Um parecer sobre as cinco ferramentas de segurança de IA que chegaram à mesa — e os dois pilares de arquitetura que protegem o que elas não alcançam.
Segurança de IA não se compra pronta. Se desenha.Chegaram cinco ferramentas à mesa: Lakera, Harmonic, Cyberhaven, Zscaler e SentinelOne. Cada uma resolve um problema real — só não o problema que motivou a lista.
O risco declarado foi este: dado de cliente exposto ao modelo. É um risco de arquitetura — onde o dado mora, quem processa, o que sai do ambiente. As cinco ferramentas atuam em camadas vizinhas: o funcionário que usa IA por fora, uma aplicação exposta a input externo, o endpoint, a rede corporativa. Camadas legítimas. Nenhuma delas toca o ponto que preocupa a casa hoje.
Este parecer faz duas coisas. Primeiro, posiciona cada ferramenta na camada certa e diz, com respeito, se ela serve agora, serve depois ou não serve para esse risco específico. Segundo — e é a parte que importa — mostra onde a proteção realmente mora: dois pilares de arquitetura sem preço de licença, porque o custo é engenharia, não compra.
| Ferramenta | Camada onde ela atua | Veredito |
|---|---|---|
| Lakera (Check Point) | Guardrail de I/O da aplicação LLM | Outra camada / prematura — pressupõe app exposta a input não confiável. Não existe hoje. |
| Harmonic | Funcionário → IA externa (shadow AI) | Prematura hoje — a mais leve das três dessa categoria, candidata a piloto se a necessidade aparecer. |
| Cyberhaven | Funcionário → IA externa (data lineage) | Redundante hoje — política atual já cobre; mais profunda, mais cara. |
| Zscaler | Rede corporativa (SSE / zero-trust) | Desproporcional — exige adotar um projeto de rede inteiro. |
| SentinelOne | Endpoint (EDR/XDR) | Pauta válida, outra conversa — não é segurança para IA. |
Nenhuma das cinco atua na camada onde o risco declarado mora: execução de agentes e o dado que entra no ambiente.
Se nenhuma ferramenta ataca "dado exposto ao modelo", a pergunta certa é: o que ataca? Duas peças de arquitetura — não duas compras.
O primeiro pilar é a minimização do dado: qual dado entra no ambiente de desenvolvimento, e qual nunca deveria entrar. Não é uma ferramenta que se instala — é uma decisão de classificação, seguida de engenharia de dados. O segundo pilar é o sandbox de execução de agentes: o que o agente pode tocar, escrever e acessar enquanto roda. É onde mora hoje o risco mais concreto — e o estado da arte custa zero de licença.
Os dois pilares seguem abaixo, com o rigor que o tema exige.
As cinco ferramentas orbitam o risco central em camadas adjacentes, sem tocá-lo — só os dois pilares de arquitetura, minimização do dado e sandbox de execução, atravessam a fronteira e protegem o núcleo.
A pergunta de residência — para onde o prompt vai, quem processa — foi feita e está respondida. A casa roda Claude Code no plano Team, subscrição para a empresa inteira, com managed-settings.json já aplicado. Enterprise e Bedrock foram avaliados e ficaram fora do orçamento; LLM próprio não tem capacidade computacional para rodar. Não há degrau a subir no curto prazo.
Isso muda a pergunta certa. Se não dá para escolher para onde o dado vai, sobra escolher qual dado entra — e esse é o controle mais barato e mais forte da lista.
Treino não acontece (Commercial Terms, Seção B) e a retenção é fixa em 30 dias — isso é contratual e vale hoje. O que o Team não dá: SSO forte, audit log por usuário, retenção configurável, ZDR. A trilha de auditoria, se for necessária, tem de ser reconstruída por fora (OTel → SIEM próprio).
Definir, por escrito, o que nunca deve entrar no ambiente de desenvolvimento: PII de cliente, dado de patrimônio, posição, qualquer base identificável. É uma decisão de política, não um projeto de tecnologia — e antecede qualquer compra da lista de cinco.
Fixtures mascaradas para desenvolvimento e teste, schemas sem PII, ambientes de dev alimentados por dado sintético. O desenvolvedor trabalha com a forma do dado, não com o dado. Custo: engenharia de dados, uma vez.
Todo controle que depende de vigilância — deny rule, allowlist, DLP — falha justamente contra quem já tem acesso legítimo. Uma regra Read(./.env) não impede um cat .env pelo bash. O dado que não está no ambiente é o único que não vaza dele.
Este pilar não tem preço de licença e não depende de aprovação de orçamento. Depende de uma decisão de classificação e de um trabalho de engenharia de dados — e encolhe todo o resto da conta, porque muito do stack caro existe para proteger dado que poderia simplesmente não estar ali.
Em entrega anterior (Claude Code via Amazon Bedrock), afirmamos que rodar Claude via Bedrock em sa-east-1 mantém o processamento no Brasil. Os model cards oficiais da AWS mostram outra coisa: sa-east-1 (São Paulo) não tem inferência in-region para nenhum modelo Claude — Sonnet 5, Sonnet 4.6, Opus 4.7. A única rota é o inference profile Global, que processa em qualquer região comercial da AWS, fora do Brasil.
O que segue valendo: o dado não vai à Anthropic, a AWS é a processadora, não há treino. O que muda: "fica no Brasil" não é verdade hoje. Conta, configuração e logs ficam em São Paulo — a inferência, não.
Estado do assunto: a rota Bedrock foi levada ao fornecedor e o custo ficou fora do orçamento previsto — o time não seguiu adiante. A correção acima fica registrada porque conserta uma afirmação de entrega anterior, não porque reabre a decisão. A consequência prática: residência estrita no Brasil não está ao alcance hoje por nenhuma rota viável, o que é exatamente o motivo de o Pilar 1 ser minimização, e não escolha de endpoint.
/sandboxIsola comandos com primitivas do SO (Seatbelt/macOS, bubblewrap/Linux). Escrita restrita ao working dir, nenhum domínio de rede por padrão. Telemetria da Anthropic: −84% de prompts de permissão.
managed-settings.json org-widePolítica que o dev não sobrescreve: allowlists travadas, bypass bloqueado — a mesma regra de ouro de Até Onde o Agente Vai.
A Anthropic publica devcontainer de referência que bloqueia toda saída exceto allowlist. A casa já roda Docker — é evoluir o empacotamento existente.
Segredo via Secrets Manager + IAM role em runtime, nunca env var fixa no container (ver Gestão de Credenciais e Secrets). Regra da Anthropic: se a credencial nunca entra na sandbox, não há como vazar dela. Complementa Auditoria de Segurança em Repos GitHub.
Isolamento mais forte que container, pra execução não supervisionada de agentes programáticos. Degrau futuro.
Todo o stack roda sobre licenças abertas (Apache-2.0, bubblewrap, Docker). O custo real não é licença — é tempo de engenharia.
Guardrail de I/O para aplicações expostas a usuário externo — chatbot público, agente RAG aberto. A casa não tem essa superfície hoje. Em SaaS, o próprio guardrail passaria dado sensível por mais um terceiro (nuvem Check Point, sem região no Brasil). Quando existir app exposta, NeMo Guardrails ou Llama Guard cobrem a mesma camada sem esse ponto de saída, em código aberto.
Cobre o funcionário que usa IA pessoal fora do fluxo sancionado. A política atual já trata esse vetor por arquitetura. Se precisar de reforço técnico — não só regra — é a mais leve das três dessa categoria e candidata natural a piloto. Falta confirmar com o fornecedor se o conteúdo do prompt sai do endpoint.
Mesma camada da Harmonic, com mais profundidade — rastreia linhagem do dado, cita nominalmente Claude Code. Seria reforço de regra que a arquitetura já cumpre, com motion comercial de empresa grande (mediana US$38 mil/ano) e incidente de supply-chain confirmado na própria extensão em dez/2024.
O módulo de IA só funciona roteando 100% do tráfego por proxy próprio — um projeto de zero-trust de rede inteiro pra mitigar vetor que a política já trata. Maior lock-in da lista (mesmo raciocínio de O Repositório é o Ativo — aqui, a rede).
EDR/XDR sólido e barato (tabela US$3,5–9 mil/ano p/ 50 endpoints). Purple AI é IA para segurança — copiloto de SOC, não segurança para IA. A peça mais próxima do tema (Prompt Security, adquirida 2025) protege contra vazamento pra ferramentas de terceiros, não o LLM interno. Conversa de segurança geral, separada da pauta de IA.
Nenhuma das cinco ferramentas resolve o risco que motivou esta lista — a proteção do dado exposto ao modelo mora em dois pilares de arquitetura, minimização do dado e sandbox de execução, e o custo dos dois é engenharia, não licença.
Este parecer não recomenda comprar nada. Recomenda olhar para o lugar certo. As cinco ferramentas seguem válidas — cada uma no seu momento e na sua camada. A prioridade agora é fechar os dois pilares que já estão ao alcance, ambos dentro do plano que a casa já tem: travar o sandbox de execução e endurecer o managed-settings.json, sem custo de licença, e classificar o dado que não deveria entrar no ambiente de desenvolvimento. O resto pode esperar a próxima rodada.