Le contrôle répondait sans posséder le plat qu’il arrêtaitUn contrôle qui répond sans détenir le travail qu’il prétend arrêterThe control answered without owning the plate it stoppedA control that answers without holding the work it claims to stop
Dans trois incidents, personne ne détenait vraiment le plat ou la ressource au moment décisif. Arrêter l’attente ne coupait pas toujours le feu déjà lancé. Un livreur distant pouvait modifier le passe sans que la maison le retire. Une adresse commune pouvait envoyer l’assiette vers la dernière table, sans responsable nommé.Trois incidents distincts exposent la même absence : aucune identité nommée ne détenait la ressource ou le travail au moment décisif. Dans LangGraph, un timeout à la frontière de l’appelant ne terminait pas nécessairement le travail sous-jacent, laissant une tentative de remplacement recouvrir l’exécution d’origine. Dans l’écosystème MCP, un état de connexion global et mutable permettait à une session ultérieure de remplacer la connexion courante, rendant possible une livraison croisée. Dans Claude Code, des connecteurs distants pouvaient apparaître dans le CLI local, dupliquer des serveurs configurés localement et contourner la sémantique de suppression locale.Across three incidents, nobody truly held the plate or resource at the deciding moment. Stopping the wait did not always put out the fire already started. A distant delivery could alter the pass without the house removing it. One shared address could send a plate to the latest table, with no named owner.Three separate incidents expose one missing element: no named identity held the resource or the work at the moment that mattered. In LangGraph a caller-side timeout did not necessarily terminate the underlying work, so a replacement attempt could overlap the original run. In the MCP ecosystem, shared mutable connection state let a later session displace the currently global connection, making cross-session delivery possible. In Claude Code, remote connectors could surface in the local CLI, duplicate locally configured servers and bypass the local deletion semantics users expected.
Les consignes et les décisionsInstructions et autoritéInstructions and decisionsInstructions and authority
Le contrôle rendait la main sans montrer la fin du platSignauxThe control returned without showing the plate’s endSignals
Le signe apparaît quand l’ordre d’arrêt répond sans montrer que le plat est vraiment terminé. Il apparaît aussi lorsque le responsable est relu depuis un tableau commun au lieu d’accompagner l’assiette. Enfin, deux sources qui modifient le même passe sans responsable commun rendent un retrait local impuissant face au livreur lointain.Le motif se signale quand une opération de contrôle rend la main sans exposer d’état terminal du travail visé. Il se signale aussi quand l’identité du détenteur est relue au moment de l’usage, depuis un état partagé, au lieu d’être transportée par l’événement. Il se signale enfin quand deux autorités peuvent muter la même surface d’outils runtime sans modèle de propriété unifié, et qu’une suppression locale ne révoque pas la source distante.The sign appears when a stop order returns without showing that the plate truly ended. It also appears when the responsible name is reread from a shared board instead of travelling with the plate. Finally, two sources changing the same pass without a common owner leave local removal powerless against the distant delivery.The pattern shows when a control operation returns without exposing a terminal state for the work it targeted. It shows again when holder identity is re-read from shared state at use time rather than carried by the event itself. And it shows when two authorities can mutate the same runtime tool surface with no unified ownership model, so a local delete leaves the remote source in place.
Le contrôle tenait l’attente, pas le feu ni l’assietteMécanismeThe control held the wait, not the fire or the plateMechanism
Dans les trois cas, le contrôle répondait honnêtement mais ne couvrait pas l’effet. L’heure limite détenait l’attente, pas le feu qui cuisait encore. L’envoi lisait l’adresse du moment, pas celle de la commande. La règle locale détenait sa vue, pas le livreur distant qui changeait le même passe.Dans chacun des trois cas, le contrôle existe et répond honnêtement ; son périmètre ne couvre simplement pas l’effet. Le timeout possédait l’attente de l’appel, pas le processus descendant ni le job distant porteur de l’effet réel. La livraison possédait l’état courant à l’instant de l’envoi, pas l’identité de la session d’origine. La configuration locale possédait une vue, pas l’état distant du compte capable de muter la même surface.In all three cases, the control answered honestly but did not cover the effect. The time limit held the wait, not the fire still cooking. Delivery read the current address, not the order’s address. The local rule held its view, not the distant delivery changing the same pass.In all three cases the control exists and answers truthfully; its scope simply does not cover the effect. The timeout owned the call’s wait, not the descendant process or the remote job carrying the real side effects. Delivery owned whichever connection was current at send time, not the originating session’s identity. Local configuration owned a view, not the account-level remote state able to mutate the same surface.
Nommer le plat, montrer sa fin et garder la voie du retraitRéponseName the plate, show its end, and keep its removal pathResponse
Une heure limite doit éteindre ou isoler le feu qu’elle détient et montrer clairement sa fin avant qu’un autre plat parte. Le nom de la table et de la commande voyage avec l’assiette jusqu’à la livraison. Chaque plat du passe affiche sa source, son responsable et sa manière de repartir. Les doublons sont rapprochés et les livraisons lointaines deviennent visibles.Une deadline doit terminer ou fencer le travail qu’elle possède, puis exposer un état terminal observable ; un retry ne part qu’après lecture de cet état, jamais sur la seule expiration de l’attente. Une identité de corrélation session et utilisateur immuable voyage avec l’événement sur l’intégralité du chemin de livraison, aucune étape ne redemandant qui est courant. Chaque outil runtime expose sa source, son propriétaire et son état de révocation ; les services équivalents sont dédupliqués et l’injection distante est rendue explicite.A time limit must put out or isolate the fire it holds and clearly show its end before another plate starts. The table and order names travel with the plate through delivery. Each plate at the pass shows its source, owner, and removal method; duplicates are brought together and distant deliveries made visible.A deadline must terminate or fence the work it owns and then publish an observable terminal state; a retry is allowed only after reading that state, never on wait expiry alone. An immutable session and user correlation identity must travel with the event across the whole delivery path, with no step asking again who is current. Every runtime tool must expose its source, its owner and its revocation state, equivalent services must be deduplicated, and remote injection must be made explicit.
Un contrôle ne vaut que sur ce qu’il possède vraimentLeçonA control counts only over what it truly ownsLesson
Un contrôle ne signifie quelque chose que sur ce qu’il possède réellement. Le responsable doit voyager avec l’assiette, la fin doit être visible, et un chemin de retrait doit rester ouvert. Sans ces trois choses, arrêter, livrer ou retirer ne dit pas grand-chose.Un contrôle ne vaut que sur ce qu’il possède réellement, et la propriété doit voyager avec l’événement plutôt que se reconstruire à l’usage. Nommer le détenteur, exposer un état terminal et ouvrir un chemin de révocation sont les trois conditions pour qu’arrêter, livrer ou retirer signifie quelque chose.A control means something only over what it truly owns. The responsible name must travel with the plate, the end must be visible, and a removal path must stay open. Without those three, stopping, delivering, or removing says very little.A control is only worth what it actually owns, and ownership has to travel with the event instead of being rebuilt at use time. A named holder, an observable terminal state and a revocation path are the three conditions under which stopping, delivering or removing means anything.