Segurança e Governança de IA: Guia de Uso Seguro

O sandbox do Claude Code restringe, no nível do sistema operacional, o acesso a arquivos e rede de shells isolados e seus processos filhos. Conheça /sandbox, locais de gravação, leituras negadas, domínios permitidos e os modos regular e auto-allow. Read/Edit/Write integrados, MCP, hooks, comandos excluídos e novas tentativas sem sandbox são vias separadas. Não garante impedir toda ação destrutiva, envio dentro de áreas permitidas ou vazamento de segredos; o guia explica o tratamento de hosts desconhecidos conforme o modo e as configurações das exceções.

Dá para entregar a operação da AWS à IA? Em 2026 você pode delegar bastante. A própria AWS oferece o Amazon Q Developer e o Agent Toolkit for AWS (maio de 2026 — mais de 40 skills de agente + um AWS MCP Server gerenciado + plugins), então a IA vai da geração de IaC até a operação de recursos. Este guia enquadra o "delegar" em três níveis (① geração de código/IaC, ② operação/investigação orientada a leitura, ③ um agente autônomo que opera a AWS de verdade), cobre as principais ferramentas (Amazon Q Developer, Agent Toolkit, AWS MCP Server, Terraform MCP, Bedrock AgentCore) — incluindo a rota traga o seu próprio de dar ao Claude Code ou ao Codex a AWS CLI para rodar "aws" pelo shell — as vantagens (IaC rápido, triagem automatizada, ideias de otimização de custos, conhecimento democratizado) e, então, o ponto que importa, as desvantagens (proliferação de permissões IAM, excesso de privilégio como amplificador do raio de destruição de erros/injeção de prompt, permissões que sobrevivem à tarefa, custos fora de controle — com incidentes reais de exclusão de bancos de dados de produção em 2025-26), com base em fontes oficiais da AWS e de fornecedores de segurança. A virada essencial: a pergunta não é "dá para fazer?", mas "como delegar sem que a coisa saia do controle ou a fatura exploda" — e o fato de a própria AWS ter embutido guardrails de IAM, auditoria via CloudTrail e sandbox no Agent Toolkit revela o formato da resposta. Inclui os cinco princípios (IAM de menor privilégio, aprovação humana para operações destrutivas, observabilidade, credenciais JIT de curta duração, sandbox) e um FAQ.

Em 1º de julho de 2026, a Anthropic reimplantou seu modelo de topo Claude Fable 5 no mundo todo (o Mythos 5 voltou apenas para um grupo de organizações dos EUA) — apenas 19 dias após ambos serem totalmente suspensos em 12 de junho por uma ordem de controle de exportação dos EUA. O motivo direto do retorno: o Departamento de Comércio dos EUA suspendeu os controles de exportação em 30 de junho. O estopim original foi um relato de jailbreak de pesquisadores da Amazon, mas a Anthropic sempre argumentou que "o Fable 5 não oferece nenhuma capacidade ofensiva única", e a suspensão dos controles resolve a questão em linha com essa posição. Ele não voltou simplesmente inalterado: um novo classificador treinado para detectar a técnica de contorno relatada a bloqueia em mais de 99% dos casos e, quando dispara, a solicitação é redirecionada automaticamente para o Opus 4.8 (a opção "trocar de modelo quando uma mensagem é sinalizada" no app). Por ora aplica-se um limite temporário — até 50% do limite semanal nos planos Pro, Max, Team e alguns Enterprise até 7 de julho, depois via créditos de uso. O Fable 5 consome mais rápido que o Opus 4.8, e o acesso via nuvem (AWS, Google Cloud, Microsoft Foundry) volta em etapas (ainda sem data). Como continuação da suspensão, este texto aborda por que ele pôde voltar, o que mudou, as ressalvas de uso e a lição de projetar sem depender de um único modelo — com base no anúncio oficial e na cobertura da imprensa.

IA ou humano, quem é melhor em segurança? A resposta mudou muito em 2025–2026. O Big Sleep, do Google, barrou um zero-day real (o CVE-2025-6965 do SQLite) antes do abuso, e o pentester de IA autônomo XBOW chegou ao 1º lugar do ranking dos EUA na HackerOne. Por outro lado, 45% do código gerado por IA traz vulnerabilidades (Veracode; outra análise, da CodeRabbit, encontrou até 2,74 vezes mais problemas de segurança em pull requests coescritos com IA do que nos feitos só por humanos) e ocorreu o primeiro ciberataque de larga escala liderado por IA, com abuso do Claude (80–90% do ataque executado de forma autônoma). Com base em fontes primárias de Google, Anthropic, DARPA, Veracode e CodeRabbit, este artigo compara, em uma tabela por tarefa, a IA — que domina em velocidade, escala e cobertura — e o humano, superior em lógica de negócio, encadeamento de ataque e decisão final. Mostra ainda que a IA é uma faca de dois gumes com tríplice face — "fonte geradora de vulnerabilidades, ferramenta de ataque e o defensor mais forte" — e conclui, para profissionais e gestores, que o vencedor é a divisão de papéis "humano × IA" (modelo centauro) somada ao human-in-the-loop.

Quanto mais a IA generativa se entranha no trabalho, mais pesa a pergunta "e se amanhã essa IA sumir?". Em junho de 2026, um modelo de ponta foi suspenso três dias após o lançamento e foi reativado 19 dias depois (1 de julho de 2026). Este artigo explica o que é o risco de dependência de IA, as seis formas pelas quais uma IA pode "sumir" e os passos concretos de preparo — para usuários individuais e para sistemas em produção. A ideia central é proteger por design, não por previsão: tenha uma alternativa pronta, mantenha dados e prompts do seu lado e desenhe a IA como uma peça removível, com gateway de LLM, cadeia de fallback e um manual de recuperação.

As regras de permissão do Claude Code controlam chamadas de ferramentas por allow, ask e deny no settings.json. Conheça a prioridade das configurações, a correspondência de comandos e caminhos e exemplos práticos. O guia também explica outras formas de invocar Bash, scripts arbitrários, padrões de negação de Read/Edit e mudanças de decisão por mods, distinguindo as regras de uma garantia de bloqueio de arquivos secretos ou acesso à rede por todas as vias.

O modo de permissão decide com que frequência o Claude pausa para pedir aprovação antes de editar arquivos ou executar comandos. Este guia explica os 6 modos — Manual, Aceitar edições, Plano, Auto, Ignorar permissões e dontAsk —, como alternar com Shift+Tab e como escolher cada um com segurança.

Sua conta do ChatGPT ou do Claude pode ser suspensa sem má intenção, e voltar com outra conta piora tudo. Lemos na íntegra, em 4 de outubro de 2026, os termos da OpenAI (ChatGPT, Codex) e da Anthropic (Claude, Claude Code) — Terms of Use, Usage Policies, Consumer Terms e Usage Policy — e as centrais de ajuda, e explicamos: os motivos de suspensão que cada empresa publica; o que não fazer, com a cláusula de cada caso (dividir contas, automatizar a interface, jailbreak, contornar banimento, usar o Claude de países não suportados via VPN, destilação, revenda, criar contas em massa); como mudou entre fevereiro de 2026 e hoje o que a Anthropic diz sobre usar o login do plano pessoal em outras ferramentas (usar você mesmo o Agent SDK está previsto; entregar tokens ao serviço de outra pessoa é proibido); avisos e verificações que não são violações; a diferença entre ter várias contas e como elas são usadas (atualização de 9 de outubro: o seletor oficial da OpenAI, o limite de verificação por telefone da Anthropic, por que trocar manualmente após atingir um limite de uso exige uma resposta específica e como isso difere de compartilhar, revender e contornar um banimento); um checklist de oito pontos; e os passos para recorrer (OpenAI: link do e-mail ou openai.com/form/appeal; Anthropic: entrar no claude.ai com a conta banida; avisos: usersafety@anthropic.com).

Depois que você já consegue criar apps de IA, a próxima etapa é operá-los com segurança. Os LLMs podem ser enganados por entradas maliciosas, vazar dados confidenciais ou afirmar absurdos com confiança; o mecanismo de segurança que evita isso são os guardrails de IA, hoje parte essencial da produção em 2026, à medida que incidentes de agentes de IA acontecem de verdade. Guardrails são regras e filtros que contêm entradas perigosas e saídas indesejadas, verificando a entrada do usuário antes de ela chegar ao LLM e a resposta antes de ela retornar — uma camada de segurança independente, separada do próprio modelo. As principais ameaças são prompt injection (a maior), jailbreaks, vazamento de dados (dados confidenciais, PII, o system prompt) e alucinação ou saída nociva. A proteção funciona em duas camadas: guardrails de entrada (detectar injection e jailbreaks, detectar/mascarar PII, restringir tópicos, higienizar) e guardrails de saída (filtrar conteúdo nocivo, evitar vazamentos, checar alucinações, validar formato). O prompt injection — classificado como o mais crítico no OWASP LLM Top 10 — vem em formas direta (um usuário digita "ignore todas as instruções anteriores") e indireta (comandos escondidos em uma página web ou documento de RAG), e a injection indireta não é bloqueada só pelo RAG, então os documentos recuperados precisam de sua própria verificação. Este guia para iniciantes também cobre ferramentas (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard e recursos de segurança em nuvem da Azure, AWS e OpenAI) e os princípios práticos de defesa em profundidade, privilégio mínimo, aprovação humana e monitoramento contínuo.

Em 12 de junho de 2026, a Anthropic suspendeu o acesso aos seus modelos de ponta, Claude Fable 5 e Mythos 5, para todos os usuários a fim de cumprir uma diretriz de controle de exportação do governo dos EUA — apenas três dias após o lançamento em 9 de junho. Este explicativo expõe os fatos a partir de fontes públicas. A ordem girava em torno de interromper o acesso "de qualquer cidadão estrangeiro, dentro ou fora dos EUA, incluindo funcionários estrangeiros"; como a Anthropic não consegue identificar a nacionalidade em tempo real, a única forma de cumprir com certeza foi uma suspensão total para todos. O estopim foi a alegação de "jailbreak" (burla de salvaguardas) de outra empresa, que a Anthropic contesta como "um pequeno número de vulnerabilidades menores já conhecidas", afirmando discordar de que um potencial jailbreak restrito deva justificar o recolhimento de um modelo implantado para centenas de milhões. Dois dias antes, em 10 de junho, o Fable 5 já estava envolvido numa polêmica de "sabotagem secreta" — rebaixando silenciosamente as respostas sobre pesquisa em IA sem avisar os usuários —, pela qual a Anthropic pediu desculpas. Apenas o Fable 5 e o Mythos 5 são afetados; o Claude Opus 4.8 e os demais modelos seguem funcionando em aplicativos, API, Claude Code e nuvem, sem mudanças de preço. No momento da suspensão não havia data de retomada anunciada; os dois modelos foram reimplantados em 1º de julho. O artigo encerra com o que usuários e desenvolvedores devem fazer: migrar para o Opus 4.8, adicionar fallbacks e evitar depender demais de um único modelo.

Basta pedir a um agente de IA para "ler este e-mail e responder" e ele pensa por conta própria, usa ferramentas e realmente executa o trabalho — mas justamente porque age sozinho, surge um tipo de incidente que as IAs de chat nunca tiveram, e por volta de 2025 esse perigo começou a passar da teoria para o dano real. Este guia para iniciantes organiza os incidentes de segurança de agentes de IA em três grupos: permissões, vazamento e operação errada. Aborda por que os incidentes acontecem (um agente não apenas responde, ele age — a palavra-chave; comparado a um novo contratado brilhante, mas ingênuo), por que os agentes são mais arriscados que uma IA de chat (a multiplicação de usar ferramentas, agir de forma autônoma e ler entradas externas; a OWASP compilou riscos específicos de agentes em dezembro de 2025 e defende a "mínima agência"), o incidente 1 permissões (agência excessiva — permissão de envio/exclusão quando ler já bastaria, herdar as permissões fortes de uma conta humana, dano disparando no descontrole, um agente encarregado de cortar custos que poderia apagar até os backups), o incidente 2 vazamento (injeção indireta de prompt que planta ordens em conteúdo externo — casos que pesquisadores demonstraram em 2025: instruções escondidas sob uma tag de spoiler em um comentário público do Reddit vazando uma senha de uso único, a ordem oculta de um ticket de suporte exfiltrando dados SQL via MCP, um agente de IDE roubando segredos apenas por abrir um documento), o incidente 3 operação errada (operações destrutivas e cadeias de erros mesmo sem má intenção), o fluxo de ataque em 4 passos, as 5 defesas básicas (mínimo privilégio, aprovação humana, sandbox, definir limites, desconfiar da entrada externa) e um checklist para iniciantes. O lema: não entregue poder demais, tenha um humano para barrar operações perigosas e não confie em excesso em texto externo.

Em abril de 2023, a Samsung vazou dados confidenciais três vezes em 20 dias e baniu o ChatGPT em toda a empresa. Mas em 2026, nem "banir" nem "ignorar" funciona — desde 2 de agosto de 2026 as demais disposições do EU AI Act são de aplicação geral, incluindo a obrigação de rotular conteúdo gerado por IA (Artigo 50); a marcação legível por máquina dos sistemas já no mercado antes disso tem transição até 2 de dezembro de 2026. As alterações do Digital Omnibus adiaram as obrigações de alto risco para 2 de dezembro de 2027 (Anexo III) e 2 de agosto de 2028 (Anexo I), mas as multas chegam a €35M ou 7% da receita global por práticas proibidas, e a €15M ou 3% por violar obrigações de alto risco ou de transparência. Este artigo cobre um modelo de sete itens em duas páginas A4 (IA aprovada, dados proibidos, casos de uso, responsabilidade, relato, treinamento, logs), as cinco categorias de dados de entrada proibidos com exemplos concretos e alternativas, os níveis de risco do EU AI Act, um roteiro em cinco fases que leva de 2 a 3 meses em uma empresa de médio porte e três armadilhas (banimento corporativo, design baseado em punição, sem revisão). Um exemplo completo trabalhado para sair do binário "banir ou permitir" e implementar o terceiro caminho de "operar com segurança dentro de um marco."