Teoria de Sinais e Probabilidade Bayesiana

Nota 03 do capítulo 13, pasta 06 - Teorias e Abordagens. Formaliza a decisão analítica em contra-inteligência: o que é sinal, o que é ruído, quanto custa errar em cada direção e como atualizar a crença sobre atividade adversária com evidência nova.
Fornece a matemática por trás da escala de confiança usada na produção de inteligência e os limites que evitam o uso indevido da atualização bayesiana.
Dialoga com a nota 01 sobre os eixos do adversário, com a nota 02 sobre efeito de intervenções e com as notas de Detecção e Triagem e de Análise, Produção e Feedback da pasta 04.

1. Contexto e Posicionamento na Biblioteca

Toda decisão de contra-inteligência é uma aposta sob incerteza: abrir ou não um caso, escalar ou não ao jurídico, monitorar ou não uma pessoa, interromper ou não uma operação de negociação. A teoria de sinais e a probabilidade bayesiana são as duas ferramentas que transformam essa aposta intuitiva em decisão estruturada. A teoria de sinais descreve a anatomia da decisão, com seus quatro resultados possíveis e seus custos assimétricos; a regra de Bayes descreve como a crença sobre uma hipótese deve se mover quando evidência nova chega. As duas juntas respondem as perguntas que o analista de CI enfrenta todos os dias: quanto evidência basta para agir, e o que fazer quando a próxima evidência chega.

O posicionamento na pasta é o do motor analítico. A nota 01 fornece o objeto da avaliação, os três eixos do adversário; esta nota fornece o método de atualização dos juízos sobre esses eixos, com números e limiares declarados. A nota 04 fecha o circuito econômico, atribuindo custo aos erros que aqui se classificam. Nas outras pastas, a nota de Detecção e Triagem da pasta 04 é o consumidor mais direto da teoria de sinais, porque triagem é exatamente a escolha de limiar, e a nota de Análise, Produção e Feedback é o consumidor da regra de Bayes, porque análise é atualização de crença com registro.

Há uma razão adicional para formalizar o que muita equipe faz de cabeça: a intuição humana é documentadamente fraca com probabilidades condicionais. Analistas experientes, diante de um indicador com sensibilidade alta, tendem a confundir a probabilidade do indicador dado o adversário com a probabilidade do adversário dado o indicador, e essa inversão, chamada de queda da taxa-base, infla casos falsos de espionagem corporativa com custos humanos e jurídicos graves. A matemática desta nota não substitui juízo, mas obriga o juízo a pagar o preço declarado dos seus pressupostos, e essa cobrança explícita é o que a distingue da opinião organizada.

2. Sinal, Ruído e a Matriz de Decisão

A teoria de sinais parte de uma divisão simples do mundo: há ou não há atividade adversária, e o analista decide responder ou não responder. A combinação de dois estados do mundo com duas ações produz quatro resultados, e cada um tem nome próprio e consequência própria. O acerto se divide em verdadeiro positivo, quando o sinal existe e o analista responde, e verdadeiro negativo, quando o ruído existe e o analista não responde; o erro se divide em falso positivo, quando o analista responde a ruído, e falso negativo, quando o analista ignora sinal real.

A tabela esconde uma assimetria que define todo o desenho de CI: os dois erros têm naturezas diferentes e vítimas diferentes. O falso positivo machuca pessoas concretas, o funcionário rotulado de informante, o fornecedor afastado, e cobra em processo, em clima e em credibilidade do programa; o falso negativo machuca a organização, porque a coleta adversária prossegue invisível enquanto o caso legítimo fica arquivado. Um programa maduro não persegue a taxa zero de qualquer um dos erros, porque reduzir um empurra o outro; ele escolhe conscientemente o ponto de equilíbrio que sua governança consegue sustentar, e essa escolha é o limiar tratado na seção 4.

A matriz também precisa da dimensão temporal para ser honesta, porque os quatro resultados só ficam conhecidos com atraso. Um verdadeiro positivo só se confirma semanas depois, quando a investigação produz evidência; um falso negativo pode nunca se confirmar, e aparece como perda patrimonial sem alerta correspondente; e um falso positivo só se fecha quando o caso descartado é reaberto por outro caminho. Por isso o programa precisa de reclassificação retrospectiva dos casos encerrados, revisão trimestral que corrige a classificação original com o que se aprendeu, porque painel de desempenho alimentado apenas por classificações no ato superestima acertos de forma sistemática.

3. Custo de Falsos Positivos e Falsos Negativos

Para escolher o ponto de equilíbrio, os erros precisam de preço, e o preço depende da decisão em jogo. Um falso positivo em um alerta automatizado de triagem custa minutos de analista; um falso positivo em uma escalada formal ao jurídico com aviso ao funcionário custa reputação do programa, defesa em processo trabalhista e, ocasionalmente, a carreira de um inocente. A mesma organização pode tolerar falso positivo alto em uma camada e quase zero na outra, e é exatamente essa diferença que a arquitetura de camadas explora.

A leitura da tabela produz o princípio que organiza as seções seguintes: quanto mais grave o custo do falso positivo em uma camada, mais alta deve ser a exigência de evidência para cruzar o limiar daquela camada. O inverso também vale e costuma ser esquecido: onde o falso negativo é catastrófico, como em proteção de vida ou de segredo industrial com dano irreversível, o limiar desce conscientemente, e a organização aceita pagar mais falsos positivos como prêmio. Declarar esse trade-off por escrito, por camada, é uma das poucas decisões de desenho que um programa de CI nunca deve deixar implícita.

4. Limiar de Resposta e Política de Decisão

O limiar de resposta é o valor de probabilidade, ou de pontuação equivalente, acima do qual a organização age. Em linguagem da teoria de sinais, ele é o critério de decisão, e a escolha dele é governada por duas grandezas: a razão entre o custo dos dois tipos de erro e a taxa-base do evento, que é a frequência com que a atividade adversária realmente ocorre na organização. Custo de falso negativo alto ou taxa-base alta empurram o limiar para baixo; custo de falso positivo alto ou taxa-base baixa empurram o limiar para cima. A conclusão prática é desconfortável para intuições absolutistas: o limiar correto é diferente por decisão e por organização, e copiar o limiar de outra empresa sem copiar seus custos e sua taxa-base é arbitrariedade com aparência técnica.

O limiar precisa de governança para não virar parâmetro de conveniência. As práticas mínimas são quatro: os limiares são aprovados junto com a matriz de autorização da nota de Responsabilidade Executiva; mudanças de limiar são registradas com justificativa, porque limiar abaixado na véspera de caso sensível é achado clássico de oversight; a taxa-base usada no cálculo é revisada anualmente com dados de casos encerrados; e o desempenho histórico das camadas, quantos cruzamentos viraram confirmação e quantos viraram descarte, é reportado no ciclo de feedback da nota 06 da pasta 04. Limiar sem esse circuito é apenas um número que a equipe respeita até a primeira pressão.

A escolha do limiar tem ainda uma leitura de portfólio que evita a otimização de camada isolada. Baixar o limiar de abertura de caso aumenta a fila e, com ela, o tempo de resposta dos casos verdadeiros, o que equivale a subir o custo do falso negativo na camada seguinte; endurecer a escalada jurídica desloca para a camada de abertura decisões que ela não sustenta, e a fila se contamina de casos formais sem base para prosperar. O desenho correto calibra as quatro camadas juntas, simulando o efeito de cada mudança no fluxo total, e a métrica de acompanhamento é o tempo de ponta a ponta do sistema, e não o desempenho de cada tabela isolada.

5. Atualização Bayesiana de Crença: Exemplo Numérico Completo

A regra de Bayes converte evidência em probabilidade revisada, e o exemplo abaixo executa o processo completo, passo a passo, no cenário do capítulo: a suspeita de insider ligado à consultoria K na fabricante de componentes industriais. O evento de interesse A é "pessoa é insider malicioso ativo", e o prior é a taxa-base estimada de insiders ativos na organização no trimestre.

Passo 0: prior antes de qualquer indicador
  P(A) = 0,02      (2%: taxa-base de insider ativo no trimestre)
  P(N) = 0,98      (N = nao-insider)

Passo 1: evidencia E1, acesso fora de horario ao repositorio de
precificacao, com caracteristicas de sensibilidade conhecidas
  Taxa de acerto:        P(E1|A) = 0,80   (80% dos insiders ativos
                            apresentam esse padrao)
  Taxa de falso positivo: P(E1|N) = 0,06  (6% dos nao-insiders
                            apresentam o mesmo padrao)

  Numerador:   P(E1|A) x P(A) = 0,80 x 0,02 = 0,0160
  Denominador: 0,0160 + P(E1|N) x P(N)
               = 0,0160 + 0,06 x 0,98
               = 0,0160 + 0,0588 = 0,0748

  Posterior:   P(A|E1) = 0,0160 / 0,0748 = 0,2139 (21,4%)

Passo 2: evidencia E2, contato externo confirmado com dominio
controlado por concorrente, avaliada por razao de verossimilhanca
  LR2 = P(E2|A) / P(E2|N) = 0,70 / 0,10 = 7

  Odds do prior:  P(A|E1) / P(N|E1) = 0,2139 / 0,7861 = 0,2721
  Odds posterior: 0,2721 x 7 = 1,9049
  Probabilidade:  P(A|E1,E2) = 1,9049 / (1 + 1,9049) = 0,6558 (65,6%)

Passo 3: decisao contra o limiar da secao 4
  Escalada ao juridico exige posterior acima de 60%.
  65,6% > 60%: caso formal aberto com revisao juridica.

O exemplo ilustra três propriedades que valem para qualquer caso. A primeira é que um indicador com sensibilidade de 80 por cento move a probabilidade de 2 para apenas 21 por cento, porque a taxa-base baixa domina o cálculo; a frase "o indicador aparece em 80 por cento dos casos" e a frase "há 80 por cento de chance de ser insider" são afirmativas completamente diferentes, e a segunda é falácia. A segunda propriedade é que evidências independentes se multiplicam nas odds, e é por isso que dois indícios moderados valem mais do que a soma da intuição sugere. A terceira é que o posterior de hoje é o prior de amanhã: o caso aberto com 65,6 por cento continua sendo atualizado a cada evidência nova, para cima ou para baixo, até o encerramento, e a nota de feedback da pasta 04 registra essas trajetórias.

Em operação, a contabilidade bayesiana vive nas ferramentas de caso, e não em planilhas paralelas. O registro mínimo por evidência tem quatro campos: descrição do indício, razão de verossimilhança estimada com a base que a sustenta, posterior resultante e responsável pela estimativa. A estimativa da razão de verossimilhança é a parte que mais pede honestidade: ela pode vir de dados próprios, quando a organização já mediu o indicador em casos confirmados e em períodos limpos, de dados setoriais compartilhados por CSIRTs, ou de estimativa de especialista com faixa declarada, e o registro anota qual das três fontes sustenta o número, porque razão de verossimilhança sem origem é a armadilha disfarçada de rigor. O fragmento abaixo mostra a consulta que mantém a taxa-base honesta, contando insiders confirmados por trimestre na base de casos encerrados, que é a fonte de P(A) do Passo 0.

SELECT strftime('%Y-%m', data_encerramento) AS trimestre,
       COUNT(*) AS casos_totais,
       SUM(CASE WHEN conclusao = 'insider_confirmado'
                THEN 1 ELSE 0 END) AS insiders_confirmados,
       ROUND(1.0 * SUM(CASE WHEN conclusao = 'insider_confirmado'
                THEN 1 ELSE 0 END) / COUNT(*), 4) AS taxa_base
FROM casos_ci
WHERE status = 'encerrado'
GROUP BY trimestre
ORDER BY trimestre;

6. Relação com a Escala de Confiança de Inteligência

Os produtos de inteligência comunicam juízos em palavras, e a escala de confiança é a ponte entre as palavras e as probabilidades que a atualização bayesiana produz. Sem essa ponte, termos como "provável" flutuam entre leitores, e o decisor entende 80 por cento onde o analista quis dizer 55 por cento. A tabela abaixo fixa a correspondência operacional usada nesta biblioteca, alinhada à prática de comunidades de inteligência de declarar probabilidade em faixas e confiança na evidência separadamente.

A separação entre probabilidade da hipótese e confiança na evidência é o detalhe que evita o uso indevido da escala. Um juízo pode ser de probabilidade alta e confiança baixa ao mesmo tempo, quando a estimativa numérica se apoia em fonte única ainda não confirmada; nesse caso, o produto diz "provável, com confiança baixa", e o decisor lê corretamente que a ação deve esperar. A nota 01 já declarava confiança por eixo na ficha de adversário, e a mesma disciplina vale aqui: probabilidade posterior e confiança na base de evidência são campos distintos em todo registro de avaliação, e confundi-los é o erro de comunicação mais comum entre analistas técnicos e decisores de negócio.

7. Armadilhas: Independência, Priors e Viés

A primeira armadilha é tratar como independentes evidências que não são, porque o modelo multiplica razões de verossimilhança que deveriam ser contadas uma única vez. Indícios derivados da mesma fonte, dois alertas gerados pela mesma regra do SIEM, duas matérias citando o mesmo relatório de CTI, o relato do mesmo informante reprocessado como dois, todos inflacionam o posterior de forma artificial. O antídoto é a pergunta de auditoria em cada atualização: esta evidência traz informação que a evidência anterior não trazia; se a resposta é não, ela não entra na multiplicação, e a razão da fonte mãe é aplicada uma única vez.

A segunda armadilha é o prior enviesado, na direção tanto do otimismo quanto do alarmismo. Priors de taxa-base muito baixos tornam qualquer evidência inicial quase inútil e produzem falsos negativos crônicos; priors inflados por notoriedade recente, o caso de insider que foi notícia no setor, produzem caça a fantasmas e falso positivos custosos. O antídoto é institucional: a taxa-base vem da base de casos encerrados da própria organização, atualizada anualmente, e qualquer prior manual exige justificativa registrada com a fonte que o sustenta.

A terceira família de armadilhas é cognitiva, e atinge analistas experientes tanto quanto iniciantes. A queda da taxa-base, já exemplificada na seção 5, confunde a condicional invertida; o viés de disponibilidade infla a probabilidade de cenários vistos recentemente em relatórios; o viés de ancoragem prende o juízo à primeira estimativa mesmo diante de evidência contrária; e a falácia do promotor apresenta o posterior como prova de culpa, quando ele mede apenas a força relativa do indício. O antídoto coletivo é o desafio estruturado da revisão por pares, com a obrigação de alguém argumentar a hipótese alternativa e listar que evidência a derrubaria, prática que a nota de Análise da pasta 04 formaliza.

A tabela abaixo consolida as armadilhas com o antídoto operacional de cada uma, no formato de lista de verificação para revisão de casos.

8. Erros Comuns e Pontos de Atenção

• Inverter a condicional na comunicação: dizer que o indicador ocorre em 80 por cento dos insiders não autoriza dizer que há 80 por cento de chance de insider; só o cálculo do posterior autoriza a segunda frase, e o exemplo da seção 5 mostra a distância entre as duas.
• Multiplicar evidência dependente: dois alertas da mesma regra, duas matérias do mesmo relatório e dois relatos da mesma pessoa são uma evidência; a duplicação infla o posterior sem informação nova.
• Deixar o prior sem fonte: taxa-base decorada de palestra ou ajustada para reforçar a narrativa corrente invalida todo o cálculo posterior, por mais correto que seja o resto da aritmética.
• Fixar limiar por conveniência do caso: limiar abaixado para viabilizar escalada desejada é desvio que o oversight procura; mudança de limiar é decisão de governança registrada, e não decisão de caso.
• Ignorar o custo do falso negativo ao exigir certeza: exagerar a exigência de evidência para não errar contra pessoas produz fila de sinais ignorados, e o custo do erro silencioso aparece meses depois como perda patrimonial.
• Comunicar número sem termo da escala: posterior de 65 por cento sem a palavra da escala e sem a confiança na evidência transfere ao decisor a interpretação que o produto devia entregar pronta.
• Deixar de atualizar para baixo: evidência contrária reduz o posterior com a mesma mecânica que o sobe, e programa que só coleta evidência a favor transforma a regra de Bayes em máquina de convicção.
• Tratar a bayesiana como automática: razões de verossimilhança são estimativas com incerteza própria, e a revisão por pares com hipótese alternativa é o controle que impede que o rigor aritmético vire rigor de fachada.

9. Integração com o Restante da Biblioteca

Dentro do capítulo, esta nota é o método de atualização que a ficha de adversário da nota 01 consome: cada evidência nova sobre capacidade, intenção ou oportunidade entra como indício com razão de verossimilhança e move o juízo do eixo, e a regra da nota 01 de que três tendências consecutivas indicam mudança de postura é uma versão informal da acumulação de evidências aqui formalizada. A nota 02 desta pasta consome a teoria de sinais na medição de efeito, porque cada intervenção situacional altera as taxas de acerto e de falso positivo dos controles, e a nota 04 atribui preço aos quatro quadrantes da matriz de decisão, convertendo os custos declarados na seção 3 em insumos da análise econômica do programa.

Fora do capítulo, a nota de Detecção e Triagem da pasta 04 é o caso de uso diário da teoria de sinais, e a nota de Análise, Produção e Feedback é o caso de uso da atualização de crença, com o desafio da hipótese alternativa como controle de viés. No capítulo de threat hunting, o fluxo baseado em hipótese do framework PEAK é, em essência, uma aplicação da regra de Bayes com prior declarado por hipótese de caça, e a escala de confiança da seção 6 governa a comunicação dos achados para as equipes de resposta. A disciplina que atravessa todas as integrações é a mesma: declarar o prior, estimar a verossimilhança com fonte, aplicar o limiar aprovado e registrar a trajetória, porque crença atualizada sem registro é apenas opinião com matemática de fundo.