Este artigo faz parte do IA generativa e a superfície de ataque.
Uma superfície de ataque nova
Quando o produto usa LLMs, aparecem caminhos de ataque que os controles clássicos não cobrem. O modelo recebe entrada livre, opera sobre contexto e às vezes executa ações. Isso muda o modelo de ameaça.
O OWASP LLM Top 10 organiza esses riscos e serve como referência prática para quem constrói com IA generativa. Não é uma certificação — é um mapa de onde olhar.
Prompt injection: direto e indireto
Prompt injection acontece quando uma entrada faz o modelo ignorar suas instruções. Na forma direta, o próprio usuário manipula o comportamento. Na forma indireta, mais perigosa, a instrução maliciosa vem de conteúdo que o modelo lê — uma página, um documento, um e-mail.
Injeção indireta é o risco que mais surpreende times: o atacante não precisa falar com o modelo, só plantar um texto que ele vai consumir. Tratar todo conteúdo lido como não confiável é o primeiro passo.
- Nunca confie em instruções que vêm de dados.
- Separe claramente o que é comando do sistema e o que é conteúdo.
- Limite o que o modelo pode fazer mesmo se for enganado.
Vazamento de dados e de contexto
Modelos podem devolver informação sensível presente no contexto ou aprendida em interações anteriores. Em produtos multi-inquilino, isso vira vazamento entre clientes.
Controle o que entra no contexto, isole sessões e evite colocar segredos e dados pessoais onde o modelo possa reproduzi-los. Minimização de dados também é controle de segurança de IA.
Uso indevido de ferramentas
Quando o LLM pode chamar ferramentas — enviar e-mail, consultar banco, executar código — o impacto de um prompt malicioso cresce. O modelo vira um caminho para ações privilegiadas.
Aplique o princípio do menor privilégio à IA: ela deve poder fazer o mínimo necessário, com escopo limitado e registro de tudo que executa. Confirmação humana para ações sensíveis.
- Menor privilégio para cada ferramenta exposta ao modelo.
- Registro de auditoria de toda ação executada.
- Confirmação humana para o que tem impacto.
- Limites de taxa e escopo por operação.
Testar o que você construir com IA
Segurança de IA generativa entra no mesmo ciclo: modelar ameaças, testar caminhos de abuso, monitorar comportamento. Além dos testes tradicionais, inclua casos que tentam manipular o modelo.
Teste a resistência a injeção, o isolamento de dados e os limites das ferramentas. E monitorize em produção: respostas anômalas costumam ser o primeiro sinal de um caminho de abuso.
Um ponto de partida
Você não precisa resolver os dez riscos de uma vez. Comece pelos três com maior impacto prático: injeção, vazamento de contexto e uso indevido de ferramentas.
Mapeie onde o modelo lê dados, o que ele pode executar e quais dados ele pode devolver. A partir daí, aplique limites e monitore. É o mesmo rigor da segurança clássica, aplicado a um sistema que interpreta linguagem.
- Inventarie: o que o modelo lê, executa e devolve.
- Limite: menor privilégio e isolamento de contexto.
- Teste: injeção, vazamento e abuso de ferramentas.
- Monitore: comportamento anômalo em produção.
Perguntas frequentes
O que é o OWASP LLM Top 10?
É uma lista de referência dos principais riscos de segurança em aplicações que usam LLMs, como prompt injection, vazamento de dados e uso indevido de ferramentas. Serve como mapa para priorizar controles, não como certificação.
Prompt injection tem solução definitiva?
Não há solução perfeita. O caminho é tratar todo conteúdo lido como não confiável, separar comandos de dados, limitar o que o modelo pode executar e monitorar o comportamento em produção.