Proteja a inovação em IA na AWS com segurança para API

À medida que mais organizações investem em IA, elas dependem cada vez mais de APIs para conectar modelos de IA a aplicações e dados para treinamento e inferência. Porém, quanto maior o número de conexões de API, maior o risco. Atores mal-intencionados podem explorar APIs para exfiltrar dados, violar modelos de IA e até roubar os próprios modelos. 

Uma única aplicação de IA pode ter centenas de endpoints de API difíceis de acompanhar pelas equipes de segurança, e as configurações só ficam mais complexas. Segundo a Gartner, mais de 30% do crescimento na demanda por APIs até 2026 será impulsionado por IA e por ferramentas que utilizam grandes modelos de linguagem (LLMs).¹

Não descuide da infraestrutura de segurança das APIs usadas para IA. Essas APIs demandam cuidados extras para proteger você e seus investimentos em IA contra ataques avançados, além de exigir supervisão e autenticação específicas.

Sem segurança de API, seus modelos de IA enfrentam diversas ameaças, como injeções de comandos, extração de modelos ou o caos causado por APIs sombra, que estão fora do seu alcance e controle. APIs sombra surgem frequentemente quando membros da equipe criam novos endpoints de API sem a supervisão adequada de segurança, gerando pontos cegos que dificultam identificar quem ou o que acessa seus modelos de IA. 

Você deve ficar atento ao fato de que, sem os limites adequados, os endpoints de API podem vazar informações pessoais identificáveis (PII) ou propriedade intelectual durante as interações, expondo mais do que o esperado em respostas aparentemente inofensivas. APIs sem limitação de taxa podem sofrer sobrecarga de solicitações, tornando-se vulneráveis a ataques de negação de serviço (DoS), o que resulta em degradação do serviço e altos custos de processamento. 

Proteger seus modelos e aplicativos de IA exige uma abordagem completa para a segurança de APIs que cubra descoberta, autenticação e o risco aumentado de ameaças específicas de IA. Priorize as seguintes capacidades:

• Descoberta contínua monitora novos endpoints de API que conectam aos serviços de IA, garantindo visibilidade em tempo real. 
• Os controles de acesso garantem que os novos endpoints da API passem pelo processo correto de autenticação e apliquem o princípio do menor privilégio—sem acesso além do necessário.
• A validação de entrada e saída confere todos os dados que entram e saem dos modelos de IA para impedir que prompts maliciosos sejam introduzidos ou que dados sensíveis vazem.
• A limitação de taxa estabelece limites para chamadas de API, evitando que sistemas sejam sobrecarregados, como em um ataque DoS.
• A detecção de anomalias, assim como em qualquer software de monitoramento, identifica comportamentos suspeitos em padrões normais de tráfego.

Uma IA bem-sucedida depende tanto do desenvolvimento quanto da segurança. Serviços como Amazon Bedrock, Amazon SageMaker e Amazon CodeWhisperer permitem que você utilize modelos base populares ou crie e escale os seus próprios com desenvolvimento impulsionado por IA. A F5 complementa esses serviços da AWS com soluções que garantem segurança crítica para APIs e integram as cinco capacidades apresentadas na seção anterior. 

A primeira solução que você deve considerar é F5 Distributed Cloud API Security, que identifica e mapeia automaticamente novos endpoints de API, mesmo criados por meio de shadow IT. Isso proporciona maior visibilidade, facilitando a aplicação de políticas de segurança e protegendo APIs contra abuso, vazamento de dados e acessos não autorizados.

Em seguida, F5 Managed Rules para AWS WAF é uma coleção de conjuntos de regras pré-configuradas disponível no AWS Marketplace, desenvolvida para integrar-se ao AWS WAF. Esses conjuntos de regras específicas para API acrescentam uma camada extra de defesa, e nossos especialistas em segurança da F5 os atualizam constantemente para enfrentar as ameaças mais recentes. 

As duas soluções evitam o acesso não autorizado aos modelos, protegem seus dados pessoais confidenciais e propriedade intelectual, e garantem que a IA esteja disponível para uso legítimo, seja por pessoas ou máquinas.