Construis et réfute des hypothèses d'investigation

L’idée reçue

« L’enquête sert à confirmer l’hypothèse la plus probable. »

Une investigation sérieuse cherche aussi ce qui pourrait contredire l’hypothèse et sait conserver une conclusion incomplète.

01Lis les hypothèses figées

column -s, -t "$lab/source/hypotheses/hypotheses.csv"
column -s, -t "$lab/source/hypotheses/evidence-links.csv"

Le corpus contient quatre hypothèses et trois classes de résultat :

SUPPORTED
REFUTED
INCONCLUSIVE

02Exige plusieurs éléments pour supporter

HYP-001 demande trois preuves favorables :

EVID-H001
EVID-H002
EVID-H003

Le simple fait que AL-001 existe ne suffit pas.

03Réfute avec contradiction, pas avec silence

HYP-002 est REFUTED parce qu’un élément explicite donne un contexte de service planifié :

EVID-H004 → CONTRADICT

Une absence de logs n’aurait pas suffi à réfuter l’hypothèse.

04Conserve l’inconclusif

column -s, -t "$lab/output/hypothesis-status.csv"

HYP-003 reste :

INCONCLUSIVE
missing_evidence = endpoint-edr

C’est un résultat valide. Le lab refuse de simuler une télémétrie EDR inexistante uniquement pour obtenir une conclusion.

05Écris ce qui ferait changer le résultat

Pour chaque hypothèse, demande :

Quelles preuves la supportent ?
Quelles preuves la contredisent ?
Quelle donnée manque ?
Quel résultat actuel est justifié ?
Quelle nouvelle donnée ferait évoluer ce résultat ?

Cette structure évite le biais de confirmation.

06Observe les garde-fous négatifs

Le lab bloque :

hypothesis-unknown-evidence-id
refuted-without-contradiction
supported-with-mandatory-evidence-missing

Une hypothèse n’est donc jamais « verdie » par simple étiquette.

07Ne confonds pas SUPPORTED et vérité absolue

SUPPORTED signifie seulement que le contrat de preuve du corpus synthétique est satisfait. Cela ne prouve ni l’existence d’un incident réel ni l’attribution à un acteur.

Livrable

Écris une hypothèse réfutable

À partir de AL-002, formule une hypothèse, deux éléments qui pourraient la supporter, un élément qui pourrait la réfuter et une donnée manquante qui imposerait INCONCLUSIVE.

✓À retenir

L’investigation n’est pas une chasse à la confirmation. Elle organise des hypothèses testables et conserve explicitement l’incertitude.