Resumo Técnico: O Framework de Vulnerabilidades e Explorações Humanas (HVE)

1. Declaração do Problema

A indústria de cibersegurança estabeleceu frameworks robustos e padronizados para o gerenciamento de vulnerabilidades técnicas, incluindo o sistema de Vulnerabilidades e Exposições Comuns (CVE), o Sistema de Pontuação de Vulnerabilidade Comum (CVSS) e a Enumeração de Fraquezas Comuns (CWE). No entanto, existe uma lacuna operacional crítica em relação ao "elemento humano". Pesquisas indicam que entre 84% e 98% dos ataques cibernéticos bem-sucedidos exploram vulnerabilidades psicológicas e comportamentais em vez de falhas puramente técnicas.

Atualmente, a defesa contra engenharia social, fraudes e golpes carece de uma taxonomia padronizada e legível por máquina. As respostas existentes, como o treinamento de conscientização de segurança, são frequentemente reativas, carecem de um vocabulário compartilhado para padrões específicos de manipulação e não conseguem abordar os estados emocionais "quentes" induzidos por golpes ativos, onde o conhecimento adquirido em um estado "frio" falha em se transferir para o comportamento. Além além disso, as taxonomias de fraude existentes (ex: Federal Reserve ScamClassifier) tipicamente classificam a história de cobertura (o "quê"), mas falham em modelar os mecanismos psicológicos subjacentes (o "como") ou fornecer orientação de intervenção em tempo real.

2. Metodologia e Arquitetura do Framework

O Framework de Vulnerabilidades e Explorações Humanas (HVE) é proposto como um padrão estruturado e legível por máquina análogo ao CVE, projetado para catalogar, pontuar e mitigar ataques centrados no humano. O framework é fundamentado na literatura de ciência comportamental, especificamente na teoria do processo duplo (pensamento de Sistema 1 vs. Sistema 2), na teoria da perspectiva e em modelos de estado visceral (ex: o hiato de empatia quente-frio de Loewenstein).

2.1 Registros Principais

O framework consiste em quatro registros interconectados:

1. HVE (Vulnerabilidades e Explorações Humanas): Um registro de padrões de ataque. Cada registro descreve um cenário de manipulação específico usando um modelo de DNA de 3 Camadas:

   • Família de Manipulação: O modelo de confiança compartilhado explorado (ex: Autoridade, Romance, Investimento). O framework define um vocabulário controlado de 21 famílias.
   • Táticas de Engenharia Social (SET): As alavancas psicológicas usadas para suprimir o raciocínio analítico (ex: Autoridade, Urgência, Medo, Escassez), derivadas de frameworks como os princípios de influência de Cialdini.
   • Arquétipo de Persona: A identidade impersonada pelo atacante (ex: Figura de Autoridade, Pessoa Familiar, Profissional/Especialista).
   • Campos Adicionais: Canal de Exposição (Telefone, E-mail, etc.), Profundidade de Preparação (Flash, Múltiplas etapas, Longo prazo) e Indicadores e Evidências.

2. HWE (Enumeração de Fraquezas Humanas): Um registro de perfis de suscetibilidade da vítima. Análogo ao CWE, classifica fatores contextuais ou predisponentes (ex: Isolamento Social, Declínio cognitivo relacionado à idade, Dificuldades financeiras) que tornam uma vítima suscetível a ataques específicos. Estes são categorizados como "fraquezas" não julgadoras a serem exploradas em um contexto específico, não como deficiências pessoais.

3. HVSS (Pontuação de Severidade de Vulnerabilidade Humana): Um sistema de pontuação de severidade de 0 a 10 análogo ao CVSS. Ele calcula um score de risco dinâmico combinando:

   • Métricas de Base: Propriedades intrínsecas do ataque (provenientes do HVE).
   • Métricas de Contexto: O estado psicológico e a suscetibilidade da vítima (provenientes do HWE).
   • O output inclui uma flag de Intensidade do Feitiço (Baixa, Média, Alta), indicando o estado visceral da vítima e o nível de fricção cognitiva necessário.

4. HVP (Patches de Vulnerabilidade Humana): Bundles de intervenção acionáveis vinculados a registros específicos de HVE/HWE. Eles traduzem a pesquisa de fricção cognitiva em ações implantáveis (ex: passos de verificação, scripts de condução e liderança) adaptados à Intensidade do Feitiço calculada.

2.2 Princípios de Design

O framework adere a sete princípios de design:

• Interoperabilidade: Reutiliza convenções do CVE (IDs únicos, esquemas JSON).
• Decomposição: Trata golpes como composições de elementos reutilizáveis (Família × Táticas × Persona) em vez de eventos atômicos.
• Fundamentação Psicológica: Todo campo de fator humano mapeia para construtos estabelecidos da ciência comportamental.
• Implantabilidade por Agente: Projetado para consumo em tempo real por agentes de IA.
• Separação de Ataque e Vítima: HVE e HWE são registros independentes que se combinam apenas no momento da pontuação.

3. Contribuições Principais

• Taxonomia Padronizada: Introduz a primeira taxonomia legível por máquina para padrões de manipulação humana, decompondo ataques em um DNA de 3 Camadas (Família, Táticas, Persona).
• Pontuação de Severidade Contextual: Propõe o HVSS, um score multidimensional que considera tanto a sofisticação do ataque quanto o estado psicológico em tempo real da vítima, abordando as limitações de uma pontuação técnica estática.
• Intervenção Operacional (HVP): Preenche a lacuna entre teoria e prática ao vincular registros de vulnerabilidade a bundles de intervenção calibrados (patches) baseados na "Intensidade do Feitiço" da vítima.
  • Baixa Intensidade: Lógica e educação.
  • Média Intensidade: Verificação guiada e fricção.
  • Alta Intensidade: Condução, liderança e reancoragem da realidade para evitar o efeito de reação (backfire effect).
• Impressão Digital de Vetor de String: Uma representação compacta (ex: HVEV1) permitindo correspondência de similaridade vetorial para classificação em tempo real e agrupamento transjurisdicional de assinaturas de atacantes.
• Modelo de Governança: Propõe um modelo de acesso em camadas (Público para HVE, Restrito para HWE/HVP) gerenciado por um modelo de governança estilo CNA (Autoridade de Numeração de CVE) para equilibrar a utilidade defensiva com os riscos de uso duplo.

4. Status de Resultados e Validação

O artigo apresenta o Framework HVE como uma especificação estrutural e conceitual versão 1 (v1). Ele não reporta resultados empíricos de implantação em larga escala ou ensaios clínicos randomizados dentro do texto. Em vez disso, os "resultados" são a síntese bem-sucedida da ciência comportamental existente e dos padrões de cibersegurança em uma arquitetura coerente.

O artigo observa que:

• A taxonomia de 21 famílias foi desenhada para cobrir distribuições de casos empíricos com uma taxa residual alvo de <2%.
• O framework destina-se a ser validado contra um corpus rotulado para calibrar os pesos do HVSS e os limiares de Intensidade do Feito (planejado para v1.1).
• O acordo entre avaliadores e as métricas de desempenho do classificador são identificados como trabalhos futuros a serem publicados junto com o corpus de validação.

5. Significância e Alegações

Os autores alegam que o Framework HVE fornece o "companheiro do lado da vítima" que falta aos frameworks de cibersegurança existentes (CVE, ATT&CK, F3). Sua significância reside em:

• Mudança de Foco: Mudando de "o que o atacante fez" (TTPs) para "qual vulnerabilidade humana foi explorada e como corrigi-la".
• Habilitar Defesa em Tempo Real: Ao operacionalizar conceitos como o "hiato de empatia quente-frio" e a "fricção cognitiva" em patches legíveis por máquina, o framework permite que agentes de IA intervenham em tempo real com estratégias calibradas ao estado emocional da vítima.
• Padronização de Inteligência: Fornecer uma linguagem compartilhada para o compartilhamento de inteligência entre instituições (ex: bancos, telecomunicações, aplicação da lei) para rastrear a evolução dos padrões de golpes e medir a eficácia das intervenções.
• Salvaguardas Éticas: Projetar explicitamente o framework para evitar a estigmatização, classificando "fraquezas" como fatores contextuais em vez de traços pessoais, e restringindo o uso de dados HWE apenas para intervenções protetivas.

O artigo conclui que, embora o HVE seja uma especificação v1, ele estabelece as bases teóricas e práticas necessárias para construir a ponte entre a ciência comportamental e a defesa operacional de cibersegurança.