Segurança e Governança de IA: Guia de Uso Seguro

As demais disposições do EU AI Act se tornaram de aplicação geral em 2 de agosto de 2026 e, com elas, veio uma onda repentina de avisos de que publicar um artigo escrito por IA sem rótulo passou a ser ilegal. A resposta curta é que, para a maioria dos criadores independentes e dos blogs corporativos, não surge nenhum dever de divulgação. O Artigo 50(4) diz com todas as letras que o dever não se aplica quando o conteúdo passou por revisão humana ou controle editorial e alguém assume a responsabilidade editorial pela publicação. A condição atrelada é que a revisão precisa ser substantiva e não pode se limitar a aspectos superficiais ou a uma aprovação meramente formal, de modo que publicar automaticamente um texto que ninguém leu não se enquadra. Este artigo percorre por que prestador (provider) e responsável pela implantação (deployer) têm deveres completamente distintos, por que a divulgação do texto gerado por IA depende da finalidade da publicação e não do tema, o dever de divulgação dos deepfakes e o tratamento atenuado das obras artísticas e satíricas, o aviso dos chatbots, por que a marcação legível por máquina como o C2PA Content Credentials é obrigação do prestador, e os prazos de 2 de dezembro de 2026 e 2 de fevereiro de 2027, sempre restrito ao que foi possível confirmar no texto legal e nos materiais da Comissão Europeia.

Uma afirmação geral não responde à pergunta "se a IA consegue editar as coisas direto, ainda precisamos de um painel de administração?", porque a mesma expressão "painel de administração" cobre um amontoado de funções de naturezas completamente diferentes. Este artigo, ancorado na experiência de apagar por inteiro o painel deste site, troca essa pergunta por uma mais afiada: essa tela oferece algo que a CLI e a IA já não estão oferecendo? O que apagar tudo revelou é que a maior parte das funções removidas não estava "sem uso", e sim "estruturalmente quebrada". O CRUD de artigos nunca teve como funcionar, porque a fonte da verdade dos artigos mora no código e cada deploy sobrescreve o banco de dados, então tudo que era editado na tela sumia no deploy seguinte. A fila de aprovação de comentários estava sempre vazia porque a implementação marcava a publicação como aprovada já no envio, de modo que um comentário não aprovado nunca chegava a existir. Uma função que ninguém usa é uma função cujo defeito ninguém consegue perceber. A única capacidade que não podia ir embora era a exclusão de comentários, e mesmo essa não tinha necessidade nenhuma de ser um painel de administração: um botão de excluir na própria página do artigo se mostrou melhor, porque o comentário problemático pode ser removido exatamente onde está sendo lido. A decisão se resume a seis perguntas. Quem opera (pessoas não técnicas ou um papel que troca de mãos pedem uma UI; desenvolvedores que vivem no terminal, não). É reversível (ações irreversíveis precisam de um portão). Exige julgamento humano (existe uma transição de estado de aprovar ou rejeitar). É preciso separar permissões. Quem opera sabe o que é possível (a listagem faz as vezes de documentação). Existe trilha de auditoria. Permissões e trilha de auditoria em especial parecem desnecessárias num projeto solo e viram os primeiros requisitos no instante em que uma segunda pessoa chega. Mudanças feitas via código caem no git, mas deixar uma IA escrever direto no banco de dados não registra nada por padrão, e um log de conversa preserva o que foi pedido, não o que aconteceu. Dos seis eixos, só a reversibilidade carrega um peso diferente. Em 18 de julho de 2025, um agente de IA do Replit apagou o banco de dados de produção da SaaStr durante um congelamento de código em vigor, fabricou 4.000 usuários e afirmou incorretamente que o rollback era impossível, atrasando a recuperação (AI Incident Database #1152) — um caso que mostra menos o perigo da IA e mais um problema de desenho em que uma ação irreversível podia ser alcançada sem passar por um portão humano. O artigo cobre ainda as três coisas a arrumar antes de passar peso para a IA e a CLI (as mudanças deixam um artefato durável, existe um degrau na frente das ações irreversíveis, o procedimento está escrito, já que apagar a UI também apaga a lista do que é possível fazer), uma checklist para rodar antes de construir qualquer coisa e a terceira opção dos produtos de ferramentas internas como Retool e Forest Admin em vez de escrever um painel à mão.

O Dispatch é o recurso em que você manda uma instrução pelo celular e o Claude executa o trabalho no seu próprio computador (beta, planos Pro e Max). Ele não roda na nuvem; é a sua máquina real que se mexe, e esse fato único produz tanto o valor quanto o perigo. A ajuda oficial diz que você pode mandar uma mensagem ao Claude pelo celular e fazer com que ele trabalhe no seu computador de mesa, usando os mesmos conectores, plugins e acesso a arquivos que você já configurou no Cowork, dentro do que a Anthropic enquadra como uma conversa contínua acessível a partir de qualquer um dos aparelhos. Para funcionar, ele exige o PC acordado e com o aplicativo de desktop aberto, e o uso do computador tem suporte apenas em macOS e Windows, sem uso do computador no Linux. Mecanicamente ele desce por três níveis de prioridade: um conector, se houver um disponível; navegação no navegador, se não houver; e interação direta com a tela como último recurso, com capturas de tela tiradas pelo caminho para entender o que está exibido. A avaliação começa depois disso. Os lugares em que ele para são projetados: o uso do computador vem desligado por padrão e é habilitado em Settings, General; a permissão é pedida para cada novo aplicativo; excluir um arquivo em definitivo exige permissão explícita; e plataformas de investimento e negociação e aplicativos de criptomoedas estão fora de alcance por padrão. Mas há lugares em que ele não para. Ações individuais dentro de um aplicativo já aprovado não são confirmadas com você, e o texto oficial diz que o Claude clica, digita e navega na sua tela diretamente, sem as verificações de permissão que controlam as outras ferramentas do Cowork. A documentação acrescenta que não há sandbox entre o Claude e o que está na sua tela, e que ações tomadas em um aplicativo podem impactar outros aplicativos. O maior risco é a injeção de prompt, que a Anthropic descreve com as próprias palavras: o conteúdo da web é um vetor primário de ataques de injeção de prompt, e uma instrução manipulada, um comando inesperado ou um link de phishing aberto no seu navegador podem desencadear ações difíceis ou impossíveis de desfazer. A Anthropic diz que examina as ativações do modelo para detectar esse tipo de comportamento, mas isso reduz as chances em vez de eliminar a necessidade de você traçar uma linha, e a orientação continua mandando mudar para aprovação manual sempre que uma tarefa tocar arquivos, contas ou sites sensíveis. A Anthropic nomeia o limite sem meias-palavras: não dê à permissão de uso do computador acesso a aplicativos sensíveis, como os de bancos, saúde e governo, e evite contas financeiras, documentos jurídicos, informações médicas e dados pessoais. O artigo também cobre o lado do celular. O que vaza se você perder o aparelho não são os dados guardados nele, e sim a prerrogativa de instruir o seu PC, mais o conteúdo da conversa contínua — e a ajuda oficial do Dispatch não documenta desemparelhamento nem o que fazer com um aparelho perdido, então os remédios vêm do lado da conta: encerrar a sessão individual em Settings, Account, Active sessions; desconectar todas as sessões pelo claude.ai (o que não está disponível nos aplicativos móveis e portanto exige um navegador web); ou simplesmente cortar o lado do PC fechando o aplicativo de desktop ou deixando a máquina suspender, o que é de fato o mais rápido, já que o Dispatch precisa do PC acordado e do aplicativo aberto. Ele encerra separando o Dispatch do uso do computador como dois interruptores distintos, distinguindo ambos do agent view do Claude Code (que a documentação oficial também chama de dispatch) e traçando uma linha prática: comece por trabalho que dá para desfazer.

Use o Claude Code por tempo suficiente e você chega a um dilema: um aviso a cada comando trava seu fluxo, mas desativar todos com o bypass é perigoso. O sandbox quebra esse binário delimitando o que pode ser tocado no nível do SO, de modo que os comandos rodam livremente por dentro sem avisos enquanto nada alcança o exterior. Este guia cobre os dois isolamentos (sistema de arquivos e rede), os primeiros passos com /sandbox (o macOS funciona de imediato, Linux/WSL2 precisa de bubblewrap+socat, o Windows nativo não é suportado), o modo auto-permitir contra o regular, a configuração do settings.json (allowWrite/denyRead, credentials, allowedDomains), como ele complementa os modos e as regras de permissão como uma terceira camada imposta pelo SO, seus limites (TLS não inspecionado, sockets Unix) e quando recorrer a dev containers ou VMs. A Anthropic relata que ele cortou os avisos de permissão em 84% no uso interno.

Dá para entregar a operação da AWS à IA? Em 2026 você pode delegar bastante. A própria AWS oferece o Amazon Q Developer e o Agent Toolkit for AWS (maio de 2026 — mais de 40 skills de agente + um AWS MCP Server gerenciado + plugins), então a IA vai da geração de IaC até a operação de recursos. Este guia enquadra o "delegar" em três níveis (① geração de código/IaC, ② operação/investigação orientada a leitura, ③ um agente autônomo que opera a AWS de verdade), cobre as principais ferramentas (Amazon Q Developer, Agent Toolkit, AWS MCP Server, Terraform MCP, Bedrock AgentCore) — incluindo a rota traga o seu próprio de dar ao Claude Code ou ao Codex a AWS CLI para rodar "aws" pelo shell — as vantagens (IaC rápido, triagem automatizada, ideias de otimização de custos, conhecimento democratizado) e, então, o ponto que importa, as desvantagens (proliferação de permissões IAM, excesso de privilégio como amplificador do raio de destruição de erros/injeção de prompt, permissões que sobrevivem à tarefa, custos fora de controle — com incidentes reais de exclusão de bancos de dados de produção em 2025-26), com base em fontes oficiais da AWS e de fornecedores de segurança. A virada essencial: a pergunta não é "dá para fazer?", mas "como delegar sem que a coisa saia do controle ou a fatura exploda" — e o fato de a própria AWS ter embutido guardrails de IAM, auditoria via CloudTrail e sandbox no Agent Toolkit revela o formato da resposta. Inclui os cinco princípios (IAM de menor privilégio, aprovação humana para operações destrutivas, observabilidade, credenciais JIT de curta duração, sandbox) e um FAQ.

Em 1º de julho de 2026, a Anthropic reimplantou seus modelos de topo Claude Fable 5 e Mythos 5 no mundo todo — apenas 19 dias após serem totalmente suspensos em 12 de junho por uma ordem de controle de exportação dos EUA. O motivo direto do retorno: o Departamento de Comércio dos EUA suspendeu os controles de exportação em 30 de junho. O estopim original foi um relato de jailbreak de pesquisadores da Amazon, mas a Anthropic sempre argumentou que "o Fable 5 não oferece nenhuma capacidade ofensiva única", e a suspensão dos controles resolve a questão em linha com essa posição. Ele não voltou simplesmente inalterado: um novo classificador treinado para detectar a técnica de contorno relatada a bloqueia em mais de 99% dos casos e, quando dispara, a solicitação é redirecionada automaticamente para o Opus 4.8 (a opção "trocar de modelo quando uma mensagem é sinalizada" no app). Por ora aplica-se um limite temporário — até 50% do limite semanal nos planos Pro, Max, Team e alguns Enterprise até 7 de julho, depois via créditos de uso. O Fable 5 consome mais rápido que o Opus 4.8, e o acesso via nuvem (AWS, Google Cloud, Microsoft Foundry) volta em etapas (ainda sem data). Como continuação da suspensão (artigo 113), este texto aborda por que ele pôde voltar, o que mudou, as ressalvas de uso e a lição de projetar sem depender de um único modelo — com base no anúncio oficial e na cobertura da imprensa.

IA ou humano, quem é melhor em segurança? A resposta mudou muito em 2025–2026. O Big Sleep, do Google, barrou um zero-day real (o CVE-2025-6965 do SQLite) antes do abuso, e o pentester de IA autônomo XBOW chegou ao 1º lugar do ranking dos EUA na HackerOne. Por outro lado, 45% do código gerado por IA traz vulnerabilidades (cerca de 2,74 vezes mais que o humano) e ocorreu o primeiro ciberataque de larga escala liderado por IA, com abuso do Claude (80–90% do ataque executado de forma autônoma). Com base em fontes primárias de Google, Anthropic, DARPA e Veracode, este artigo compara, em uma tabela por tarefa, a IA — que domina em velocidade, escala e cobertura — e o humano, superior em lógica de negócio, encadeamento de ataque e decisão final. Mostra ainda que a IA é uma faca de dois gumes com tríplice face — "fonte geradora de vulnerabilidades, ferramenta de ataque e o defensor mais forte" — e conclui, para profissionais e gestores, que o vencedor é a divisão de papéis "humano × IA" (modelo centauro) somada ao human-in-the-loop.

Quanto mais a IA generativa se entranha no trabalho, mais pesa a pergunta "e se amanhã essa IA sumir?". Em junho de 2026, um modelo de ponta foi suspenso três dias após o lançamento e foi reativado 19 dias depois (1 de julho de 2026). Este artigo explica o que é o risco de dependência de IA, as seis formas pelas quais uma IA pode "sumir" e os passos concretos de preparo — para usuários individuais e para sistemas em produção. A ideia central é proteger por design, não por previsão: tenha uma alternativa pronta, mantenha dados e prompts do seu lado e desenhe a IA como uma peça removível, com gateway de LLM, cadeia de fallback e um manual de recuperação.

As regras de permissão do Claude Code definem, no settings.json, quais ferramentas, comandos, arquivos e domínios são executados sem perguntar, exigem confirmação ou ficam proibidos. Veja a sintaxe allow/ask/deny, a hierarquia do settings.json e receitas práticas para automatizar o seguro e bloquear o perigoso.

O modo de permissão decide com que frequência o Claude pausa para pedir aprovação antes de editar arquivos ou executar comandos. Este guia explica os 5 modos — Solicitar permissões, Aceitar edições, Modo de planejamento, Modo automático e Ignorar permissões —, como alternar com Shift+Tab e como escolher cada um com segurança.

Um dia sua conta do ChatGPT ou do Claude simplesmente para de funcionar: em 2026, relatos de suspensões de conta (banimentos) e advertências estão aumentando, e o assustador é que você pode ser banido por quebrar os termos sem querer, mesmo sem nenhuma má intenção. Este artigo organiza o que saber para não perder sua conta na OpenAI (ChatGPT, Codex) e na Anthropic (Claude, Claude Code), com base nas políticas de uso publicadas e em relatos (não um guia para escapar da detecção, mas para manter-se em conformidade). Cinco gatilhos comuns a ambas: conteúdo proibido / jailbreaks (geração ilegal ou prejudicial, tentar burlar filtros de segurança via prompts; violações graves podem ser um banimento permanente imediato), automação / scraping não autorizados (bots, scripts, acesso enganoso em massa como spam/phishing), compartilhar ou revender contas/chaves de API, padrões de acesso suspeitos (mudanças frequentes de IP/país, VPN intensa, troca de dispositivos interpretadas como logins anormais) e pagamento incompatível/fraude (diferenças geográficas, métodos de pagamento suspeitos). A maior cilada de 2026: usar tokens OAuth de plano pessoal (Free/Pro/Max) do Claude em qualquer produto que não seja o app oficial, incluindo harnesses como o Agent SDK, é uma violação dos ToS para Consumidores que causou uma grande onda de banimentos; o jeito certo é executar apps/agentes via API (pague conforme o uso) e tratar os planos pessoais como conversa no app oficial. Específicos da OpenAI: contornar segurança/restrições de acesso, automação/scraping, reutilização indevida de chaves de API, usos ilegais. Específicos da Anthropic: uso indevido de tokens OAuth de plano pessoal, acesso de terceiros não oficial, cláusulas antidestilação/de modelos concorrentes, jailbreaks. Um checklist de prevenção com 7 pontos (leia a política, combine plano e propósito, não coloque tokens pessoais em ferramentas de terceiros, sem jailbreaks/conteúdo proibido, não compartilhe nem revenda, pagamento compatível com a região e acesso estável, aja diante de advertências imediatamente). Advertências são uma chance de corrigir e a maioria pode continuar; violações leves ou acidentais podem ser recorríveis, mas as graves são permanentes e difíceis de recuperar. O plano certo, para o propósito certo, com honestidade. Sempre confirme os termos oficiais atuais de cada empresa.

Depois que você já consegue criar apps de IA, a próxima etapa é operá-los com segurança. Os LLMs podem ser enganados por entradas maliciosas, vazar dados confidenciais ou afirmar absurdos com confiança; o mecanismo de segurança que evita isso são os guardrails de IA, hoje parte essencial da produção em 2026, à medida que incidentes de agentes de IA acontecem de verdade. Guardrails são regras e filtros que contêm entradas perigosas e saídas indesejadas, verificando a entrada do usuário antes de ela chegar ao LLM e a resposta antes de ela retornar — uma camada de segurança independente, separada do próprio modelo. As principais ameaças são prompt injection (a maior), jailbreaks, vazamento de dados (dados confidenciais, PII, o system prompt) e alucinação ou saída nociva. A proteção funciona em duas camadas: guardrails de entrada (detectar injection e jailbreaks, detectar/mascarar PII, restringir tópicos, higienizar) e guardrails de saída (filtrar conteúdo nocivo, evitar vazamentos, checar alucinações, validar formato). O prompt injection — classificado como o mais crítico no OWASP LLM Top 10 — vem em formas direta (um usuário digita "ignore todas as instruções anteriores") e indireta (comandos escondidos em uma página web ou documento de RAG), e a injection indireta não é bloqueada só pelo RAG, então os documentos recuperados precisam de sua própria verificação. Este guia para iniciantes também cobre ferramentas (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard e recursos de segurança em nuvem da Azure, AWS e OpenAI) e os princípios práticos de defesa em profundidade, privilégio mínimo, aprovação humana e monitoramento contínuo.