A IA está avançando rapidamente. Em muitos casos, mais rápido do que os controles de segurança criados para governá-la.
As empresas estão implementando IA generativa, sistemas agênticos e fluxos de trabalho assistidos por IA em um ritmo que supera constantemente as análises formais de segurança. As unidades de negócios seguem avançando, enquanto os líderes de segurança tentam eliminar lacunas que aumentam em tempo real.
Em meio a toda essa urgência, há um problema que não recebe atenção suficiente: ainda não temos padrões rigorosos e amplamente aceitos para avaliar se os controles de segurança de IA realmente funcionam. Os fornecedores fazem alegações. As demonstrações têm escopo limitado. As garantias se baseiam em diagramas de arquitetura, e não em evidências do mundo real. Compradores, CISOs, líderes de GRC e arquitetos corporativos precisam tomar decisões de grande impacto sem uma forma confiável de distinguir controles eficazes de um bom marketing.
Essa é a lacuna que nos propusemos a preencher.
Hoje, a empresa independente de testes de segurança cibernética NSS Labs está publicando uma série de pesquisas em duas partes sobre como avaliar a segurança da IA empresarial, desenvolvida em colaboração com a F5, a AWS e a Microsoft.
- Parte 1, Segurança de IA além do modelo: O que as empresas precisam considerar e por quê, defende que a segurança de IA empresarial é um desafio de sistemas e governança, e não um problema restrito ao modelo. Ela aborda toda a superfície de risco: integridade das entradas e controle de instruções, riscos das saídas e exfiltração de dados, resiliência do sistema sob estresse, IA agêntica e autoridade delegada, observabilidade e análise forense, além dos requisitos de governança que integram todos esses aspectos.
- A Parte 2, Avaliação da segurança de IA empresarial: perguntas que todo comprador deve saber responder, transforma essa estrutura em ações concretas. Ela apresenta aos CISOs, compradores empresariais e equipes de GRC as perguntas específicas que devem fazer aos fornecedores, os sinais de alerta aos quais devem estar atentos e os critérios quantitativos de avaliação necessários para tomar decisões seguras e justificáveis ao selecionar controles de segurança de IA.
As proteções de IA são o pilar central da segurança de IA
Se você quiser entender o que são as proteções de IA e por que elas são importantes, recomendo a leitura do nosso artigo anterior sobre o assunto. Em resumo: as proteções de IA são controles de segurança em tempo de execução que operam fora do modelo, aplicando políticas, protegendo dados, restringindo o comportamento de agentes e gerando a trilha de auditoria exigida pela governança.
Eles não são o modelo em si. São a camada de segurança empresarial que torna
O setor precisava de um ponto de referência
Uma das coisas mais difíceis em qualquer área de tecnologia que evolui rapidamente é fazer uma pausa longa o suficiente para definir o que é uma boa prática. A pressão para lançar produtos, competir e atender à demanda dos clientes vai na contramão do tipo de reflexão criteriosa e independente de fornecedores que resulta em estruturas duradouras.
As empresas que colaboraram neste whitepaper — F5, AWS e Microsoft — trabalham com muitas das maiores e mais sofisticadas organizações do mundo que estão adotando IA em larga escala. Observamos os padrões de ameaças, as falhas de implantação, as lacunas de governança e os casos extremos com os quais a maioria dos fornecedores nunca se depara.
Combinar essa ampla experiência prática com o rigor do NSS Labs na metodologia de testes independentes nos deu a base para desenvolver algo que esperamos ser realmente útil. Não se trata de uma proposta comercial de um fornecedor, mas de uma estrutura para profissionais, criada por pessoas que trabalham diariamente com esses problemas.
Sou grato a todos que dedicaram seu tempo e conhecimento para tornar isso possível.
O trabalho pela frente
Os padrões só são úteis quando adotados. Esperamos que este framework se torne uma referência para as empresas avaliarem as soluções de segurança de IA que estão considerando.
Compradores que entendem como são testes rigorosos tomarão decisões de compra mais bem fundamentadas, e esperamos que essa expectativa ajude a impulsionar o avanço da comunidade de segurança como um todo.
A IA não está desacelerando. A superfície de ataque não está diminuindo. E a lacuna entre a implantação da IA e a responsabilização pelo seu uso não vai desaparecer por conta própria.
Você pode ler o white paper da NSS Labs, dividido em duas partes, aqui. Confira também nosso comunicado à imprensa sobre esta colaboração.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...