Como escolher o parceiro certo de IA e segurança de aplicações

Louise ScullyGerente Sênior de Marketing de Produto, Segurança de IA e Inteligência de Ameaças | F5

A integração da IA aos aplicativos tornou mais difícil do que nunca escolher um parceiro de cibersegurança. E, infelizmente, as organizações não podem adiar essa escolha. Os invasores, também munidos de ferramentas de IA, estão encontrando e explorando vulnerabilidades mais rápido do que nunca.

Não faltam aplicativos aprimorados por IA para atacar. De acordo com o Relatório sobre o Estado da Estratégia de Aplicações da F5 de 2026, 98% das organizações estão se preparando para a IA agêntica. No entanto, 77% dessas mesmas organizações preveem desafios no gerenciamento do acesso de agentes de IA. E apenas 28% relatam ter simplificado os fluxos de trabalho dos desenvolvedores por meio de um único ponto de gerenciamento de IA.

Essa lacuna entre a adoção e a segurança da IA levanta uma questão importante: como as organizações devem ampliar a segurança de aplicações para proteger aquelas habilitadas por IA? Para responder a essa pergunta, é útil entender em quais aspectos a segurança tradicional de aplicações continua sendo essencial e em quais a IA introduz novos requisitos de segurança.

A evolução dos fundamentos da segurança de aplicações

A segurança de aplicações protege aplicações e APIs contra vulnerabilidades, tráfego malicioso, abuso e atividades não autorizadas. Durante a execução, as organizações usam controles como firewalls de aplicações web (WAFs), segurança de APIs, gerenciamento de bots e mitigação de ataques distribuídos de negação de serviço (DDoS) para proteger as aplicações e os serviços que elas disponibilizam.

As arquiteturas de software modernas tornaram esses processos mais complexos. Atualmente, os aplicativos são compostos por diversos serviços menores que se comunicam por meio de APIs. Esses serviços costumam estar distribuídos entre vários provedores de nuvem pública, data centers locais e locais de borda. Cada conexão ao longo do caminho representa um possível ponto de entrada para invasores.

A proteção moderna de aplicações web e APIs (WAAP) geralmente reúne quatro controles essenciais de segurança em tempo de execução:

• WAFs: Inspecionam o tráfego HTTP e HTTPS e ajudam a bloquear ataques à camada de aplicação antes que eles cheguem às aplicações.
• Segurança de APIs: Descubra e proteja APIs, incluindo endpoints ocultos e não gerenciados, enquanto identifica atividades maliciosas ou abusivas em APIs.
• Gerenciamento de bots: Diferencie automações legítimas de bots mal-intencionados e ajude a evitar coleta automatizada de dados, preenchimento de credenciais, invasão de contas e outros abusos automatizados.
• Mitigação de DDoS: Proteja a disponibilidade das aplicações contra ataques projetados para sobrecarregar aplicações e serviços.

Aplicações habilitadas por IA apresentam riscos que os controles tradicionais de segurança de aplicações não foram projetados para enfrentar. Protegê-las exige mais do que adicionar novas regras a um WAF existente.

Os controles tradicionais de segurança de aplicações avaliam principalmente protocolos, solicitações, código, padrões de tráfego e técnicas de ataque conhecidas. A IA apresenta um desafio adicional: instruções maliciosas podem ser transmitidas por meio de prompts em linguagem natural sintaticamente válidos, o que significa que os controles de segurança também precisam compreender o contexto e a intenção.

Essa nova abordagem de ataque exige que as organizações implementem controles específicos para prompts e respostas de IA, dados confidenciais, acesso a modelos e interações com agentes e ferramentas, além de gerenciar como a IA é usada por toda a força de trabalho.

Como a segurança de aplicações se estende à IA

As tecnologias tradicionais de segurança de aplicações continuam sendo essenciais para aplicações habilitadas por IA, mas sua função é diferente da segurança desenvolvida especificamente para IA. Veja como as abordagens mais comuns se encaixam na arquitetura de segurança mais ampla. Para uma comparação mais detalhada de empresas específicas e seus recursos, clique aqui.

WAFs nativos da nuvem

Os WAFs nativos da nuvem continuam protegendo a camada de aplicações web e APIs, mas a inspeção tradicional de WAF, por si só, não aborda muitas ameaças específicas de IA. Por isso, alguns provedores de nuvem combinam seus recursos de WAF com serviços separados de segurança de IA, que inspecionam prompts e respostas, detectam tentativas de injeção de prompts e jailbreak, protegem dados confidenciais e aplicam mecanismos de proteção específicos para IA.

Vantagens

• Integração nativa com a infraestrutura: Os WAFs oferecidos por provedores de nuvem geralmente permitem integração nativa com o ecossistema do próprio provedor, facilitando a implantação e o gerenciamento dos firewalls.
• Integração de segurança: Os WAFs baseados em nuvem geralmente podem ser integrados a outros recursos de IA e de segurança cibernética tradicional como parte de uma estratégia de defesa em profundidade. Por exemplo, você pode adicionar facilmente mitigação de DDoS, gerenciamento de bots e outros serviços.
• Redes globais: Os provedores de nuvem geralmente contam com grandes redes globais, que ajudam a identificar atividades maliciosas e a reduzir a latência das ações de mitigação de ameaças. Além disso, provedores de nuvem e fornecedores de soluções de cibersegurança costumam manter laboratórios de pesquisa que fornecem diariamente inteligência sobre ameaças para orientar as regras do WAF.

Desvantagens

• Ecossistema fechado: Os WAFs oferecidos por provedores de nuvem protegem principalmente aplicações e cargas de trabalho de IA hospedadas em suas próprias nuvens.
• Restrições de implantação: Os WAFs nativos da nuvem nem sempre são a opção ideal para organizações com ambientes multinuvem ou híbridos.
• Complexidade da rede: Quando o tráfego é enviado pela rede de um provedor, pode ser difícil identificar ameaças ou outros problemas no aplicativo. Por exemplo, talvez seja necessário analisar as configurações de rede, as configurações de DNS, o comportamento do cache ou o próprio aplicativo para descobrir a causa raiz.
• Preços conforme o uso: Quando os provedores cobram de acordo com o número de regras ou complementos selecionados, pode ser difícil prever as despesas.

Plataformas de entrega e segurança de aplicações

As plataformas de entrega e segurança de aplicações ajudam as organizações a entregar, otimizar e proteger aplicações e APIs de forma consistente em ambientes distribuídos. Alguns fornecedores estão ampliando essas plataformas com recursos de gateway de IA e segurança de IA para gerenciar o tráfego de inferência, controlar o acesso a modelos e agentes e aplicar controles de segurança específicos para IA.

Vantagens

• Flexibilidade de implantação: Algumas dessas soluções de proteção para entrega de aplicações estão disponíveis como appliances locais, na nuvem e em configurações híbridas.
• Modelo de segurança híbrido: Essas soluções podem oferecer segurança híbrida que utiliza tanto a detecção de ataques baseada em assinaturas quanto um modelo de segurança positivo, que aprende o comportamento típico da aplicação e, em seguida, identifica anomalias.
• Segurança em várias camadas: As soluções de proteção da entrega de aplicações geralmente podem ser integradas a outras soluções de segurança, como WAFs, além de ferramentas de gerenciamento de bots, visibilidade em tempo de execução, mitigação de DDoS e segurança de APIs.
• Integração com terceiros: Algumas soluções podem ser integradas a WAFs de terceiros, permitindo que as organizações ampliem seus recursos e evitem a dependência de um único fornecedor.

Desvantagens

• Limitações como solução independente: Apesar das integrações com terceiros, algumas soluções são mais adequadas para equipes que já usam esse provedor para disponibilizar aplicativos. Se você precisa apenas de segurança, optar por essas soluções pode gerar custos excessivos e complexidade desnecessária.
• Custos adicionais: Alguns fornecedores oferecem recursos como descoberta de APIs ou serviços gerenciados apenas como complementos pagos, aumentando os custos totais.

F5 AI Security Platform

A F5 AI Security Platform reúne descoberta, governança, testes e proteção em tempo de execução para a IA em toda a empresa. A F5 Workforce AI Security oferece visibilidade sobre o uso autorizado e não autorizado de IA, incluindo os modelos, as ferramentas, os prompts e os dados utilizados pelos colaboradores. O F5 AI Gateway oferece um ponto de controle para gerenciar o acesso a modelos, agentes e ferramentas de IA. O F5 AI Red Team usa testes adversariais para identificar vulnerabilidades e pontos fracos em sistemas de IA, enquanto o F5 AI Guardrails aplica políticas durante as interações com a IA para ajudar a evitar vazamentos de dados confidenciais, atividades maliciosas e violações de políticas.

Juntos, esses recursos ampliam a segurança de aplicações para os novos pontos de controle introduzidos pela IA. A F5 AI Security Platform estende a estratégia da F5 Application Delivery and Security Platform (ADSP) à IA empresarial, combinando segurança de IA desenvolvida especificamente para essa finalidade com os recursos consolidados de segurança de aplicações e APIs da F5.

Principais recursos:

• Testes contínuos: Red teaming encontra vulnerabilidades e as corrige automaticamente.
• Proteção em tempo de execução: As equipes podem implementar mecanismos de proteção contra ameaças em tempo de execução, como injeção de prompts e jailbreak.
• Criação simplificada de políticas: Os recursos de linguagem natural permitem que as equipes criem facilmente políticas e controles personalizados.
• Segurança da força de trabalho de IA: As organizações podem identificar o uso não autorizado de IA, classificar os fluxos de trabalho por intenção e gerenciar seu uso com controles aplicáveis.

A plataforma de segurança de IA é um componente essencial da F5 Application Delivery and Security Platform (ADSP), que oferece segurança avançada e gerenciamento de tráfego para aplicativos e APIs. A plataforma pode ser implantada em qualquer ambiente e permite que as organizações integrem a segurança de IA à segurança de aplicativos sem aumentar a complexidade.

Perguntas frequentes

Um WAF pode proteger uma aplicação de IA?

Um WAF continua sendo uma parte importante da proteção de uma aplicação habilitada por IA, pois a aplicação e suas APIs ainda estão expostas a ataques tradicionais na web. No entanto, a proteção oferecida apenas pelo WAF não aborda riscos específicos de IA, como injeção de prompts, jailbreaks, saídas maliciosas de modelos ou comportamento inseguro de agentes. As organizações precisam de controles de segurança específicos para IA, além da proteção tradicional de aplicações web e APIs.

Como a segurança de IA complementa a segurança de aplicações?

A segurança de aplicações protege as aplicações, as APIs e o tráfego que dão suporte aos sistemas de IA. A segurança de IA acrescenta controles desenvolvidos especificamente para a camada de IA, incluindo testes adversariais de modelos e agentes, inspeção de prompts e respostas, proteção contra injeção de prompts e vazamento de dados, governança do acesso a modelos e ferramentas e visibilidade sobre o uso de IA na empresa.

Como a integração da IA afeta a segurança de aplicações?
Proteger aplicações habilitadas por IA exige mais do que adicionar novas regras a um firewall de aplicações web (WAF). A segurança tradicional de aplicações e APIs continua sendo essencial, mas a IA introduz riscos adicionais nas camadas de modelo e interação. As organizações também precisam estabelecer proteções para prompts e respostas de IA, testar modelos e agentes contra ataques adversariais, controlar o acesso a modelos e ferramentas, proteger dados confidenciais e manter a visibilidade sobre como a IA está sendo usada em toda a empresa.

Saiba mais sobre a F5 AI Security Platform.

Sobre o autor

Louise ScullyGerente Sênior de Marketing de Produto, Segurança de IA e Inteligência de Ameaças | F5

Louise Scully é gerente sênior de Marketing de Produtos para Segurança de IA e Inteligência de Ameaças na F5. Sua carreira abrange marketing de produtos, gestão de produtos, estratégia de entrada no mercado, comunicação, liderança de pensamento e desenvolvimento de categorias nas áreas de segurança de IA e tecnologia empresarial. Antes de ingressar na F5, Louise liderou o marketing na CalypsoAI e na Artomatix, ajudando a levar tecnologias e pesquisas de IA ao mercado.

Mais publicações de Louise Scully