Avaliação de Segurança e Hardening

Nossa abordagem consiste em quebrar sistemas de IA da mesma forma que invasores reais fazem, para então fortalecê-los contra os caminhos de ataque identificados pela avaliação — da extração de modelos ao comprometimento da cadeia de suprimentos. Os testes de intrusão tradicionais cobrem suas APIs, infraestrutura e fluxos de autenticação, mas nunca testam se um invasor consegue roubar seu modelo ajustado, inserir um backdoor em sua cadeia de dependências ou sequestrar seu pipeline de RAG. Essa metodologia de avaliação precisa ser construída especificamente para os modos de falha dos sistemas de IA.

Superfícies de Ataque que Sua Equipe de Segurança Nunca Testou

Os testes de intrusão tradicionais cobrem suas APIs, sua infraestrutura e seus fluxos de autenticação. Eles não testam se um invasor consegue extrair seu modelo ajustado por meio de 50,000 consultas cuidadosamente estruturadas. Eles não detectam se um adaptador LoRA envenenado em sua cadeia de dependências do HuggingFace introduziu um backdoor há três meses. Eles não avaliam se seu pipeline de RAG executará instruções incorporadas em um documento recuperado. Esses são os caminhos de ataque que realmente comprometem sistemas de IA em produção.

Esses não são riscos teóricos de palestras em conferências. A Protect AI encontrou 352,000 arquivos suspeitos em 51,700 modelos no HuggingFace em abril de 2025. Ataques habilitados por IA aumentaram 89% ano a ano, com 97% das organizações violadas não possuindo controles básicos de acesso em seus sistemas de IA. O ataque à cadeia de suprimentos da Mercor no início de 2026 comprometeu milhares de empresas por meio de uma única dependência de código aberto.

O Que Realmente Testamos — e o Que a Maioria das Avaliações Ignora

Estruturamos as avaliações em torno do MITRE ATLAS , framework que agora cataloga 84 técnicas em 16 táticas especificamente direcionadas a sistemas de IA. Mas um framework é um mapa, não um teste. Nossa metodologia foi construída para executar os ataques que ele cataloga, não apenas marcá-los como verificados.

Implantações de LLM e Injeção de Prompt

Testamos a injeção indireta de prompt por meio de cada via de ingestão: recuperação de RAG, saídas de ferramentas, documentos enviados por usuários e conteúdo de e-mail fornecido a agentes. A injeção direta ganha as manchetes, mas a Anthropic descontinuou completamente sua métrica de injeção direta em fevereiro de 2026 porque a injeção indireta por meio do contexto de recuperação é o que realmente quebra sistemas em produção. Também testamos manipulação em múltiplos turnos, extração de prompt de sistema e os modos de falha específicos de qualquer stack de guardrails que você tenha implementado.

Segurança em Nível de Modelo

Avaliamos o risco de extração executando campanhas de consultas estruturadas contra sua API e medindo quanto do comportamento do modelo um invasor consegue replicar. Avaliamos a robustez adversarial com métodos baseados em gradiente (quando temos acesso ao modelo) e ataques caixa-preta baseados em transferência (como os invasores reais operam). Auditamos seu pipeline de treinamento quanto a vulnerabilidades de envenenamento de dados, verificando tanto seus dados de treinamento diretos quanto as dependências upstream que os alimentam (detalhado em nossa pesquisa sobre proteção de empresas contra envenenamento de modelos).

Integridade da Cadeia de Suprimentos

Rastreamos cada artefato de modelo até sua origem: pesos pré-treinados, conjuntos de dados de fine-tuning, camadas de adaptadores e versões de frameworks de serviço. Verificamos vulnerabilidades conhecidas em sua infraestrutura de ML — PyTorch, vLLM e Triton Inference Server apresentaram CVEs em 2025–2026 — e verificamos se a serialização do seu modelo utiliza formatos seguros. Os $12 bilhões em perdas decorrentes de modelos de ML comprometidos em 2025 vieram esmagadoramente de ataques à cadeia de suprimentos, e não da exploração direta de modelos (veja nossa pesquisa sobre segurança no ciclo de vida da cadeia de suprimentos de ML).

Sistemas Agênticos

Testamos a superfície de ataque que o Top 10 de IA Agêntica da OWASP define: sequestro de metas, uso indevido de ferramentas, abuso de identidade, envenenamento de memória e falhas em cascata em fluxos de trabalho multiagente. A crise do OpenClaw em 2026 — na qual 21,000+ instâncias de um agente de IA com 135,000 estrelas ficaram expostas a vulnerabilidades críticas — demonstrou o que ocorre quando agentes são lançados sem esses testes (detalhado em nossa pesquisa sobre como proteger a fronteira humano-IA).

Hardening que Altera a Forma como Seu Sistema Opera

Uma avaliação sem remediação é apenas um PDF caro. Nossa abordagem integra os controles de hardening diretamente ao seu sistema.

• Defesa na camada de inferência: detecção de anomalias de consultas que identifica tráfego com padrões de extração — cobertura sistemática de entradas, sondagem de limites e varreduras programáticas de paráfrases — distinguindo-o do uso legítimo. Os pipelines de validação de entrada são ajustados ao seu modelo de ameaças específico, em vez de filtros regex genéricos que ignoram ataques semânticos e bloqueiam consultas legítimas.
• Hardening da cadeia de suprimentos: pipelines de verificação de modelos que checam a proveniência dos artefatos, validam formatos de serialização, fazem varredura em busca de padrões maliciosos conhecidos e impõem requisitos de assinatura antes que qualquer artefato de modelo entre em seu pipeline de implantação — além de monitoramento de dependências que intercepta pacotes upstream comprometidos antes que alcancem a produção.
• Hardening de sistemas agênticos: fronteiras de privilégio em torno do acesso a ferramentas, validação de saídas entre etapas do agente e monitoramento comportamental que detecta quando o padrão de execução de um agente diverge do fluxo de trabalho esperado.

Seu SIEM foi projetado para detectar anomalias no comportamento humano. Um agente que executa 10,000 consultas em sequência parece normal para esses sistemas, mesmo quando está operando sob o controle de um invasor.

Quando Você Não Precisa Disso

Se você utiliza uma API gerenciada (OpenAI, Anthropic, Google) sem fine-tuning, sem RAG, sem uso de ferramentas e sem dados sensíveis nos prompts, seu risco de segurança limita-se ao gerenciamento de chaves de API e ao tratamento de dados. Uma revisão padrão de segurança de aplicações cobre isso — você não precisa de uma avaliação específica de IA.

Se o seu modelo for um classificador simples em execução interna, sem API externa e sem pipeline de retreinamento, sua superfície de ataque é limitada e uma breve revisão do modelo de ameaças é proporcional. Testes completos de robustez adversarial em um classificador interno de análise de sentimentos atrás de um firewall significam gastar $30,000 para proteger um risco de $500.

Dizemos isso claramente porque a credibilidade importa mais do que a receita. As organizações que precisam deste trabalho sabem exatamente quem são: qualquer uma com modelos ajustados, pipelines de RAG que processam conteúdo externo, sistemas agênticos com acesso a ferramentas, modelos em setores regulados ou sistemas de IA que tomam decisões com consequências financeiras ou de segurança.

A Pressão Regulatória É Real e Tem Prazos

A aplicação do EU AI Act começa em agosto de 2026. Sistemas de IA de alto risco exigem gestão de riscos documentada, testes de robustez técnica e controles de governança de dados. A não conformidade acarreta multas de até 7% do faturamento anual global ou EUR 35 milhões. O NIST publicou seu Cybersecurity Framework Profile for AI em dezembro de 2025, mapeando riscos específicos de IA para controles do CSF 2.0. Esses frameworks estão surgindo agora em requisitos de aquisição e revisões de risco em nível de diretoria.

O desafio é que nenhum framework isolado cobre tudo. Mapeamos os achados da sua avaliação para quaisquer frameworks que seus reguladores, auditores e clientes exijam — gerando evidências que atendem aos requisitos de conformidade porque derivam de testes reais, e não de meros exercícios de preenchimento de formulários.

Ferramentas de Plataforma vs. Avaliação Personalizada

Plataformas automatizadas de segurança em IA (HiddenLayer, Mindgard, Giskard) executam padrões de ataque conhecidos em escala. Elas são úteis para testes contínuos de regressão após uma avaliação inicial, mas não substituem a avaliação inicial em si. Um scanner não compreende sua lógica de negócios, não sabe quais saídas de modelo acarretam consequências críticas de segurança e não consegue avaliar se seu modelo de ameaças corresponde à sua arquitetura de implantação real.

Utilizamos essas ferramentas onde agregam valor. O red teaming automatizado contínuo pertence ao seu pipeline de CI/CD assim que estabelecemos o que deve ser testado. Mas os caminhos de ataque mais críticos em seu sistema específico exigem alguém que compreenda tanto os modos de falha de IA quanto seu contexto operacional para identificá-los.

Para organizações que utilizam múltiplos fornecedores de IA (OpenAI, Anthropic, Google, modelos de código aberto), avaliamos os limites de segurança de cada provedor de forma independente e testamos os pontos de integração onde os dados fluem entre eles. A superfície de ataque de um stack multifornecedor não é a mera soma dos riscos de cada provedor — reside na camada de interação, onde suposições sobre as garantias de segurança de um fornecedor entram em colapso na transição para outro.