El hogar común como sistema operativo

El punto de partida es una metáfora radical pero fecunda: el orden mundial actual - con todo su tejido político, económico y jurídico - es un sistema operativo que funciona, pero ya envejecido. Llamémoslo, por convención, "Windows 11". No carece de sentido: arranca, sobre él corren miles de millones de procesos, ha sobrevivido a muchas versiones. Pero sus fallos ya se conocen - no los hipotéticos, sino los que afloran a lo largo de decenios y cuestan vidas humanas.

La pregunta de este documento: dado un equipo completo de desarrolladores y una hoja en blanco, ¿qué aspecto tendría la siguiente versión, "Windows 12"? No una perfecta (no la hay), sino la más correcta y completa que sea alcanzable en la situación presente.

La metáfora del SO se toma en serio, no como adorno. Un sistema operativo tiene una anatomía de ingeniería real: un núcleo y anillos de privilegio, un modelo de permisos, aislamiento de procesos, un planificador de recursos, un mecanismo de actualización, tratamiento de errores, autenticación. Cada uno de estos ejes se proyecta sobre la arquitectura de una sociedad con sorprendente precisión - y donde la proyección se rompe, se rompe de modo instructivo. Al final (Parte IX) examinamos también el defecto central de la propia metáfora: un SO tiene un dueño, y la humanidad no debe tener ninguno. El lenguaje de los sistemas operativos se eligió justamente por esa exactitud - es la vía más cercana y clara para explicar una estructura de esta índole. Y "Windows 12" es una lente analítica, no una consigna: en el modelo mismo el Estado no desaparece, sino que se vuelve una capa delgada (Parte III), de modo que se trata de rediseñar toda la pila como objeto de estudio, complementario a los Estados, no de un llamado a abolirlos.

Los términos técnicos especializados (kernel, user space, capability, zero-knowledge, sandbox, nullifier y afines) se dejan a propósito sin glosar: una nota sobre cada uno abultaría el texto, y su significado es fácil de consultar. Lo que importa aquí no es la definición informática precisa, sino el papel que un término desempeña en la estructura.

El documento se ordena así: primero un diagnóstico del sistema viejo (I), luego un balance de lo que de él debe sobrevivir (II), después la arquitectura del nuevo (III) y el lugar del ser humano en ella (IV). Vienen luego los tres módulos más cargados, abiertos uno a uno (V-VII), sus conflictos mutuos (VIII), la trampa del arquitecto (IX), pruebas de esfuerzo hasta la ruptura (X), un ajuste de cuentas con intentos reales y vivos (XI) y, por último, el horizonte abierto del trabajo (XII).

El error capital en toda conversación sobre el futuro del orden mundial es tratar al Estado como un monolito que existe o no existe. El Estado no es una entidad, sino un haz de funciones que fue a parar a unas mismas manos por razones de guerra, impuesto e industria:

1. Un monopolio de la fuerza legítima - quién tiene el derecho de coaccionar.
2. Jurisdicción sobre un territorio - poder sobre un trozo de espacio físico.
3. La provisión de bienes comunes - caminos, redes, defensa, tribunales, infraestructura.
4. Pertenencia e identidad - quién cuenta como "uno de los nuestros", a quién se adscribe una persona.
5. Redistribución - cuidado de los débiles, seguro contra la desgracia.
6. Derecho y resolución de disputas - reglas y arbitraje.
7. Representación externa - una voz hacia afuera, en la escena internacional.

Ninguna ley natural obliga a que estas siete funciones estén en una misma caja. Las fundió la historia. Y hoy se desprenden ante nuestros ojos: la identidad se filtra hacia las redes, el dinero hacia los protocolos, las disputas hacia el arbitraje privado, los bienes comunes hacia estructuras transnacionales. Entender al Estado como un haz desmontable y no como un átomo es el fundamento de todo lo que sigue.

Antes de diseñar nada nuevo hay que determinar con honestidad qué no puede desecharse. La versión romántica del futuro - los Estados disolviéndose sin más en comunidades voluntarias - se estrella contra varios hechos duros.

El espacio físico es rival

Un río, una red eléctrica, un puerto, una hectárea de tierra no pueden "bifurcarse", y no se puede estar en dos jurisdicciones a la vez. Mientras las personas tengan cuerpo y ocupen espacio, alguien gobierna ese espacio y dirime los conflictos por él. Este es el núcleo inextirpable del poder territorial: la materia engendra competencia por el uso exclusivo.

La seguridad física - el caso extremo, donde la salida es imposible

Una pandemia, una invasión, una catástrofe. Aquí se necesita una estructura que no pueda abandonarse con un clic, porque debe retener en el coste común a quienes preferirían huir de ella. La libertad de salida es magnífica contra la tiranía y letal contra una pandemia: al virus le da igual a qué comunidad voluntaria pertenece una persona.

El cuidado de quienes no pueden aportar

Este es el argumento más fuerte a favor de algo semejante al Estado, y el que menos se dice en voz alta. Las comunidades voluntarias son, por naturaleza, buenas cuidando a los útiles y malas cuidando a los inútiles: los enfermos, los ancianos, los quebrados, los "no rentables". A la solidaridad se obligó a la historia justamente mediante una estructura no abandonable - aquella de la que el sano y el rico no pueden emigrar para eludir sus obligaciones con el débil. Quita la coacción a la solidaridad y obtienes la clasificación de las personas por su utilidad. Eso no es libertad. Es darwinismo con una buena interfaz.

La primera decisión de ingeniería de todo SO: qué corre en el anillo 0 (privilegiado, con acceso pleno) y qué corre en el user space, donde un proceso puede caer sin derribar el sistema. Un monolito es mala arquitectura. Aquí la arquitectura se construye como micronúcleo. En el núcleo va solo lo físicamente inseparable y rival - aquello de lo que no se puede salir:

• la protección de la seguridad física y del espacio físico;
• los sistemas planetarios de soporte vital - clima, océano, atmósfera, órbita, espectro, agua;
• el gobierno de las hipertecnologías, donde el coste del error es la especie entera (inteligencia artificial, bioingeniería);
• y, sobre todo, el mantenimiento del propio modelo de permisos - la garantía de que nadie se convierta en root.

Todo lo demás - la economía, la cultura, las comunidades, los modos de vida, las creencias, las estéticas - se traslada al user space. Allí compite, yerra, quiebra, muere y renace, sin llevarse consigo al sistema. El núcleo es delgado; por encima, un espacio hirviente de procesos libres.

El corazón de todo el modelo, y el punto donde se rompe la mayoría de los sistemas históricos.

En un sistema operativo el soberano es el usuario. Los procesos existen para servir al usuario; cuando un proceso estorba al usuario o se cuelga, se termina - una operación rutinaria, no una tragedia. El fallo más profundo de casi todo orden social es que invierte esta relación: el ser humano se vuelve un proceso al servicio del Sistema - la economía, la nación, el Estado, el partido, la "gran causa". Al ser humano se lo planifica para las tareas del sistema, en vez de al revés.

La mejor idea de la seguridad informática moderna son los derechos como capacidades bajo el principio de mínimo privilegio. Sobre ella se edifica toda la política.

• Ningún actor recibe más autoridad de la que exige una tarea dada.
• Toda autoridad es revocable, acotada en el tiempo y auditable. No hay concesiones de poder perpetuas, incondicionales ni hereditarias.
• Los derechos humanos no son una declaración abstracta, sino capability-tokens concretos e inalienables que no pueden arrebatarse por jurisdicción, canjearse ni condicionarse a la utilidad.

Federación, policentrismo, sandboxes. Las comunidades, las economías y los modos de vida son procesos aislados. Uno cae - los demás siguen vivos. Entonces el derecho de salida es el derecho a terminar un proceso o a abandonarlo. Es el freno más poderoso contra la tiranía: un poder del que se puede uno marchar está obligado a ser soportable, porque de lo contrario se queda sin personas. Pero tiene un coste (véase la Parte VIII): la salida total conduce a la clasificación por semejanza, a la pérdida de la solidaridad a través de la diferencia y a la pregunta de "quién sostiene a aquellos de quienes todos se marchan". El derecho de salida es absoluto en el user space e imposible en el núcleo - de lo contrario se desploma la propia Parte II.

Ensamblada como un todo, la arquitectura no arroja "ningún Estado", sino múltiples capas. El principio ordenador es la subsidiariedad: una decisión se toma en el nivel más bajo capaz de sostenerla, y solo asciende cuando debe.

Semejante división concilia la libertad con la seguridad mejor que nada ideado hasta hoy: no centraliza por costumbre ni descentraliza por dogma, sino que pone cada tarea allí donde realmente se resuelve.

El modelo responde a la pregunta directa - en qué se convierte el ser humano dentro de él - mediante tres haces.

Derechos (capability-tokens, inalienables, garantizados por el núcleo)

Función

El ser humano es a la vez el usuario (soberano sobre su propio dominio) y, colectivamente, la única fuente de la autoridad del núcleo. El núcleo es legítimo exactamente en la medida en que se ejecuta en nombre de los usuarios. No hay "pueblo por encima de las personas", ni "Estado por encima de los ciudadanos" como una entidad superior aparte - hay personas cuya voluntad conjunta es el único root. Más aún: root como posición ocupada no existe en absoluto (Parte IX); solo hay una fuente distribuida de autoridad que nadie se apropia.

Deberes (el precio de la capa no abandonable - sin la cual toda la construcción es utópica)

• No corrompas la memoria compartida. No viertas tus costes en la biosfera y en la vida ajena. Internalizar las externalidades no es un impuesto ni una moral - es una prohibición de la memory corruption: nadie puede escribir destrucción en una memoria que todos comparten.
• Sostén el mantenimiento de lo común. Aporta a la capa del núcleo (seguridad, lo común, protección de los débiles), de la que no se puede salir - precisamente porque no se puede emigrar de ella para eludir la obligación. Es la única coacción legítima a contribuir.
• Mantén el sistema. La participación como maintenance. Un SO que nadie mantiene se degrada. La ciudadanía es a la vez un login y un turno de guardia del sistema: una cuota mínima de atención y de trabajo, sin la cual lo común se oxida.

El dilema real

Es un trilema: tres propiedades de las cuales, a lo sumo, dos son alcanzables a la vez.

Todo sistema real sacrifica una por dos. Con toda probabilidad es una propiedad estructural del problema, no una carencia de ingeniería.

Qué se ha intentado y cómo se rompe

• Un registro biométrico centralizado. La unicidad queda resuelta con holgura. Pero es exactamente el root: un único punto de exclusión (apagas el registro y una persona se vuelve un cadáver civil), un único punto de vigilancia, un inevitable function creep.
• Web-of-trust (avales). Descentralizada, privada. Pero la resistencia Sybil se debilita a escala y reproduce la desigualdad del grafo social: al bien conectado se lo verifica; el aislado sigue siendo nadie.
• Proof-of-personhood por biometría. La unicidad a escala queda resuelta. Pero: un honeypot biométrico de tamaño planetario; confianza en el hardware; vulnerabilidad a la coacción; irreversibilidad (un iris no se reemite); y detrás de todo, una empresa. Una deduplicación biométrica global que funcione es, en sí misma, infraestructura de vigilancia ya lista.
• Un documento estatal envuelto en selective disclosure. Mejora la privacidad, pero deja al Estado emisor como raíz de confianza y hereda la lotería de la ciudadanía.

La opción menos mala

El movimiento clave es despegar lo que la palabra "identidad" fundió en un solo grumo: autenticación (el mismo sujeto a través de las sesiones), unicidad (un solo sujeto) y atributos (mayor de 18 / miembro de esto / titular del derecho X). El crimen mayor de los sistemas de pasaporte es hacer pasar los tres por un único identificador.

• El verificador de la unicidad no debe convertirse jamás en el observador de la actividad. Entre "quién es único" y "qué hizo una persona" se alza un muro criptográfico: zero-knowledge proofs y nullifiers. El emisor entrega la prueba y olvida; nadie guarda un expediente; la prueba permanece con la persona.
• Pluralidad de emisores en lugar de un monopolio. Muchos independientes; basta con k-de-n. Ninguno es root, ninguno es un único punto de exclusión.
• Revocabilidad en lugar de la biometría cruda como llave. La llave primaria es una credencial reemitible. La biometría falla justamente en la reemisión, por eso no puede ser la raíz.
• Nullifiers por contexto. Probar la unicidad "en esta elección" sin ligarla a la unicidad "en aquel foro".

El dilema real

Dos preguntas acopladas: cómo asignar la escasez (tierra, energía, materia, atención) y quién financia el núcleo no abandonable. Sobre ambas pende el conflicto de dos fracasos:

La opción menos mala

1. Un suelo protegido. Un mínimo garantizado por debajo del cual una persona no cae: alimento, energía, acceso al cómputo y a la información, salud básica. La justificación no es la lástima, sino la libertad: solo se puede negociar con libertad si hay adónde marcharse de un mal trato. El suelo da la fuerza de levantarse y salir; hace justo el mercado que hay por encima de él.
2. Lo común se mide y se paga. Lo común rival (la capacidad de absorción de la atmósfera, la órbita, el espectro, el agua, la atención) no es gratuito ni está privatizado - el acceso se tarifica y se raciona. El ingreso por agotar el sustrato compartido financia el suelo y el núcleo. Esto es renta sobre lo común (en el espíritu de Henry George), no un impuesto a la producción: se paga no por lo que se creó, sino por lo que se tomó de todos.
3. Un techo a la concentración - una función de seguridad, no envidia. La concentración extrema de recursos equivale a concentración de poder, equivale a un aspirante a root, y la ausencia de raíz está entre los axiomas del modelo. Limitar la acumulación es anti-captura. La justificación es más fuerte que la moral: no "la riqueza es injusta", sino "la super-riqueza es una toma no autorizada de los derechos del administrador".

El dilema real

La opción menos mala

• La política como experimento. Despliegue por etapas en vez de "todo de una vez"; A/B en un perímetro pequeño y consentidor; medición contra métricas declaradas de antemano; ampliación solo si funcionó.
• Un sesgo hacia la reversibilidad. Preferencia por los cambios que pueden revertirse. Los irreversibles reciben un umbral mucho más alto. Cláusulas sunset: las reglas caducan y deben reafirmarse. Lo predeterminado es la derogación, no la acumulación; una institución muerta caduca en silencio en lugar de arrastrarse por inercia.
• La bifurcación como válvula de escape. ¿Perdiste la actualización? No vayas a la guerra - escíndete sobre reglas abiertas. Pluralismo aplicado al tiempo.
• Separar el poder de cambiar las reglas del poder que gana con ellas. Quien escribe una enmienda no debe alimentarse de ella. El cambio se debate bajo un velo parcial de ignorancia sobre la propia posición futura.
• Quién guarda al actualizador. El mecanismo de actualización es él mismo código, y quien puede cambiarlo es el verdadero root. Por eso la metarregla es lo más difícil de cambiar: solo mediante supermayorías sostenidas y estiradas en el tiempo. Time-locks: cambiar el núcleo exige un apoyo mantenido a lo largo de varios periodos. Una mayoría de un martes no toca el núcleo.

Esto importa más que cualquier módulo por separado. Los tres módulos no son tareas independientes, sino un banco de mandos donde cada posición de uno estropea a otro. Un modelo honesto está obligado a mostrar estos conflictos, no a esconderlos.

Aquí la metáfora del SO se agrieta, y esa grieta es lo más importante del documento. Un sistema operativo tiene un dueño - aquel que ostenta el root, decide qué es bueno para el usuario y empuja actualizaciones sin preguntar. La humanidad no debe tener semejante dueño.

Lo más peligroso de la tarea "diseña un nuevo orden mundial" es la tentación de ensamblar un sistema hermoso, unificado, racionalmente dispuesto, con un solo arquitecto sabio. Es exactamente lo que a lo largo de la historia mató por millones. La sociedad no es código; los valores no tienen compilador; no hay test unitario para la justicia; y quienquiera que declare saber cómo deben ser las cosas y exija el derecho a reescribir a todos es más peligroso que el fallo que se propone corregir.

Esto vale también para el propio documento. Está escrito con una sola voz - y justamente por eso no puede tomarse como un sistema acabado. Su destino es que se lo abra, se lo impugne y se lo bifurque, no que se lo instale.

Un modelo que no se somete a un escenario de ruptura no es un modelo, sino un decorado. Pasar "Windows 12" por tres escenarios duros muestra con honestidad dónde cae.

Escenario 1. Una pandemia

Un patógeno rápido y letal. El núcleo necesita una coacción instantánea a una medida común, pero toda la arquitectura está construida en torno al derecho de salida y a la coacción mínima.

Escenario 2. Una guerra por un recurso físico

Dos capas territoriales reclaman un mismo río / plataforma / corredor. El recurso es rival, la bifurcación es imposible.

Escenario 3. Captura por una IA

Una IA hiperpoderosa se instala en el núcleo. Quien controla ese proceso controla el código más privilegiado del planeta.

Nada aquí es del todo nuevo. Casi cada elemento ya lo intentó alguien en la vida real - y casi cada intento se rompió por algo. Un modelo honesto está obligado a conocer a sus predecesores y a no hacer pasar lo viejo por inaudito. La novedad, si la hay, reside solo en la configuración. Cada intento vivo es una prueba de esfuerzo de un módulo ya realizada para nosotros.

El valor del modelo no reside en sus respuestas, sino en la calidad de las preguntas que vuelve concretas y comprobables. Los puntos débiles de las partes anteriores son la agenda misma. Las vías concretas abiertas a la investigación, el diseño y la prueba conjuntos:

1. Sybil sin un Gran Hermano. Certificar la unicidad de un ser humano sin construir ni un registro central de vigilancia ni una puerta excluyente. Por ahora, un trilema sin solución.
2. Personhood aditiva, no una condición previa. Para que la ausencia de un login nunca despoje a una persona de su dignidad básica. Protección contra el riesgo principal - una clase de no-personas digitales.
3. Financiar el núcleo no abandonable sin un nuevo recaudador-tirano. La renta sobre lo común es una hipótesis; quién la recauda, sin convertir la tesorería en un nuevo root, está abierto.
4. Velocidad del núcleo frente a la protección contra la captura. Dar al núcleo rapidez en una catástrofe sin construir una máquina para el régimen de excepción.
5. Un árbitro más fuerte que el más fuerte y, sin embargo, no un tirano. Quizá la respuesta no esté en la fuerza, sino en una construcción donde romper el orden perjudique a todos a la vez - pero eso hay que construirlo y probarlo.
6. Auditabilidad de lo incomprensible. Conservar el control humano sobre una IA hiperpoderosa en el núcleo cuando su código no puede ser entendido por una mente humana. Quizá la más importante.
7. Suelo y salida a la vez. Conciliar el derecho a marcharse con la solidez de lo común, para que la libertad de divergir no mate la solidaridad.
8. Métricas sin Goodhart. Medir el éxito de las políticas sin aplastar lo inconmensurable y sin lanzar una carrera para eludir los umbrales.