Semántica Forense de la Intención · Protocolo P2

VIGÍA

Un motor forense que no pregunta qué pasó.
Pregunta por qué — y a quién beneficia.

0líneas de análisis puro
22vectores canónicos, de punta a punta
0modelos opacos · totalmente determinista
Desplazá para interrogar
01 — EL GIRO PARADIGMÁTICO

La forense clásica reconstruye hechos. VIGÍA reconstruye el móvil.

Una línea de tiempo te dice que un archivo se borró a las 03:14. No te puede decir si fue higiene de rutina, pánico, o una coartada plantada. VIGÍA trata cada artefacto como un signo — y lee la intención a la que apunta.

DFIR convencional

Qué pasó

› ¿Qué bytes cambiaron?
› ¿Cuándo se lanzó el proceso?
› ¿Cuál es la cadena de custodia?
› Reconstruir la línea de tiempo.
VIGÍA · Indicador de Intención

Por qué, y a quién beneficia

› ¿Qué busca afirmar este artefacto?
› ¿Qué máxima de Grice se está violando?
› ¿El efecto precede a su propia causa?
Cui bono — ¿a quién favorece esta lectura?
“cui bono?”La pregunta más antigua de la forense, ahora formalizada
02 — FUNDAMENTOS EPISTEMOLÓGICOS

No heurísticas. Una teoría del significado.

VIGÍA se apoya en cuatro siglos de trabajo sobre cómo los signos portan intención — y en las disciplinas que mantienen la interpretación honesta. Cada regla de scoring se remonta a una epistemología publicada, no a una corazonada.

Charles Sanders Peirce

Semiosis triádica y abducción

Semiótica · c. 1903

Un signo nunca es solo una cosa — es una relación entre un representamen, su objeto, y el interpretante que produce. La inferencia a la mejor explicación (abducción) es como saltamos de la huella a la causa.

VIGÍA trata cada artefacto como representamen y ejecuta cierre abductivo hacia la intención más parsimoniosa.
Umberto Eco

Los límites de la interpretación

Sobreinterpretación · 1990

Un texto restringe sus lecturas. El “lector paranoico” encuentra conspiración en todo; Eco insiste en que el objeto se resiste. Leer malicia en mero ruido es, en sí mismo, un error.

El veredicto NOISE y el veto de cierre causal son el freno de Eco — VIGÍA se niega a sobreinterpretar.
H. P. Grice

Las máximas cooperativas

Lógica y conversación · 1975

La comunicación supone Cantidad, Cualidad, Relación, Manera. Una violación encubierta de Cualidad es la estructura exacta de una mentira; una transgresión abierta es ironía. El patrón de violación es señal.

Los perfiles de violación de máximas alimentan directamente las features de Indicador de Intención de VIGÍA.
ENFSI · Daubert

Admisible por construcción

Estándares forenses · 2015 / 1993

La evidencia debe ser comprobable, tener una tasa de error conocida, y reportar su fuerza como un ratio de verosimilitud — no como un veredicto disfrazado de certeza. Los tribunales rechazan las cajas negras.

Cada score aterriza en la escala verbal ENFSI; cada decisión pasa la checklist de Daubert.
SIGNO el artefacto OBJETO la intención INTERPRETANTE la lectura de VIGÍA

La unidad de evidencia es un signo

Pasá el cursor por un vértice. La intuición de Peirce: el significado es irreduciblemente triple. Un log borrado (signo) apunta a un acto de ocultamiento (objeto) solo a través de una interpretación disciplinada (interpretante). VIGÍA hace explícito ese tercer término — auditable y falsable — para que la lectura misma pueda interrogarse.

03 — LA MATEMÁTICA · EN VIVO

No leas las ecuaciones. Operalas.

Cada fórmula de abajo es la regla de decisión real del Protocolo P2, corriendo en tu navegador. Movés los controles y ves al motor razonar. Esto es lo que se siente “auditable”.

Fusión de evidencia — Noisy-OR (CAIE)

§2 · evidencia independiente
compuesto sobre fuentes independientes

Activá fuentes independientes. Noisy-OR nunca deja que la evidencia débil cancele la fuerte — la acumula. Pero menos de tres fuentes independientes dispara una penalización del 20% en la confianza: la corroboración no es opcional.

⚠ < 3 fuentes independientes — compuesto penalizado ×0,80
EVIDENCIA DE INTENCIÓN · COMPUESTA
0,000

Ratio de verosimilitud → Fuerza ENFSI

§3 · peso forense de la evidencia
log-verosimilitud descontada por correlación
2,5
1,8
3,2
0,20
RATIO DE VEROSIMILITUD (FABRICACIÓN)

ESCALA VERBAL ENFSI
Débil
<10
Moderado
10–100
Fuerte
10²–10³
Muy fuerte
10³–10⁴
Extremo
≥10⁴

★ Capa de Decisión Acotada por Riesgo

§7 · el corazón del motor
funcional de riesgo · toda la aritmética en decimal, ROUND_HALF_EVEN
0,50
0,10
0,90
0,70
1,0
1,0
1,0
RIESGO r
0,000
aceptar abstener rechazar

ABSTAIN es un resultado de primera clase. Donde la deriva, la inestabilidad o la inconsistencia dominan, el motor se niega a condenar — y nombra el porqué (ABSTAIN_DRIFT, ABSTAIN_INSTABILITY, ABSTAIN_INTENTION, ABSTAIN_ZONE). Los umbrales ε se leen de un PolicySpec sellado — nunca hardcodeados en la ruta de decisión.

Veredicto Cuatripartito — Cascada de 8 estados

§6 + §10 · resolución ordenada
0,42
0,85
EFFECT_BEFORE_CAUSEcompuerta dura — causalidad violada
DEGRADED_MODEintegridad del motor comprometida
dissent · escalation_requiredcolectivo de revisión dividido
§6 veredicto base · §9 confianza efectiva
TRAZA DE RESOLUCIÓN — gana la primera coincidencia
ABSTAIN_DEGRADEDdegraded_mode
ESCALATEdisenso requerido
MALICE_HIGHmalice · ef≥0,8
MALICE_MEDIUMmalice · 0,6–0,8
ABSTAIN_INSUFFICIENTconfianza<0,6
BENIGN_HIGHbenigno · ef≥0,8
BENIGN_MEDIUMbenigno · 0,6–0,8
ABSTAIN_ZONEincertidumbre honesta
BASE · §6
ESTADO RESUELTO
04 — DETERMINISMO Y ADMISIBILIDAD

La misma entrada da el mismo byte, en toda máquina, para siempre.

Un instrumento forense que da respuestas distintas en x86 y ARM no es evidencia — es una opinión. VIGÍA se niega por completo a la unidad de punto flotante. La reproducibilidad no es una feature; es el punto entero.

Decimal, no float

Sin FPU. Sin deriva.

Toda la aritmética corre en decimal.Decimal con precisión 28 y redondeo bancario. El round() nativo delega en libc y puede discrepar entre plataformas — por eso está prohibido en la ruta de decisión.

round(2.675,2)
→ 2,67 / 2,68 ⚠
Decimal quantize
→ 2,68 ✓ siempre
Sellado y hasheado

Cada veredicto va firmado.

Estado, veredicto crudo, confianza, estabilidad, integridad, flags adversariales y disenso se pliegan en un único hash canónico con claves ordenadas. Cambiá cualquier entrada y la huella cambia. A prueba de manipulación por diseño.

audit_hash = SHA-256(
  state ‖ verdict ‖ confidence ‖
  stability ‖ integrity ‖
  adversarial ‖ dissent )
Vectores canónicos

22 vectores. Una verdad.

La suite canónica completa se ancla a un único SHA-256. El agente corre los 22 de punta a punta contra un backend Python puro y uno NumPy — y deben coincidir, bit a bit.

Set canónico P2:
f7276a524a46149a2811d52f
9e5072d2a281df227f9d46d0
84a651d6420cf4ce
05 — DE PUNTA A PUNTA

Una pasada autónoma, de la huella al veredicto.

El planificador ingiere artefactos crudos y emite un veredicto firmado, conforme a STIX 2.1, con mapeos MITRE ATT&CK — sin humano en el loop, y sin un solo umbral hardcodeado.

01

Normalizar

z-scores sobre baselines MAD robustos; las señales pre-normalizadas pasan intactas.

02

Fusionar

Noisy-OR dentro y entre fuentes; se aplica la penalización por corroboración.

03

Pesar

Ratio de verosimilitud descontado por correlación sobre la escala ENFSI.

04

Cerrar

Causal Closure Score en fracciones exactas; CCS ≤ ½ veta hacia ABSTAIN.

05

Acotar

El funcional de riesgo resuelve ACCEPT / ABSTAIN / REJECT contra ε sellado.

06

Firmar

Veredicto de 8 estados, ajustado por confianza efectiva, sellado con SHA-256 → STIX 2.1.

Auto-calibrado entre corridas — λ, γ, ε se adaptan a las tasas observadas de falsos positivos/negativos, acotados a rangos defendibles bajo Daubert. Sin ML opaco en ninguna parte de la cadena.

por qué VIGÍA es diferente

Se puede
interrogar.

Los detectores de caja negra te dan un score y te piden confianza. VIGÍA te da un veredicto, la teoría que lo sostiene, la aritmética que lo produjo, y un hash que prueba que nadie lo tocó en el camino de salida.

0líneas de código puro — cada una de ellas auditable