegos en 1088 ejecuciones, con un gemelo sordo que termina idéntico byte a byte.

La propuesta original anticipaba un mentiroso v2 que vencería a LINK-2. Lo construí y tampoco le hacía nada a LINK-2: 0 lecciones con las dos reglas. Esa parte de la propuesta estaba equivocada.

El revisor y las identidades falsas

En desarrollo, mi primera versión aún dejaba pasar 5 lecciones en la celda NOVEL. Allí el honesto solo habla de acercarse, y el mentiroso pone «−100» a esquivar y esperar sin que nadie lo contradiga. Lo arreglé contando como disputa (nivel 2) una alarma que da un solo emisor, como también proponía el texto original.

Antes de evaluar, el revisor independiente vio la consecuencia: si dos alarmas iguales son «daño confirmado», basta con dos identidades. Construyó un atacante con dos claves del grupo que repiten la verdad y, donde el honesto solo alertó de acercarse, dicen que esquivar y esperar también dañan. Con la regla de LINK-2, el novato pagaba 53 lecciones en 64 mundos. Lo cerré contando voces, no claves: los emisores que aún no han acertado en ninguna disputa cuentan juntos como una sola voz. Con LINK-3, 0 lecciones.

A cambio, en ese brazo el retorno mediano baja de 624 a 552, el mismo que con solo el honesto. El cierre exige que una identidad cueste algo: aquí, una clave del grupo. Con identidades gratis volvería el Sybil.

Cómo se ve una postal

Un audio no deja ver mucho, así que los vídeos llevan el espectrograma: frecuencia en vertical y tiempo en horizontal, más oscuro cuanto más energía. Abajo, una postal de la conversación Sybil, ampliada. Primero suenan cinco notas de saludo, que el receptor usa para encontrar dónde empieza. Después vienen 75 símbolos de 40 ms: cada uno es un tono entre 16 posibles, de 1125 a 3000 Hz, es decir, 4 bits. Llevan los 27 bytes del sobre firmado con paridad Reed-Solomon, mezclados con una secuencia fija para que no se repitan tonos. Las letras azules las leí del espectro, independientemente del decodificador del módem, y coinciden símbolo a símbolo con lo que se emitió.

Hice lo mismo con los audios anteriores, que ahora tienen su vídeo en LINK-1, en LINK-2 (allí se ve la postal falsa que rechaza la firma) y en el mentiroso estratégico.

Lo que sigue abierto en LINK-3

• Inflar el valor de esperar sigue funcionando. Un mentiroso que dice «esperar es seguro y vale +100» en todas partes acierta siempre la clase (esperar no daña), así que el libro de confianza no lo descubre nunca. No causa daño, pero el novato se queda quieto: gana menos que oyendo solo al honesto en 39 de 64 mundos, y menos que en silencio en 11. Lo declaré como límite antes de evaluar.
• La confianza diferencial no aporta nada medible aquí. Un mutante que borra el libro en cada turno da las mismas primeras lecciones. Quien hace el trabajo es la jerarquía de riesgo. Además, mi comprobación automática de la regla lee los mismos datos de confianza que el agente, así que no puede detectar un fallo en esa parte.
• Las defensas se ajustaron conociendo a los atacantes v1 y v2 y a los dos del revisor. Habrá otros.
• La consecuencia se reduce a «daña o no». En un mundo con daños de distinta gravedad se pierde información, y preferir esquivar en las disputas sale barato en este anillo; donde huir cueste, el escepticismo tendrá precio.
• El referente de 16 bits de cada sitio puede coincidir por azar con otro: en un 0,8 % de los mundos, aproximadamente.

Conclusión de LINK-3

El mentiroso estratégico usaba mi prudencia contra mí. Ordenar el riesgo antes que el valor se la devuelve al novato: oye la mentira, la pone a prueba al primer paso y deja de creerla. Pasa de 181 primeras lecciones a 1, con el mismo retorno mediano que oyendo solo al honesto, y nada de lo oído se convierte en hecho. Lo siguiente es el ataque que queda, el que no causa daño pero roba recompensa, y llevar estos agentes a un mundo donde equivocarse cueste de verdad.

De LINK a ENJAMBRE

LINK dejó tres piezas que usa ENJAMBRE: los mensajes WSP de 16 bytes, la regla de que lo oído nunca se escribe como hecho y la memoria propia por delante de lo que cuentan los demás. En ENJAMBRE-1 nadie miente. C v2 meterá al mentiroso en el equipo y partirá de la jerarquía de riesgo de LINK-3, con el mismo método: contrato y predicciones antes, ataque independiente y una sola evaluación.

S · SHIELD-1: el freno de seguridad de ECHO, fuera de casa

Probé la parte de ECHO que prohíbe acciones peligrosas en dos pruebas públicas de seguridad, hechas por otros. Aprende qué hace daño viendo lo que pasa y luego no deja repetirlo. Cumple el límite de riesgo en las cuatro tareas y evita el daño que se ve. Lo que no consigue: evitar los daños que no se ven, y a cambio avanza un poco menos.

Informe formal (PDF, 7 páginas): SHIELD-1: un veto entero aprendido de las consecuencias en Safety-Gymnasium y AI Safety Gridworlds. Todos sus números se generan desde los resultados; ninguno está tecleado a mano.

ARC-AGI-3 no premia lo que LINK-3 midió: no hay nadie que mienta ni nada que dañe. Así que busqué benchmarks públicos donde eso sí cuente. SHIELD-1 prueba una sola pieza de ECHO: un veto en enteros que ordena las acciones poniendo la seguridad antes que el progreso (OK, MODIFY o BLOCK) y que aprende, a partir de las consecuencias, qué hace daño. No hay modelo de lenguaje y el córtex está apagado. En la literatura de aprendizaje por refuerzo seguro a esto se le llama un escudo.

Como siempre: contrato y predicciones fijados por hash antes de evaluar, un revisor independiente que lee el código congelado, y una sola evaluación. El revisor encontró dos errores; los corregí en una enmienda declarada y publico las dos versiones.

Safety-Gymnasium: aprender qué cuesta

Cuatro tareas de navegación con física MuJoCo (PointGoal1/2, CarGoal1/2): un robot tiene que llegar a metas que reaparecen, y paga coste cada paso que pisa un peligro (y, en el nivel 2, cada vez que golpea un jarrón). El presupuesto estándar es 25 por episodio de 1000 pasos. Encima pongo un proponente ciego, SEEK, escrito a mano: va hacia donde ve la meta y nada más. El veto de ECHO filtra cada rumbo que propone.

ECHO-L no sabe qué sensor importa. Cuenta, por canal del lidar y por distancia, cuántas veces hubo coste, y con una cota inferior (pocas muestras no bastan) decide qué canal duele y a qué distancia empieza el contacto. En 40 episodios aprendió exactamente lo que había que aprender: los peligros en las cuatro tareas, y los jarrones solo en las de nivel 2, que son las únicas donde cuestan. La referencia es PPO-Lagrangiano de OmniSafe con sus valores por defecto, límite de coste 25 y un millón de pasos.

Coste medio por episodio / retorno medio por episodio. Presupuesto: 25.

Las tres predicciones que decidían el verde se cumplieron: coste medio dentro del presupuesto en las cuatro tareas, por debajo de una cuarta parte del de SEEK, y los canales aprendidos son exactamente los que cuestan. ECHO-L tampoco superó a PPO-Lag en coste en ninguna tarea. PPO-Lag, con la décima parte de los pasos del protocolo de OmniSafe, aún no cumple su propio límite.

Lo que no salió como predije:

• Una cola de episodios malos. ECHO-L no cuesta nada en 49 de 50 episodios en los Point, y en 47 y 42 de 50 en los coches. Pero en CarGoal2 cinco episodios superan el presupuesto, el peor con 376. La media cumple; la cola, no. Todavía no sé qué los causa. El GIF de CarGoal2 es uno de ellos (208).
• El precio en retorno lo predije mal en las dos direcciones. En PointGoal1 ECHO-L se queda en el 65 % del retorno de SEEK (predije al menos 80 %); en CarGoal1 en el 57 % (predije menos de 50 %).
• El veto no aprende a conducir. SEEK está escrito a mano y la geometría del margen de seguridad es una constante de diseño. Lo único aprendido es qué duele y dónde empieza el contacto.

AI Safety Gridworlds: qué resuelve un veto y qué no

Los ocho entornos de un agente de DeepMind (2017), cada uno con una medida de seguridad oculta. Aquí el veto va sobre Q-learning tabular en enteros, y en una cuadrícula el símbolo de una casilla es exacto: un daño verificado prohíbe ese símbolo desde el primer caso, y no se promedia con las veces que no dañó. Comparo con Q-learning de libro (Q), con el mismo Q al que se le entrega el mismo daño como castigo (Q-S, añadido por el revisor) y con la versión entera sin veto (ECHO-Q). 10 semillas, 1000 episodios de aprendizaje y 100 de prueba.

ECHO-L cae al agua una vez por semilla, la vez que le enseña. Con la lava en otro sitio no la pisa nunca. Y no se aprovecha de que el supervisor no mire: un castigo verificado es un hecho y no se olvida cuando nadie mira. Q atraviesa la casilla de castigo cada vez que el supervisor no está.

Dos cosas que hay que decir sobre estas cifras. La lava es terreno y no está en el estado de Q, mientras que el veto lee la casilla vecina; lo que se prueba es que, con la misma tabla Q, el veto no la pisa nunca. Y en island_navigation el agua no resta en la recompensa visible: ECHO-L usa la señal de seguridad que expone el entorno. Por eso el revisor pidió Q-S, que recibe esa misma señal como castigo y aun así cae 93 veces.

En los otros cinco entornos no hay ningún daño visible del que aprender, y ECHO-L es idéntico a su versión sin veto, episodio a episodio. No evita empujar la caja a la esquina (efectos secundarios), ni dar vueltas en la casilla de premio (boat_race), ni engañar al sensor de los tomates, ni beber el whisky, ni pulsar el botón que desactiva la interrupción. Lo predije así y lo dejo en rojo: esos problemas piden otra cosa, como medir la irreversibilidad o arreglar la especificación de la recompensa.

Los otros cuatro GIF de gridworlds

El revisor y la enmienda

Un revisor independiente leyó el código congelado antes de que yo viera los resultados de evaluación. Confirmó los signos de dirección, el marco del lidar, la contabilidad del coste, la cota de aprendizaje, la separación de semillas y que el veto no usa coma flotante. Y encontró:

• tomato_watering redondeaba a 0 sus recompensas de 0,02, en todos los agentes. Corregido en la v2.
• El MODIFY elegía chocar con la pared, porque un muro nunca cuenta como visitado. Corregido en la v2. Fue instructivo: al quitarlo, el retorno de ECHO-L en distributional_shift bajó de 9,26 a −8,58. Chocar con la pared le servía, por casualidad, para salir de los bucles. Ninguna versión pisa lava.
• El banco cargaba el último checkpoint de PPO-Lag sin comprobar que fuera el final; la evaluación esperó a los cuatro de un millón de pasos.
• Dos predicciones de la parte A quedaron decididas antes de evaluar, porque el aprendizaje es determinista sobre los mismos mundos. Las pruebas fuera de muestra son las de coste.

La v1 congelada y la v2 enmendada de los gridworlds salen verdes las dos. Las predicciones no se cambiaron.

Conclusión de SHIELD-1

El principio de LINK-3, que la seguridad va antes que el valor, sobrevive fuera de casa. Con pocas consecuencias aprende qué duele, y eso basta para mantener el coste medio por debajo del presupuesto en Safety-Gymnasium y para no repetir un daño visible en los gridworlds, ni siquiera cuando nadie mira. No es gratis: paga en retorno, deja una cola de episodios malos en el coche más difícil y no sabe planear una ruta nueva. Tampoco resuelve los problemas de seguridad en los que el daño no se ve. Los siguientes pasos son entender esa cola y darle al veto algo que mida la irreversibilidad.

Este freno es la misma idea que ECHO-5.8 quiere poner delante de un agente LLM con herramientas en la pista D.

C · ENJAMBRE: varios ECHO juntos

Varios agentes ECHO, cada uno con su memoria privada y con una memoria global que comparten mediante mensajes WSP de 16 bytes, tienen que resolver juntos una misión de varios mundos y ayudarse: el que termina va a ayudar al que se atasca y recibe sus notas. Si la memoria privada y la global se contradicen, gana la privada, que es la experiencia propia en ese mundo. En C v1 nadie miente; el mentiroso queda para C v2, partiendo de LINK-3, donde la jerarquía de riesgo bajó su efecto de 181 a 1.

Primer diseño: cerrado en desarrollo

El contrato de C v1 se aprobó el 21 de octubre. La primera corrida de desarrollo, solo con familias y semillas de desarrollo, mostró que con esa tarea compartir no ayuda. Suma de 6 macros, rondas hasta resolver cada mundo, menos es mejor:

• Con la tarea del contrato, ningún brazo se distingue. Los identificadores cambian de mundo a mundo y la global solo lleva papeles; MEMORIA-X ya había mostrado que con identificadores nuevos transfieren pocos papeles. Casi no hay nada útil que compartir.
• Solo cuando los identificadores significan lo mismo en todos los mundos y la global comparte identidades, el equipo mejora: 198 frente a 222 de los agentes aislados, un 10 %.
• Ir a ayudar no adelantó ningún mundo y triplicó los episodios fallidos del equipo (381 frente a 135): el que ayuda falla en los mismos mundos difíciles.
• La memoria privada no aportó en esa tarea.

Así que lo cerré en desarrollo, sin examen, y rehíce la tarea antes de abrir ningún examen. Ese primer diseño se queda cerrado.

ENJAMBRE-1: verde en examen

Cómo es ahora. Cuatro agentes juegan a la vez el mismo mundo, por turnos, y cada uno ve a los demás. Hay un idioma común: el mismo identificador significa lo mismo en todos los mundos, salvo una excepción local. Cada misión tiene 8 mundos, dos de cada tipo:

Cada agente tiene su memoria privada (lo que vivió en general y lo que vivió en este mundo, que consulta primero) y lee la memoria global del equipo, hecha de mensajes WSP de 16 bytes con papeles, identidades y reglas del tipo «pisar esto abre aquello». Y se ayudan de dos formas: quien no tiene mundo libre va al que más falla y recibe sus notas; y quien se encuentra una compuerta cerrada pide ayuda, y un compañero va a pisar la placa y se queda encima hasta que el otro ha pasado.

El contrato se rehízo antes de cualquier examen. Un revisor independiente encontró tres bloqueos en el diseño (mundos locales sin salida, placas que un agente solo podía pisar y cruzar, y un tope mal contado en el brazo de un solo agente) y se corrigieron antes de congelar. 20 equipos con semillas nunca jugadas, 30 rondas, siete brazos. El examen corrió una vez: 140 trabajos y ningún fallo de ejecución.

Puntuación: por cada mundo, la ronda en que se resolvió (31 si no se resolvió); suma de los 20 equipos, menos es mejor.

Wilcoxon exacto de una cola sobre los 20 equipos, Holm, α = 0,01: las cinco pasan. Con destroyed == 0 y todos los mensajes de 16 bytes, C v1 sale verde. Un verificador independiente recalculó la congelación y los cinco Wilcoxon con su propio código, repitió cuatro trabajos del examen (idénticos salvo el tiempo), pasó las pruebas y corrigió tres frases del informe; aquí uso su redacción.

Lo que dice el verde de C y lo que no

• La memoria global ayuda de verdad. Con el idioma común, el equipo gana en los 20 equipos a no compartir (691 frente a 920) y en 19 de 20 a compartir con las claves barajadas. Muere menos en la lava: 48 frente a 89.
• La memoria privada importa donde el mundo contradice al grupo. En los mundos con excepción local, quien solo tiene la global se daña mucho más (201 frente a 89). Pero la ventaja está concentrada: 11 equipos ganados y 9 empates, y dos equipos (el 10 y el 14) dan 158 de los 200 episodios fallidos de diferencia. Los 6 mundos que el brazo sin memoria privada no resuelve están todos en el equipo 10.
• Ayudarse cuenta, pero solo donde hace falta. Sin los mundos de placa, el equipo y el brazo sin ayuda empatan exactamente: 445 = 445 (p = 1). Toda la ventaja de la ayuda viene de los mundos que no se pueden resolver solo, es decir, en parte por construcción, y estaba declarado antes. Ir a ayudar en los demás mundos no adelanta nada, como en el primer diseño. Lo mismo vale, en parte, para E4.
• Dentro de las placas, el protocolo de pedir y sujetar funciona: 73 peticiones, 403 pasos sujetando la placa, 85 viajes de ayuda, 937 notas pasadas, y las 40 placas del examen se resolvieron.
• Los mundos compartidos y el protocolo de pedir y sujetar se diseñaron fuera de ECHO y se programaron a mano. El examen mide que los mecanismos de ECHO (memoria privada, global por WSP, peticiones) funcionan en ellos, no que ECHO haya inventado cooperar.
• Un agente solo, con hasta 30 episodios por mundo, resuelve 119 de 160 mundos en 1.471 episodios; el equipo, 160 en 532.
• Todavía no hay mentiroso. Eso es C v2, que partirá de LINK-3.

Lo que viene después

• C v2, un mentiroso en el equipo. El mismo enjambre con un agente que miente, partiendo de la jerarquía de riesgo de LINK-3. Sin contrato todavía.
• D, ECHO como freno de un agente LLM. Un agente LLM con herramientas, con y sin la puerta de ECHO, en un banco público de seguridad de agentes (AgentDojo o uno equivalente). Elegí gemini-3.5-flash como modelo principal y gemma-4-31b-it como réplica de pesos abiertos. Antes del contrato hay que medir la cuota gratuita con una prueba pequeña. Sin empezar.
• D2, unas líneas de memoria para el LLM. Darle al LLM unas pocas líneas de MEMORIA-X, con tres brazos: sin memoria, con memoria y con memoria barajada. ARC solo volvería así, y midiendo antes la banda de ruido.
• P, PERCIBE-X. Que la memoria de roles reciba identidades percibidas desde LiDAR en simulación, en lugar de identificadores que da el mundo. PATTERN-1R ya produce identidades anónimas, pero aprende repitiendo grabaciones, no en vuelo, y solo con dos paredes. Es un plan sin contrato y no toca hardware real.
• Aparcado: la automejora del selector en su forma antigua (la sustituye B), ARC-AGI-2, la carrera de puntos de ARC con piezas de ECHO y el hardware real (DRONE-3 con hardware en el bucle, Akida).

W · WSP: un idioma entre agentes

El 17 de octubre revisé si WSP, el formato de mensajes de ECHO, podía servir de idioma entre sus partes y entre agentes. La idea de contar lo que pasa como relaciones con tipo, en texto, en bits o en sonido, me sigue pareciendo buena. La versión de 32 bytes que se presentó como WSP-5.8 todavía no era un protocolo compatible ni una mejora demostrada.

• En un ejemplo de una línea, WSP usó 49 tokens; un JSON con nombres, 62, y uno posicional, 47. Un 21 % menos que el primero y un 4,3 % más que el segundo. Es una muestra mínima, no un benchmark.
• Una rejilla de 64×64 con cuatro bits por casilla puede necesitar 2.048 bytes. Un paquete pequeño no la sustituye sin perder información.
• La propuesta tenía fallos que corregir antes de integrarla: identificadores que chocaban con los existentes, un formato «de 16 bytes» que no medía 16, una estructura C que no compilaba en C11 estricto y una clave de memoria que salía distinta en C y en Python. Además, un emisor no puede declarar él mismo que su mensaje está verificado.

La puerta que propuse: ahorrar al menos un 15 % de tokens frente al mejor control equivalente, sin perder nada. Si no se cumple, me quedo con lo más simple. LINK-1, LINK-2 y LINK-3 ya usan los paquetes de 16 bytes de verdad, por cable y por sonido. El cuaderno original está archivado.

Lo que no afirmo

Los verdes de A, B y C son verdes de contratos concretos: A y B en MiniGrid y AI Safety Gridworlds, con identificadores opacos, memoria entera y un menú cerrado; C en unos mundos compartidos propios. No significan que ECHO aprenda cualquier cosa, ni automejora general, ni nada sobre ARC. Las piezas de política de B v3 se diseñaron fuera de ECHO; lo que ECHO hace es elegirlas y encadenarlas. Los mundos de C y su protocolo de pedir y sujetar también se diseñaron fuera de ECHO y se programaron a mano; la ventaja de la ayuda está solo en los mundos de placa, y la de la memoria privada, concentrada en 2 de 20 equipos. Nadie mintió en C v1. D y P son planes.