APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
Uma aplicação gerida mantém responsabilidades do cliente sobre conteúdo, configuração e acessos. Distingue autenticação, que estabelece identidade, de autorização para executar ações sobre recursos. Roles e políticas IAM devem limitar o acesso à necessidade da aplicação; uma instrução no prompt não substitui essa fronteira. Cifra em trânsito e em repouso, conectividade privada e gestão de chaves tratam aspetos diferentes. Macie ajuda a descobrir dados sensíveis em S3; não torna automaticamente seguros todos os pedidos ao modelo. Planeia classificação, origem, retenção, eliminação e acesso a prompts, respostas e memória. Evita inserir dados confidenciais em tags ou campos de nome que podem aparecer em registos operacionais. Confirmar região, processamento e políticas aplicáveis faz parte da análise, sem presumir uma regra universal para todos os bancos.
Aplicação guiada
Num cenário fictício, um documento recuperado contém uma instrução para enviar um ficheiro para um destino externo. Trata esse conteúdo como dados não confiáveis. Além de filtros, limita ferramentas, destinos e ações e exige aprovação onde o impacto a justifique. Valida argumentos e resultados fora do modelo. Regista identidade, versão, decisão e chamada relevantes, protegendo o conteúdo dos logs. CloudTrail ajuda a auditar atividade de API; não se deve presumir que contém todo o diálogo ou raciocínio da aplicação. Observabilidade do workflow complementa a evidência. Define quem responde a falhas, como suspender uma ferramenta e como recuperar trabalho parcial. AWS Artifact fornece relatórios do fornecedor; a equipa ainda precisa de demonstrar a sua configuração e processo. Governação acompanha alterações de modelo, dados, prompt e permissões, com revisão proporcionada ao risco.
Uma instrução num documento não deve ampliar permissões do agente.
Armadilhas comuns
Prompt como controlo de acesso; logs com segredos; relatório do fornecedor como prova da aplicação; memória sem retenção definida.
Tópicos relacionados: IA e ML: problema, dados e métricas · IA generativa, contexto e agentes · Modelos fundacionais: RAG, prompts e avaliação
Aplica limites fora do modelo e mantém evidência suficiente com acesso controlado.
Referência: AIF-C01 domain5: Security, Compliance, and Governance for AI Solutions · AIF-C01