💻 computer science

Latent Geometry as a Structural Monitor: Eigenspace Alignment for Anomaly Detection in Anonymity Networks

Este artículo propone un marco de monitorización estructural que detecta anomalías en la red de anonimato Tor mediante el análisis de la alineación del espacio propio dentro de una geometría latente estable de nueve dimensiones, identificando con éxito eventos de degradación de la conectividad con cero falsos positivos mientras refuta las hipótesis tradicionales de salida de relevos.

Autores originales: Vaibhav Chhabra

Publicado 2026-05-21

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Vaibhav Chhabra

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina la red Tor (un sistema diseñado para mantener el anonimato de los usuarios de internet) no como una lista de computadoras, sino como una ciudad gigante y viva. Esta ciudad tiene miles de edificios "retransmisores" que pasan mensajes de un lado a otro. Por lo general, la ciudad es estable. Pero a veces, las cosas salen mal: los edificios podrían dañarse, las rutas de tráfico podrían bloquearse o una multitud masiva podría aparecer de repente.

Los sistemas de seguridad tradicionales son como alarmas antirrobo. Esperan hasta que una ventana se rompe o una puerta es forzada antes de gritar "¡Alerta!". El problema es que, para cuando suena la alarma, el daño ya está hecho.

Este artículo propone un tipo de sistema diferente. En lugar de esperar a un allanamiento, actúa como un ingeniero estructural que vigila los cimientos de la ciudad. No espera a que un edificio se derrumbe; mide la presión que se acumula en las paredes antes de que algo se rompa.

Así es como el artículo explica esto, utilizando analogías simples:

1. Los dos "observadores" (El equipo de detectives)

El sistema utiliza dos "detectives" diferentes para vigilar la ciudad, y hablan idiomas distintos:

El Detective Geométrico (CDAE): Este detective observa la forma de la ciudad. Imagina que la ciudad está hecha de una lámina de goma flexible. Este detective mide cuánto se estira o se dobla la lámina. Si la ciudad está sana, la lámina de goma se dobla con facilidad (elástica). Si algo va mal, la lámina se vuelve rígida y comienza a agrietarse.
El Detective Termodinámico (GRBM): Este detective observa la energía o el "calor" de la ciudad. Imagina que la ciudad tiene un estado de ánimo. ¿Está todos tranquilos, o la población se está agitando y fragmentando? Este detective percibe si el "estado de ánimo" de la red se está fracturando antes de que la forma cambie realmente.

Están conectados por un traductor (CCA). Este traductor verifica si ambos detectives están de acuerdo sobre lo que ven. Si uno ve una grieta y el otro ve calma, esa desacuerdo en sí mismo cuenta una historia sobre qué tipo de problema está ocurriendo.

2. Las direcciones "rígidas" vs. "blandas"

El artículo introduce un concepto interesante: la ciudad tiene direcciones "rígidas" y direcciones "blandas".

Direcciones blandas: Son como los parques de la ciudad o las calles vacías. La población puede moverse aquí libremente sin causar estrés.
Direcciones rígidas: Son como los pilares de carga de la ciudad. Si la población se ve obligada a moverse hacia estos pilares, significa que la estructura está bajo un estrés extremo.

La tarea principal del sistema es vigilar las "colisiones del eje rígido". Si la población de la ciudad intenta de repente moverse hacia los "pilares" en lugar de los "parques", el sistema sabe que está ocurriendo un evento estructural mayor.

3. El truco de la "Masa" vs. la "Gravedad"

A veces, la ciudad recibe una multitud enorme de gente nueva. ¿Es esto algo bueno (un festival) o algo malo (una inundación de espías)?

Masa: Cuenta a cada persona individualmente por igual.
Gravedad: Cuenta solo a las personas "pesadas" (las que transportan más tráfico).

El artículo encontró una manera de distinguir la diferencia. Si la "Masa" se mueve mucho pero la "Gravedad" se queda quieta, significa que llegó una multitud enorme de personas ligeras y de bajo tráfico (un aumento de población). Si ambas se mueven juntas, significa que la infraestructura central y pesada se está desplazando (una fractura estructural).

4. Lo que realmente encontraron

Los investigadores observaron esta "ciudad" durante 67 días. No solo supusieron; probaron su sistema contra eventos reales.

El gran descubrimiento (20 de febrero de 2026): El sistema detectó una señal masiva de estrés estructural. Por lo general, uno pensaría que esto significaba que un montón de edificios (retransmisores) se habían derrumbado. Pero los investigadores revisaron los registros y descubrieron que cero edificios habían salido realmente.
- La causa real: Resultó ser un bloqueo de carretera (un problema de enrutamiento BGP con Cloudflare). Los edificios seguían allí, pero las carreteras que los conectaban estaban cortadas. El sistema fue lo suficientemente inteligente para detectar que la conectividad estaba rota, aunque los edificios siguieran en pie. Este es un tipo de fallo que las alarmas normales pasan por alto.
El "falso" aumento (5 al 13 de febrero): El sistema también vio llegar una multitud enorme. Pero como la "Masa" se movió mientras la "Gravedad" se mantuvo quieta, el sistema identificó correctamente esto como una inundación de nuevos retransmisores ligeros (probablemente un despliegue coordinado por un solo operador), en lugar de un colapso estructural.

5. La conclusión

Este artículo afirma haber construido un monitor estructural para internet.

No necesita saber cómo se ve un "ataque" de antemano.
No necesita ver los mensajes reales que se envían (que están ocultos en Tor).
Simplemente mide la geometría y la energía del comportamiento de la red.

Si la "forma" de la red comienza a deformarse de una manera que golpea los "pilares rígidos", el sistema lanza una alarma. Demostró con éxito que se puede detectar un fallo de red (como un bloqueo de carretera) antes de que cause un colapso total, simplemente observando cómo se mueve el "cuerpo" de la red.

En resumen: En lugar de esperar a que la casa se queme, este sistema siente el calor subiendo en las paredes y te dice: "Algo va mal con la estructura", incluso si el fuego aún no ha comenzado.

Resumen Técnico: Geometría Latente como Monitor Estructural

Declaración del Problema

La detección tradicional de anomalías en redes se basa en mecanismos reactivos y basados en umbrales que identifican eventos solo después de que se manifiestan (por ejemplo, cuando las señales cruzan un límite predefinido). Este enfoque falla al detectar la presión estructural que se acumula antes de una transición. En poblaciones de comportamiento cifradas como la red de anonimato Tor, donde la visibilidad a nivel de paquetes está ausente por diseño, la supervisión estándar a menudo pasa por alto modos de fallo que no implican cambios de topología explícitos (por ejemplo, retransmisores que abandonan el consenso). El artículo postula que, si bien la geometría (el estado medido) cambia, la estructura subyacente (la organización de soporte de carga de la población) la precede. El desafío consiste en medir esta deformación estructural utilizando únicamente metadatos públicos de retransmisores para detectar fallos de red antes de que resulten en violaciones catastróficas de umbrales.

Metodología

Los autores proponen una tubería de doble observador que trata a la población de retransmisores como un paisaje de energía geométrico. El sistema opera en 67 ventanas de observación diaria consecutivas (19 de enero – 21 de abril de 2026) utilizando 191 características conductuales derivadas de la API Onionoo.

1. Arquitectura de Doble Observador

Observador Geométrico (CDAE): Un Autoencoder Denoising Contractivo mapea 17 características continuas seleccionadas (excluyendo banderas binarias para evitar discontinuidades en el Jacobiano) en un espacio latente de 32 dimensiones. La pérdida de entrenamiento incluye una penalización de norma de Frobenius sobre el Jacobiano ( $\|J\|_F^2$ ) para suprimir la sensibilidad a direcciones ruidosas y de alta varianza, forzando al codificador a aprender ejes "rígidos" (de soporte de carga) y "blandos" (elásticos).
Observador Termodinámico (GRBM): Una Máquina de Boltzmann Restringida Gaussiana opera en el espacio completo de 191 características. Para evitar la saturación de la sigmoide causada por valores atípicos extremos de ancho de banda, el sistema mide la energía libre visible ( $F_{visible}$ ) directamente desde la capa visible antes de la activación, en lugar de leer las activaciones de la capa oculta. El Coeficiente de Variación (CV) de esta energía a través de la población sirve como señal de fragmentación.
El Puente (CCA): El Análisis de Correlación Canónica (CCA) conecta las representaciones latentes del CDAE y el GRBM. Rastrea la fuerza de acuerdo ( $\rho_1$ ) y el ángulo de rotación ( $\theta$ ) entre los ejes estructurales compartidos de ambos observadores a lo largo del tiempo.

2. Alineación del Espacio Propio y Subespacio Rígido

La innovación central es la Descomposición Espectral de la Trazas del Jacobiano (EJT). Mediante la descomposición del tensor métrico $J^\top J$ , el sistema identifica:

Subespacio Rígido ( $V_{stiff}$ ): Direcciones donde el codificador es más sensible y resiste la deformación.
Subespacio Blando ( $V_{soft}$ ): Direcciones donde la población puede moverse libremente (absorción elástica).
Estructura Invariante: El sistema determinó empíricamente que exactamente $k=9$ dimensiones son necesarias para capturar el 90% de la masa de traza de $J^\top J$ . Este subespacio de 9 dimensiones permaneció invariante a través de las 67 ventanas de observación, validado con una separación de 16.8 $\sigma$ respecto a una línea base de ruido gaussiano.

3. Clasificación de Eventos y Discriminadores

La tubería clasifica los eventos en seis regímenes basados en activaciones de compuertas:

PRECURSOR: Fragmentación termodinámica (CV alto) sin deformación geométrica.
REGIME_S (Estiramiento Elástico): Aumento de población absorbido elásticamente (alto $\alpha_{guard}$ , alto $\delta_{mg}$ ).
REGIME_D (Deformación): Desplazamiento geométrico localizado sin fragmentación termodinámica.
REGIME_E (Fractura Rígida): Movimiento global hacia ejes rígidos (puntuación z baja de EJT), indicando estrés estructural.
REGIME_K (Mantenimiento Administrativo): Reinicios coordinados de la flota distinguidos mediante listas de verificación forenses.
NORMAL: Ninguna compuerta se activa.

Un discriminador crítico, $\delta_{mg}$ (Divergencia Masa-Gravedad), distingue entre un aumento benigno de población (donde la "masa" no ponderada se desplaza pero la "gravedad" ponderada por tráfico permanece estable) y fracturas estructurales genuinas.

Resultados Clave

1. Estabilidad Estructural y Piso de Ruido

Línea Base Nula: Simulaciones de Monte Carlo con 1.000 iteraciones de ruido gaussiano arrojaron una correlación CCA máxima de $\rho_1 = 0.614$ .
Señal Empírica: Los datos reales de Tor arrojaron $\rho_1 = 0.9992$ , confirmando que el acuerdo estructural es una propiedad de la red, no de la arquitectura de la tubería.
Invarianza del Subespacio Rígido: El subespacio rígido de 9 dimensiones fue estable en las 67 ventanas. Las 10 características principales en este subespacio mostraron una similitud Jaccard mediana de 0.90 entre ventanas consecutivas, dominadas por características geográficas (latitud/longitud) y temporales (días desde el reinicio).

2. Evento Confirmado: 20 de febrero de 2026

La tubería detectó un evento REGIME_E (Fractura Rígida) el 20 de febrero de 2026, coincidiendo con un cambio confirmado de configuración BYOIP de Cloudflare que resultó en retiradas de prefijos BGP.

Señales: Puntuación z global de EJT = $-4.38$ (4.38 desviaciones estándar por debajo de la línea base); rotación CCA $\theta = 67.13^\circ$ .
Validación Forense: Los autores probaron la "hipótesis de salida de retransmisores" (que los retransmisores abandonaron físicamente la red). La comparación cruzada de 116 retransmisores que salieron contra los prefijos de Cloudflare reveló cero coincidencias.
Conclusión: El evento fue una degradación de conectividad sin cambio de topología. Las rutas de enrutamiento efectivas de la red se cortaron mientras los retransmisores permanecían listados en el consenso, un modo de fallo invisible para la supervisión estándar de conteo de retransmisores.

3. Tasa de Falsos Positivos (FPR)

Compuertas Primarias: La compuerta CV de Ch5 y la compuerta EJT Global de Ch6 lograron un FPR del 0.0% en 24 ventanas estables confirmadas.
Compuertas Secundarias: La compuerta Elástica Guard de Ch6 tuvo un FPR del 14.3% (reduciéndose al 3.6% cuando los aumentos de población se reclasificaron como eventos investigados). La compuerta de rotación CCA de Ch1 tuvo un FPR del 49% y se utiliza solo como señal de apoyo.

4. Descubrimientos Forenses

Aumento del 05–13 de febrero: Se identificó un despliegue coordinado de 7.600 retransmisores desde IPs residenciales (EE. UU./Argentina) por un único operador (printerexpert@mail2tor.com). El despliegue fue rechazado por el 72.9% de las autoridades de directorio. El discriminador $\delta_{mg}$ identificó correctamente esto como un aumento elástico de población (REGIME_S) en lugar de una fractura.
Mantenimiento del 07–08 de abril: Una señal de "fractura rígida" se identificó como un reinicio administrativo coordinado de la flota (REGIME_K) en lugar de un ataque, confirmado por una relación de 21:1 en las edades de reinicio entre retransmisores que regresaron y los que no.

Significado y Afirmaciones

El artículo afirma introducir un marco candidato de monitoreo estructural para poblaciones de comportamiento que opera sin datos de entrenamiento etiquetados, firmas de ataque o ajuste manual de umbrales.

La Estructura Precede a la Geometría: La tesis central se valida: la organización estructural de la población (el subespacio rígido de 9 dimensiones) es la señal, y las métricas geométricas son instrumentos para medirla.
Detección de Modos de Fallo Invisibles: El marco detectó con éxito un fallo de red (degradación de conectividad) que no implicó cambios de topología, lo cual la supervisión estándar pasaría por alto.
Validez Operativa: El sistema logró un FPR del 0.0% en las compuertas de detección primarias para períodos estables y distinguió correctamente entre aumentos de población, mantenimiento administrativo y fracturas estructurales utilizando la lógica de doble observador y $\delta_{mg}$ .
Limitaciones: Los autores declaran explícitamente que no afirman atribución de ataques ni certeza de predicción. El marco detecta qué cambió geométricamente, no por qué. La validación depende de un único evento confirmado externamente (20 de febrero), lo cual se reconoce como una restricción de la falta de telemetría de verdad fundamental en el dominio de Tor.

El trabajo replantea la supervisión de redes de "vigilar patrones conocidos" a "medir la presión estructural", ofreciendo un método para detectar anomalías en poblaciones de comportamiento cifradas y a gran escala antes de que se manifiesten como eventos de cruce de umbrales.