À medida que mais organizações adotam a IA, elas dependem cada vez mais de APIs para conectar modelos de IA a aplicações e dados usados em treinamento e inferência. No entanto, quanto mais conexões de API houver, maior será o risco. Agentes mal-intencionados podem explorar APIs para exfiltrar dados, contornar as restrições de segurança de modelos de IA e até mesmo roubar os próprios modelos.
Uma única aplicação de IA pode ter centenas de endpoints de API difíceis de serem monitorados pelas equipes de segurança, e as configurações estão cada vez mais complexas. Segundo o Gartner, mais de 30% do aumento na demanda por APIs virá da IA e de ferramentas que usam modelos de linguagem de grande escala (LLMs) até 2026.1
Não negligencie a infraestrutura de segurança das APIs usadas para IA. Essas APIs exigem uma diligência adicional para ajudar a proteger você e seus investimentos em IA contra explorações avançadas, além de demandarem considerações específicas de supervisão e autenticação.
Por que você precisa de uma segurança robusta para APIs
Sem segurança de APIs, seus modelos de IA ficam expostos a inúmeras ameaças, como injeções de prompt, extração de modelos ou o verdadeiro caos das APIs ocultas, que ficam fora da sua visibilidade e do seu controle. As APIs ocultas geralmente surgem quando membros bem-intencionados da equipe criam novos endpoints de API sem a devida supervisão de segurança, gerando pontos cegos que dificultam identificar quem ou o que está acessando cada modelo de IA.
“Sem segurança de APIs, seus modelos de IA ficam expostos a inúmeras ameaças, como injeções de prompt, extração de modelos ou o verdadeiro caos das APIs ocultas.”
Você também precisa ter em mente que, sem as proteções adequadas, os endpoints de API podem vazar informações de identificação pessoal (PII) ou propriedade intelectual durante as interações, revelando mais do que o pretendido a partir de prompts aparentemente inofensivos. Se as APIs não tiverem limitação de taxa, elas também poderão ser sobrecarregadas com solicitações e ficar vulneráveis a ataques de negação de serviço (DoS), resultando na degradação do serviço e em altos custos computacionais.
Cinco elementos essenciais a serem considerados na segurança de APIs
Proteger seus modelos e aplicativos de IA exige uma abordagem abrangente de segurança de APIs que contemple a descoberta, a autenticação e o risco elevado de ameaças específicas de IA. Priorize os seguintes recursos:
- Descoberta contínua monitora novos endpoints de API que se conectam a serviços de IA, proporcionando visibilidade em tempo real.
- Controles de acesso garantem que os novos endpoints de API sigam o devido processo de autenticação e apliquem o princípio do menor privilégio, sem conceder um nível de acesso superior ao necessário.
- A validação de entrada/saída verifica todos os dados enviados aos modelos de IA e recebidos deles para impedir a entrada de prompts maliciosos ou a saída de dados confidenciais.
- Limitação de taxa impõe limites para chamadas de API, evitando a sobrecarga dos sistemas, como no caso de um ataque de negação de serviço (DoS).
- Detecção de anomalias, assim como em qualquer software de monitoramento, verifica comportamentos suspeitos nos padrões regulares de tráfego.
Como habilitar a proteção completa de IA na AWS
Uma IA bem-sucedida depende tanto do desenvolvimento quanto da segurança. Serviços como Amazon Bedrock, Amazon SageMaker e Amazon CodeWhisperer permitem usar modelos de base populares ou criar e dimensionar seus próprios modelos por meio do desenvolvimento com tecnologia de IA. A F5 complementa esses serviços da AWS com um conjunto de soluções que oferece segurança essencial para APIs e integra os cinco recursos abordados na seção anterior.
A primeira solução que você deve considerar é o F5 Distributed Cloud API Security, que identifica e mapeia automaticamente novos endpoints de API, mesmo que tenham sido criados por meio de TI paralela. Isso proporciona maior visibilidade, facilitando a aplicação de políticas de segurança e a proteção das APIs contra uso indevido, vazamento de dados e acesso não autorizado.
Em seguida, F5 Managed Rules for AWS WAF é uma coleção de conjuntos de regras pré-configurados, disponíveis no AWS Marketplace e desenvolvidos para integração com o AWS WAF. Esses conjuntos de regras específicos para APIs oferecem uma camada adicional de defesa e são continuamente atualizados pelos especialistas em segurança da F5 para acompanhar as ameaças mais recentes.
Ambas as soluções ajudam a impedir o acesso não autorizado aos modelos, proteger seus dados confidenciais e sua propriedade intelectual e garantir que a IA permaneça disponível para uso legítimo, seja por entidades humanas ou máquinas.
Inove mais rápido, com mais confiança e controle
Quando se trata de suas iniciativas de IA, a AWS fornece a base, e a F5 oferece a segurança. As soluções da F5 se integram ao pipeline de CI/CD, permitindo que suas equipes avancem rapidamente e, ao mesmo tempo, obtenham a proteção necessária. Preocupe-se menos com ameaças como injeção de prompts e manipulação de modelos ou com a possibilidade de a IA divulgar dados confidenciais.
Essas soluções são fáceis de implantar na nuvem da AWS e aumentam a visibilidade da sua infraestrutura, permitindo que você lide com práticas de TI invisível antes que elas saiam do controle. Juntas, a AWS e a F5 ajudam você a navegar pela crescente complexidade da IA, para que possa adicionar todas as fontes de dados e APIs necessárias para alcançar o sucesso.
Saiba mais em F5 na Amazon Web Services (AWS).
Leia também meu post anterior no blog, Crie pipelines de dados rápidos e seguros para treinamento de IA na AWS.
GARTNER é uma marca comercial e marca de serviço registrada da Gartner, Inc. e/ou de suas afiliadas nos EUA e internacionalmente, sendo utilizada neste documento com autorização. Todos os direitos reservados.
1Gartner, “Gartner prevê que mais de 30% do aumento na demanda por APIs virá da IA e de ferramentas que usam modelos de linguagem de grande escala até 2026”, 20 de março de 2024
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...