Proteções de prompts e respostas
Como o AI-FW inspeciona prompts e respostas, regras integradas e personalizadas, ordem de avaliação e ações.
O AI-FW inspeciona prompts inbound antes do modelo e respostas outbound antes do cliente. Regras integradas cobrem ataques e conformidade; regras personalizadas ampliam as políticas da organização.
Regras integradas#
| Regra | Direção | Ação | Detecção |
|---|---|---|---|
| Detecção de jailbreak | inbound | block | Pedidos para ignorar instruções, substituir sistema, usar modo DAN ou contornar segurança. |
| Mascaramento de PII | inbound | mask | SSN, cartões, emails e API keys, substituídos por [REDACTED_*]. |
| Filtro de toxicidade | outbound | block | Padrões de ódio, discriminação e assédio. |
| Proteção contra exfiltração | outbound | block | Prompts de sistema expostos, IPs internos, credenciais e chaves privadas. |
Regras integradas aparecem como System no Rules Manager e podem ser alternadas individualmente. Regras personalizadas podem ser adicionadas, editadas, habilitadas, desabilitadas e removidas.
Avaliação#
A solicitação é avaliada em ordem fixa; o primeiro resultado decisivo prevalece. As próximas etapas só executam enquanto não houver decisão:
| # | Etapa | Resultado |
|---|---|---|
| 1 | Regras integradas | Executa jailbreak, PII, toxicidade e exfiltração. |
| 2 | Regras de bloqueio | Rejeita com 400 guardrail_violation; bloquear prevalece sobre aceitar. |
| 3 | Regras de mascaramento | Primeira correspondência reescreve conteúdo e encerra grupo. |
| 4 | Aceitação / registro | Primeira correspondência permite; log_only não salva prévia. |
| 5 | Camada semântica | Avalia políticas em linguagem natural. Consulte o guia semântico. |
| 6 | Regra implícita | Aplica ação padrão: permitir ou bloquear (negação por padrão). |
Se uma regra block corresponder, nenhuma etapa seguinte executa, mesmo que accept também corresponda. O grupo aceita regras textuais: regex, palavras-chave, limites de tokens, modelo e usuário.
Ações#
| Ação | Efeito |
|---|---|
| block | Rejeita com 400 guardrail_violation e prevalece. |
| mask | Substitui texto correspondente antes do encaminhamento. |
| log_only | Aceita sem persistir conteúdo e registra correspondência. |
| accept | Aceita e registra; prévias ficam na auditoria. |
Opções por regra#
- Skip semantic check: solicitação correspondente pula a camada semântica.
- Source IP / subnet: aplica se IP do cliente estiver no CIDR.
- Destination IP / subnet: aplica se IP de backend resolvido estiver no CIDR.
- Key mode / streaming: fixa comportamento upstream e streaming. Consulte Identidade e acesso.
Solicitação bloqueada#
Solicitação bloqueada retorna HTTP 400 e erro estruturado:
HTTP 400
{
"error": {
"message": "The transaction was intercepted and blocked by corporate AI security policy.",
"type": "guardrail_violation",
"code": "prompt_injection_detected",
"details": { "policy_id": "BUILTIN-JAILBREAK", "timestamp": "2025-01-15T10:00:00Z" }
}
}A resposta inclui X-Gateway-Security: Violated.
Reescritas que preservam JSON#
Mascaramento de PII e substituição do modelo padrão preservam JSON. Somente valores string e campo model mudam; chamadas de ferramentas/funções, streaming e demais campos passam byte a byte.
Opções fail-open#
O gateway é fail-closed por padrão. Settings -> Fail-open Options oferece exceções opcionais, desabilitadas por padrão:
| Controle | Ao habilitar |
|---|---|
| Scanner exceptions | Exceção no scanner de prompts permite a solicitação e registra auditoria. |
| Response-scan exceptions | Exceção no scanner de respostas encaminha sem inspeção e não armazena em cache. |
| Compression gate | Se a camada semântica estiver indisponível, comprime sem validar; desvios abaixo do limite são rejeitados. |
Cada evento fail-open é registrado com aviso e auditado.