⚠ Superfícies de Ataque em IA
Assistentes de IA têm superfícies de ataque radicalmente diferentes do software tradicional. O vetor primário é o prompt — linguagem natural que o LLM interpreta como instrucções. Qualquer texto que chega ao contexto é potencialmente um vetor de ataque.
📌 Principais Superfícies
Cada superfície requer uma estratégia de defesa diferente:
- •Prompt direto: mensagens do usuário manipulando o comportamento
- •Conteúdo externo: páginas web, e-mails, documentos com injection
- •Memória: poisoning do banco de memória com fatos falsos
- •Tools: parâmetros maliciosos passados para ferramentas
💡 Dica Prática
Mapeie todas as fontes de dados que seu Jarvis consome. Cada fonte externa é uma superfície de ataque potencial.
🎯 Modelo de Ameaças
O modelo de ameaças identifica quem são os adversários, o que eles querem e como vão tentar conseguir. Para um assistente pessoal, os riscos são diferentes de uma IA corporativa.
📌 Adversários do Jarvis Pessoal
Cada tipo de adversário tem capacidades e objetivos distintos:
- •Usuários curiosos: testam limites do sistema por diversão
- •Conteúdo malicioso: páginas e e-mails com injection passivo
- •Scripts automatizados: tentativas de abuse por API
- •Atacante sofisticado: objetivo de exfiltrar dados ou executar ações destrutivas
💡 Dica Prática
Priorize defesas contra os adversários mais prováveis, não os mais sofisticados. Para uso pessoal, conteúdo malicioso passivo é o risco real.
🔐 IA ≠ Segurança Web
Desenvolvedores com background web tendem a aplicar técnicas como sanitização de input e escape de SQL. Em IA, esses controles não funcionam porque o input é interpretado semanticamente, não executado literalmente.
📌 Diferenças Fundamentais
O que muda de segurança web para segurança de IA:
- •Web: escapa <script>. IA: não dá para "escapar" linguagem natural
- •Web: valida tipos de dados. IA: o "tipo" é intenção humana — indetectável
- •Web: firewall bloqueia IPs. IA: o atacante usa o mesmo canal do usuário legítimo
- •Web: CVEs conhecidos. IA: novos vetores são descobertos semanalmente
💡 Dica Prática
Use técnicas de segurança web como base, mas adicione camadas específicas para IA: content labeling, approval gates e sandbox de execução.
🏰 Zero-Trust para IA
Zero-Trust significa: nunca confiar, sempre verificar. Em IA, isso se aplica não à identidade do usuário (autenticação), mas à cada ação específica que o assistente quer executar.
📌 Princípios Zero-Trust em IA
Aplicação prática do modelo Zero-Trust:
- •Verificar a ação, não apenas o usuário: usuário autenticado ≠ ação autorizada
- •Least privilege: cada tool só tem acesso ao mínimo necessário
- •Explicit approval: ações de alto impacto sempre precisam de confirmação humana
- •Continuous verification: não assume que o contexto não foi comprometido
💡 Dica Prática
Implemente Zero-Trust começando pelas ações mais destrutivas (delete, execute, send). Elas merecem gates de aprovação explícitos.
📊 Casos Reais de Ataques
Ataques de prompt injection não são teóricos. Casos documentados em Bing Chat, Claude e outros mostram que qualquer assistente que processa conteúdo externo está exposto sem as defesas corretas.
📌 Incidentes Documentados
Casos reais que moldaram as defesas do INTELECTO:
- •Bing Chat: página web com injection que fazia o bot mudar de identidade e revelar o system prompt
- •Claude via e-mail: indirect injection que tentava exfiltrar dados para URL externa
- •GPT-4 via documento: instrucções ocultas em texto branco sobre fundo branco em PDFs
- •AutoGPT: injection via resultado de busca web manipulando os próximos passos
💡 Dica Prática
Todos esses ataques usam o mesmo vetor: conteúdo não-confiável no contexto. Marcar explicitamente no prompt qual conteúdo é 'externo' reduz significativamente o risco.
🗺 Defesa em Profundidade
Nenhuma defesa individual é 100% eficaz. Defense in depth empilha múltiplas camadas independentes — se uma falha, a próxima captura o ataque.
📌 As 5 Camadas do INTELECTO
Cada camada cobre vetores que as outras não cobrem:
- •Camada 1: Input validation e blocklist de keywords
- •Camada 2: Injection pattern detection com heurísticas
- •Camada 3: Approval gate para ações de alto impacto
- •Camada 4: Sandbox de execução para tools
- •Camada 5: Audit log para detecção post-hoc
💡 Dica Prática
Implemente as camadas em ordem de custo/benefício. Blocklist (Camada 1) é gratuita. Sandbox (Camada 4) tem overhead. Comece pela 1 e vá adicionando.
✅ Resumo do Módulo 3.1
Próximo:
3.2 — Prompt Injection e Defesas