InfoCuesta AI Security Check
Segurança em IA de forma simples · avaliação gratuita, sem cadastro
Um projeto InfocuestaSec Entrar
Biblioteca de boas práticas

Riscos e controles de IA

Riscos e controles resumidos a partir de MITRE ATLAS, OWASP LLM Top 10, OWASP LLMSVS e boas práticas próprias da InfocuestaSec.

Riscos

Alto Governança

Ausência de Política de Uso Responsável

Não existem regras claras sobre como a IA pode e não pode ser usada dentro da organização.

Exemplo: Funcionários usam uma IA generativa pública para processar dados de clientes, sem orientação da empresa.
Dica prática: Crie uma política simples de uso responsável de IA e comunique a todos os envolvidos.
Fonte: OWASP LLMSVS
Médio Governança

Confiança Excessiva na IA (Overreliance)

Pessoas confiam nas respostas da IA sem questionar, mesmo em decisões importantes.

Exemplo: Um analista aprova um contrato só porque a IA disse que 'está tudo certo', sem revisão humana. Em segurança: em janeiro de 2026 o projeto curl encerrou seu programa de recompensa por falhas porque recebia uma enxurrada de relatórios de vulnerabilidade gerados por LLM, longos e convincentes, que não se confirmavam; cada um custava segundos a quem mandava e horas de análise a quem mantinha o projeto.
Dica prática: Reforce que a IA é uma ferramenta de apoio e treine as pessoas a validar respostas críticas. Quando a IA entra numa decisão (detectar golpe, triar vulnerabilidade, aprovar código), use o modelo como uma camada entre várias e confira o que ele afirma contra dados concretos, nunca como o juiz final.
Fonte: OWASP Top 10 para LLMs / GenAI

Controles

  • Política de Uso Responsável de IA — Documento simples com regras de uso aceitável, limites e responsáveis pela IA na organização.
  • Revisão de Código Gerado por IA com Foco em Autorização — Todo PR gerado por IA passa por revisão de autorização e controle de acesso e pela leitura dos testes que o agente escreveu (o que afirmam, se os mocks batem com a API real). Mudanças grandes têm uma segunda revisão independente.
  • Avaliação do Agente com Falhas Plantadas — Antes de adotar um modelo ou agente de código, ou de trocar a forma de servi-lo, ele é testado em tarefas do próprio contexto com falhas plantadas por gravidade, medindo o que acha sem aviso, só depois de avisado e nunca.