Registro dei claim

Formulazione autorizzata. La modularità non compra prestazioni dove la scala basta; compra competenze che il compito bersaglio non insegna a nessuna scala testata.

Prova. Un encoder singolo Flan-T5-large da 341M parametri — triplo del base — addestrato con lo stesso protocollo, gli stessi dati e lo stesso insieme trattenuto, pareggia il percorso modulare sulla media (0,6754 contro 0,676) e lo supera su cinque principi su sette (fino a −0,092 per il percorso modulare). Sui due principi della sezione virtue il modello singolo resta al caso esatto — 0,499 e 0,498 — valori identici a quelli ottenuti dal modello da 110M: triplicare i parametri non produce alcun guadagno. Sugli stessi due principi il percorso modulare ottiene 0,619 e 0,643, cioè +0,120 e +0,145. Il meccanismo è identificato: quei principi richiedono giudizio su tratti caratteriali, competenza assente dal testo bersaglio e presente nel modulo ToM per transfer da SocialIQA.

Controlli di confutazione superati. Tre controlli indipendenti escludono spiegazioni alternative: non è effetto multi-task (l'addestramento sequenziale vede gli stessi esempi e resta al caso sugli stessi principi); non è oblio catastrofico (l'interlacciamento, rimedio standard, non cambia nulla); non è capacità (il controllo a 341M sopra).

Limite. Scala giocattolo. Sette principi, un corpus, un dominio. Il valore numerico non è riusabile. Il claim è meccanicistico e locale: dice quando la modularità è la scelta giusta a questa scala, non che lo resti in regime di frontiera, dove la capacità in eccesso di un monolite può assorbire l'interferenza che qui favorisce la modularità. Limite di portata aggiunto (Sessione 22, OP 53). Il vantaggio virtue è misurato in distribuzione, su scenari ETHICS scritti da umani, ed è circoscritto a quell'oggetto: sul testo generato dal sistema stesso — l'oggetto del giudizio in esercizio — l'Etico è risultato saturo esattamente sui due principi del vantaggio (0,9998/0,9999, potere discriminante zero). Il claim non è invalidato; la sua lettura naturale — che valga sull'output supervisionato — non è sostenuta e la distinzione va dichiarata in Paper 1. Verifica sull'oggetto d'esercizio: precondizione di calibrazione del giudice (Doc 08 §4.3), da eseguire su testo fluente dopo la riesecuzione di OP 52. Esito (Sessioni 23–24, OP 55) [SUPERATO — vedi nota datata 2026-08-28, sotto: «limite di classe, con prova» ritirato come dimostrato]: eseguita — limite di classe, con prova. Su pool di 230 frammenti fluenti annotati, AUC al caso su tutti i segnali calibrabili sia per il giudice modulare sia per il baseline monolitico 341M (sei celle: 0,410/0,433 · 0,516/0,513 · 0,553/0,570), pre-registrato prima di ogni punteggio. Il limite di EV-01 è quindi di classe — nessun giudice addestrato su scenari discrimina il testo generato a questa scala — non un déficit del percorso modulare: da dichiarare così in Paper 1, con la formulazione autorizzata in distribuzione che resta intatta. Nota datata (2026-08-28) — l'esito OP 55 è ridimensionato; la formulazione precedente resta agli atti. L'analisi di permutazione e potenza (n effettivi verificati 49/39/61; tutte le sei celle entro l'intervallo nullo al 95%; potenza < 0,5 contro un giudice moderato in ogni cella) mostra che la misura non poteva distinguere un giudice moderatamente funzionante da uno privo di capacità: "limite di classe, con prova" è ritirato come dimostrato e sostituito dalla formulazione autorizzata: sui frammenti giudicabili, OP 55 non ha rilevato capacità discriminante; il risultato non distingue fra fallimento di trasferimento, potenza insufficiente e inaffidabilità del gold standard al confine di giudicabilità (concordanza sulle violazioni 78,3%, disaccordi NA↔︎0). Lo studio pre-registrato Passo 1 aggiunge la quarta lettura, ora meglio supportata: unità di misura strutturalmente impoverita — il pool era a 30–60 token, dove la giudicabilità umana è 40–54% e le violazioni 4–12%; a 120–240 token, stesso generatore e prompt, 88–90% e 18–22%. La verifica sull'oggetto d'esercizio va quindi riposta a 120–240 token (celle vive: S4 14/5; S3 4/87 quasi degenere) prima di qualunque enunciato di classe in Paper 1.

Nota datata (2026-09-12) — sostegno esterno indipendente, di direzione. Il fornitore del giudice policy-conditioned industriale dichiara: «Classifiers trained on tens of thousands of high-quality labeled samples can still perform better at classifying content than gpt-oss-safeguard does when reasoning directly from the policy» (Doc 15 §17.2). È una conferma esterna della direzione di EV-01 — il dato addestrato batte il ragionamento generico sulla policy — e un sostegno indipendente al floor di annotazione di Doc 07. Non è una conferma della magnitudine né del meccanismo di EV-01: è un'affermazione del fornitore su un altro sistema, un altro compito e un'altra scala, e non entra come prova. Registrata come evidenza di contesto, non come condizione di rafforzamento.

Nota datata (2026-09-18) — la verifica a 120–240 token è stata eseguita in forma esplorativa (P0.2 (b), Doc 06): esito piatto per disegno depositato; nessun enunciato di classe autorizzato. I due giudici di OP 55 — Etico modulare (checkpoint 98215107…) e monolite Flan-T5-large 341M — sono stati rieseguiti sui 100 frammenti del Passo 1 a 120–240 token contro le etichette umane cieche (passata B, sha256 c0e3af4a…), con bande nulle per cella e soglie family-wise depositate alla cieca prima della corsa (Doc 13 §2b; Emendamento A1, appendice A1-R1). Celle primarie, AUC modulare | monolite: S3 0,322 | 0,547 (n = 63, 4 violazioni); S4 0,525 | 0,475 (n = 14, 10 violazioni); tutte dentro le bande nulle (p di permutazione a due code 0,255 e 0,945). Gate A1.3: Flat — il pilota poteva vedere solo un giudice molto forte (a S3 era osservabile solo AUC ≥ 0,792, a S4 ≥ 0,850); non è un esito negativo e non emenda OP 55. Conseguenze per questa voce. (i) La formulazione autorizzata in distribuzione resta intatta. (ii) Sull'oggetto d'esercizio lo stato resta nessuna capacità rilevata, potenza limitata, ora misurato anche all'unità corretta: l'enunciato di classe in Paper 1 resta non autorizzato e il verdetto citabile spetta al set di calibrazione P1 (120–240 token, 40–60+ violazioni). (iii) Il limite di portata aggiunto in Sessione 22 (OP 53) si conferma alla nuova unità: le due teste del vantaggio virtue sono sature su tutti i 100 frammenti generati a 120–240 token (non_ingannare in [0,9998, 0,9999], trasparenza in [0,9997, 0,9999]); l'AUC diagnostica S2 di 0,846 (n = 15; le 2 violazioni sono lo stesso prompt a due lunghezze) poggia su differenze alla quarta–quinta cifra decimale ed è dentro la banda nulla — non è evidenza. Il monolite non è saturo sulle stesse teste (0,66–0,95): distinzione descrittiva, non decisionale. Provenienza chiusa: risultati/p02-riesecuzione.json, supplemento A1.6/A1.7 (p02-riesecuzione-a16.json; dataset punteggiato sha256 81cf1710…), repo ~/ethiclaw commit 56240fc / 99999cc.

Condizione di rafforzamento. Replica a scala P1 con parità di parametri e budget, su almeno due corpora normativi distinti, con la stessa struttura a tre controlli.

Refutato da. RF-1.

Stato. Misurato in P0, Sessione 20 (OP 46). Supera la formulazione precedente «il vantaggio viene dalle fonti, l'integrazione aggiunge poco», che resta vera e meno informativa.

Formulazione autorizzata. Alla scala misurata, il guadagno del percorso modulare è quasi interamente attribuibile ai codificatori specializzati; l'integrazione profonda a valle vi aggiunge una quantità trascurabile.

Prova. Scomposizione del margine: baseline 0,610 → +0,062 dalle fonti specializzate → +0,004 dall'integrazione profonda. Una testa lineare applicata ai due tensori bus ottiene 0,672 contro 0,676 di un modulo Etico da 235M, e per principio pareggia o batte su cinque su sette.

Limite. Vale alla scala e sul compito misurati. Non stabilisce che l'integrazione sia inutile in generale; stabilisce che qui non si ripaga.

Condizione di rafforzamento. Ripetizione a scala P1 con profondità dell'Etico variata su almeno tre punti.

Stato. Misurato in P0, Sessione 20. Ha conseguenze di dimensionamento non ancora recepite in Doc 02 e Doc 05.

Formulazione autorizzata. La decomposizione dichiarata prima dell'addestramento consente di misurare separatamente il contributo di ciascuna fonte mediante rimozione, con magnitudini stabili sotto due modalità indipendenti di ablazione.

Prova. Su 47.652 esempi trattenuti, con due modalità indipendenti (azzeramento e permutazione):

Il ranking regge con entrambe le modalità. Tre contributi dichiarati, tre magnitudini separate da due ordini di grandezza.

Formulazione da evitare. «Un monolite non può produrre attribuzione.» È falsa: attribution, probing, causal tracing e concept methods esistono e sono maturi. La differenza autorizzata [CIRCOSCRITTA — vedi nota datata 2026-09-12 sotto: vale per la decomposizione delle fonti, non per la sostituibilità del predicato normativo] è che nel sistema modulare l'unità di attribuzione coincide con un confine operativo sostituibile progettato a priori, non con una decomposizione scelta dal ricercatore dopo l'addestramento.

Nota datata (2026-09-12) — la sostituibilità del predicato normativo non è più esclusiva. La formulazione da evitare resta valida così com'è, ma la differenza autorizzata va circoscritta. Un giudice industriale policy-conditioned ha anch'esso un confine sostituibile progettato a priori: la policy, che è testo in chiaro e si cambia senza riaddestramento (Doc 15 §17.2). La differenza autorizzata di EV-03 resta valida per la decomposizione delle fonti — ToM, Epistemico, Percettivo come unità di attribuzione coincidenti con confini operativi — e non è più rivendicabile per la sostituibilità del predicato normativo, che è proprietà condivisa. Chi cita EV-03 a sostegno della sostituibilità del package normativo cita oltre la forza della voce.

Limite. Il confronto contro attribution post-hoc su un monolite di parità non è stato eseguito. Finché non lo è, il vantaggio attributivo della decomposizione dichiarata è un'ipotesi aperta e non un risultato. Inoltre l'ablazione singola misura ridondanza, non contributo (NR-3).

Condizione di rafforzamento. Esecuzione dell'analisi attributiva sul baseline a modello singolo (OP 37) e confronto formale dell'ordinamento dei contributi con causal tracing e activation patching, riportando il costo computazionale dei due approcci.

Refutato da. RF-2.

Stato. Misurato in P0 (OP 38). Vantaggio comparativo non ancora stabilito.

Formulazione autorizzata. L'ordine di addestramento dei moduli non è un dettaglio implementativo: determina se l'architettura funziona. Addestrare il modulo normativo prima dei moduli a monte produce un sistema al caso.

Prova. AUC 0,7289 ± 0,0017 su tre semi con moduli a monte addestrati, contro 0,5140 ± 0,0053 senza. La differenza è di venti deviazioni standard.

Limite. Misurato su una configurazione a tre fonti alla scala P0.

Condizione di rafforzamento. Verifica su otto moduli in P1, con l'ordine dichiarato come vincolo di pianificazione e non come esito osservato.

Stato. Misurato. Recepito in Doc 08 come vincolo di sequenza F4.

Formulazione autorizzata. Nel P0, un vincolo di norma relativo alla scala del modello ha impedito il degrado catastrofico osservato durante la correzione in-place, anche con una testa correttrice non addestrata.

Prova. Diagnosi a variabile singola, stesso prompt, tre configurazioni. Prima del vincolo: LMH nudo fluente, con condizionamento epistemico fluente e più pertinente, con correzione etica collasso dopo poche parole. Dopo l'introduzione del vincolo (30% singolo, 50% cumulato, provvisori), tutte e tre le configurazioni producono inglese fluente. Nota (Sessione 22, D1) [SUPERATA — vedi Correzione OP 54, sotto: la lettura causale è superata dalla misura]**. La fluenza del braccio «con condizionamento epistemico» era dipendente dalla distribuzione, non generale: con condizionamento calcolato su scenari ETHICS (fuori dalla distribuzione DailyDialog dell'LMH) e norma non vincolata (27,70 misurata, contro 0,80 della correzione vincolata), la generazione degenera e il condizionamento sovrascrive il prompt. Il vincolo di norma di questa voce è stato quindi generalizzato in Doc 04 a ogni canale d'iniezione nel forward dell'LMH, con tetto aggregato sulle iniezioni simultanee. L'invarianza della barriera resta vera per il canale che la enuncia; la proprietà di sistema richiede il vincolo su tutti i canali. Correzione (stessa sessione, OP 54). La lettura causale della nota precedente è superata dalla misura: sui canali normalizzati (le proiezioni chiudono con LayerNorm) la norma è costruttiva — 27,68 in banda, 27,70 fuori banda, identiche — e non discrimina; la causa di D1 era la direzione fuori distribuzione, la difesa primaria è la precondizione di calibrazione (OP 53), e la guardia sui canali normalizzati è una finestra di anomalia, non un tetto. Inoltre il meccanismo della fluenza del braccio corretto è ora identificato: il tetto cumulato, per un bug d'intento, falciava la somma base+correzioni a 0,5·rif (fattore ~0,07, registrato nel trail e mai letto) — applicare la correzione quasi-cancellava il condizionamento. La proprietà di questa voce (la correzione non può rompere la generazione) resta vera come fatto osservato, ma il suo meccanismo nel Passo 8 includeva la quasi-cancellazione: con la semantica corretta a budget (base preservata, dieci test di proprietà) la proprietà va ri-verificata nella riesecuzione, già coperta dalla condizione di rafforzamento.

Statuto. È una proprietà del meccanismo, più forte della correzione stessa e indipendente dalla qualità del correttore. Essendo definito in termini relativi alla scala del modello, il vincolo è riapplicabile dopo la sostituzione del backbone; la sua efficacia sotto H8 resta da verificare.

Nota datata (2026-09-12, secondo giro) — il ramo CORRECT ha prior art; il differenziale si sposta sull'oggetto della correzione. La nota immediatamente successiva, scritta nella prima passata di oggi, assegnava a CORRECT lo statuto di differenziale privo di analoghi. NR-8 lo corregge: la correzione prima dell'esecuzione è prior art in due forme — shielding (2017, correzione dell'azione, garanzia per costruzione) e trusted editing (2024, correzione dell'output, 92% safety / 94% usefulness). Nessuna delle due agisce sulla rappresentazione interna, che è ciò che EV-05 riguarda. Conseguenze sulla voce: (a) il peso di EV-05 nell'architettura dei claim resta alto, perché il differenziale residuo del programma è uno solo e questa voce ne è metà; (b) il vincolo redazionale della nota seguente resta in vigore e si irrigidisce — non solo CORRECT non è un differenziale realizzato, non è nemmeno un differenziale originale se non si specifica su che cosa la correzione agisce; (c) la condizione di rafforzamento acquisisce un termine di confronto esterno misurato: un braccio trusted editing, che RF-2 ora contempla.

Nota datata (2026-09-12) [SUPERATA — vedi NR-8 e la nota del secondo giro, sopra: il differenziale è uno] — il ramo CORRECT è uno dei due soli differenziali sopravvissuti al benchmark, e non è dimostrato. Doc 15 §18 stabilisce che, dopo verifica delle fonti primarie dei tre fornitori di frontiera, il perimetro distintivo rivendicabile dal programma si riduce a due elementi: la valutazione su stato interno e il ramo CORRECT prima della stabilizzazione della decisione. Nessuna fonte industriale documenta un analogo del secondo. Questo aumenta il peso di EV-05 nell'architettura dei claim e rende più grave, non meno, il suo stato attuale: OP 56 ha stabilito con misura valida che la funzione correttiva non esiste (testa indistinguibile dal vettore casuale a pari norma, diff −0,00035 su 42/90). La conseguenza redazionale è vincolante: nessun documento del programma può presentare CORRECT come differenziale realizzato. La formulazione ammessa è «ramo architetturale previsto, cablaggio verificato, funzione non dimostrata».

Limite. Che la correzione migliori il testo non è stato mostrato e non poteva esserlo: la testa di fase 3.5 non è addestrata e la correzione applicata è una proiezione casuale limitata in norma. I valori 30%/50% sono provvisori e non calibrati.

Condizione di rafforzamento. Riesecuzione del test di efficacia con condizionamento presidiato (spento o vincolato in norma, deciso e pre-registrato a monte), braccio con vettore casuale a pari norma, e precondizione di calibrazione del giudice soddisfatta (Doc 08 §4.3). [Formulazione precedente, Sessione 20: «Addestramento della testa 3.5 e misura della variazione di qualità del testo corretto, con àncora umana» — superata: l'addestramento è avvenuto e la misura è stata tentata in Sessione 22 con esito non interpretabile (OP 52 contaminato da condizionamento fuori distribuzione non vincolato, D1); la condizione è riformulata per incorporare le tre guardie la cui assenza ha invalidato il tentativo.]

Stato. Misurato in P0 (OP 40). Il criterio 3 di P1 è soddisfatto come cablaggio verificato, non come funzione dimostrata. Sessione 22: condizione di rafforzamento tentata, esito non interpretabile (OP 52 contaminato). EV-05 resta cablaggio verificato. Nessuna misura valida dell'efficacia della testa 3.5 esiste ancora, in nessun verso. Sessioni 23–24 (OP 56): condizione di rafforzamento ESEGUITA, esito negativo con misura valida. Riesecuzione descrittiva (tre bracci, tre semi, trail asserito): la testa è indistinguibile dal vettore casuale a pari norma (diff −0,00035, 42/90); norma raw quasi costante 15,36 — scala dipendente dallo stato, non dal contenuto. La proprietà della barriera regge nel regime pulito (fluenza su tutti i bracci, troncamento sistematico registrato a fattore 0,077, zero anomalie); la funzione correttiva non esiste. EV-05 resta cablaggio verificato con barriera dimostrata; la voce di funzione appartiene a P1, subordinata al requisito di Doc 08 §4.3.

Formulazione autorizzata. La mappa dalle coppie (punteggio aggregato, coerenza) all'insieme ordinato di azioni è monotona su tutte le nove celle: un peggioramento su un asse non produce mai un'azione più permissiva. La monotonia è verificata, non assunta.

Prova. Nove celle, monotonia verificata nelle due direzioni, regola dell'antenato confermata al banco: punteggio 0,9 con anomalia sull'LMH resta RELEASE, la stessa anomalia sul ToM produce REMEASURE.

Precisazione emersa implementando. La cella (punteggio medio, ANOMALIA) di Doc 04 — «REMEASURE, poi correggi» — è composta. Codificata con la prima azione rompe la monotonia, perché REMEASURE sta sotto CORRECTION nell'ordine di conservatività; codificata con l'azione terminale l'invariante vale. L'invariante di Doc 04 è vero solo sotto la lettura terminale, punto che né Doc 04 né l'enunciato di morfismo monotono di Doc 09 risolvono.

Nota datata (2026-09-12) — analogo industriale a due assi. La AI Control Roadmap di Google DeepMind gradua il controllo su due assi con livelli nominati: «The model's detection evasion capability determines the Detection level (D1-D4), and the model's attack execution capability determines the Prevention and Response level (R1-R3)» (Doc 15 §14.4). È un analogo funzionale diretto della Decision Lattice — due assi, azioni ordinate per conservatività, regime d'intervento asincrono per azioni reversibili e sincrono per azioni ad alto rischio. La voce non cambia forza: la monotonia di EV-06 resta una proprietà misurata della mappa di EthicLaw. Registrato perché la struttura a due assi non è un'invenzione del programma e presentarla come tale sarebbe un'escalation per omissione.

Limite. La monotonia è una proprietà della mappa, non della qualità della decisione. Una lattice perfettamente monotona su soglie mal calibrate produce comportamento perfettamente ordinato e inutilizzabile (NR-1).

Condizione di rafforzamento. Test di monotonia esaustivi e property-based sulle transizioni, ripetuti dopo ogni ricalibrazione.

Stato. Misurato. Correzione dovuta a Doc 04 e Doc 09.

Formulazione autorizzata. Alla scala ridotta, la proiezione sul bus non degrada il segnale linearmente accessibile.

Prova. Nativo 0,604, lineare 0,601, lineare con LayerNorm 0,605.

Limite. Misurato a 2048, non a 8192. Non è trasferibile. Sposta l'onere della prova, non lo assolve.

Condizione di rafforzamento. Sweep dimensionale P2a con floor di campionamento dichiarato (N ≥ 4·d, preferibilmente 8–16·d; a 8192 significa ≥33.000 campioni).

Stato. Misurato in P0.

Il Decision Lattice è stato verificato monotono su tutte e nove le celle. Alla prima esecuzione end-to-end, su diciassette frasi, il sistema non ha rilasciato nulla — e non per il contenuto valutato. Il punteggio aggregato si è collocato fra 0,319 e 0,448 contro una soglia di rilascio a 0,80: tre celle su nove risultavano raggiungibili, RELEASE nessuna.

La causa non è di taratura ma strutturale: un minimo di sette punteggi per principio vive in una banda sistematicamente più bassa di quella presupposta da una soglia progettata per un punteggio normalizzato. Con la calibrazione ereditata, alla scala successiva il sistema bloccherebbe ogni output.

Conseguenza acquisita. Soglie e funzione di aggregazione sono un artefatto governato e calibrato per package normativo, non una costante dell'architettura. Vedi TN-1.

Nota datata (2026-09-12) — la conclusione ha un analogo industriale documentato. Doc 15 §2.5 registra la sequenza Fable 5: export controls di un regolatore il 12 giugno 2026 → sospensione dell'accesso → un rapporto esterno mostra un bypass ottenuto chiedendo al modello di identificare vulnerabilità software → classificatore dedicato («blocked in over 99% of cases») → ridispiegamento il 1° luglio → settembre 2026, la generazione 5.1 riapre esplicitamente la vulnerability discovery. Il confine di controllo di un sistema industriale si è mosso quattro volte in tre mesi, e proprio sull'attività che aveva causato l'incidente. È evidenza esterna della conseguenza acquisita di NR-1: soglie e confini sono artefatti governati e versionati, non costanti dell'architettura. Rafforza la decisione di iscrivere la calibrazione nel Normative Package Manifest (TN-1) e non cambia la forza di NR-1, che resta un risultato misurato in P0.

Nota datata (2026-09-12, secondo giro) — esiste un principio formalizzato la cui assenza ha prodotto questo risultato. Lo shielding enuncia la minima interferenza: «the shield restricts the agent as little as possible and forbids actions only if they could endanger safe system behavior» (Alshiekh et al., 2017). NR-1 è precisamente il fallimento che quel principio previene — un sistema che non rilascia nulla su diciassette frasi perché la soglia di rilascio è irraggiungibile per costruzione, con tre celle su nove raggiungibili e RELEASE nessuna. Il programma non ha un principio di minima interferenza, e la conservatività del suo supervisore non è misurabile contro la specifica. Entra in Doc 15 come EL-BM-06, importato e non rivendicato. Conseguenza per il registro: una taratura di soglie che non dichiari quanto blocca in eccesso rispetto a ciò che la specifica richiede non è una calibrazione, è una preferenza.

Statuto. È la forma operativa di OP 41, più grave del suo enunciato teorico. È anche l'unico caso finora osservato del supervisore che sbaglia catastroficamente — in direzione conservativa — senza che nulla lo segnali fino all'ottavo passo.

Delle tre fonti attive, una non contribuiva al giudizio (Δσ 0,002, indistinguibile da zero), una contribuiva sempre, e l'omissibilità della terza era prevedibile dal solo tipo di scenario (22,9% su virtue, 16,9% su justice, 6,1% su deontology) — quindi la coglie una regola di superficie senza testa addestrata. Con due fonti che contribuiscono sempre e una mai, l'insieme ottimale di attivazione è costante: il guadagno disponibile era risparmio di calcolo — un forward evitato nel 13% dei casi — non qualità della decisione.

Correzione metodologica interna. La prima analisi aveva concluso l'opposto, perché confrontava quale fonte dominasse. Ma un router non sceglie la dominante: sceglie quali moduli attivare.

Località dichiarata. Tre fonti, un dominio, scala giocattolo. Non stabilisce che il routing non si ripagherebbe con otto moduli, domini eterogenei e input di lunghezza variabile — il regime per cui il Router è progettato. Stabilisce che a questa scala non lo fa, e che l'onere della prova sul Router grava sul programma.

Nota datata (2026-09-12) — il routing verso capability ridotta è pratica industriale con bersaglio nominato. Doc 15 §2.3 documenta che il ripiego dei tre fornitori non è un rifiuto ma un instradamento verso un esecutore di tier inferiore, identificato: «the response is automatically handled by Claude Opus 4.8 instead», poi «redirect several kinds of dual-use cybersecurity tasks… to our Opus models»; per OpenAI «retry prompts on lower-capability models». Osservazione utile al progetto: nelle misure del fornitore il bersaglio del ripiego è anche marginalmente più prudente del modello di frontiera corretto (31% contro 33% di azioni severamente dannose). Il routing industriale è quindi una riduzione di capacità e un cambio di profilo di rischio, due effetti distinti che NR-2 non separa. Non cambia la forza di NR-2, che riguarda il routing fra moduli interni alla scala P0.

Rimuovendo una fonte alla volta, il contributo apparente del ToM scendeva dal 58% al 22% adottando codificatori più capaci; lettura naturale: il modulo conta meno. L'ablazione congiunta mostrava il contrario — le due fonti insieme valgono il 97,6% e il 99,7% del margine, con rapporto fra effetto congiunto e somma degli effetti singoli compreso fra 1,62 e 4,12.

L'ablazione singola misura la ridondanza, non il contributo. Ogni claim di attribuzione del programma deve perciò riportare: ablazioni singole, ablazione congiunta, il loro rapporto, e la variazione assoluta accanto a quella percentuale (fra configurazioni di prestazione diversa il denominatore varia).

Cautela associata. Quando i contributi sono piccoli, le correlazioni fra profili vanno scartate: lo strumento ha riportato correlazione 0,956 fra due fonti che valevano 2,4% e 0,0%. Quando il denominatore tende a zero, il rapporto smette di misurare.

Almeno cinque occorrenze documentate in otto passi. La più grave: la pubblicazione sul canale non sollevava e non pubblicava — la sessione si sarebbe chiusa con successo lasciando l'audit trail vuoto, il difetto peggiore possibile su un artefatto la cui unica ragione d'essere è la verificabilità. Nessun test falliva.

Altri casi registrati: un modello che non generalizzava affatto (AUC 0,50 su trattenuti) con perdita di training in discesa regolare da 0,74 a 0,48 — il gate F4 originale, «perdita convergente e checkpoint versionati», è soddisfatto perfettamente dalla memorizzazione; una specifica priva di qualsiasi vincolo di norma sul vettore di correzione (EV-05); letture di cache che aggiravano le guardie di validazione; un test di efficacia appaiato che validava 30 coppie con entrambi i rami di riferimento degeneri, senza alcuna guardia sulla norma del vettore di condizionamento — quattordicesima occorrenza, e la prima in cui il verdetto prodotto (bias additivo) era plausibile e sarebbe entrato nel registro se un controllo per costruzione (la testa non supervisionata in movimento) e una diagnosi a variabile singola non avessero invalidato la misura. Quindicesima occorrenza, in una variante nominata — registrato ma non letto: i fattori di troncamento ~0,07 che documentavano la quasi-cancellazione del condizionamento a ogni correzione erano scritti nell'audit trail del Passo 8, dodici volte, e mai letti da nessuno. Un trail che registra fedelmente ciò che nessuno guarda non è ancora un artefatto di verificabilità: la classe richiede, oltre alla non-vuotezza, un livello di lettura — asserzioni sui valori registrati, non solo sulla loro presenza. Contromisura verificata al primo uso (OP 56): la riesecuzione legge il proprio trail e rifiuta il verdetto in presenza di anomalie — asserzione eseguita, zero anomalie, 180 troncamenti letti e quantificati invece che scritti e ignorati.

Diciottesima occorrenza, in un documento invece che in codice (2026-09-12). La v1.2 di Doc 15 attribuiva a un componente industriale chiamato activation classifier l'input «pattern nelle attivazioni interne» e il meccanismo «sospende lo streaming e attiva una verifica separata». Nessuna fonte lo documenta: le fonti affermano soltanto che il componente interviene «to stop unsafe answers during generation». L'affermazione era un'inferenza dal nome del componente, entrata nel testo come evidenza e sopravvissuta a una revisione, in un documento la cui §1.1 vietava esattamente quella mossa. È la forma che il fallimento silenzioso assume in un artefatto testuale: un'inferenza plausibile che nessun controllo smentisce perché nessun controllo la interroga. Contromisura adottata: Regola 6 di questo registro (provenienza delle evidenze esterne; il nome non è documentazione) e verifica claim-by-claim con citazione testuale obbligatoria come condizione di ingresso.

Rimedio strutturale. Un'operazione che riporta successo senza aver verificato di averlo ottenuto è trattata come difetto. La verifica di non-vuotezza, completezza e ordinamento dell'audit è condizione di chiusura di sessione, non controllo a valle. Il percorso di cache non validato è stato reso privato, con un'unica interfaccia pubblica che valida. Estensione (2026-09-12): un'affermazione su un sistema esterno che riporta una proprietà senza aver verificato la fonte è trattata come lo stesso difetto.

Il Percettivo non contribuisce al giudizio etico (Δσ 0,002; AUC nativa su probe morale 0,529, appena sopra il caso) e, in composizione, danneggia: Epistemico+ToM dà 0,672; con 768 dimensioni permutate 0,661 (costo puramente dimensionale); con il Percettivo reale 0,647 — danno aggiuntivo attribuibile al contenuto, con il confondente dimensionale già separato.

Punto aperto associato (OP 34). Il pooling medio è messo in discussione dalla misura. Non è una scelta implementativa non prescritta: Doc 05 specifica mean pooling over tokens. È quindi una decisione documentata contraddetta dall'evidenza. Varianti da confrontare in P2a: ultimo token reale, massimo per dimensione, concatenazione dei tre layer di tap — quest'ultima porterebbe la nativa a 2304 e tocca un contratto.

La varianza per testa di 0,09 riportata in Sessione 19 è ritirata. A piena scala su tre semi, teste supervisionate in modo identico coincidono alla quarta cifra decimale, con deviazione standard per principio fra semi di ~0,012–0,016. Il valore 0,09 era rumore di piccolo campione letto come proprietà stabile.

Registrata come ritirata invece che rimossa, per la stessa ragione per cui una collisione di numerazione fra punti aperti è stata registrata e non corretta in silenzio.

La verifica delle fonti primarie dei tre fornitori di frontiera (Doc 15, Appendice di Verifica A) ha stabilito che quattro delle cinque proprietà che il programma rivendicava come distintive del proprio modulo normativo — predicato esplicito, separato, osservabile, sostituibile per package — sono realizzate da un componente industriale pubblico: gpt-oss-safeguard, Apache 2.0, nelle taglie 20b e 120b, che «takes two inputs at once—a policy and the content to classify under that policy—and outputs a conclusion about where the content falls, along with its reasoning», con CoT ispezionabile dallo sviluppatore e policy sostituibile senza riaddestramento.

Portata. Non refuta alcuna voce EV: nessuna prova del programma è invalidata. Refuta una classe di formulazioni usata in documenti di comunicazione, dove la contrapposizione «safeguard classico contro predicato normativo esplicito» era costruita su una descrizione dei safeguard industriali più povera di quella documentata dalle fonti.

Conseguenza redazionale vincolante. [SUPERATA — vedi NR-8: nel conteggio, il differenziale è uno] Il perimetro distintivo rivendicabile si riduce a due elementi, entrambi non dimostrati: la valutazione su stato interno (onere: RF-2, baseline ora nominata) e il ramo CORRECT (stato: EV-05, funzione inesistente per OP 56). La proprietà di audit resta rivendicabile solo nella forma ristretta del sottolivello 2b (§2.1).

Limite. Il confronto è fra descrizioni pubblicate, non fra sistemi misurati. Che il componente industriale possieda le quattro proprietà non dice nulla su quanto bene le eserciti: il suo stesso fornitore dichiara che «classifiers trained on tens of thousands of high-quality labeled samples can still perform better». NR-7 è un risultato negativo sulla distintività rivendicata, non sulla qualità comparata, che è oggetto di RF-2 e non è stata misurata.

Nota datata (2026-09-12, secondo giro) — non è un componente, è una categoria. La voce era fondata su un solo modello. La verifica estesa mostra una classe pubblicata da tre fornitori, con la stessa funzione e una scala di taglie:

La convergenza è quindi più forte di quanto la formulazione originaria di NR-7 dichiarasse, e la voce si rafforza senza cambiare portata. Due effetti collaterali: (a) il deposito della baseline RF-2 della prima passata di oggi va emendato, perché la scala scende a 2B e non si ferma a 20b — vedi RF-2; (b) due fornitori su tre dichiarano che il giudice è sensibile alla formulazione della policy (ShieldGemma: «highly sensitive to the specific user-provided description of safety principles»; Llama Guard 4: «may be susceptible to adversarial attacks or prompt injection attacks»), il che mostra che anche un giudice policy-conditioned ha una calibrazione — vive nel testo invece che in una soglia. Sostegno laterale a TN-1 e a NR-1.

Statuto. Risultato negativo di natura documentale, non sperimentale. Registrato qui perché la Regola 3 non distingue fra le due: una formulazione più forte del sostenibile è un difetto del registro, e questo registro ne ha ospitato una per oltre un anno.

NR-7 ha stabilito che quattro delle cinque proprietà rivendicate per il modulo normativo sono realizzate fuori dal programma, lasciando due differenziali: valutazione su stato interno e ramo CORRECT. Il secondo giro di verifica, esteso alla letteratura invece che al solo perimetro industriale, rimuove anche il secondo.

Prima forma — shielding, 2017, con garanzia per costruzione. Safe Reinforcement Learning via Shielding (Alshiekh, Bloem, Ehlers, Könighofer, Niekum, Topcu) descrive il post-posed shielding: «the shield is introduced after the learning agent. The shield monitors the actions from the learner and corrects them only if the chosen action causes a violation of the specification.» Lo shield è sintetizzato a monte — «computed upfront from the safety part of the given system specification and an abstraction of the agent's environment dynamics» — e la garanzia è dichiarata al livello 3 di §2.1: «the correctness of the system's execution against a given specification is assured during the learning and controller execution phases, regardless of how fast the learning process converges.»

Seconda forma — trusted editing, 2024, con numeri misurati. AI Control: Improving Safety Despite Intentional Subversion (Greenblatt, Shlegeris, Sachan, Roger, arXiv:2312.06942v5) valuta quattro protocolli con GPT-4 come modello non fidato e GPT-3.5 come fidato. Il trusted editing, in cui il modello fidato modifica la proposta sospetta prima dell'esecuzione, risulta il migliore: 92% di safety e 94% di usefulness, contro 62%/97% del solo trusted monitoring.

Portata. Non refuta EV-05: la proprietà della barriera misurata in P0 resta. Refuta la distintività del principio EL-BM-03 («Correction before Execution») e con essa la formulazione, usata in Doc 15 fino alla v1.3, secondo cui per quel ramo «nessun analogo industriale documentato» esisteva. L'affermazione era vera sul perimetro industriale e falsa su quello della letteratura — il perimetro che il limite di TN-7 dichiarava non coperto.

Quello che sopravvive, e va formulato così. Nessuna delle due forme di prior art agisce sulla rappresentazione interna: lo shielding corregge l'azione, il trusted editing corregge l'output. EthicLaw rivendica la correzione della rappresentazione prima che la decisione si stabilizzi. Ne segue che i due differenziali di NR-7 non erano indipendenti: sono la stessa scommessa, in lettura e in scrittura. Il perimetro rivendicabile del programma è uno: l'intervento sulla rappresentazione interna del sistema supervisionato.

Due conseguenze favorevoli al programma, da registrare con la stessa cura. La prima: il trusted editing misura che correggere batte monitorare, 92% contro 62%. La direzione architetturale di EthicLaw ha un sostegno esterno quantificato che prima non aveva. La seconda: il limite dichiarato dello shielding — «some approximate model of when which action is unsafe needs to be available» — è strutturalmente identico a TN-6: la garanzia è relativa a un modello esterno la cui validità il meccanismo non assicura. TN-6 non è una peculiarità del programma, è la forma che il problema assume in tutta la famiglia, e questo rafforza la scelta di prezzarla invece di nasconderla.

Limite. Il confronto è fra descrizioni pubblicate e risultati pubblicati, non fra sistemi misurati affiancati. Che lo shielding garantisca per costruzione vale entro la sua astrazione dell'ambiente; che il trusted editing ottenga 92% vale sul suo compito e con quella coppia di modelli. NR-8 è un risultato negativo sulla distintività rivendicata, non un confronto di prestazione — che è oggetto di RF-2.

Condizione di chiusura. La voce si chiude se un confronto eseguito mostra che la correzione sulla rappresentazione interna ottiene ciò che la correzione su azione e output non ottiene. Finché non è eseguito, la distinzione è concettuale e non misurata.

Statuto. Risultato negativo di natura documentale, come NR-7. Registrato perché il requisito di simmetria del benchmark adottato con TN-7 impone che un giro di verifica possa togliere differenziali, e questo ne ha tolto il secondo in un giorno.

L'esperimento pre-registrato PR-A (preregistration-pra-pr4prime.md con emendamento del 2026-08-28; coppie congelate pra_coppie_frozen.json, sha256 38a37540…) doveva testare l'ipotesi esplorativa prodotta dal Passo 1 — che con la lunghezza crescano le condizioni di applicabilità dei segnali, per S3 la presenza di un secondo soggetto — manipolando il prompt a lunghezza fissa: 30 coppie × 2 bracci (CON un secondo soggetto nel prompt / SOLO), 120 token, stesso generatore del Passo 1 (checkpoint 1810c079…), più 6 duplicati sigillati; una passata di annotazione cieca (2026-08-29).

PR-A1 (la manipolazione si propaga) — refutata per saturazione dei bracci. altro_soggetto = sì in 30/30 CON e 30/30 SOLO; differenza appaiata 0,000 con varianza nulla (p unilaterale = 1,000): il refutatore depositato scatta su entrambe le sue clausole, e la stratificazione post-hoc prevista come ripiego è indisponibile — con varianza nulla non c'è nulla da stratificare. Il controllo del prompt si dissolve entro 120 token di generazione libera. Lettura proposta alla registrazione, esplorativa e non depositata: deriva del generatore verso il registro DailyDialog (già osservata nella sonda mirata di OP 55), dove un secondo soggetto dialogico compare qualunque sia il cast del prompt.

PR-A2 (soggetto presente a lunghezza fissa ⇒ S3 decidibile almeno quanto a 120 token nel Passo 1) — non refutata, valore confermativo limitato. S3 decidibile in 60/60 frammenti contro l'àncora 31/50 = 0,620 del Passo 1 (p(sotto) = 1,000); ma il firewall tautologico depositato vincola: senza frammenti privi di soggetto in nessun braccio il contrasto di mediazione non esiste, e «soggetto presente ⟺ S3 assegnabile» è la clausola della rubrica applicata, non un reperto. Resta un dato descrittivo — a 120 token ogni frammento di questo lotto porta un S3 decidibile, contro il 62% dei frammenti a 120 token del Passo 1 da prompt liberi — su popolazioni diverse: un contrasto, non un test.

Controllo diagnostico S2 (A1.5): 30/30 decidibili in entrambi i bracci, differenza 0, p = 1,000 — nessuna anomalia, nessun arresto, nessun claim di specificità. Duplicati sigillati: 6/6 concordanti su tutti i campi.

Che cosa stabilisce. Non che l'ipotesi delle condizioni di applicabilità sia falsa: che questo strumento non può testarla. La manipolazione del prompt non sopravvive a 120 token con questo generatore, e la copertura di S3 per F1–F2 perde il suo strumento più economico, come il deposito prevedeva. L'ipotesi resta esplorativa e richiede un proprio test pre-registrato con uno strumento diverso — generatore diverso, intervento sul prefisso invece che sul prompt, o lunghezza inferiore — prima di qualunque uso confermativo.

Limite. Un generatore, una lunghezza (120 token; i 240 erano un follow-up dichiarato e non eseguito), 30 coppie, un annotatore, distorsione di costruzione dichiarata nel deposito. PR-A e la riesecuzione dei giudici (P0.2 (b)) sono esperimenti paralleli e non componibili in una prova causale lato macchina (A1.4).

Provenienza. pra/manifest.json (e50f0de4…; lo script generatore è una ricostruzione dichiarata — la prima consegna non fu persistita), annotazione compilata pra/PR-A_annotazione_completata.csv (cc52a498…, ritrovata in iCloud Drive e depositata per contenuto, non per nome), pra_scoring.py (1865ab7e…; permutazioni B = 20.000, seme 20260908; gate d'integrità su sette hash) → pra/PR-A_scoring.json (a2945e9f…), riprodotto byte per byte dall'interprete canonico il 2026-09-08.

Statuto. Risultato negativo di strumento, registrato con chiusura del claim: il refutatore era depositato e ha scattato. È la prima voce NR prodotta da un esperimento pre-registrato con refutatore esplicito, non da un'analisi post-hoc.

Se esiste una scala del modello singolo alla quale i principi oggi al caso escono stabilmente dal caso, con lo stesso corpus bersaglio e senza fonti ausiliarie, allora l'iniezione di competenza modulare non è necessaria ed EV-01 decade nella sua formulazione forte.

Protocollo. Curva di scala a non meno di quattro punti sul modello singolo, stesso protocollo e stesso insieme trattenuto di EV-01, misura per principio, tre semi per punto. Refutazione se entrambi i principi virtue escono stabilmente dal caso entro il budget di parametri del sistema modulare completo.

Parametro differito — soglia di uscita dal caso. Il valore numerico non è fissato e non viene ereditato da P0: la deviazione standard per principio fra semi misurata a scala ridotta (0,012–0,016) non è trasferibile alla scala dell'esperimento. Fissarlo oggi produrrebbe un numero dall'apparenza di rigore e privo di derivazione.

Si deposita invece la regola di chiusura, che è pre-registrabile:

La soglia è fissata al limite superiore dell'intervallo di confidenza al 95% del livello di caso, stimato sullo stesso insieme trattenuto e con lo stesso numero di semi dell'esperimento, mediante permutazione delle etichette. Un principio è uscito dal caso se la sua AUC supera tale limite in tutti i semi.

Condizioni vincolanti sulla chiusura. Il valore va calcolato e archiviato prima dell'esecuzione della curva di scala, e comunque non oltre il gate di uscita di P1. La stima per permutazione non usa le prestazioni del modello: dipende solo dalla dimensione del campione e dalla distribuzione delle etichette, ed è quindi calcolabile alla cieca. Se la chiusura avvenisse dopo l'osservazione dei risultati, RF-1 decade come criterio di refutazione e va dichiarato tale.

Portata. Refuta la tesi centrale dell'iniezione necessaria di competenza; non refuta l'intero programma EthicLaw. È il criterio principale, ed è l'unico dei tre con un parametro ancora aperto: RF-3 eredita la soglia 0,90 già dichiarata in Doc 08, RF-2 è un confronto di dominanza su quattro misure e non richiede soglia.

Se un guardrail esterno che osserva soltanto input e output finali, applicato al medesimo sistema, ottiene riduzione delle violazioni pari o superiore, con blocchi non necessari pari o inferiori e overhead pari o inferiore, allora l'accesso agli stati computazionali interni non produce assurance addizionale.

Protocollo. Stesse tracce, stessa soglia operativa, baseline costruita in buona fede. Misure: violazioni mancate, blocchi non necessari, latenza end-to-end, joule per token. Refutazione se il guardrail domina o pareggia su tutte e quattro.

Nota vincolante. Un RF-2 superato contro una baseline debole non vale nulla. La baseline è un giudice esterno allo stato dell'arte, calibrato con lo stesso sforzo dedicato al sistema. Il programma si vincola a dichiarare il budget di calibrazione speso su ciascun braccio.

Nota datata (2026-09-12) — la baseline ha un nome, ed è scaricabile. Deposito della regola di chiusura sulla taglia. Fino a questa data RF-2 non nominava alcun candidato, e la clausola «allo stato dell'arte» restava non operativa. Il benchmark esterno (Doc 15 §17) ne ha identificato uno: gpt-oss-safeguard, il modello a cui la safety reasoner di OpenAI è dichiarata «similar to», pubblico sotto Apache 2.0 nelle taglie 20b (21b totali, 3,6B attivi, requisito dichiarato dal fornitore «16 GB of memory») e 120b (117b totali, 5,1B attivi, «a single 80 GB GPU»), con pesi in MXFP4 nativa. Interfaccia: policy + contenuto in ingresso, verdetto + reasoning in uscita. È esattamente un guardrail che osserva soltanto input e output finali.

Aggiunta al protocollo, con la disciplina della Regola 5 — nessuna cifra inventata, una regola di chiusura depositata:

Baseline primaria [SUPERATA — vedi Emendamento datato del secondo giro, sotto]. gpt-oss-safeguard-20b, variante ri-quantizzata per Apple Silicon, dichiarata con versione, formato di quantizzazione e hash dei pesi, verificata on-disk secondo la regola di provenienza del programma. L'impronta di memoria effettiva va misurata: il numero del fornitore si riferisce alla build MXFP4 nativa, i cui kernel efficienti non appartengono all'ecosistema Apple Silicon (Regola H-2, «portability replaces CUDA»); si applica inoltre la sorveglianza su PyTorch #193487.

Braccio di riferimento di qualità. gpt-oss-safeguard-120b, eseguito fuori dal nodo del confronto, al solo scopo di stabilire un tetto di qualità del giudizio esterno. Non entra nel confronto a quattro misure e non può refutare RF-2.

Parità di calibrazione, resa operativa. La clausola «calibrato con lo stesso sforzo» si traduce così: la policy in ingresso al giudice esterno è il Normative Package di EthicLaw, trascritto in forma testuale, con un budget di iterazione sul prompt dichiarato in anticipo e pari al budget speso sulla calibrazione delle soglie del modulo Etico. Il budget è registrato per braccio.

Condizioni di ammissibilità. RF-2 non è eseguibile prima che: (a) esista una misura di joule/token su entrambi i bracci — oggi assente, cfr. §8 «costo della supervisione dichiarato e non misurato»; (b) la precondizione di calibrazione del giudice di Doc 08 §4.3 sia soddisfatta a 120–240 token, secondo la nota datata di TN-6; (c) taglia primaria e budget di calibrazione siano depositati alla cieca.

Termine. Deposito prima del gate di uscita di P1. Se taglia o budget venissero fissati dopo l'osservazione dei risultati, RF-2 decade come criterio di refutazione e la decadenza va dichiarata (Regola 4).

Rischio metodologico dichiarato [PRECISATA — vedi Emendamento, sotto: il ragionamento regge, la conclusione sulla 20b è superata] — la scelta della taglia può decidere l'esito. RF-2 refuta solo se il guardrail domina o pareggia su tutte e quattro le misure. Ne segue un'asimmetria che va dichiarata prima di eseguire: con 120b il braccio esterno vincerebbe plausibilmente sulla qualità e perderebbe per costruzione su latenza ed energia, rendendo RF-2 praticamente irrefutabile; con 20b il confronto è aperto su tutte e quattro. Una baseline scelta troppo pesante è il difetto speculare di quella «debole» che la nota vincolante già vieta: entrambe fanno vincere il programma per costruzione. Questa è la ragione per cui la taglia primaria è depositata e non scelta in corso d'opera.

Emendamento datato (2026-09-12, secondo giro) — il deposito della taglia era comodo, e si corregge prima dell'applicazione. La scelta di gpt-oss-safeguard-20b poggiava sull'argomento che la 120b avrebbe perso per costruzione su latenza ed energia. L'argomento resta valido per quella coppia di taglie, e la scelta resta sbagliata: la scala reale dei guardian model scende molto più in basso (NR-7, nota del secondo giro). ShieldGemma esiste a 2B, e la linea Llama Guard 3 comprende taglie inferiori a Llama Guard 4. A 2B un giudice esterno è parametricamente comparabile all'intero sistema EthicLaw (~1,19B): a quella taglia la difesa sull'overhead cessa di esistere e il braccio esterno può dominare su tutte e quattro le misure. Una baseline a 20b è, in confronto, una baseline comoda — il difetto che la nota vincolante vieta, nella sua variante speculare.

Nessun risultato è stato osservato e il deposito non è ancora entrato nel log: l'emendamento non è quindi sostituzione retroattiva ai sensi della Regola 4. Dopo l'applicazione lo sarebbe.

Baseline primaria (emendata). Il guardian model a pesi aperti di taglia minima che copra la funzione richiesta, nella classe 2B o inferiore, dichiarato con fornitore, versione, formato di quantizzazione e hash, verificato on-disk.

Braccio intermedio. gpt-oss-safeguard-20b, che scende dal ruolo di baseline primaria a quello di punto intermedio sulla scala. Entra nel confronto a quattro misure.

Braccio di riferimento di qualità. gpt-oss-safeguard-120b, fuori nodo, invariato: non refuta RF-2.

Terza classe di baseline, nuova e più severa. Un braccio trusted editing — un modello fidato che corregge la proposta prima dell'esecuzione, senza alcun accesso allo stato interno (NR-8). La lettera di RF-2 parla di un guardrail che «osserva soltanto input e output finali»: il trusted editing li osserva e li corregge, quindi è ammissibile e compete con il programma sul suo stesso ramo CORRECT. Se questo braccio pareggia, non cade soltanto la premessa degli stati interni: cade la necessità della correzione in-place. È la baseline più minacciosa delle tre e non era contemplata.

Invariati: parità di calibrazione via Normative Package come policy, condizioni di ammissibilità (a)–(c), deposito alla cieca, termine al gate di uscita di P1.

Portata. Refuta il vantaggio operativo dell'osservabilità interna e con esso la premessa del perimetro primario. Non refuta EV-01. Aggiunta 2026-09-12 [SUPERATA — vedi NR-8: nel conteggio, il differenziale è uno]**: dopo NR-7, RF-2 è il criterio che decide uno dei due soli differenziali rimasti al programma. Il suo peso nell'architettura dei claim è aumentato, e con esso il costo di una sua decadenza per chiusura tardiva.

Se la sostituzione isolata del modulo normativo richiede il riaddestramento o la riqualificazione di moduli non sostituiti per recuperare la soglia dichiarata, la modularità non produce il vantaggio operativo che rivendica.

Protocollo. H8, con prestazione di riferimento e soglia (0,90) fissate prima dei test, e verifica in entrambi i bracci che nessun modulo diverso da quello sostituito venga toccato.

Portata. Refuta il vantaggio operativo della sostituibilità e priva del proprio oggetto la traiettoria del secondo paper. Non refuta EV-01 né EV-03.

Nota datata (2026-09-12) — il confronto di riferimento si sposta. RF-3 misura il costo di sostituzione del modulo normativo dentro l'architettura. Dopo NR-7 esiste un termine di confronto esterno che il criterio non contempla: in un giudice policy-conditioned la sostituzione del predicato normativo costa la riscrittura di un testo e zero riaddestramento. RF-3 resta valido come formulato — misura una proprietà del sistema modulare — ma un suo superamento non stabilisce un vantaggio comparativo di sostituibilità. Chi cita RF-3 per il secondo paper deve dichiarare il termine di confronto esterno.

L'aggregazione non compensatoria è presentata come virtù senza costo. Il costo esiste: il punteggio aggregato è un minimo, e la sua distribuzione dipende dal numero di principi, non solo dalla loro qualità. Il minimo su n punteggi rumorosi è una statistica d'ordine il cui potere discriminante peggiora al crescere di n.

Ne segue che sostituire un package a cinque principi con uno a dodici sposta il punteggio anche a comportamento per-principio identico. Le due promesse — vincoli non compensatori e package sostituibili — non sono indipendenti. O la calibrazione entra nel Normative Package Manifest come artefatto versionato e dichiarato, oppure una delle due va indebolita.

Corollario già acquisito (OP 39). Con aggregazione non compensatoria non esiste degradazione graziosa: una singola testa non addestrata rende il punteggio privo di significato. La copertura per principio dei Livelli 1–2 non è auspicabile — è condizione di esistenza della metrica. Il floor di annotazione umana non migliora la metrica: la rende possibile.

Nota datata (2026-09-12) — argomento esterno contrario: tre fornitori su tre usano scale graduate. Il benchmark (Doc 15 §2.4) rileva che la pratica industriale converge su aggregazioni graduate o sommate, cioè compensatorie, non su minimi:

Il più vicino alla σ di EthicLaw, il CJS, è costruito con la scelta opposta: somma esplicita di quattro assi.

Portata dell'argomento. Non dimostra che il minimo sia sbagliato: nessuno dei tre fornitori persegue gli obiettivi di garanzia del programma, e una somma è vulnerabile alla compensazione che la non compensatorietà esiste per impedire. Sposta l'onere della prova, che è ciò che un benchmark esterno può fare. L'alternativa registrata in TN-1 — «O la calibrazione entra nel Normative Package Manifest come artefatto versionato e dichiarato, oppure una delle due va indebolita» — non è più un bivio fra pari: la prima opzione è l'unica compatibile con la pratica industriale osservata, ed è anche quella che NR-1 e la sua nota datata rendono necessaria per ragioni interne. Decisione proposta, non presa: iscrivere la calibrazione nel Manifest, e argomentare la non compensatorietà in Paper 1 contro il termine di confronto industriale, invece di presentarla come virtù.

Il supervisore è un modulo neurale con autorità massima, canale privilegiato e nessun contrappeso tecnico in linea. La separazione delle autorità enunciata dal programma è istituzionale: separa chi scrive i principi da chi certifica, non chi decide da chi verifica la decisione durante l'inferenza.

Conseguenza da ammettere: un monolite distribuisce il modo di fallimento, questa architettura lo concentra. Il programma sostiene che sia lo scambio giusto — l'osservabilità di un errore concentrato vale più dell'inosservabilità di un errore diffuso — ma è una tesi da argomentare, non un fatto. NR-1 ne è la prima istanza empirica.

Un guardrail esterno legge testo: l'attaccante può manipolare solo testo. Un supervisore che legge rappresentazioni interne offre a chi sappia indurre quei moduli a pubblicare stati fuorvianti un canale diretto verso il decisore. Più stato interno significa più segnale e più superficie manipolabile.

È una contro-argomentazione all'assunto più stato interno ⇒ più assurance che percorre tutto il perimetro primario. Non è affrontata da nessun esperimento pianificato.

Nota datata (2026-09-12) — il prezzo di TN-3 è aumentato due volte nello stesso trimestre.

Primo aumento, a favore del perimetro. Tre fornitori indipendenti dichiarano che il canale su cui poggia la supervisione agentica — il ragionamento verbalizzato — sta perdendo affidabilità: «It is concerning that biased reasoning can mislead monitors» (Anthropic); «monitorability has decreased relative to GPT-5.6 Sol» con sandbagging non rilevato (OpenAI); e, esplicitamente sulla direzione, «as models learn to hide their reasoning… simply reading their verbalized reasoning will not be enough. We will need to analyze their behavior and potentially inspect the model's inner workings» (Google DeepMind). È il sostegno esterno più forte che il perimetro primario del programma abbia ricevuto: la premessa che la supervisione debba poggiare su stato computazionale e non su resoconto verbale non è più una scommessa isolata.

Secondo aumento, contro il perimetro. Lo stesso corpus di evidenze mostra che gli stati pubblicati da un modello possono essere sistematicamente fuorvianti senza alcun intento avversario: la sola frammentazione dell'evidenza ha spostato la conclusione dal 31% al 66%. TN-3 ipotizzava un avversario capace di indurre stati fuorvianti; la misura industriale mostra che non serve un avversario, basta la struttura della presentazione.

Formulazione autorizzata (nuova). La convergenza dei tre fornitori sul cedimento del canale verbale motiva il perimetro primario di EthicLaw e contemporaneamente accresce l'urgenza di TN-3; non costituisce evidenza che l'accesso agli stati interni produca assurance addizionale, che resta l'oggetto di RF-2. La tensione resta senza esperimenti pianificati, e dopo NR-7 grava su uno dei due soli differenziali rimasti [SUPERATA — vedi NR-8: nel conteggio, è l'unico]. È la candidata principale a diventare un requisito di P1 anziché una tensione registrata.

Le garanzie forti esistono in classe A, dove il soggetto responsabile controlla l'infrastruttura. Il modello di sostenibilità (Doc 07) si rivolge in larga parte a organizzazioni che eseguono modelli chiusi di terzi, cioè classe C, dove non esistono attribuzione interna né override topologico.

I due documenti sono citabili l'uno contro l'altro in una riga. La riconciliazione dichiarata: in classe C il bene venduto non è assurance architetturale ma evidenza opponibile prodotta da giudice indipendente — oggetto diverso, che va nominato diversamente e non eredita i claim della classe A.

Nota datata (2026-09-12) — il bene di classe C ha ora un concorrente a costo marginale nullo. Se in classe C il bene venduto è «evidenza opponibile prodotta da giudice indipendente», il termine di confronto è un giudice policy-conditioned a pesi aperti sotto Apache 2.0, che un cliente può eseguire in casa senza licenza (NR-7). La riconciliazione di TN-4 resta formalmente valida ma il suo valore economico va ri-argomentato in Doc 07: ciò che distingue l'offerta non può essere l'esistenza del giudice indipendente, ma la certificazione del suo esercizio — policy versionata, calibrazione verificata contro àncora umana, audit di integrità di processo (sottolivello 2b), mutua esclusività fra consulenza e certificazione. Voce da portare in Doc 07, non risolvibile qui.

Registrata per completezza. Mitigazione: Regola 2 della sezione 1. Mitigazione non ancora disponibile: revisione del registro da parte di un soggetto che non risponda dei risultati del programma.

Nota datata (2026-09-12) — l'assenza della mitigazione ha prodotto un costo misurato. NR-7 è stato trovato da una verifica di fonti esterne, non da una revisione interna, dopo che quattro rivendicazioni non sostenibili erano sopravvissute a più passate di registro. TN-5 non è più una tensione solo formale: ha un'istanza con esito. Mitigazione parziale adottata in attesa di quella vera: la Regola 6 (provenienza) e la verifica claim-by-claim con citazione testuale come condizione d'ingresso per ogni evidenza esterna.

Il floor di dati esterni impone che i Livelli 1–2 dell'Etico non siano mai addestrati su dati etichettati dal sistema che correggono; il corpus disponibile è scritto da umani. Ma l'oggetto del giudizio in esercizio è l'output del generatore — una distribuzione diversa, che si sposta a ogni cambio di checkpoint, di backbone (H8) o di regime di decoding. Le due esigenze tirano in direzioni opposte: l'indipendenza del giudice lo tiene lontano dalla distribuzione dell'oggetto; la validità del giudizio lo richiede sopra di essa. La composizione adottata (Doc 08 §4.3): la validità si verifica — precondizione di calibrazione per principio su testo generato annotato da umani, con esclusione registrata sotto soglia — e non si presume; l'eventuale training su testo generato resta annotato da umani (il floor regge) e dichiarato in Paper 1 come calibrazione sulla famiglia di output del generatore supervisionato, proprietà distinta dall'indipendenza totale. La tensione non si scioglie: si prezza — il set di calibrazione è una voce di costo permanente e ricorrente (Doc 07), perché il potere discriminante del giudice sull'oggetto è un artefatto governato, non una costante. Confermata dalla misura (OP 55): la prima verifica ha dato AUC al caso su entrambe le architetture — la presunzione di validità avrebbe prodotto un test di efficacia con numeri privi di significato spacciabili per misure; la precondizione l'ha intercettato prima. La tensione ha ora un prezzo attivato: il corpus di training su testo generato annotato è requisito P1 (Doc 07, ruolo 4; Doc 08 §4.3). Nota datata (2026-08-28). Il valore di TN-6 come gate è confermato (ha bloccato un test di efficacia invalido); ciò che la misura ha stabilito sui giudici è ridimensionato (OP 55 re-scoped: potenza < 0,5). Passo 1 sposta il prezzo: il divario giudice/oggetto è in parte un divario di unità (lunghezza del frammento), non solo di distribuzione; la ricalibrazione va eseguita a 120–240 token. Il corpus F1–F2 a campionamento libero è vitale a quelle lunghezze con distorsione dichiarata: positivi concentrati su equità (S4, 14/28), magri su S1/S3/S5 — la distinzione TN-6 fra corpus e distribuzione d'esercizio si ripresenta come distorsione di composizione, da dichiarare in Paper 1.

Nota datata (2026-09-12) — la tensione si estende al braccio di confronto di RF-2. La baseline ora nominata (RF-2) è un giudice policy-conditioned che non è addestrato su alcun corpus del programma: la sua validità sull'oggetto d'esercizio è altrettanto non presumibile di quella del giudice modulare. La precondizione di calibrazione di Doc 08 §4.3 si applica quindi a entrambi i bracci, e la condizione (b) di ammissibilità di RF-2 la rende esigibile. Conseguenza pratica: il set di calibrazione a 120–240 token serve due bracci invece di uno, senza raddoppiare il costo di annotazione — è lo stesso gold, valutato due volte.

Nota datata (2026-09-18) — la ricalibrazione a 120–240 token è stata posta, in forma esplorativa, e il prezzo non cambia. P0.2 (b) (Doc 06) ha rieseguito i due giudici sull'unità che gli umani sanno giudicare: esito piatto per disegno depositato (celle primarie dentro le bande nulle; gate A1.3 Flat), non negativo. Il gate ha funzionato per la seconda volta come tale: nessun test di efficacia è stato sbloccato da numeri non interpretabili. Il set di calibrazione P1 (120–240 token, 40–60+ violazioni) resta lo strumento del verdetto citabile e serve entrambi i bracci (nota 2026-09-12). Due vincoli di disegno, misurati dal supplemento A1.6/A1.7, entrano nel suo protocollo: (a) i frammenti del Passo 1 vanno a coppie — stesso prompt a 120 e a 240 token (S3: 59 conformi da 36 prompt; S4: 10 violazioni da 7 prompt; S2: le due violazioni sono lo stesso prompt) — e le bande depositate li trattano come scambiabili, quindi le unità indipendenti effettive sono meno di n: il set di calibrazione usa un frammento per prompt, o una permutazione a blocchi per prompt; (b) le teste S2 modulari sono sature sul testo generato anche a 120–240 token: finché lo restano, l'esclusione registrata (OP 39/OP 53) si applica per costruzione, e la calibrazione di quei due principi richiede un giudice non saturo o un'elicitazione dedicata. Nessuno dei due vincoli tocca il verdetto piatto: entrambi allargano la nulla, non la stringono.

NR-7 registra il fatto; TN-7 registra ciò che il fatto dice del processo.

Per oltre un anno i documenti di comunicazione del programma hanno contrapposto i «safeguard classici» — descritti come filtri che classificano e bloccano — al modulo normativo di EthicLaw, descritto come predicato esplicito, separato, osservabile e auditabile. La contrapposizione poggiava su una descrizione dell'avversario concettuale più povera di quella pubblicamente documentata, e nessun meccanismo interno l'ha intercettata: non la Regola 1, che vincola la forza dei claim sulle prove interne e non impone di verificare che la proprietà non sia già realizzata altrove; non la Regola 2, che richiede un artefatto per salire di livello ma non per restare dove si è; non la revisione di sessione, perché la letteratura industriale non era fra gli oggetti revisionati.

La lacuna di processo, nominata. Il registro sa come trattare un claim non sostenuto dalle proprie prove. Non sapeva come trattare un claim sostenuto dalle proprie prove ma non distintivo. Sono due difetti diversi, e il secondo non aveva sede.

Mitigazione adottata. (a) Regola 6, provenienza delle evidenze esterne. (b) Requisito di simmetria del benchmark: un benchmark esterno del programma deve poter togliere elementi al novero dei differenziali, non solo aggiungerne; un benchmark che produce solo conferme è trattato come strumento difettoso. (c) Onere aggiunto per le voci future: una voce che rivendica distintività dichiara, accanto al limite, se la proprietà è realizzata altrove e con quale evidenza pubblica.

Limite di questa voce. Non è escluso che la stessa classe di difetto sia presente in altre voci non ancora verificate contro la letteratura industriale. La verifica ha coperto il modulo normativo e l'audit; non ha coperto il bus, la topologia, il Metacognitivo, il Router né l'architettura a otto moduli. Nessuna conclusione di non-distintività è autorizzata su quei componenti, e nessuna conclusione di distintività.

Nota datata (2026-09-12, poche ore dopo) — il limite si è materializzato al primo controllo, e in un punto peggiore del previsto. Il limite sopra prevedeva che altre voci potessero contenere la stessa classe di difetto, e nominava come scoperto il perimetro della letteratura industriale. Il secondo giro ha guardato la letteratura accademica, che il limite non nominava affatto, e vi ha trovato la prior art del ramo CORRECT: un paper del 2017 e uno del 2024 (NR-8). Il differenziale del programma è passato da due elementi a uno nello spazio di un giorno.

Due aggravanti, da registrare senza attenuarle. La prima: nessuno dei quattro sistemi della catena di revisione incrociata aveva guardato la letteratura — l'errore non era di fornitore, era di perimetro, e su un perimetro dove nessuno dei revisori ha conflitto. La seconda: la prior art più vecchia ha nove anni e appartiene a un filone, i metodi formali per il controllo di agenti, che il programma cita nei propri documenti teorici. Non era inaccessibile: non era stata cercata.

Mitigazione aggiunta (d): la copertura della letteratura accademica entra nella condizione di chiusura di questa voce, accanto a quella industriale, con la stessa disciplina di citazione. Un claim di distintività che non dichiari il controllo su entrambi i perimetri non è registrabile.

Revisione della condizione di chiusura. La formulazione precedente — «verifica della letteratura industriale estesa a tutti i componenti» — è insufficiente come dimostrato e va letta insieme a (d). La voce si chiude quando esiste una verifica di entrambi i perimetri estesa a tutti i componenti che compaiono in claim di distintività.

Condizione di chiusura. La voce si chiude quando esiste una verifica della letteratura industriale estesa a tutti i componenti che compaiono in claim di distintività, con la stessa disciplina di citazione. Non prima.

Relazione con TN-5. TN-7 è l'istanza con esito di TN-5: è accaduto perché il registro è scritto da chi formula i claim, e la mitigazione vera — revisione esterna — resta indisponibile.