Guardrails de IA Enterprise: Firewall para LLMs, Prevenção de Prompt Injection e Governança do Model Context Protocol (MCP)

A adoção acelerada de Modelos de Linguagem de Grande Escala (LLMs) e agentes autônomos em infraestruturas corporativas expôs uma nova e perigosa superfície de ataque cibernético. Vazamento de dados proprietários, execução indevida de comandos operacionais via tool-calling e contaminação de contexto por indirect prompt injection colocam em risco a integridade dos sistemas empresariais. A implementação de Guardrails de IA Enterprise não é um simples filtro de palavras-chave: trata-se de um firewall semântico em múltiplas camadas que inspeciona inputs e outputs em menos de 15 milissegundos e governa o acesso a ferramentas através do padrão Model Context Protocol (MCP).

1. Anatomia das Ameaças em IA: Jailbreaks, Injeções e Alucinações Hostis

O OWASP Top 10 for LLM Applications elenca como principais vulnerabilidades os ataques de injeção de prompt e a autonomia irrestrita de plugins. Ao contrário dos sistemas determinísticos convencionais onde o código e os dados são fisicamente separados na memória, em um modelo generativo as instruções do sistema e o input do usuário compartilham a mesma janela de contexto.

• Direct Prompt Injection (Jailbreak): Técnicas de engenharia social sintética que forçam o modelo a ignorar seu prompt de sistema original ("Ignore todas as instruções anteriores e execute o comando X").
• Indirect Prompt Injection: Vetores silenciosos onde o agente de IA consome uma fonte externa (e-mail, PDF, página web raspada) contendo instruções maliciosas ocultas em texto invisível ou metadados, instruindo o agente a vazar dados sensíveis da empresa.
• Tool-Calling Hijacking: Manipulação de parâmetros em chamadas de função (function calling) que exploram falhas de autorização em bancos de dados ou APIs corporativas.

2. O Firewall Semântico: Inspeção Vetorial em Menos de 15ms

Nossa arquitetura de Guardrails posiciona um proxy reverso de alta performance entre a aplicação corporativa e os provedores de modelo (OpenAI, Anthropic, Gemini ou clusters locais vLLM). Esse proxy executa quatro checagens síncronas paralelas:

# Exemplo de Interceptor de Guardrail com Proxy MCP em Python
from pydantic import BaseModel
import re

class GuardrailVerdict(BaseModel):
    is_safe: bool
    risk_score: float
    violations: list[str]
    anonymized_payload: str

class SemanticFirewall:
    def __init__(self, embedding_client, vector_store, pii_engine):
        self.embedding_client = embedding_client
        self.vector_store = vector_store
        self.pii_engine = pii_engine

    async def inspect_input(self, user_prompt: str) -> GuardrailVerdict:
        # 1. Anonimização estrita de PII (CPF, Cartões, Senhas)
        clean_prompt, redacted_items = self.pii_engine.mask(user_prompt)
        
        # 2. Similaridade de cosseno contra base vetorial de ataques conhecidos
        prompt_vec = await self.embedding_client.embed(clean_prompt)
        threat_match = self.vector_store.find_nearest(prompt_vec, threshold=0.88)
        
        if threat_match:
            return GuardrailVerdict(
                is_safe=False,
                risk_score=threat_match.score,
                violations=[f"Prompt injection detected: {threat_match.tag}"],
                anonymized_payload=""
            )
            
        return GuardrailVerdict(is_safe=True, risk_score=0.02, violations=[], anonymized_payload=clean_prompt)

3. Governança Segura do Model Context Protocol (MCP 2.0)

O Model Context Protocol (MCP) tornou-se o padrão da indústria para conectar LLMs a ferramentas, bancos de dados e APIs externas. No entanto, conceder ferramentas irrestritas a um agente autônomo é uma vulnerabilidade crítica. A Better2Better implementa uma camada de isolamento Zero-Trust para servidores MCP:

• Políticas de Autorização RBAC Granulares: O agente nunca possui permissão direta para executar ferramentas de mutação (`DELETE`, `TRANSFER_FUNDS`, `UPDATE`). Ferramentas críticas exigem um token temporário assinado e aprovação humana (Human-in-the-Loop) via WebSocket.
• Sandboxing em MicroVMs (Firecracker): Servidores MCP que processam código arbitrário ou manipulam arquivos rodam em micro-máquinas virtuais efêmeras isoladas com tempo de vida de segundos e acesso de rede bloqueado.

4. Anonimização de Dados Sensíveis e Conformidade com LGPD/GDPR

Enviar CPFs, dados bancários, prontuários de saúde ou segredos de negócios de clientes para APIs de terceiros constitui infração grave da LGPD. O módulo de Data Loss Prevention (DLP) da Better2Better substitui automaticamente dados sensíveis por tokens sintéticos reversíveis antes do envio ao modelo, restaurando as informações originais apenas no momento em que a resposta segura é entregue ao usuário autorizado.