Skip to content

决策科学与安全风险工具——从 FAIR 蒙特卡洛到行为经济学实验

一句话总结

决策科学的 Python 工具链覆盖了从风险量化（FAIR 模型的蒙特卡洛仿真）、贝叶斯校准（将专家判断转化为概率分布）到行为经济学实验（在人类被试中验证决策理论）的全流程——这三者是"决策如何在不完美的信息和有限的计算能力下发生"的完整回答。

工具全景

不确定性源
    │
    ├── 数据不足/无历史 ──→ FAIR 蒙特卡洛仿真 (decision-security/security-decision-labs)
    │                        用专家判断 + 概率分布替代缺失数据
    │
    ├── 专家判断的偏差 ──→ 贝叶斯校准与聚合 (decision-security)
    │                        将专家的"我感觉风险中等"校准为 BetaPERT(0.1, 0.3, 0.7)
    │
    ├── "是否值得获得更多信息？" ──→ 信息价值 VOI (decision-security)
    │                                    VoI = E[完全信息下的价值] - E[当前信息下的最优决策价值]
    │
    └── "人类真的这样决策吗？" ──→ 行为经济学实验 (BehaviouralEconomics)
                                     猜数博弈 (Beauty Contest) 验证策略推理深度

逐工具分析

1. decision-security — 安全决策科学的可复用工具库

五大模块：

a) FAIR 蒙特卡洛风险仿真

FAIR (Factor Analysis of Information Risk) 是信息安全的量化风险框架——将风险分解为可估计的因子： 

风险 (Risk) = f(威胁事件频率 (TEF), 威胁能力 (TCap), 
                控制强度 (CS), 损失事件频率 (LEF), 
                损失幅度 (LM))

代码实现：对每个输入因子指定分布（如 TEF ~ PERT(min=2, mode=5, max=12)），通过蒙特卡洛仿真（通常 10,000 次迭代）生成风险分布——答案不是"风险是 100 万"，而是"风险有 95% 概率在 50 万和 200 万之间"。

关键创新：用 BetaPERT 分布建模专家判断——专家被要求给出最小值、最可能值、最大值，BetaPERT 将这三个数字转化为概率分布。这避免了要求专家直接估计标准差（人类极度不擅长）。

b) 贝叶斯校准与更新

专家校准：专家通常过度自信——他们给出的 90% 可信区间实际上只覆盖了 40-50% 的真实值。贝叶斯校准通过以下方法纠正： 1. 初始校准：测试专家在已知结果的问题上的校准程度 2. 应用校准曲线：将专家的"90% 可信区间"缩放为实际 90% 区间 3. 在真实（未知）问题上使用校准后的分布

与概念笔记的连接： - → 概念笔记「贝叶斯与频率学派分歧」：专家校准是贝叶斯主观概率的操作化——FAIR 将"概率是信念程度"转化为可审计的过程（校准问题 → 校准曲线 → 校准后的主观概率）。频率学派无法操作"信念程度"——这就是为什么量化风险建模必须走贝叶斯路线 - → 概念笔记「概率分布选择不是数学偏好」：BetaPERT 的选择不是统计拟合的结果，是对"专家的心理模型"的近似——专家对被估计量有偏态信念（"不太可能低于 X，最可能是 Y，不太可能高于 Z"）

c) 信息价值 (VoI)

VoI 计算： 

VoI = E[完全信息下的价值] - E[当前信息下的最优决策价值]

其中完全信息下的价值 = Σ P(θ) × max_a E[U(a, θ)]
     当前信息下的价值 = max_a Σ P(θ) × U(a, θ)

关键区别：在完全信息下，你可以"看到 θ 的真实值后"再选择行动 a；在当前信息下，你必须在不确定性中选择 a。两者之差就是信息的价值。

实践问题：VoI 计算告诉你"是否值得花 5 万美元做渗透测试"，如果 VoI > 5 万美元 → 值得做；如果 VoI < 5 万美元 → 不值得做。这是一个决策理论在安全领域最干净的应用。

与概念笔记的连接： - → 概念笔记「决策理论三张面孔」：VoI 是规范决策理论的精确数学表达——你面临一个选择：现在用不完备信息做决策，还是花成本获得更多信息后做更好的决策？答案由期望效用最大化的计算给出 - → 概念笔记「自适应实验与多臂老虎机」：VoI 和 Bandit 的探索-利用权衡共享同一个数学根——"我应该获取信息（探索）还是行动（利用）？"VoI 是一次性决策——"现在获取信息 vs 现在行动"；Bandit 是序贯决策——"每一步都面临获取信息 vs 行动" - → 概念笔记「贝叶斯与频率学派分歧」：VoI 计算需要完整的概率分布 P(θ)——频率学派只能提供 p 值，不提供 P(θ)，因此无法计算 VoI。这是"为什么安全决策必须走贝叶斯路线"的操作性原因

d) 生存分析 & 因果工具

  • Kaplan-Meier + Nelson-Aalen：安全事件的"存活时间"——从部署补丁到首次被绕过的时间
  • 轻量因果推断：在非实验设置中估计安全控制的因果效应

2. security-decision-labs — FAIR 的交互式实现

两个核心工具：

a) FAIR 模拟器 (fair-simulator)

Web 应用——输入 FAIR 因子的估计（最小值/最可能值/最大值），实时运行蒙特卡洛仿真，输出风险分布直方图、损失超越曲线（Loss Exceedance Curve）。

设计哲学：让非技术人员（高管、董事会）能够与风险模型交互——他们拖动滑块改变输入（如"我们认为攻击难度是中等→困难"），实时看到风险分布的变化。这比静态报告更能改变决策行为。

b) FAIR-CAM Agent-Based Model

Control Systems ABM——将 FAIR 从"静态风险评估"扩展到"动态控制优化"。不同 Agent（攻击者、防御者、用户）在控制环境中交互——如果加强访问控制，攻击者的行为如何改变？防御者之间的协调成本如何影响整体安全？

关键洞察：安全不是静态目标——攻击者会适应防御。加强防火墙 → 攻击者转向社会工程（（钓鱼））→ 加强安全意识培训 → 攻击者转向供应链攻击。ABM 仿真捕捉这个"军备竞赛"的动力学。

3. BehaviouralEconomics — 行为经济学的实验数据

实验内容：复现 Nagel (1995) 猜数博弈 (Beauty Contest Game) - 规则：每个参与者选择一个 0-100 的数字。最接近所有数字平均值 × ⅔ 的人获胜 - 纳什均衡：如果所有人都完全理性且知道其他人完全理性——迭代消除占优策略 → 唯一均衡是 0 - 实际行为：大多数人选择 20-35（1-2 步策略推理），几乎没有人选择 0（无限步策略推理需要"我知道你知道我知道你知道..."）

实验设计： - 处理组：小组决策（3 人讨论后共同选择） - 对照组：个人决策 - 研究问题：小组是否比个人更"理性"（更接近均衡）？

核心发现：小组并不比个人更接近 0——小组讨论增加了社会因素（"我们不想显得太极端"），实际选择反而不如个人理性。这与"小组决策更优"的传统智慧形成对比。

与概念笔记的连接： - → 概念笔记「博弈论基础策略互动的数学语法」：猜数博弈 = 策略推理深度（level-k）的精确测量工具。Level-0 选择随机数，Level-1 认为其他人是 Level-0（平均数 50）→ 选择 50×⅔=33，Level-2 认为其他人是 Level-1 → 选择 33×⅔=22...Level-∞ → 0 - → 概念笔记「决策理论三张面孔」：猜数博弈精确展示了规范决策理论（个体理性 → 均衡 0）和描述决策理论（实验数据 → 大多数人在 Level-1 到 Level-2 之间）之间的鸿沟

核心洞察

1. FAIR 的哲学——"可审计的不确定性 > 精确的错误"

FAIR 的核心设计原则： - 不假装精确：不告诉你"风险是 $1,234,567"（这看起来精确但实际上基于毫无根据的假设） - 量化不确定性：告诉你"损失有 90% 概率在 \(500K-\)2M 之间" - 可审计：每个输入分布的选择都可以追溯到专家判断、历史数据或公开来源

这是对"垃圾进垃圾出"的量化风险建模的解毒——如果你不知道精确值，诚实地量化你的无知比假装知道更好。

2. 贝叶斯校准——从"我感觉"到"概率是"

专家校准将心理学的发现（人类系统性地过度自信、锚定偏差、可得性启发式）转化为统计学修正： 1. 识别：测试专家的校准程度（在已知答案的问题上） 2. 量化：计算校准曲线（专家的 50%/90% 可信区间的实际覆盖率） 3. 修正：将校准曲线应用于专家在未知问题上的判断

这个过程不仅是机器学习中的"校准"概念，更是贝叶斯主观概率的工程实现。

3. 行为经济学的实践教训——用实验测试你的假设

猜数博弈不是游戏——它是策略推理的测量工具。Level-k 模型发现了： - 大多数人是 Level-1 思考者："我认为别人会选 50，所以我选 33" - 金融专业人士可能 Level-2："我认为别人是 Level-1 选了 33，所以我选 22" - Keynes 早在 1936 年就发现：股市投资是"预测其他人会预测其他人会做什么"的无限回归——这是猜数博弈在金融市场中的精确映射

跨域链接

  • → 概念笔记「决策理论三张面孔」：VoI 是规范决策理论的最纯形式——在不确定性下，额外信息的期望价值 = 期望效用的改善。行为经济学实验（猜数博弈）揭示描述决策理论——真实人类在策略推理中的有限性
  • → 概念笔记「贝叶斯与频率学派分歧」：FAIR 只能走贝叶斯路线——风险量化需要 P(损失>X)，频率学派提供不了（p 值不是概率）。专家校准的本质是将主观信念转化为贝叶斯先验
  • → 概念笔记「概率分布选择不是数学偏好」：BetaPERT 的选择是对"专家如何思考"的心理学模型——不是对数据生成过程的假设，是对人类判断过程的假设
  • → 概念笔记「度量选择是元决策」：安全风险度量——ALE (年度预期损失) vs VaR (95% 损失) vs CVaR (尾部期望损失)。ALE 隐藏极端事件（一次 $100M 损失 + 99 次 $0 = ALE $1M/年，看起来很"安全"），CVaR 暴露尾部风险（那 1 次 $100M 损失在尾部中是真实存在的）
  • → 概念笔记「博弈论基础策略互动的数学语法」：猜数博弈 = Level-k 推理的测量工具——实验为 C1 的理论提供了经验证据（大多数人推理深度 ≤ 2 步），直接挑战了纳什均衡的无限推理假设
  • → 概念笔记「网络科学——从个体交互到集体涌现」：FAIR-CAM ABM——攻击者和防御者在控制环境中的交互，产生安全的涌现属性。网络拓扑（攻击图）决定了攻击者的可选路径
  • → 概念笔记「自适应实验与多臂老虎机」：VoI 和 Bandit 的探索-利用共享"信息的价值"这个核心问题。VoI = "这次探索的期望价值是多少？"Bandit = "我应该在每一步都计算 VoI 吗？"Gittins Index 的答案是：将"现在探索"和"未来所有利用"的价值浓缩为一个数