A Fundo Ainda Mais · Modelo de ameaças

Dá para burlar?

Todo sistema de recompensas sofre ataques — fingir o contrário é a receita para o fracasso. Então vamos fazer o que engenheiros de segurança fazem: listar os ataques, dizer o que cada um exige, nomear a defesa e ser honesto sobre o que ainda resta de risco.

Método

Como ler esta página

Esta página audita o sistema de recompensa como uma revisão de segurança faria — ataque por ataque, defesa por defesa, resíduo por resíduo — porque "confie em nós" não é um argumento, e uma auditoria vetor por vetor é.

Uma regra vale para tudo: uma defesa só conta se for estrutural — embutida no funcionamento da NBR e do algoritmo — e não um apelo para que as pessoas se comportem bem.

Conheça o prêmio

Primeiro: o que um atacante realmente ganha?

Toda revisão de segurança começa pelo ativo. Aqui é a NBR — e três de suas propriedades, abordadas em NBR, a Fundo, fazem, silenciosamente, mais trabalho antifraude do que qualquer sistema de detecção:

Não transferível

Valor roubado não pode se mover

A NBR não pode ser doada, vendida, herdada ou lavada. Não existe "sacar em dinheiro". A NBR fraudulenta fica na própria conta do fraudador, gastável apenas por ele, em luxos, à vista de todos.

Oferta ilimitada

Ninguém é roubado

A NBR é criada do nada e desaparece ao ser gasta. O ganho falso de um trapaceiro não subtrai da conta de ninguém nem infla os preços de ninguém — o raio de destruição de uma fraude bem-sucedida é praticamente zero.

Só luxos

Ela compra conforto, não poder

As necessidades já são fornecidas a todos. A NBR não pode comprar legislação, votos, silêncio ou o trabalho alheio contra a vontade das pessoas — as coisas para as quais a fraude com dinheiro geralmente serve.

Já em fluxo

A base honesta já é farta

Dezenas de atos cotidianos — ajudar um amigo na mudança, ensinar, cuidar de alguém — geram fluxos contínuos de NBR. O ganho marginal de trapacear compete com uma renda honesta que já é fácil de obter.

A assimetria que vale lembrar. Sob o dinheiro, a fraude se converte diretamente em poder: transferível, anônimo, gastável em qualquer coisa. Aqui o prêmio é pessoal, auditável e limitado no que pode fazer. Isso não torna os ataques impossíveis — mas torna a maioria deles inútil, que é a defesa mais barata que existe.
Os vetores

Seis ataques, auditados

Vetor 1

Resultados forjados

O ataque

Alegar um benefício que nunca aconteceu — o equivalente, em NBR, a faturar por um trabalho que você não fez.

O que exige

Forjar o mundo físico. As recompensas são calculadas a partir de resultados, então o atacante precisa fabricar evidências de resultados — e pessoas dispostas a jurar que se beneficiaram de resultados que não existem.

O que a derrota

Um resultado registrado precisa de confirmações das pessoas que se beneficiaram e das pessoas que o coproduziram, com verificadores terceirizados independentes e relatórios de fiscalização travados no mesmo registro. Sem confirmações, sem recompensa. Recompensas grandes exigem resultados grandes, com muitas testemunhas.

Risco residual

Reivindicações pequenas com poucas testemunhas são mais fáceis de forjar do que as grandes — pequenas fraudes são possíveis. Mas a recompensa é proporcional ao resultado, então forjar algo pequeno rende pouco.

Vetor 2

O esquema de conluio

O ataque

Recrutar "beneficiários" falsos que confirmam seus resultados falsos — derrotar as testemunhas do Vetor 1 controlando-as.

O que exige

Que cada membro permaneça leal para sempre, por uma recompensa que nem sequer pode receber — a NBR é intransferível, então o líder do esquema não pode dar a ninguém sua parte. Recrutar significa pedir para as pessoas mentirem de graça.

O que o derrota

Trair compensa mais do que ser leal. Denunciar o esquema é, em si, um ato de benefício líquido que rende NBR a quem denuncia — cada conspirador é um pagamento ambulante esperando para acontecer, e só o primeiro a denunciar o recebe.

Risco residual

Grupos muito unidos (famílias, amigos próximos) poderiam sustentar pequenos esquemas só na base da confiança. Mas o teto de escala volta a atuar: esquemas grandes o suficiente para importar são grandes o suficiente para vazar.

Vetor 3

Subornando o júri

O ataque

Alguém que lucra com uma brecha suborna um membro do júri cidadão — com presentes, já que a NBR não pode mudar de mãos — para manter aberta uma brecha lucrativa.

O que exige

Encontrar um jurado (a seleção é aleatória, por sorteio — a participação não é divulgada), e então influenciar o resultado por meio dele.

O que o derrota

Os júris são grandes; um único membro não decide o veredito sozinho, então um suborno não compra nada. O próprio suborno é uma transferência de propriedade registrada para um estranho — chamativo por natureza. E a melhor jogada do jurado é denunciar: a denúncia rende NBR, enquanto o presente é algo que ela já poderia ter conseguido honestamente de qualquer jeito.

Risco residual

A influência social é mais sutil do que o suborno — carisma e reputação podem inclinar deliberações abertas em qualquer lugar onde humanos deliberem. A ampla participação dilui isso; nada o elimina por completo.

Vetor 4

Capturando os controles

O ataque

Captura regulatória, versão Copiosis: manipular os coeficientes do algoritmo para que o dano causado pela sua indústria conte menos.

O que exige

Mover um número público por meio de um processo aberto e participativo — sem que ninguém perceba, em um sistema sem doações de campanha, sem folha de pagamento de lobby e sem porta giratória para financiar.

O que o derrota

Os controles são os números mais observados do sistema, e a captura depende de dinheiro concentrado — que não existe aqui. Um coeficiente que beneficia discretamente um grupo fica visível para todos os outros grupos no instante em que se move, e os júris podem revertê-lo.

Risco residual

Maiorias podem ajustar diais que minorias consideram errados — isso não é captura, mas é política, e isso não desaparece. A reivindicação é visibilidade, não unanimidade.

Vetor 5

Invadindo o software

O ataque

Pule as pessoas; comprometa diretamente o código, o algoritmo ou o registro.

O que exige

Alterar silenciosamente uma base de código aberto, um algoritmo transparente e um registro cujas entradas entrelaçam confirmações de beneficiários, produtores e verificadores — com a alteração sobrevivendo indefinidamente ao escrutínio público.

O que o derrota

Transparência mais registros. Um pagamento fraudado ainda aponta para um resultado no mundo físico que não existe e testemunhas que nunca o confirmaram. Código aberto significa que anomalias podem ser encontradas por qualquer pessoa — e encontrar uma é, em si, um ato recompensado.

Risco residual

Real. Todo software tem falhas, e nada dessa pilha existe ainda como código em produção. Abertura é uma postura forte, não uma imunidade — este é o vetor onde a incerteza honesta é maior.

Vetor 6

Contornando tudo

O ataque

Mercados negros: negociar fora do registro, trocar favores, manter uma economia paralela que o algoritmo nunca vê.

O que exige

Um motivo. Com necessidades fornecidas incondicionalmente e recompensas de luxo fluindo a partir de praticamente qualquer ato de serviço, quem tenta atacar precisa de algo que a economia aberta não lhe dê mais facilmente.

O que o derrota

Principalmente, a indiferença. Mercados negros simplesmente seriam deixados existir — esvaziados de propósito em vez de policiados, porque não há moeda para lavar e pouco a ganhar. A atividade fora do registro custa, principalmente, a própria recompensa de quem participa.

Risco residual

Trocas genuinamente prejudiciais (coisas que a sociedade restringe por boas razões) não desaparecem só porque os incentivos se suavizam. Essa é uma questão de policiamento que todo sistema enfrenta; Copiosis reduz o motivo econômico sem afirmar que acaba com o vício.

O padrão

Por que as defesas se sustentam

Note o que se repetia: o sistema paga as pessoas para quebrar conspirações contra ele mesmo. Isso não é acidente — é a estrutura de incentivos. Coloque-se no lugar de qualquer pessoa de quem um golpista precisa:

Suas opçõesO que você ganhaO que você arrisca
Entrar no esquemaUm favor ou presente — algo que o NBR já compra honestamente, já que seus atos cotidianos pagam fluxos contínuosExposição por qualquer outra pessoa participante, para sempre; seu histórico de recompensas é auditável
Denunciar o esquemaUma recompensa em NBR — encontrar e fechar brechas é, em si, um trabalho com benefício líquidoNada; não há punições a temer nem chefe para retaliar

Denunciar dominates a adesão — ela paga mais e arrisca menos, para cada pessoa, a cada passo. Uma conspiração aqui exige que todo mundo escolha a opção pior indefinidamente. E quando uma brecha é encontrada e fechada, reabri-la não gera benefício nem recompensa: exploits não se acumulam, eles expiram.

Não há punições nesse design — isso é deliberado, e é estrutural. Nada empurra uma trapaça descoberta para encobrimentos ou desespero; o ataque fracassado simplesmente não ganhou nada, e quem descobriu foi pago. O sistema metaboliza ataques como pesquisa de segurança gratuita.
Sendo honestos

O que esta auditoria pode e não pode afirmar

Onde estamos. Essas defesas são análise de design de um sistema que nunca operou em escala — a pilha de verificação é uma arquitetura, não código implantado, e a lei de Goodhart é paciente: as pessoas vão encontrar otimizações que ninguém previu, porque toda métrica medida convida a isso. A resposta honesta: haverá manipulação; o design a torna de baixo valor, alta visibilidade e autodenunciante, e a fórmula permanece revisável, então cada exploit descoberto vira um ajuste. A afirmação que vale a pena debater não é "inquebrável" — nada é. É que essa estrutura de incentivos torna os ataques menos lucrativos do que a honestidade, uma marca que sistemas baseados em dinheiro nunca alcançaram.
Continue explorando

Leituras relacionadas

Continue avançando

Veja a engrenagem que ela protege

A melhor forma de julgar se essas defesas se sustentam é entender exatamente o que está sendo calculado — termo por termo.

A Fórmula, AnotadaVoltar para A Fundo
Isto não ésite oficial do Copiosis. É um projeto independente.