Segurança Estrutural de IA: O Imperativo da Governança do Espaço Latente no Bio-Design Generativo de Alto Risco

Resumo Executivo

A era em expansão da inteligência artificial (IA) generativa inaugurou uma mudança de paradigma na descoberta científica, particularmente nos setores farmacêutico e de biotecnologia. A capacidade dos modelos de deep learning de explorar vastas regiões do espaço químico e propor novos candidatos terapêuticos comprimiu os prazos da descoberta de fármacos de anos para semanas. No entanto, essa capacidade transformadora possui uma sombra inerente: o dilema de "duplo uso". As mesmas arquiteturas algorítmicas projetadas para identificar curas que salvam vidas podem, com modificação trivial, ser reaproveitadas para projetar agentes bioquímicos altamente letais. O experimento seminal do "interruptor invertido" conduzido pela Collaborations Pharmaceuticals, no qual um modelo generativo otimizado para toxicidade gerou 40.000 potenciais armas químicas — incluindo o agente nervoso VX e análogos inéditos — em menos de seis horas, permanece como um testemunho irrefutável desse risco. ¹

Este whitepaper, preparado para a Veriprajna, argumenta que o padrão atual da indústria para segurança de IA — frequentemente caracterizado por "wrappers de LLM" que se apoiam em engenharia de prompts e filtragem de texto pós-hoc — é fundamentalmente insuficiente para domínios de alto risco. Essas barreiras de proteção superficiais falham em enfrentar a realidade geométrica do espaço latente do modelo, onde capacidades tóxicas e terapêuticas existem em uma variedade contínua, frequentemente emaranhada. Filtros baseados em texto são cegos à semântica estrutural da química e vulneráveis a perturbações adversariais, deixando organizações expostas a riscos regulatórios, reputacionais e existenciais catastróficos.

A Veriprajna introduz um novo padrão para IA Empresarial: Governança do Espaço Latente . Ao deslocar o lócus de controle da camada de saída para as estruturas latentes de alta dimensão do próprio modelo, habilitamos uma forma de "Segurança Estrutural de IA." Essa abordagem utiliza restrições topológicas, mapeamento de variedades e aprendizado por reforço com restrições para impedir matematicamente a geração de saídas prejudiciais. Este documento oferece uma análise exaustiva das deficiências técnicas das metodologias atuais, explora a topologia da toxicidade e detalha os princípios arquiteturais de soluções de deep AI que asseguram conformidade com padrões emergentes rigorosos, como o NIST AI Risk Management Framework e a ISO 42001.

1. O Horizonte do Duplo Uso: O "Interruptor Invertido" e a Democratização da Letalidade

A convergência da inteligência artificial e da biologia molecular há muito promete uma revolução na descoberta de fármacos. No entanto, a dualidade inerente dessa tecnologia — em que a capacidade de curar é matematicamente adjacente à capacidade de prejudicar — passou de um risco teórico discutido em círculos acadêmicos para uma realidade operacional demonstrada. A barreira de entrada para o projeto de armas químicas sofisticadas foi dramaticamente reduzida, não pela proliferação de materiais físicos, mas pela democratização da inteligência computacional necessária para projetá-las.

1.1 O Experimento MegaSyn: Um Estudo de Caso de Duplo Uso Algorítmico

Em preparação para a conferência Spiez Convergence, um evento bienal de controle de armamentos organizado pelo Swiss Federal Office for Civil Protection, pesquisadores da Collaborations Pharmaceuticals realizaram um experimento de prova de conceito para avaliar o potencial de uso indevido da IA. ² A equipe utilizou um modelo generativo comercial, MegaSyn, originalmente projetado para prever bioatividade e gerar novos candidatos terapêuticos para doenças raras e negligenciadas.

A metodologia empregada foi perturbadoramente simples, evidenciando a acessibilidade desse vetor de ameaça. O modelo generativo era guiado por uma função de pontuação que penalizava a toxicidade e recompensava a eficácia terapêutica. Para "inverter o interruptor", os pesquisadores inverteram a função de recompensa. Em vez de penalizar a toxicidade, o modelo foi instruído a maximizá-la, especificamente visando o perfil de letalidade do VX, um dos agentes nervosos mais potentes conhecidos. ¹

Os resultados foram gerados em menos de seis horas em um servidor padrão de grau consumidor, utilizando um conjunto de dados e uma arquitetura amplamente compreendidos na comunidade de quimioinformática:

Tabela 1: Resultados do Experimento do "Interruptor Invertido"

Métrica	Resultado	Contexto
Tempo até a Geração	< 6 horas	Realizado em hardware padrão (servidor Mac/Linux), demonstrando baixa barreira de computação.
Volume de Saída	40,000 Moléculas	Uma biblioteca massiva de candidatos potenciais gerada a uma velocidade que químicos humanos não conseguem igualar.
Perfil-Alvo	VX (Agente Nervoso)	O modelo redescobriu com sucesso o VX e outros

Col1	Col2	agentes nervosos conhecidos das séries G e V.
Letalidade	> Potência do VX	Um subconjunto significativo de moléculas foi previsto como mais tóxicas do que o VX.
Novidade	Alta	Milhares de compostos eram inéditos, sem aparecer em nenhum banco de dados público ou lista de vigilância governamental.

Esse experimento não exigiu um supercomputador nem um ator estatal rogue com milhões em financiamento. Utilizou conjuntos de dados de código aberto (como o ChEMBL), arquiteturas generativas padrão (RNNs e modelos baseados em LSTM) e um entendimento comercialmente disponível de predição de toxicidade. ⁵ As implicações são profundas: a barreira de entrada para projetar agentes bioquímicos de alta letalidade foi reduzida ao custo de uma GPU de consumidor e um entendimento básico de Python. O modelo de IA, treinado para compreender as "regras" da toxicidade a fim de evitá-las, possuía inerentemente o conhecimento para explorá-las. ³

1.2 A Arquitetura da Vulnerabilidade

Para compreender por que essa "inversão" foi tão fluida, é preciso examinar a arquitetura subjacente de modelos como o MegaSyn. O modelo utilizou uma arquitetura de rede neural recorrente (RNN) treinada em strings SMILES (Simplified Molecular Input Line Entry System). O sistema operava com um algoritmo de "hill-climb", refinando iterativamente candidatos moleculares para maximizar uma função-objetivo específica. ⁵

O ciclo generativo envolve três componentes críticos:

1.​ O Gerador: Uma rede baseada em LSTM que prediz o próximo token em uma string SMILES (p.ex., 'C', 'N', '=', 'O') para formar estruturas quimicamente válidas. Ela aprende a "gramática" da química a partir de conjuntos de dados massivos como o ChEMBL 28. ⁵

2.​ O Preditor: Um modelo discriminativo (ou conjunto de modelos) que estima propriedades específicas da molécula gerada, como solubilidade, bioatividade contra um alvo e toxicidade (p.ex., LD50, inibição de hERG).

3.​ O Otimizador: Um laço de aprendizado por reforço ou hill-climbing que devolve a pontuação do preditor ao gerador, direcionando a distribuição de probabilidade dos tokens futuros rumo a regiões de pontuação mais alta.

No modo terapêutico, a função de recompensa do otimizador ($R$) é definida como:

$$R(x) = \text{Bioactivity}(x) - \lambda \cdot \text{Toxicity}(x)$$

onde $\lambda$ é um fator de ponderação que penaliza desfechos tóxicos. No modo adversarial "invertido", os pesquisadores simplesmente negaram a penalidade:

$$R(x) = \text{Bioactivity}(x) + \lambda \cdot \text{Toxicity}(x)$$ O próprio gerador — o motor da criação — permaneceu intocado. Ele meramente seguiu o gradiente da nova função de recompensa. Isso demonstra que a capacidade de gerar armas não é um "bug" nem um módulo distinto que possa ser removido; é intrínseca à compreensão do modelo do espaço químico. Se um modelo compreende o que torna uma molécula segura, por definição compreende o que a torna insegura, pois essas são regiões complementares da mesma variedade de alta dimensão. ⁹

1.3 O Risco Universal: Além da Química

Embora o experimento Urbina tenha se concentrado em armas químicas, o princípio se aplica universalmente à IA generativa em ambientes empresariais. A dualidade da "otimização" significa que qualquer sistema projetado para maximizar uma métrica pode ser invertido para minimizá-la, ou para maximizar um correlato prejudicial.

●​ Cibersegurança: Um modelo treinado para identificar e corrigir vulnerabilidades de dia zero (codificação defensiva) deve compreender a mecânica do exploit. Invertido, torna-se um motor automatizado de descoberta e weaponização de dias zero. ¹⁰

●​ Sistemas Financeiros: Um modelo otimizado para detectar fraude ao aprender os padrões de transações ilícitas pode ser invertido para gerar transações que mimetizam perfeitamente o comportamento legítimo, efetivamente "otimizando" a lavagem de dinheiro. ¹¹

●​ Planejamento Estratégico: Uma IA projetada para otimizar a estratégia de mercado de uma corporação poderia, se alinhada a uma função-objetivo implacável, propor estratégias que tecnicamente maximizam o valor ao acionista, mas violam leis antitruste ou padrões éticos.

A Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence destaca exatamente essa capacidade — reduzir a barreira de entrada para o desenvolvimento de ameaças biológicas, químicas e cibernéticas — como uma preocupação primária de segurança nacional. ¹⁰ As atuais respostas do setor de tecnologia frequentemente envolvem "filtros de segurança" ou "treinamento de alinhamento", mas, como exploraremos, essas intervenções superficiais são matematicamente frágeis diante das profundas capacidades de otimização estrutural da IA moderna.

2. A Falácia do Wrapper de LLM: Por que as Barreiras de Proteção Superficiais Falham

A tendência predominante na atual "Corrida do Ouro da IA" é a implantação do "Wrapper de

LLM" — uma aplicação que serve como interface fina entre um usuário e um modelo de fundação (como GPT-4, Claude ou Llama). Esses wrappers utilizam engenharia de prompts (Prompts de Sistema) e filtragem básica de conteúdo para dirigir o comportamento do modelo. Para aplicações industriais de alto risco, particularmente as que envolvem segurança física e bioproteção, essa abordagem é perigosamente inadequada.

2.1 A Limitação do "Assessor Não Corporificado"

Grandes Modelos de Linguagem (LLMs) são fundamentalmente motores probabilísticos não corporificados. Eles predizem o próximo token com base em correlações estatísticas em seus dados de treinamento, não em uma compreensão fundamentada da realidade física ou biológica. Como observado em pesquisas sobre LLMs na descoberta científica, um LLM atua como um "assessor não corporificado" em vez de um assistente de pesquisa no laboratório. ¹³

No contexto da bioproteção, um wrapper de LLM carece dos laços de feedback integrados necessários para verificar a segurança. Opera sobre a linguagem, não sobre as leis da física ou da química. Quando um wrapper é solicitado a projetar uma molécula, pode "alucinar" estruturas de som plausível, mas quimicamente inválidas. Mais perigosamente, se ele de fato gera uma estrutura válida, carece da capacidade intrínseca de verificar sua toxicidade além de simples consultas a bancos de dados. Se uma molécula é inédita — como foram milhares dos análogos de VX gerados no experimento MegaSyn — o LLM não tem referência textual para sinalizá-la como perigosa. ¹³

O "conhecimento" de um LLM é estático, congelado no momento do treinamento. Ele não consegue executar uma simulação para determinar se um novo enovelamento proteico é patogênico. Só pode recordar que "antraz é ruim." Essa dependência da memorização mecânica de conceitos "ruins" é uma falha fatal ao lidar com sistemas generativos projetados para explorar espaços conceituais novos.

2.2 A Fragilidade da Filtragem Pós-Hoc

A maioria das soluções empresariais de IA se apoia em "barreiras de proteção" (guardrails) que funcionam como filtros pós-hoc. Esses sistemas interceptam o prompt do usuário (filtragem de entrada) ou a resposta do modelo (filtragem de saída) e o confrontam com uma lista de termos banidos, expressões regulares (Regex) ou um modelo secundário de classificação (p.ex., o Moderation Endpoint da OpenAI). ¹⁵

Tabela 2: Limitações da Filtragem Pós-Hoc em Domínios de Alto Risco

Tipo de Limitação	Descrição	Consequência na Bioproteção
Cegueira Contextual	Filtros buscam palavras-chave específicas (p.ex., "VX", "Sarin", "Bomba").	Falham em bloquear compostos ou precursores inéditos que carecem de nomes comuns

Col1	Col2	(p.ex., "Compound X-293").
Ofuscação SMILES	A toxicidade é codificada na estrutura, não no nome.	Um filtro bloqueia a palavra "Sarin", mas deixa passar a string SMILES O=P(C)(F)O, que o modelo compreende como Sarin.
Precipícios de Atividade	Mudanças estruturais menores causam deslocamentos massivos de toxicidade.	Um wrapper vê uma molécula 99% semelhante a um fármaco seguro e a aprova, deixando passar o único átomo que confere letalidade.17
Nature Reacionária	Bloqueia conteúdo_depois_ da geração.	O modelo já realizou o cálculo. Em um sistema em tempo real, a latência permite vazamento potencial ou ataques de canal lateral.

O problema do "Precipício de Atividade" é particularmente condenatório para wrappers baseados em texto. Na química medicinal, um precipício de atividade ocorre quando uma mudança muito pequena na estrutura leva a uma alteração desproporcionalmente grande na propriedade biológica. ¹⁸ Um wrapper que usa um filtro baseado em similaridade pode aprovar uma molécula porque ela parece "em sua maior parte como" Aspirina ou um inibidor seguro de quinase, deixando de reconhecer que a substituição de um grupo hidroxila por um átomo de flúor alterou radicalmente seu perfil de toxicidade. Modelos baseados em texto, que operam sobre distância semântica de tokens em vez de variedades 3D de bioatividade, são notoriamente ruins em predizer esses precipícios. ¹⁴

2.3 Vulnerabilidade Adversarial: O Ataque "SMILES"

A evidência mais convincente contra a abordagem de wrapper é a prevalência de "jailbreaking" — ataques adversariais projetados para contornar o treinamento de segurança. Embora o "Red Teaming" frequentemente se concentre em engenharia social (p.ex., "Receita de Napalm da Vovó"), os riscos técnicos na bioproteção são muito mais sofisticados.

O Ataque de SMILES-Prompting: Pesquisas recentes demonstraram uma técnica inédita de jailbreak conhecida como "SMILES-prompting." Atacantes contornam filtros de segurança ao inserir a representação em string ASCII (SMILES) de uma molécula banida em vez de seu nome. Filtros de conteúdo treinados em linguagem natural frequentemente falham em reconhecer a semântica tóxica oculta na sintaxe química.20

●​ Mecanismo: O atacante solicita instruções de síntese para [O-]S(=O)(=O)[O-].. (Sulfato de Tálio, um veneno para ratos) em vez de pedir "veneno."

●​ Resultado: O LLM, reconhecendo a sintaxe química mas sem acionar o filtro de palavras-chave de "conteúdo prejudicial", fornece solícito o protocolo de síntese.

●​ Escala: Estudos mostram que esse método pode contornar mecanismos de segurança em modelos líderes como GPT-4 e Claude 3 com taxas de sucesso alarmantes, por vezes excedendo 90% para substâncias específicas. ¹¹

Além disso, frameworks automatizados de ataque como ToxicTrap utilizam algoritmos evolutivos para encontrar pequenas perturbações em nível de palavra que enganam classificadores de toxicidade a rotular texto tóxico como benigno. ²² Se um sistema de segurança pode ser derrotado por um sinônimo, não é um sistema de segurança — é um quebra-molas.

Para uma consultoria empresarial como a Veriprajna, construir uma solução sobre um wrapper facilmente falsificável é um passivo. Segurança verdadeira de grau empresarial exige uma reengenharia fundamental de como o modelo navega seu espaço latente.

3. A Geometria da Toxicidade: Compreendendo os Riscos Latentes

Para compreender por que os wrappers falham e como a Veriprajna tem êxito, é preciso compreender o ambiente matemático em que os modelos generativos operam: o Espaço Latente . Modelos generativos profundos (VAEs, GANs, Modelos de Difusão) não armazenam dados; eles aprendem a mapear dados de alta dimensão (como estruturas moleculares) para uma representação comprimida de dimensão inferior chamada espaço latente ($Z$). Nesse espaço, pontos de dados semelhantes são agrupados juntos, e a geração é o ato de amostrar dessa variedade.

3.1 A Variedade Contínua de Toxicidade

A "Paisagem da Toxicidade" é uma região dentro desse espaço latente. Não é uma lista discreta de moléculas ruins, mas uma variedade contínua — uma forma definida pelas propriedades físico-químicas que conferem letalidade.

●​ Risco Contínuo: A toxicidade não é binária; é um gradiente. A transição de um fármaco terapêutico para um agente tóxico pode ser uma trajetória suave no espaço latente. Um modelo efetivamente "interpola" entre moléculas conhecidas. Se interpola entre duas moléculas seguras que emolduram uma região tóxica, o caminho pode atravessar o "Vale da Morte". ²³

●​ A Hipótese da Variedade: A premissa central do deep learning é que dados do mundo real jazem sobre uma variedade de dimensão inferior embutida em espaço de alta dimensão. Ataques adversariais frequentemente exploram as regiões fora dessa variedade, ou "buracos" na distribuição onde o comportamento do modelo é indefinido e imprevisível. ²⁵

Quando os pesquisadores da Collaborations Pharmaceuticals "inverteram o interruptor", essencialmente disseram ao modelo para realizar subida de gradiente ao longo do "vetor de toxicidade" nesse espaço latente. Como o espaço é contínuo, o modelo pôde facilmente deslizar de compostos seguros para a região de alta toxicidade.

3.2 O Problema do Emaranhamento

Idealmente, um modelo generativo desemaranharia "toxicidade" de "bioatividade" em eixos ortogonais separados no espaço latente. Se isso fosse verdade, a segurança seria tão simples quanto travar o eixo de "toxicidade" em zero. No entanto, em modelos biológicos profundos, essas características estão profundamente emaranhadas .

Uma característica físico-química que permite a um fármaco penetrar a barreira hematoencefálica (um traço altamente desejável para tratar Alzheimer ou Parkinson) é frequentemente exatamente a mesma característica que permite a um agente nervoso alcançar seu alvo e causar paralisia. ¹ Da mesma forma, alta afinidade de ligação — a capacidade de aderir firmemente a uma proteína — é boa para um fármaco, mas fatal se a proteína for a acetilcolinesterase (o alvo do VX).

Por causa desse emaranhamento, mecanismos simples de "recusa" (como os dos wrappers) efetivamente lobotomizam o modelo. Se você bloqueia todas as características associadas à toxicidade (p.ex., "bloquear toda penetração da barreira hematoencefálica"), destrói a utilidade terapêutica do modelo. O desafio é navegar a Variedade Operacional Segura — um subconjunto do espaço latente onde a eficácia é preservada, mas a toxicidade é topologicamente excluída.

3.3 Colapso de Representação e Precipícios de Atividade

Uma das falhas críticas dos modelos padrão de "caixa-preta" é o Colapso de Representação . Isso ocorre quando o modelo mapeia duas moléculas distintas para os mesmos pontos, ou quase idênticos, no espaço latente porque falha em capturar a sutil diferença estrutural que as distingue.

●​ Limitações Baseadas em Grafos: Muitos modelos moleculares usam redes neurais em grafos (GNNs). Embora poderosas, as GNNs podem ter dificuldade para distinguir estereoisômeros ou substituições atômicas menores se a profundidade de passagem de mensagens for insuficiente. Isso leva ao colapso de representação, em que uma toxina e um fármaco seguro compartilham o mesmo embedding latente. ¹⁷

●​ A Consequência: Se o modelo não consegue distinguir o ponto "seguro" do ponto "tóxico" em sua geometria interna, nenhuma quantidade de filtragem externa o salvará. O modelo acredita que são o mesmo.

●​ Soluções Baseadas em Imagem: Pesquisas emergentes, como o framework MaskMol, sugerem que representações baseadas em imagem (aprendizado a partir de imagens moleculares) ou abordagens multimodais podem capturar melhor essas distinções sutis, preservando os "precipícios" na paisagem latente. ¹⁷

A abordagem da Veriprajna utiliza Modelos Generativos Cientes de Topologia que mapeiam a topologia funcional (atividade) em vez de apenas a topologia estrutural (sintaxe). Isso assegura que os precipícios de atividade sejam respeitados como "fronteiras rígidas" no processo de geração segura, impedindo o modelo de deslizar através de um precipício rumo à toxicidade. ²⁶

4. A Metodologia da Veriprajna: Governança do Espaço Latente

A Veriprajna se diferencia ao ir além do paradigma de "wrapper" para implementar Governança do Espaço Latente . Isso envolve intervir no processo de geração antes de os dados serem decodificados, aplicando restrições estruturais que tornam a geração de conteúdo tóxico matematicamente impossível (ou estatisticamente desprezível) em vez de apenas "filtrada".

4.1 Restrições Estruturais: O Escudo Matemático

A filtragem pós-hoc é reativa: o modelo gera um candidato, e um juiz o rejeita. A geração com restrições é proativa: o modelo é impedido de considerar candidatos inseguros.

Tabela 3: Comparação de Paradigmas de Segurança

Recurso	Filtragem Pós-Hoc (Wrapper)	Estrutural/Latente Restrições (Veriprajna)
Mecanismo	Gerar $\rightarrow$ Revisar $\rightarrow$ Aceitar/Rejeitar	Restringir Amostragem Latente $\rightarrow$ Gerar
Ponto de Controle	Saída (Texto/Pixel/SMILES)	Vetor Latente ($z$) / Geometria da Variedade
Custo Computacional	Alto (ciclos de geração desperdiçados em saídas rejeitadas)	Baixo (restrições aplicadas durante amostragem/inferência)
Robustez	Baixa (suscetível a jailbreaks/ofuscação)	Alta (as restrições são intrínsecas à matemática)
Tratamento da Novidade	Falha (não consegue filtrar o que não conhece)	Êxito (restringe com base em variedades de propriedades)
Conformidade	Trilha de auditoria de rejeições (ruidosa)	Prova matemática de comportamento limitado

4.2 Aprendizado Pós-Hoc de Restrições Latentes

A Veriprajna emprega técnicas para aprender restrições pós-hoc em modelos incondicionais pré- treinados. Isso evita o custo proibitivo de retreinar modelos de fundação massivos enquanto assegura controle robusto.

O Fluxo de Trabalho:

1.​ Pré-treinamento Não Supervisionado: Começamos com um poderoso modelo generativo incondicional (VAE ou GAN) que aprende a distribuição de estruturas químicas válidas ($p(x)$). Esse modelo aprende "como fazer moléculas", mas não "quais moléculas fazer". ²³

2.​ Treinamento da Função de Restrição: Treinamos uma "Função de Valor" separada ($v(z)$) ou "Função de Restrição" ($c(z)$) que opera diretamente sobre o espaço latente. Essa função mapeia um vetor latente $z$ para uma pontuação de segurança.

○​ Essa função é treinada em dados rotulados (tóxico vs. seguro) para identificar as "regiões" do espaço latente que correspondem a alta toxicidade.

○​ Crucialmente, ao contrário do experimento MegaSyn que otimizou para essa região, nós a definimos como uma Zona Proibida (ou Variedade Negativa).

3.​ Amostragem com Restrições (Direcionamento por Gradiente): Durante a fase de geração, usamos otimização baseada em gradiente (como Dinâmica de Langevin) para deslocar a distribuição de amostragem.

○​ Se um vetor amostrado $z$ cai em ou perto de uma região tóxica, o gradiente da função de restrição $\nabla c(z)$ empurra o vetor de volta à variedade segura antes de ser decodificado em uma molécula.

○​ Isso é matematicamente análogo a "dirigir" a geração para longe da borda do precipício. O modelo "imagina" uma molécula tóxica, mas é forçado a resolvê-la em um análogo seguro. ²³

4.3 Análise Topológica de Dados (TDA) e Defesa de Variedade

Para enfrentar o risco de toxinas inéditas que jazem fora da distribuição de treinamento (Fora da Distribuição ou OOD), a Veriprajna utiliza Análise Topológica de Dados (TDA).

●​ Diagramas de Persistência: Computamos os diagramas de persistência dos dados de treinamento "Seguros". Essa técnica matemática analisa a forma da nuvem de dados (seus buracos, laços e vazios) em diferentes escalas. Ela nos dá uma impressão digital topológica do que a "segurança" parece. ²⁶

●​ Distância à Variedade: Quando o modelo propõe um vetor $z$, calculamos sua distância em relação à Variedade de Dados Seguros usando decomposição guiada por variedade.

●​ A Detecção de Vazios: Se um vetor jaz demasiado longe da variedade — flutuando no "vazio" do espaço latente — é sinalizado como de alto risco, mesmo que preditores específicos de toxicidade estejam incertos. Ataques adversariais frequentemente tentam ocultar toxinas nessas regiões de baixa densidade (os "buracos" no conhecimento do modelo). A TDA nos permite detectar e rejeitar essas anomalias com base na geometria, não apenas na probabilidade. ²⁵

4.4 Aprendizado por Reforço com Restrições (CRL) com Incentivos

Adaptativos

Para modelos que exigem otimização (p.ex., maximizar a potência do fármaco), utilizamos Aprendizado por Reforço com Restrições (CRL) em vez de simples maximização de recompensa.

●​ RL Padrão: Maximizar Recompensa $R$. (Risco: O cenário do "interruptor invertido" em que $R$ se torna toxicidade).

●​ CRL da Veriprajna: Maximizar Recompensa $R$ sujeito a Custo $C < Limit$.

●​ Mecanismo de Incentivo Adaptativo: O RL com restrições tradicional pode ser instável, oscilando em torno do limite da restrição. A Veriprajna implementa um Mecanismo de Incentivo Adaptativo que recompensa o agente por permanecer bem dentro dos limites, não apenas por não ultrapassá-los.

○​ Introduzimos uma "zona tampão" no espaço latente. À medida que o modelo se aproxima da restrição de toxicidade, uma penalidade crescente (função barreira) o empurra de volta, assegurando convergência suave e estável a soluções seguras. ²⁹

5. Mergulho Técnico: Enfrentando a Vulnerabilidade "MegaSyn"

Para realmente proteger a química generativa, devemos dissecar as vulnerabilidades arquiteturais específicas expostas pelo experimento MegaSyn e enfrentá-las com nossas barreiras de proteção estruturais propostas.

5.1 Desconstruindo o MegaSyn

O modelo MegaSyn referenciado no artigo da Nature Machine Intelligence utiliza uma abordagem específica de ensemble ⁵ :

●​ Gerador Central: Uma Rede Neural Recorrente (RNN) baseada em LSTM.

●​ Representação de Entrada: Strings SMILES tokenizadas em caracteres (p.ex., "C", "N", "=", "1").

●​ Método de Treinamento: "Teacher Forcing", em que o modelo recebe o token anterior correto durante o treinamento para acelerar a convergência.

●​ Priming: O modelo cria "Modelos Primed" por fine-tuning em subestruturas específicas de uma molécula-alvo usando regras RECAP.

●​ A Vulnerabilidade de Otimização: O algoritmo "Hill-Climb" é um método guloso de otimização. Quando a função de pontuação foi invertida para Score = Toxicity, o modelo eficientemente subiu o gradiente rumo à letalidade máxima porque a "sintaxe" de um agente nervoso (ligações fósforo-oxigênio, cadeias laterais alquila específicas) é quimicamente válida e estava presente nos dados de treinamento (ChEMBL), mesmo que não rotulada como "arma."

5.2 Impedindo a "Inversão": O Protocolo Veriprajna

Como a Governança do Espaço Latente da Veriprajna impediria uma inversão no estilo MegaSyn?

1.​ Restrições Codificadas de Forma Rígida: Em vez de uma função de recompensa mutável que um usuário pode simplesmente inverter ($-1$ para $+1$), a Veriprajna incorpora a restrição de toxicidade no posterior de amostragem . A restrição não é um número em um script Python; é uma condição de contorno no motor de inferência. Para "invertê-la", seria preciso re-arquitetar fundamentalmente o software, não apenas alterar um arquivo de configuração.

2.​ Restrição de Variedade: A "Variedade CWA" (espaço de Agentes de Guerra Química) seria mapeada usando TDA. Essa região seria designada como um "Espaço Nulo." Qualquer atualização de gradiente que tentasse mover o vetor latente para esse espaço seria zerada ou revertida.

3.​ Detecção de Precipício de Atividade: Nosso modelo utilizaria representações baseadas em imagem (como MaskMol) ao lado de representações em grafos para detectar os motivos estruturais sutis de agentes nervosos (p.ex., a ligação P-F no Sarin/Soman) que poderiam ser perdidos por modelos simples baseados em descritores. Esses motivos acionariam uma "Penalidade de Precipício" que sobrepõe a recompensa do hill-climb. ¹⁷

6. Cenário Regulatório e Conformidade

A mudança de "Wrapper" para "Barreiras de Proteção Estruturais" não é apenas um upgrade técnico; é uma necessidade estratégica impulsionada por um ambiente regulatório que se aperta rapidamente. Governos e organismos internacionais estão passando de "diretrizes voluntárias" para frameworks rigorosos de conformidade que exigem explicabilidade, controle e segurança comprovada.

6.1 A Ordem Executiva da Casa Branca e a Genesis Mission

A Executive Order on the Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence (outubro de 2023) e a subsequente "Genesis Mission" (novembro de 2025) representam uma mudança sísmica na política federal de IA. ¹⁰

●​ O Mandato: A EO identifica explicitamente o risco de a IA reduzir barreiras ao desenvolvimento de armas CBRN (Químicas, Biológicas, Radiológicas, Nucleares) como uma ameaça de segurança nacional de nível 1.

●​ A Genesis Mission: Essa nova iniciativa determina que o Department of Energy (DOE) construa uma plataforma integrada de IA para descoberta científica. Crucialmente, ela exige "medidas apropriadas de cibersegurança baseadas em risco" e ambientes seguros para experimentação dirigida por IA. ³²

●​ Lacuna de Conformidade: Um wrapper padrão de LLM não pode demonstrar que impede a criação de ameaças biológicas; só pode mostrar que tenta filtrá-las. Esse "melhor esforço" provavelmente falhará em atender aos padrões "seguros e confiáveis" exigidos para contratos federais ou integração com a Genesis Platform.

●​ A Vantagem da Veriprajna: Nossas restrições estruturais fornecem prova de impossibilidade (dentro de limites estatísticos). Podemos demonstrar aos reguladores que a "Variedade CBRN" é inacessível aos nossos modelos, alinhando-se perfeitamente à exigência da EO de testes rigorosos de segurança e "Red Teaming". ³³

6.2 NIST AI Risk Management Framework (AI RMF 1.0)

O NIST AI RMF é o padrão ouro da governança civil de IA nos EUA. Ele enfatiza quatro funções: Mapear, Medir, Gerenciar e Governar . ³⁴

●​ Perfil de IA Generativa (NIST.AI.600-1): Esse perfil específico identifica "Informações CBRN" como um risco único exacerbado pela GenAI. ³⁶ Ele alerta que "Chemical and Biological Design Tools (BDTs)" podem predizer estruturas inéditas que não estão nos dados de treinamento.

●​ Alinhamento da Veriprajna:

○​ Medir: Nosso uso de Análise Topológica de Dados (TDA) fornece métricas quantitativas de Incerteza Epistêmica — medindo quão "longe" uma saída gerada está de dados seguros conhecidos. Isso satisfaz a exigência do NIST de medição rigorosa da confiabilidade do sistema.

○​ Gerenciar: Restrições latentes fornecem um mecanismo técnico para gerenciar risco que é superior a tentativas baseadas em política. Passamos de "Política como Documentação" para "Política como Código" (ou, antes, "Política como Geometria").

6.3 ISO/IEC 42001:2023

A ISO 42001 é o primeiro padrão internacional de sistema de gestão para IA do mundo, fornecendo um framework certificável para governança de IA. ³⁸

●​ Requisito Central: O padrão exige "Uso Seguro e Ético" e "Robustez e Resiliência" contra ataques adversariais. Requer que as organizações realizem avaliações de impacto de IA e implementem controles para mitigar os riscos identificados.

●​ Robustez Adversarial: A ISO 42001 destaca especificamente a necessidade de defender-se contra entradas projetadas para manipular o comportamento do modelo (como SMILES prompting). Da Veriprajna Defesa de Variedade enfrenta isso explicitamente ao rejeitar entradas que resultam em vetores latentes fora da variedade válida de dados, neutralizando tentativas de "jailbreak" que se apoiam em prompts fora da distribuição. ⁴⁰

●​ Certificação: A abordagem estruturada da Veriprajna permite trilhas de auditoria claras. Podemos registrar não apenas as saídas, mas as violações de restrição tentadas pelo modelo durante o processo de geração, fornecendo aos auditores dados granulares sobre o desempenho de segurança do sistema. ⁴¹

7. Estratégia de Implementação: O Protocolo de "Solução Profunda"

A Veriprajna se posiciona não como fornecedora de chatbots, mas como arquiteta de infraestrutura de IA segura e específica de domínio. Nossa estratégia de implementação para clientes segue um protocolo de quatro fases de "Solução Profunda" projetado para transformar sua IA de um wrapper arriscado em um motor governado de descoberta.

Fase 1: Mapeamento de Variedade e Auditoria Topológica

Antes de implantar qualquer modelo generativo, realizamos uma auditoria topológica dos dados proprietários do cliente e de dados públicos relevantes (p.ex., ChEMBL, Tox21).

●​ Objetivo: Definir a "Variedade Operacional Segura."

●​ Técnica: Usar Homologia Persistente para identificar as características topológicas (laços, vazios) de regiões seguras vs. tóxicas.

●​ Entregável: Um "Mapa de Topologia de Segurança" que visualiza os limites do espaço latente e identifica potenciais "buracos" onde o modelo poderia alucinar ou ser atacado.

Fase 2: Treinamento de Restrições Latentes (Os "Críticos")

Não fazemos simplesmente fine-tune do modelo-base (o que arrisca esquecimento catastrófico). Em vez disso, treinamos redes auxiliares leves chamadas Críticos de Restrição .

●​ Técnica: Aprendizado pós-hoc de funções de valor ($v(z)$) que predizem pontuações de risco a partir de embeddings latentes. ²³

●​ Arquitetura: Esses críticos são desacoplados do gerador. Esta é uma vantagem arquitetural crucial: à medida que novas ameaças são identificadas (p.ex., uma nova classe de armas químicas), podemos atualizar o Crítico sem retreinar o modelo de fundação massivo, assegurando agilidade e segurança atualizada.

Fase 3: Amostragem com Restrições e Integração de Direcionamento

Integramos os críticos de restrição diretamente no pipeline de inferência do cliente.

●​ Mecanismo: Durante a geração, usamos Dinâmica de Langevin ou Direcionamento por Gradiente .

●​ Processo: À medida que o modelo amostra o espaço latente para gerar uma molécula, o Crítico calcula o gradiente da superfície de toxicidade. Se a trajetória se dirige a uma tóxica região, o mecanismo de direcionamento aplica um gradiente oposto, "empurrando" a trajetória de volta à variedade segura.

●​ Resultado: O modelo efetivamente "pensa" em uma molécula tóxica, mas é matematicamente forçado a "resolver" o pensamento em um análogo seguro antes que qualquer saída seja gerada.

Fase 4: Red Teaming Molecular e Suporte à Certificação ISO

Submetemos o sistema implantado a "Red Teaming Molecular."

●​ Método: Usamos agentes adversariais automatizados (como ToxicTrap e bots customizados de SMILES-prompting) para bombardear o modelo com entradas de caso extremo, tentando forçá-lo através dos precipícios de atividade. ²¹

●​ Verificação: Fornecemos um Certificado de Segurança com base na probabilidade estatística de violação de restrição (p.ex., "Probability of toxic generation < $10^{-6}$"), fornecendo a base probatória para a certificação ISO 42001.

8. Conclusão: O Futuro da Inovação Segura

O experimento do "interruptor invertido" da Collaborations Pharmaceuticals não foi uma anomalia; foi uma demonstração da volatilidade fundamental da otimização sem restrições na IA. Na corrida para implantar IA Empresarial, muitas organizações estão construindo castelos na areia — apoiando-se em wrappers frágeis que desmoronam sob pressão adversarial ou contextos inéditos.

Para a indústria farmacêutica, e de fato qualquer setor que lide com realidades físicas ou financeiras de alto risco, a era do "Wrapper" deve terminar. A segurança não pode ser colada sobre a saída; ela deve ser incorporada à geometria do próprio modelo.

A Veriprajna oferece o único caminho viável adiante: Soluções de Deep AI . Ao dominar o espaço latente, não apenas filtramos a escuridão; reestruturamos o universo matemático do modelo para assegurar que a luz da descoberta seja o único caminho que ele possa tomar. Fornecemos as barreiras de proteção que permitem à inovação empresarial acelerar sem o risco de falha catastrófica de duplo uso.

Isto não é apenas IA segura. Isto é Inteligência Estruturalmente Assegurada .

Apêndice A: Formulação Matemática das Restrições Latentes

Para fornecer uma base rigorosa para nossa "Governança do Espaço Latente", detalhamos a formulação matemática das restrições aplicadas durante o processo de geração.

A.1 O Problema de Otimização com Restrições

Formulamos o processo generativo não como simples amostragem $z \sim p(z)$, mas como um problema de otimização com restrições. Seja $G(z)$ o gerador que mapeia o vetor latente $z$ para o espaço de dados $X$. Seja $C(x)$ uma função de custo (p.ex., preditor de toxicidade). Buscamos amostrar $z$ tal que:

$$\min_z \mathcal{L}_{gen}(z) \quad \text{s.t.} \quad C(G(z)) < \epsilon$$

onde $\epsilon$ é o limiar de segurança.

A.2 Funções de Valor Pós-Hoc

Como avaliar $C(G(z))$ (gerar a molécula e executar um preditor) é caro e não diferenciável, aprendemos uma Função de Valor Latente $V(z)$ que aproxima o custo diretamente no espaço latente:

$$V(z) \approx C(G(z))$$

Essa função é treinada para minimizar o erro quadrático médio em um conjunto de amostras geradas $\{(z_i, y_i)\}$, onde $y_i$ é a toxicidade verdadeira (ground truth).

A.3 Direcionamento por Gradiente (Dinâmica de Langevin)

Durante a inferência, amostramos um inicial $z_0$ a partir da priori $p(z)$. Em seguida, atualizamos iterativamente $z$ usando o gradiente da função de valor para movê-lo para a região segura:

$$z_{t+1} = z_t - \alpha \nabla_z V(z_t) + \sqrt{2\alpha} \xi_t$$

onde:

●​ $\alpha$ é o tamanho do passo (taxa de aprendizado).

●​ $\nabla_z V(z_t)$ é o gradiente da função de valor de toxicidade (afastando-se da toxicidade).

●​ $\xi_t \sim \mathcal{N}(0, I)$ é ruído gaussiano adicionado para manter diversidade (Langevin ruído). ²³

Esse processo assegura que o amostrado final $z$ jaza dentro da variedade segura definida por $V(z) < \epsilon$ antes de o gerador $G(z)$ ser chamado para produzir a molécula final.

Apêndice B: Análise Detalhada dos Frameworks Regulatórios

B.1 NIST AI RMF 1.0 e Perfil GenAI

Cláusula Relevante: NIST.AI.600-1 (Generative AI Profile)

●​ Risco 2.1: Informações ou Capacidades CBRN. "Lowered barriers to entry... access to materially nefarious information... design tools (BDTs) may predict novel structures."

●​ Ação da Veriprajna: Enfrentamos explicitamente o risco de "estrutura inédita" via TDA. Ao definir a segurança topologicamente, não nos apoiamos em uma lista de "maus conhecidos" (que falha para estruturas inéditas), mas na "forma dos bens conhecidos."

B.2 ISO/IEC 42001:2023

Cláusula Relevante: A.9.2 (AI System Safety)

●​ Requisito: "The organization shall implement controls to ensure AI systems act safely... taking into account the need for fallback plans."

●​ Ação da Veriprajna: Nosso Mecanismo de Incentivo Adaptativo serve como fallback. Se o direcionamento primário por gradiente falha (p.ex., o gradiente desaparece), o sistema recorre a um "centroide" seguro no espaço latente em vez de emitir a amostra bruta.

Cláusula Relevante: A.10.3 (Adversarial Attacks)

●​ Requisito: "The organization shall assess the vulnerability... to adversarial attacks."

●​ Ação da Veriprajna: Fornecemos um "Relatório de Red Teaming" como entregável padrão, quantificando a resistência do sistema a ataques ToxicTrap e SMILES-prompting. ²¹

Obras citadas

1. AI Can Create Deadly Weapons? Scientists Sound Alarm! | WION Podcast YouTube, acessado em 11 de dezembro de 2025, https://www.youtube.com/watch?v=oedheh87lnI

2. Artificial intelligence finds 40,000 toxic molecules - Digitec, acessado em 11 de dezembro de 2025, https://www.digitec.ch/en/page/artificial-intelligence-finds-40000-toxic-molecules-23192

3. Artificial intelligence could be repurposed to create new biochemical weapons | King's College London, acessado em 11 de dezembro de 2025, https://www.kcl.ac.uk/news/artificial-intelligence-could-be-repurposed-to-create-new-biochemical-weapons

4. Meet the harmful side of AI, as lethal as chemical weapons - IndiaAI, acessado em 11 de dezembro de 2025, https://indiaai.gov.in/article/meet-the-harmful-side-of-ai-as-lethal-as-chemical-weapons

5. (PDF) MegaSyn: Integrating Generative Molecular Design ..., acessado em 11 de dezembro de 2025, https://www.researchgate.net/publication/360904282_MegaSyn_Integrating_Generative_Molecular_Design_Automated_Analog_Designer_and_Synthetic_Viability_Prediction

6. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction | ACS Omega - ACS Publications, acessado em 11 de dezembro de 2025, https://pubs.acs.org/doi/10.1021/acsomega.2c01404

7. Well, I never: AI is very proficient at designing nerve agents | John Naughton | The Guardian, acessado em 11 de dezembro de 2025, https://www.theguardian.com/commentisfree/2023/feb/11/ai-drug-discover-nerve-agents-machine-learning-halicin

8. MegaSyn: Integrating Generative Molecular Design, Automated Analog Designer, and Synthetic Viability Prediction - PMC - PubMed Central, acessado em 11 de dezembro de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9178760/

9. Dual Use of Artificial Intelligence-powered Drug Discovery - PMC - NIH, acessado em 11 de dezembro de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC9544280/

10. Chemical & Biological Weapons and Artificial Intelligence: Problem Analysis and US Policy Recommendations, acessado em 11 de dezembro de 2025, https://futureoflife.org/document/chemical-biological-weapons-and-artificial-intelligence-problem-analysis-and-us-policy-recommendations/

11. Involuntary Jailbreak - arXiv, acessado em 11 de dezembro de 2025, https://arxiv.org/html/2508.13246v1

12. Mitigating Risks at the Intersection of Artificial Intelligence and Chemical and Biological Weapons | RAND, acessado em 11 de dezembro de 2025, https://www.rand.org/pubs/research_reports/RRA2990-1.html

13. LLMs in Research: the Good, the Bad, and the Future | Enable Medicine, acessado em 11 de dezembro de 2025, https://www.enablemedicine.com/blog/llms-in-research-the-good-the-bad-and-the-future

14. Are large language models right for scientific research? - CAS.org, acessado em 11 de dezembro de 2025, https://www.cas.org/resources/cas-insights/are-large-language-models-right-scientific-research

15. How do you implement LLM guardrails to prevent toxic outputs? - Zilliz Vector Database, acessado em 11 de dezembro de 2025, https://zilliz.com/ai-faq/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

16. How do you implement LLM guardrails to prevent toxic outputs? - Milvus, acessado em 11 de dezembro de 2025, https://milvus.io/ai-quick-reference/how-do-you-implement-llm-guardrails-to-prevent-toxic-outputs

17. MaskMol: knowledge-guided molecular image pre-training framework for activity cliffs with pixel masking - NIH, acessado em 11 de dezembro de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12462177/

18. Recent Progress in Understanding Activity Cliffs and Their Utility in Medicinal Chemistry, acessado em 11 de dezembro de 2025, https://www.researchgate.net/publication/256187970_Recent_Progress_in_Understanding_Activity_Clifs_and_Their_Utility_in_Medicinal_Chemistry f

19. DeepAC – conditional transformer-based chemical language model for the prediction of activity cliffs formed by bioactive compounds - RSC Publishing, acessado em 11 de dezembro de 2025, https://pubs.rsc.org/en/content/articlehtml/2022/dd/d2dd00077f

20. Breaking the Rules with Chemistry: Understanding SMILES-Prompting LLM Jailbreak Attack, acessado em 11 de dezembro de 2025, https://www.keysight.com/blogs/en/tech/nwvs/2025/06/12/smiles-prompting-jailbreak-attack

21. SMILES-Prompting: A Novel Approach to LLM Jailbreak Attacks in Chemical Synthesis, acessado em 11 de dezembro de 2025, https://arxiv.org/html/2410.15641v1

22. Towards Building a Robust Toxicity Predictor - arXiv, acessado em 11 de dezembro de 2025, https://arxiv.org/html/2404.08690v1

23. LATENT CONSTRAINTS: LEARNING TO GENERATE CONDITIONALLY FROM UNCONDITIONAL GENERATIVE MODELS - IA, acessado em 11 de dezembro de 2025, https://webia.lip6.fr/~briot/cours/unirio3/Projects/Papers/Latent%20Constraints%20Learning%20to%20Generate%20Conditionally%20from%20Unconditional%20Generative%20Models.pdf

24. Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - Google Research, acessado em 11 de dezembro de 2025, https://research.google/pubs/latent-constraints-learning-to-generate-conditionally-from-unconditional-generative-models/

25. Manifold-driven decomposition for adversarial robustness - NSF Public Access Repository, acessado em 11 de dezembro de 2025, https://par.nsf.gov/biblio/10568356-manifold-driven-decomposition-adversarial-robustness

26. On the Need for Topology-Aware Generative Models for Manifold-Based Defenses - Liner, acessado em 11 de dezembro de 2025, https://liner.com/review/on-the-need-for-topologyaware-generative-models-for-manifoldbased-defenses

27. Activity cliff-aware reinforcement learning for de novo drug design - PMC PubMed Central, acessado em 11 de dezembro de 2025, https://pmc.ncbi.nlm.nih.gov/articles/PMC12013064/

28. [1711.05772] Latent Constraints: Learning to Generate Conditionally from Unconditional Generative Models - arXiv, acessado em 11 de dezembro de 2025, https://arxiv.org/abs/1711.05772

29. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning, acessado em 11 de dezembro de 2025, https://arxiv.org/html/2509.09208v1

30. Incentivizing Safer Actions in Policy Optimization for Constrained Reinforcement Learning - IJCAI, acessado em 11 de dezembro de 2025, https://www.ijcai.org/proceedings/2025/0592.pdf

31. Fact Sheet: President Donald J. Trump Unveils the Genesis Mission to Accelerate AI for Scientific Discovery - The White House, acessado em 11 de dezembro de 2025, https://www.whitehouse.gov/fact-sheets/2025/11/fact-sheet-president-donald-j-trump-unveils-the-genesis-missionto-accelerate-ai-for-scientific-discovery/

32. Launching the Genesis Mission - The White House, acessado em 11 de dezembro de 2025, https://www.whitehouse.gov/presidential-actions/2025/11/launching-the-genesis-mission/

33. White House Launches 'Genesis Mission' to Accelerate AI-Enabled Scientific Discovery, acessado em 11 de dezembro de 2025, https://www.morganlewis.com/pubs/2025/12/white-house-launches-genesis-mission-to-accelerate-ai-enabled-scientific-discovery

34. NIST AI RMF - ModelOp, acessado em 11 de dezembro de 2025, https://www.modelop.com/ai-governance/ai-regulations-standards/nist-ai-rmf

35. Navigating the NIST AI Risk Management Framework - Hyperproof, acessado em 11 de dezembro de 2025, https://hyperproof.io/navigating-the-nist-ai-risk-management-framework/

36. NIST AI 6001, Artificial Intelligence Risk Management Framework - Johns Hopkins Center for Health Security, acessado em 11 de dezembro de 2025, https://centerforhealthsecurity.org/sites/default/files/2024-06/2024-06-02-jhchs-nist-ai-6001-rfc.pdf

37. Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile - NIST Technical Series Publications, acessado em 11 de dezembro de 2025, https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf

38. Understanding ISO 42001 and Demonstrating Compliance - ISMS.online, acessado em 11 de dezembro de 2025, https://www.isms.online/iso-42001/

39. ISO/IEC 42001 Certification: AI Management System - DNV, acessado em 11 de dezembro de 2025, https://www.dnv.com/services/iso-iec-42001-artificial-intelligence-ai--250876/

40. ISO 42001 - Promptfoo, acessado em 11 de dezembro de 2025, https://www.promptoo.dev/docs/red-team/iso-42001/ f

41. ISO 42001: paving the way for ethical AI | EY - US, acessado em 11 de dezembro de 2025, https://www.ey.com/en_us/insights/ai/iso-42001-paving-the-way-for-ethical-ai