Desenvolvimento seguro e DevSecOps

A Looplex integra segurança ao desenvolvimento, à manutenção e à operação da plataforma. Essa prática, conhecida como DevSecOps, incorpora a avaliação de riscos e os controles de segurança às etapas de criação e evolução dos serviços.

O processo abrange código, infraestrutura, dependências, integrações e componentes de inteligência artificial. Uma mudança em um modelo, prompt, playbook ou ferramenta pode alterar o comportamento de uma solução e recebe avaliação compatível com seu impacto.

Avaliação e projeto

O desenvolvimento considera quais dados serão utilizados, quem poderá acessá-los, quais operações serão permitidas e como os resultados serão registrados ou compartilhados. A avaliação identifica os pontos em que uma informação atravessa organizações, serviços ou fornecedores.

As decisões de projeto aplicam privilégio mínimo, separação de ambientes e redução da exposição de dados e credenciais. Requisitos de segurança são incorporados às interfaces e aos serviços responsáveis por executar as operações.

Revisão e verificação

Mudanças de código passam por revisão ou controles equivalentes. As verificações incluem análise de dependências, identificação de vulnerabilidades, detecção de segredos expostos e testes das funções de acesso e autorização.

Os testes verificam tanto os resultados esperados quanto os comportamentos que a aplicação deve impedir. Entre os cenários avaliados estão consultas sem permissão, acesso entre organizações, parâmetros inválidos e tentativas de executar ações além do escopo autorizado.

Ambientes de desenvolvimento, teste e produção são separados. O uso de dados de produção fora de seu ambiente depende de necessidade, autorização e medidas de proteção adequadas.

Proteção da entrega de software

A Looplex controla o acesso aos repositórios, às ferramentas de construção e aos mecanismos de publicação. Credenciais de entrega possuem escopo limitado e são administradas fora do código da aplicação.

As versões publicadas mantêm relação com as mudanças que as originaram. Dependências e componentes externos são avaliados quanto à procedência e às vulnerabilidades conhecidas, com correções priorizadas por risco e exposição.

Mudanças relevantes têm aprovação e registro. A publicação inclui acompanhamento dos serviços e condições de suspensão ou reversão quando os resultados indicarem falhas ou riscos não previstos. Alterações de dados exigem procedimentos próprios de recuperação; reverter uma versão do software não desfaz automaticamente seus efeitos.

Mudanças em componentes de IA

Modelos, prompts, playbooks, configurações de recuperação de dados e interfaces de ferramentas possuem versões e responsáveis por sua alteração. A avaliação considera a combinação utilizada na execução, pois a substituição de um desses componentes pode afetar as demais etapas.

Antes da liberação, as verificações contemplam qualidade dos resultados, cumprimento das permissões, resistência a instruções maliciosas e comportamento diante de erros. Os testes incluem entradas representativas do trabalho jurídico, como documentos extensos, conteúdo extraído por OCR, informações contraditórias e tentativas de induzir o agente a utilizar ferramentas indevidamente.

As avaliações são repetidas quando mudanças relevantes podem alterar o comportamento da solução. Os controles de autorização permanecem nos serviços que executam as operações, independentemente das instruções fornecidas ao modelo.

O desenvolvimento seguro de sistemas de IA também é tratado no perfil do NIST para IA generativa, que complementa práticas de segurança ao longo do ciclo de desenvolvimento.

Operação e correção de vulnerabilidades

Após a publicação, a Looplex acompanha falhas, indicadores operacionais e eventos de segurança. As ocorrências alimentam a revisão dos testes, das configurações e dos controles de prevenção.

A prioridade de correção considera severidade, exposição, possibilidade de exploração, disponibilidade de atualização e medidas compensatórias. Conforme o caso, a resposta inclui aplicar uma correção, restringir uma funcionalidade ou desabilitar temporariamente um componente.

Padrão da plataforma e configurações do cliente

Padrão da plataforma. A Looplex administra o desenvolvimento dos seus componentes, os controles de publicação, a gestão de dependências e as verificações de segurança. A profundidade de cada avaliação acompanha o risco da mudança.

Dependente de configuração. Integrações, modelos habilitados, regras de execução, playbooks e fluxos de aprovação variam conforme a solução. Alterações nesses elementos passam por avaliação e homologação compatíveis com seu alcance e com a divisão de responsabilidades da implantação.

Responsabilidade do cliente. O cliente valida regras de negócio, critérios jurídicos e alçadas de aprovação, além de administrar os componentes e sistemas que desenvolve ou mantém. Também fornece dados adequados para homologação e informa mudanças em integrações sob sua gestão. Testes de intrusão e varreduras sobre os serviços da Looplex dependem de autorização prévia, conforme a Nota de Medidas de Segurança Corporativas.