Stickybit.← CadernoEnglishEnsaio · sensores e auditoria · 30 set 2026 ·
Ensaio

Julgue o que vaza, não o que declara.

Tudo o que uma máquina diz sobre si (onde está, quanto mediu, que continua funcionando) ficou de graça de inventar. O que ela deixa escapar sem querer enquanto diz, não: o tom do rádio de um satélite, o chuvisco de um sensor vivo. Uma auditoria que só lê a declaração está lendo o que o auditado escolheu mostrar.

Espécime · um sensor, e um auditor que não pode ver os dados
o que o sensor mede24 pacotes
conteúdo sigiloso
o tamanho de cada pacote, depois de comprimido– – piso
–veredito
–pacotes abaixo do piso
–piso, em bytes por pacote
–menor pacote, em bytes

Simulação para mostrar o raciocínio, não a nossa medição (ela vem mais abaixo). Cada pacote leva 32 leituras. O piso é calculado só a partir do chuvisco que o fabricante declara para o sensor, nunca a partir dos dados. Um compressor não consegue espremer um sinal vivo abaixo desse piso; um sinal repetido cabe em quase nada.

Antes do argumento

Quatro palavras para esta página.

Declaração

O que o sistema diz sobre si: a posição no relatório, o número medido, o "estou funcionando". Quem gera escolhe cada pedaço, e mudar custa zero.

Vazamento

O que sai junto sem ninguém escolher: o tom de um rádio, o chuvisco de um sensor, o tamanho de um arquivo, a hora em que cada pacote chegou.

Piso

O mínimo que um sensor vivo não consegue deixar de emitir. Abaixo dele, o que chega não é medição, é repetição ou fabricação.

Três vereditos

Refutado, sem alarme e indecidível. "Sem alarme" não é atestado de saúde, e "indecidível" é uma resposta, não uma falha.

A intuição

O que a pessoa diz, e o suor.

Num interrogatório há duas fontes de informação sobre quem fala. Uma é o que a pessoa diz: ela escolhe cada palavra, e mentir é de graça. A outra é o que ela não controla enquanto diz: o suor, o tremor na voz. Quase toda auditoria de sistemas só lê a primeira.

Um satélite informa a própria órbita no relatório que manda para a Terra. Editar esse número custa uma linha de código. Mas o sinal de rádio chega com o tom deslocado, como a sirene da ambulância que fica mais aguda chegando e mais grave indo embora (o efeito Doppler). Esse deslocamento é ditado pela velocidade de verdade, não pelo software de bordo.

Para mentir sobre o tom, visto de várias antenas em lugares diferentes ao mesmo tempo, é preciso estar naquela órbita. Falsificar custa o mesmo que obedecer. Quem trabalha com segurança chama isso de canal lateral e costuma usá-lo para atacar. Aqui, ele serve para conferir.

chegandopor cimaindo embora antena em terra MAIS AGUDOMAIS GRAVE passa por cima:o tom despenca
O tom do rádio recebido na antena enquanto o satélite passa. O formato da curva depende de onde o satélite está e a que velocidade, e não do que ele escreve no relatório. Esquema, fora de escala.
Por que agora

A declaração ficou de graça. A física, não.

Um relatório, um laudo, um número bem formatado: com IA, produzir qualquer um deles custa quase nada, e custa o mesmo sendo verdade ou não. Tudo o que é declaração perdeu o preço. Conferir, por outro lado, continua custando uma pessoa lendo com atenção.

O vazamento físico não entrou nessa liquidação. Um modelo de linguagem não desloca o tom de um rádio nem faz um sensor parado tremer. Para fabricar o vazamento de uma máquina, é preciso ter a máquina fazendo a coisa.

Isso explica também por que a mesma ideia não salva o texto. Um parágrafo não vaza nada que o autor não controle: cada letra é declaração. Marca d'água em texto gerado é uma tentativa de criar vazamento por decreto, e vazamento por decreto é declaração com outro nome. A exceção que confirma a regra é a foto de câmera de verdade: cada sensor de câmera tem pequenas imperfeições de fábrica que ficam impressas em toda foto que ele tira, e uma imagem gerada não as tem.

DECLARAÇÃOVAZAMENTO posição no relatórionúmero medido"estou funcionando"laudo, parágrafo, resumo tom do rádiochuvisco do sensortamanho de cada pacotehora em que cada um chegou custa zero custa fazer para mudar, com ou sem IApara mudar, é preciso estar lá
Os dois lados de qualquer sistema que manda dados. A pergunta útil para uma auditoria é de que lado está o que ela lê.
A regra de leitura

Ausência condena. Presença não absolve.

Há dois tipos de vazamento, e eles não valem a mesma coisa. O físico, como o tom do satélite visto de várias antenas, só se imita fazendo a coisa. Esse pode servir de atestado: se o tom bate nas cinco antenas, o satélite está onde diz.

O estatístico, como o chuvisco de um sensor, se imita com um gerador de números aleatórios, desde que o fraudador saiba que está sendo medido. Esse só serve para condenar. Se o chuvisco sumiu, algo está errado com quase certeza. Se o chuvisco está lá, isso não prova nada: pode ser o sensor, pode ser alguém que leu o contrato. É o que a alternativa c do espécime mostra.

Na prática, o erro mais comum não é faltar um detector. É ler o silêncio de um detector como certificado. O painel verde diz "nada disparou", não "está tudo certo".

O caso medido

O sensor morto parecia mais normal que o normal.

Em agosto testamos um detector de anomalias nosso contra falhas plausíveis, em dados públicos de um braço robótico: 55 mil leituras de 14 juntas. Uma das falhas simuladas era a mais traiçoeira: o sensor trava num valor normal e fica repetindo, sem dar erro.

O detector mede o quanto cada trecho é estranho. O resultado veio ao contrário do esperado: em todas as comparações, o sensor travado foi considerado mais normal que o vivo. Faz sentido depois que se vê. Um sensor vivo, mesmo com a máquina quieta, ainda treme um pouco; o travado emite exatamente o mesmo número, e nada é mais previsível que isso.

Quem ganhou foi uma regra de três linhas: "o chuvisco caiu abaixo do mínimo por tempo demais". Ela não olha o conteúdo, olha o que o sensor não consegue deixar de emitir. O detector sofisticado falhou porque perguntava "isto parece normal?". A regra simples acertou porque perguntava "isto ainda está vazando?".

Sensor vivo, máquina quieta NOTA DE ESTRANHEZA: MAIS ALTA Sensor travado NOTA DE ESTRANHEZA: MAIS BAIXA o detector escolheu o travado como o mais normal, sempre
Esquema do achado, não os dados. No trecho em que as juntas se mexiam, o detector de estranheza ordenou o sensor travado como mais normal que o vivo em todas as comparações. Lido ao contrário, ele vira um detector perfeito ali.
Onde a ideia falhou

O nosso palpite perdeu, e o sensor grosso não vaza nada.

Depois do achado, apostamos num vazamento que já sai de graça do nosso compressor de telemetria: o tamanho de cada pacote. Sensor vivo não comprime abaixo do piso; sensor travado comprime para quase nada. Registramos a aposta e o critério de derrota antes de medir, e rodamos no mesmo braço robótico.

A aposta perdeu. O tamanho do pacote não foi melhor que a regra simples do chuvisco em nenhuma situação. E no caso difícil, o sensor que trava justamente quando a máquina está quieta, o melhor método acertou só dois em cada três pares, e não era a nossa aposta.

Situação do sensor que travouDetector de estranheza, lido ao contrárioRegra do chuvisco mínimoTamanho do pacote (a aposta)
A junta costuma se mexer100%100%100%
A junta costuma ficar quieta65%50%56%
Quieta, e as vizinhas paradas também68%59%62%

Como ler: em quantos pares (um trecho travado, um trecho vivo) cada método aponta corretamente qual é o travado. 50% é cara ou coroa. Medição nossa, agosto de 2026, com travamento e chuvisco fraco simulados sobre os dados reais. Quando a junta quieta trava, "o sensor morreu" e "a máquina parou" produzem o mesmo dado: o veredito honesto ali é indecidível, e isso aconteceu em 4,5% dos travamentos.

E apareceu um limite físico que vale para qualquer produto nessa linha. Os sensores de posição das juntas medem em degraus grossos. Parados, eles devolvem exatamente o mesmo número, sem chuvisco nenhum, porque o tremor é menor que um degrau. Não há vazamento para conferir, e o sensor vivo parado fica idêntico ao travado. É a alternativa d do espécime.

No giroscópio do mesmo robô, que mede em degraus mais finos que o próprio tremor, a conta funciona. A regra não deu nenhum alarme falso em 34 trechos reais, pegou os 5 travamentos que injetamos e declarou indecidível no sensor grosso, em vez de chutar. Dizer onde o instrumento não enxerga é metade do produto.

Um achado lateral, anotado como observação e não como resultado: no sensor grosso, o vazamento muda de alvo. O sensor verdadeiro parado não gasta quase nada; quem inventa chuvisco para parecer vivo passa a gastar mais do que deveria. Ali, o tamanho do pacote não pega o travamento. Pega o falsificador.

Sem abrir o dado

Um auditor que só vê tamanhos.

O tamanho dos pacotes tem uma propriedade que o chuvisco em si não tem: é visível para quem não pode ver o conteúdo. Uma seguradora, uma agência reguladora ou um auditor externo pode receber só os tamanhos e os horários, com carimbo de tempo, e refutar "este sensor está morto há 40 pacotes" sem nunca ler um valor medido.

Isso importa em contratos de pagamento por uso, que hoje se liquidam pela palavra de quem é pago. Uma cláusula possível: "pacotes abaixo do piso declarado por N seguidos: indecidível, e o período não gera cobrança".

A regra já existe como ferramenta, com os três vereditos e o limite declarado. O que ainda não existe é o comprador. Até alguém dizer que isso vale contrato, é uma ideia medida, não um produto.

O QUE O AUDITOR RECEBE piso 10:0010:4011:20 Nenhum valor medido sai da empresa. Só o tamanho e a hora de cada pacote, com carimbo.
Esquema. O auditor não sabe o que o sensor mediu, mas sabe que desde as 10:40 os pacotes ficaram menores do que um sensor vivo consegue produzir.
O mesmo padrão, mundo afora

Onde mais o vazamento confere a declaração.

OndeO que é declaradoO que vaza sem quererO que dá para conferir
NaviosPosição e identidade no rádio de bordoO jeito único de cada transmissor, o tom, a hora de chegada em várias antenasSe o navio é aquele, e se está onde diz
Nuvem"Seus dados estão no Brasil"O tempo de resposta: a luz não viaja mais rápido que a distância permiteRefuta que o servidor está onde dizem
Gravações"Gravado em tal dia"O zumbido da rede elétrica, que oscila de um jeito único a cada momentoData e região, contra o registro da rede
Faturamento de saúde"Fizemos N exames"O consumo de energia e os ciclos do próprio equipamentoRefuta cobrança sem abrir prontuário
Pesquisa publicadaMédias e tabelasAs contas que dados reais sempre respeitamMédia impossível para aquele número de pessoas é sinal de fabricação

Exemplos conhecidos de outras áreas, para mostrar o padrão. Não medimos nenhum deles; os números e os limites de cada um estão nas fontes de cada área.

O que fazer

Quatro perguntas antes de comprar um monitoramento.

  1. O que é declarado, e o que vaza?

    Se tudo o que o veredito lê foi escolhido pelo auditado, não há auditoria. Há declaração com carimbo.

  2. Quanto custa falsificar o vazamento?

    Compare com o custo de simplesmente fazer a coisa. Custo físico sobrevive a quem lê o contrato; custo estatístico morre quando o fraudador descobre o que é medido. E ele descobre.

  3. Onde o sinal some?

    Médias de 15 minutos engolem o chuvisco, pacotes em lote engolem os horários, sensores grossos não tremem. Se o fornecedor não sabe dizer a zona cega dele, o "100% de cobertura" é a primeira coisa a desconfiar.

  4. Qual é o terceiro veredito?

    Um monitor honesto responde refutado, sem alarme ou indecidível, e diz com que frequência cai em cada um. Painel que só tem verde e vermelho está arredondando a dúvida para algum lado.

O que ainda não sabemos

Onde isso pode estar errado.

Chuvisco se inventa

Quem sabe que o chuvisco é medido pode gerar um chuvisco falso. Por isso o vazamento estatístico só condena. Atestado de verdade exige vazamento físico, e esses são mais raros e mais caros de ler.

Ainda sem comprador

A conferência sem abrir o dado funciona na bancada. Falta alguém (seguradora, agência, auditor) dizer que ela vale uma cláusula de contrato. Sem isso, é uma propriedade interessante, não um mercado.

Um robô, poucos sensores

As medições são de um conjunto público de um braço robótico, com falhas simuladas sobre dados reais. Outras máquinas têm outros sensores e outras zonas cegas; o piso tem que ser declarado sensor por sensor.

O canal que confere também vigia

O mesmo vazamento que prova que um equipamento rodou revela quando ele rodou, mesmo em dados "anonimizados". Quem vende a conferência precisa tratar isso como custo de privacidade declarado, não como brinde.

← Caderno de pesquisa · Telemetria certificada · stickybit.com.br

Fontes