# Observabilidade e privacidade

Investigar uma falha sem transformar telemetria em vazamento.

Componentes para organizar evidências, verificar integridade e sanitizar telemetria. O foco é reconstruir o que aconteceu com limites explícitos sobre a informação que pode circular.

OTLP · Observability · Privacy · Integrity · Testing

Módulo em desenvolvimento · testes locais

## O problema de uma operação que não se explica

Uma falha deixa sinais em lugares diferentes: estados, eventos, respostas e registros. Sem uma forma de relacioná-los, a investigação pode se apoiar em impressões em vez de evidência. Ao mesmo tempo, copiar payloads inteiros para índices ou telemetria pode espalhar dados sensíveis. Eu conduzi o desenvolvimento de componentes que tratam essas duas necessidades juntas: reconstrução de eventos e limites de exposição.

O objetivo não é produzir mais logs indiscriminadamente. É preservar informação suficiente para examinar uma hipótese, saber de onde veio uma evidência e reconhecer quando uma lacuna impede a conclusão.

## O que este caso permite avaliar

Este briefing apresenta componentes Python de análise forense e projeção de telemetria OTLP. A evidência disponível vem de testes locais. Não há painel público conectado a incidentes reais, nem exposição de dados de operação. Os exemplos são descrições de comportamento e diagramas generalizados. Dessa forma, é possível discutir decisões de engenharia sem abrir registros privados.

Minha responsabilidade foi conduzir a implementação e a validação das regras de integridade e sanitização. O recorte foi examinado como trabalho de componentes, sem presumir que a existência de código representa ativação de toda uma plataforma de observabilidade.

## Evidência como objeto verificável

O núcleo forense organiza referências de evidência com identidade e hash. A referência permite relacionar o que está sendo examinado com sua origem, enquanto o hash oferece uma verificação de integridade do conteúdo correspondente. Uma mudança de conteúdo precisa ser distinguível de uma simples repetição da mesma referência. Essa organização torna a investigação mais reproduzível do que uma coleção de mensagens sem contratos.

Integridade não é sinônimo de veracidade: um hash pode mostrar que um conteúdo permaneceu igual, mas não prova sozinho que sua interpretação está correta. Por isso, identidade, origem, consistência e contexto continuam fazendo parte do raciocínio.

## Telemetria com campos permitidos

A projeção OTLP valida tipos e campos permitidos antes de produzir a informação destinada à telemetria. Não trato qualquer atributo recebido como algo seguro para encaminhar. A sanitização reduz a possibilidade de que segredos ou payloads sensíveis se tornem atributos pesquisáveis em destinos secundários. Valores incompatíveis precisam ser rejeitados ou representados como lacunas explícitas, conforme o contrato aplicável.

Essa decisão coloca privacidade no caminho de transformação dos dados. Remover um segredo depois que ele circulou não equivale a impedir sua propagação. O controle também torna a estrutura esperada verificável por testes, em vez de depender de revisão visual eventual de logs.

## Reconstrução e incerteza explícita

Ao reconstruir um incidente, a pergunta central é o que cada evidência permite concluir. Uma resposta ausente pode indicar interrupção, dependência indisponível ou simplesmente uma lacuna de instrumentação. Não é correto inferir saúde apenas porque nenhum erro foi observado. O sistema precisa preservar a diferença entre um sinal positivo, uma falha conhecida e a impossibilidade de estabelecer o estado.

Essa disciplina é especialmente importante em fluxos de agentes: uma mensagem de sucesso pode ter sido emitida antes de um efeito persistido, e uma execução interrompida pode ter concluído uma etapa. A investigação precisa seguir estados e evidências, não somente frases.

## Falhas que o contrato precisa tornar visíveis

Conteúdo alterado, referência inconsistente, atributo incompatível e campo não permitido são exemplos de situações que exigem um tratamento definido. A proteção deve funcionar também para a entrada malformada ou incompleta. Testes negativos ajudam a verificar que um caminho de erro não produz uma saída aparentemente normal, silenciosamente vazia ou mais permissiva que o caminho esperado.

A fronteira pública deste caso é deliberada: não divulgo conteúdo de incidentes, caminhos internos, nomes de serviços privados ou payloads originais. Uma demonstração técnica pode trabalhar com exemplos sintéticos sem enfraquecer a privacidade que os próprios componentes procuram proteger.

## Por que escolhi validar e minimizar

Preferi uma projeção com campos permitidos a repassar o payload recebido. Ganhei uma superfície de informação menor e um contrato testável, com o custo de precisar ampliar explicitamente a projeção quando uma nova necessidade legítima aparece. Preferi referências com integridade verificável a misturar evidências em texto livre. Ganhei rastreabilidade, mantendo a obrigação de interpretar o conteúdo com cuidado.

Também separei a validação de componentes da certificação operacional. Isso evita usar um teste unitário como justificativa para declarar que todos os coletores, exportadores e destinos de uma plataforma estão funcionando juntos.

## Prova executada e seus limites

Na auditoria de 4 de outubro de 2026, passaram 12 testes do núcleo forense e 18 de privacidade OTLP. Os 30 testes exercitam o comportamento local de integridade, referências e sanitização no recorte analisado. Essa prova permite examinar regras concretas e explicar o que acontece quando uma entrada não respeita o contrato.

O trabalho foi analisado em uma linha de desenvolvimento suplementar. Não afirmo integração completa na versão principal, ativação em produção, cobertura de todo o fluxo ou equivalência a tracing de LLMs. Também não apresento esses componentes como um ciclo de vida completo de MLOps ou monitoramento de modelos treinados.

## Como avançar com uma hipótese mensurável

Uma próxima etapa seria selecionar um fluxo pequeno, definir os eventos esperados e verificar se é possível reconstruir sua execução ponta a ponta. Em seguida, seria necessário simular perdas de sinal e comprovar que as lacunas aparecem explicitamente. Essa certificação deve usar dados sintéticos e verificar também o destino da telemetria, para confirmar que a minimização permanece válida depois da exportação.

Esse trabalho futuro não está incluído nas capacidades comprovadas aqui. O caso demonstra uma forma de pensar e implementar observabilidade: tornar evidência verificável, limitar informação e preservar incerteza quando os sinais disponíveis não permitem uma conclusão.

---
César Machado · https://cesarmachado.com