Aún Más A Fondo · Modelo de amenazas

¿Se puede hacer trampa?

Todo sistema de recompensas es atacado — pretender lo contrario es la forma en que los sistemas fallan. Así que hagamos lo que hacen los ingenieros de seguridad: enumeremos los ataques, digamos qué requiere cada uno, nombremos la defensa, y seamos honestos sobre lo que queda sin resolver.

Método

Cómo leer esta página

Esta página audita el sistema de recompensas como lo haría una revisión de seguridad — ataque por ataque, defensa por defensa, residuo por residuo — porque "confía en nosotros" no es un argumento y una auditoría vector por vector sí lo es.

Una sola regla aplica en todo momento: una defensa solo cuenta si es estructural — integrada en cómo funcionan el NBR y el algoritmo — no una apelación a que la gente se porte bien.

Conoce el premio

Primero: ¿qué gana realmente un atacante?

Toda revisión de seguridad empieza con el activo en juego. Aquí es el NBR — y tres de sus propiedades, explicadas a fondo en El NBR, a Fondo, hacen en silencio más trabajo antifraude que cualquier sistema de detección:

No transferible

El valor robado no se puede mover

El NBR no se puede regalar, vender, heredar ni lavar. No existe "hacerlo efectivo". El NBR fraudulento se queda en la cuenta del propio defraudador, gastable solo por él o ella, en lujos, a la vista de todos.

Oferta ilimitada

Nadie sale robado

El NBR se crea de la nada y se desvanece al gastarse. La ganancia falsa de un tramposo no resta de la cuenta de nadie ni infla los precios de nadie — el radio de impacto de un fraude exitoso es casi cero.

Solo lujos

Compra comodidad, no poder

Las necesidades ya están garantizadas para todos. El NBR no puede comprar legislación, votos, silencio, ni el trabajo de otras personas contra su voluntad — las cosas para las que suele servir el fraude con dinero.

Ya está fluyendo

La base honesta ya es generosa

Decenas de actos cotidianos — ayudar a un amigo a mudarse, enseñar, cuidar a alguien — generan flujos constantes de NBR. La ganancia marginal de hacer trampa compite contra un ingreso honesto que ya es fácil de obtener.

La asimetría que hay que tener presente. Con el dinero, el fraude se convierte directamente en poder: transferible, anónimo, gastable en cualquier cosa. Aquí el premio es personal, auditable y limitado en lo que puede hacer. Eso no vuelve imposibles los ataques — vuelve inútiles a la mayoría, que es la defensa más barata que existe.
Los vectores

Seis ataques, auditados

Vector 1

Resultados fabricados

El ataque

Alegar un beneficio que nunca ocurrió — el equivalente en NBR a facturar por un trabajo que no se hizo.

Qué requiere

Falsificar el mundo físico. Las recompensas se calculan a partir de resultados, así que el atacante debe fabricar evidencia de resultados — y gente dispuesta a jurar que se benefició de resultados que no existen.

Qué lo derrota

Un resultado registrado necesita confirmaciones de las personas beneficiadas y de quienes lo coprodujeron, con verificadores externos independientes y reportes de vigilancia asentados en el mismo libro contable. Sin confirmaciones, no hay recompensa. Las recompensas grandes necesitan resultados grandes, con muchos testigos.

Riesgo residual

Los reclamos pequeños con pocos testigos son más fáciles de falsificar que los grandes — el fraude menor es posible. Pero la recompensa crece con el resultado, así que falsificar en pequeño rinde poco.

Vector 2

El anillo de complicidad

El ataque

Reclutar "beneficiarios" falsos que confirmen tus resultados falsos — vencer a los testigos del Vector 1 comprándolos.

Qué requiere

Que cada miembro se mantenga leal para siempre, a cambio de un pago que ni siquiera pueden recibir — el NBR es intransferible, así que el líder del anillo no puede darle su parte a nadie. Reclutar significa pedirle a la gente que mienta a cambio de nada.

Qué lo vence

Delatar paga más que la lealtad. Reportar el anillo es en sí mismo un acto de beneficio neto que le gana NBR a quien lo reporta — cada conspirador es un pago ambulante esperando a suceder, y solo el primero en reportar lo cobra.

Riesgo residual

Los grupos muy unidos (familias, amigos cercanos) podrían sostener pequeños anillos solo con base en la confianza. Aquí también pega el techo de escala: los anillos lo bastante grandes para importar son lo bastante grandes para filtrarse.

Vector 3

Sobornar al jurado

El ataque

Alguien que se aprovecha de un vacío legal soborna a un miembro del jurado ciudadano — con regalos, ya que el NBR no puede cambiar de manos — para mantener abierto un vacío rentable.

Qué requiere

Encontrar a un jurado (la selección es aleatoria, por dispositivo — la membresía no se anuncia), y luego influir en el resultado a través de él.

Qué lo vence

Los jurados son numerosos; un solo miembro no puede decidir un veredicto, así que un soborno no compra nada. El soborno en sí es una transferencia de propiedad registrada hacia un desconocido — visible por diseño. Y la mejor jugada del jurado es reportarlo: el reporte gana NBR, mientras que el regalo es algo que de todos modos podría haber obtenido honestamente.

Riesgo residual

La influencia social es más sutil que el soborno — el carisma y la reputación pueden inclinar una deliberación abierta en cualquier lugar donde los humanos delibeten. La participación amplia lo diluye; nada lo elimina por completo.

Vector 4

Capturar los diales

El ataque

Captura regulatoria, edición Copiosis: manipular los coeficientes del algoritmo para que el daño de tu industria cuente menos.

Qué requiere

Mover un número público a través de un proceso abierto y participativo — sin que nadie lo note, en un sistema sin donaciones de campaña, sin nómina de cabildeo y sin puerta giratoria que financiar.

Qué lo vence

Los diales son los números más vigilados del sistema, y la captura funciona con dinero concentrado — que aquí no existe. Un coeficiente que beneficia calladamente a un grupo se vuelve visible para todos los demás grupos en el momento en que se mueve, y los jurados pueden volver a moverlo.

Riesgo residual

Las mayorías pueden ajustar los indicadores de una forma que las minorías consideren errónea — eso no es captura, pero sí es política, y no desaparece. Lo que se busca es visibilidad, no unanimidad.

Vector 5

Hackear el software

El ataque

Saltarse a las personas; comprometer directamente el código, el algoritmo o el libro de registros.

Qué se necesita

Alterar en silencio un código de fuente abierta, un algoritmo transparente y un libro de registros cuyas entradas entrelazan confirmaciones de beneficiarios, productores y verificadores — y que el cambio sobreviva al escrutinio público indefinidamente.

Qué lo derrota

Transparencia más registros. Un pago manipulado sigue apuntando a un resultado en el mundo físico que no existe y a testigos que nunca lo confirmaron. Código abierto significa que cualquiera puede encontrar anomalías — y encontrar una es en sí un acto recompensado.

Riesgo residual

Real. Todo software tiene errores, y nada de esta infraestructura existe todavía como código en producción. La apertura es una postura fuerte, no una inmunidad — este es el vector donde la incertidumbre honesta es mayor.

Vector 6

Evitarlo por completo

El ataque

Mercados negros: intercambiar fuera del registro, trocar favores, operar una economía paralela que el algoritmo nunca ve.

Qué se necesita

Un motivo. Con las necesidades cubiertas incondicionalmente y las recompensas de lujo fluyendo desde casi cualquier acto de servicio, el atacante necesita algo que la economía abierta no le dé más fácilmente.

Qué lo derrota

En su mayoría, la indiferencia. A los mercados negros simplemente se les dejaría existir — privados de propósito en lugar de perseguidos, porque no hay moneda que lavar y poco que ganar. La actividad fuera del registro le cuesta al participante, sobre todo, su propia recompensa.

Riesgo residual

Los intercambios genuinamente dañinos (cosas que la sociedad restringe por buenas razones) no desaparecen solo porque los incentivos se suavicen. Esa es una cuestión de vigilancia que enfrenta todo sistema; Copiosis reduce el motivo económico sin pretender acabar con el vicio.

El patrón

Por qué las defensas se sostienen juntas

Fíjate en lo que se repitió una y otra vez: el sistema le paga a la gente por romper las conspiraciones en su contra. Eso no es casualidad — es la estructura de incentivos. Ponte en el lugar de cualquiera que un tramposo necesite:

Tus opcionesQué obtienesQué arriesgas
Unirte al planUn favor o un regalo — algo que el NBR ya te compra honestamente, ya que tus actos cotidianos te pagan flujos continuosExposición por parte de cualquier otro participante, para siempre; tu historial de recompensas es auditable
Reportar el planUna recompensa de NBR — detectar y cerrar vacíos legales es en sí un trabajo de beneficio netoNada; no hay castigos que temer ni jefe que tome represalias

Reportar domina unirse — paga más y arriesga menos, para cada persona, en cada paso. Una conspiración aquí necesita que todos elijan la peor opción de forma indefinida. Y cuando se encuentra y se cierra un vacío, reabrirlo no genera ningún beneficio ni recompensa: los exploits no se acumulan, caducan.

No hay castigos en este diseño — eso es deliberado y es una parte esencial de la estructura. Nada empuja a quien descubre una trampa hacia el encubrimiento o la desesperación; el ataque fallido simplemente no ganó nada, y a quien lo descubrió se le pagó. El sistema metaboliza los ataques como investigación de seguridad gratuita.
Siendo honestos

Qué puede y qué no puede afirmar esta auditoría

En qué punto estamos. Estas defensas son un análisis de diseño de un sistema que nunca se ha ejecutado a gran escala — la pila de verificación es una arquitectura, no código implementado, y la ley de Goodhart es paciente: la gente va a encontrar optimizaciones que nadie anticipó, porque cada métrica medida las invita. La respuesta honesta: va a haber trampas; el diseño las hace de bajo valor, alta visibilidad y autodenunciantes, y la fórmula sigue siendo revisable, así que cada exploit descubierto se convierte en un parche. La afirmación que vale la pena debatir no es "inhackeable" — nada lo es. Es que esta estructura de incentivos hace que los ataques sean menos rentables que la honestidad, algo que los sistemas basados en dinero nunca han logrado.
Sigue explorando

Lecturas relacionadas

Sigue adelante

Conoce la maquinaria que protege

La mejor forma de juzgar si estas defensas se sostienen es entender exactamente qué se está calculando — término por término.

La fórmula, comentadaVolver a A Fondo
Esto no esun sitio oficial de Copiosis. Es un proyecto independiente.