Resumo Técnico: Geometria Latente como Monitor Estrutural

Declaração do Problema

A detecção tradicional de anomalias em redes baseia-se em mecanismos reativos e baseados em limites que identificam eventos apenas após sua manifestação (por exemplo, quando os sinais ultrapassam um limite predefinido). Essa abordagem falha em detectar a pressão estrutural que se acumula antes de uma transição. Em populações comportamentais criptografadas, como a rede de anonimato Tor, onde a visibilidade ao nível de pacotes é ausente por design, o monitoramento padrão frequentemente ignora modos de falha que não envolvem mudanças explícitas de topologia (por exemplo, retransmissores deixando o consenso). O artigo postula que, embora a geometria (o estado medido) mude, a estrutura subjacente (a organização de suporte de carga da população) a precede. O desafio é medir essa deformação estrutural utilizando apenas metadados públicos de retransmissores para detectar falhas na rede antes que resultem em violações catastróficas de limites.

Metodologia

Os autores propõem um pipeline de observador duplo que trata a população de retransmissores como uma paisagem de energia geométrica. O sistema opera em 67 janelas de observação diárias consecutivas (19 de janeiro a 21 de abril de 2026) utilizando 191 características comportamentais derivadas da API Onionoo.

1. Arquitetura de Observador Duplo

• Observador Geométrico (CDAE): Um Autoencoder Denoising Contrativo mapeia 17 características contínuas selecionadas (excluindo flags binárias para evitar descontinuidades no Jacobiano) em um espaço latente de 32 dimensões. A perda de treinamento inclui uma penalidade de norma de Frobenius no Jacobiano ($\|J\|_F^2$) para suprimir a sensibilidade a direções ruidosas e de alta variância, forçando o codificador a aprender eixos "rígidos" (de suporte de carga) e "moles" (elásticos).
• Observador Termodinâmico (GRBM): Uma Máquina de Boltzmann Restrita Gaussiana opera no espaço completo de 191 características. Para evitar a saturação sigmoide causada por valores extremos de largura de banda, o sistema mede a energia livre visível ($F_{visible}$) diretamente da camada visível antes da ativação, em vez de ler as ativações da camada oculta. O Coeficiente de Variação (CV) dessa energia através da população serve como sinal de fragmentação.
• A Ponte (CCA): A Análise de Correlação Canônica (CCA) conecta as representações latentes do CDAE e do GRBM. Ela rastreia a força de concordância ($\rho_1$) e o ângulo de rotação ($\theta$) entre os eixos estruturais compartilhados dos dois observadores ao longo do tempo.

2. Alinhamento do Espaço Próprio e Subespaço Rígido

A inovação central é a Decomposição Espectral do Rastreamento do Jacobiano (EJT). Ao decompor o tensor métrico $J^\top J$, o sistema identifica:

• Subespaço Rígido ($V_{stiff}$): Direções onde o codificador é mais sensível e resiste à deformação.
• Subespaço Mole ($V_{soft}$): Direções onde a população pode mover-se livremente (absorção elástica).
• Estrutura Invariante: O sistema determinou empiricamente que exatamente $k=9$ dimensões são necessárias para capturar 90% da massa de traço de $J^\top J$. Este subespaço de 9 dimensões permaneceu invariante em todas as 67 janelas de observação, validado em uma separação de 16,8$\sigma$ de uma linha de base de ruído gaussiano.

3. Classificação de Eventos e Discriminadores

O pipeline classifica os eventos em seis regimes com base nas ativações de portas:

• PRECURSOR: Fragmentação termodinâmica (CV alto) sem deformação geométrica.
• REGIME_S (Estiramento Elástico): Aumento da população absorvido elasticamente (alto $\alpha_{guard}$, alto $\delta_{mg}$).
• REGIME_D (Deformação): Deslocamento geométrico localizado sem fragmentação termodinâmica.
• REGIME_E (Fratura Rígida): Movimento global para eixos rígidos (baixo escore-z EJT), indicando estresse estrutural.
• REGIME_K (Manutenção Administrativa): Reinícios coordenados da frota distinguidos por listas de verificação forense.
• NORMAL: Nenhuma porta dispara.

Um discriminador crítico, $\delta_{mg}$ (Divergência Massa-Gravidade), distingue entre um aumento benigno da população (onde a "massa" não ponderada se desloca, mas a "gravidade" ponderada pelo tráfego permanece estável) e fraturas estruturais genuínas.

Resultados Principais

1. Estabilidade Estrutural e Piso de Ruído

• Linha de Base Nula: Simulações de Monte Carlo com 1.000 iterações de ruído gaussiano resultaram em uma correlação CCA máxima de $\rho_1 = 0,614$.
• Sinal Empírico: Dados reais da Tor resultaram em $\rho_1 = 0,9992$, confirmando que o acordo estrutural é uma propriedade da rede, e não da arquitetura do pipeline.
• Invariância do Subespaço Rígido: O subespaço rígido de 9 dimensões foi estável em todas as 67 janelas. As 10 principais características neste subespaço mostraram uma similaridade mediana de Jaccard de 0,90 entre janelas consecutivas, dominada por características geográficas (latitude/longitude) e temporais (dias desde o reinício).

2. Evento Confirmado: 20 de fevereiro de 2026

O pipeline detectou um evento REGIME_E (Fratura Rígida) em 20 de fevereiro de 2026, coincidindo com uma mudança confirmada de configuração BYOIP da Cloudflare que resultou em retiradas de prefixos BGP.

• Sinais: Escore-z EJT global = $-4,38$ (4,38 desvios padrão abaixo da linha de base); rotação CCA $\theta = 67,13^\circ$.
• Validação Forense: Os autores testaram a "hipótese de saída de retransmissores" (de que os retransmissores deixaram fisicamente a rede). A cruzamento de 116 retransmissores que saíram com prefixos da Cloudflare revelou zero correspondências.
• Conclusão: O evento foi uma degradação de conectividade sem mudança de topologia. Os caminhos de roteamento efetivos da rede foram cortados enquanto os retransmissores permaneciam listados no consenso, um modo de falha invisível para o monitoramento padrão de contagem de retransmissores.

3. Taxa de Falsos Positivos (FPR)

• Portas Primárias: A porta CV Ch5 e a porta Global EJT Ch6 alcançaram uma FPR de 0,0% em 24 janelas estáveis confirmadas.
• Portas Secundárias: A porta Guard Elástica Ch6 teve uma FPR de 14,3% (reduzindo para 3,6% quando aumentos de população foram reclassificados como eventos investigados). A porta de rotação CCA Ch1 teve uma FPR de 49% e é usada apenas como sinal de suporte.

4. Descobertas Forenses

• Aumento de 05 a 13 de fevereiro: Identificou um despliegue coordenado de 7.600 retransmissores de IPs residenciais (EUA/Argentina) por um único operador (printerexpert@mail2tor.com). O despliegue foi rejeitado por 72,9% das autoridades de diretório. O discriminador $\delta_{mg}$ identificou corretamente isso como um aumento elástico da população (REGIME_S) em vez de uma fratura.
• Manutenção de 07 a 08 de abril: Um sinal de "fratura rígida" foi identificado como um reinício administrativo coordenado da frota (REGIME_K) em vez de um ataque, confirmado por uma razão de 21:1 nas idades de reinício entre retransmissores que retornaram e os que não retornaram.

Significado e Alegações

O artigo alega introduzir uma estrutura candidata de monitoramento estrutural para populações comportamentais que opera sem dados de treinamento rotulados, assinaturas de ataque ou ajuste manual de limites.

• A Estrutura Antecede a Geometria: A tese central é validada: a organização estrutural da população (o subespaço rígido de 9 dimensões) é o sinal, e as métricas geométricas são instrumentos para medi-lo.
• Detecção de Modos de Falha Invisíveis: A estrutura detectou com sucesso uma falha na rede (degradação de conectividade) que não envolveu mudanças de topologia, o que o monitoramento padrão ignoraria.
• Validade Operacional: O sistema alcançou uma FPR de 0,0% nas portas de detecção primária para períodos estáveis e distinguiu corretamente entre aumentos de população, manutenção administrativa e fraturas estruturais usando a lógica de observador duplo e $\delta_{mg}$.
• Limitações: Os autores afirmam explicitamente que não alegam atribuição de ataque ou certeza de previsão. A estrutura detecta o que mudou geometricamente, não por que. A validação depende de um único evento confirmado externamente (20 de fevereiro), o que é reconhecido como uma restrição da falta de telemetria de verdade absoluta no domínio da Tor.

O trabalho reestrutura o monitoramento de redes de "observar padrões conhecidos" para "medir pressão estrutural", oferecendo um método para detectar anomalias em populações comportamentais criptografadas e de grande escala antes que se manifestem como eventos de ultrapassagem de limites.