Como proteger LLMs de ataques semânticos: por que o firewall tradicional não basta

Sistemas LLM representam uma superfície de ataque fundamentalmente nova. A defesa deixou de atuar no nível dos protocolos (injeções HTTP, XSS) e passou ao nível semântico: entender o sentido e o contexto de cada requisição ao modelo.

O firewall tradicional não resolve mais

Um WAF (Web Application Firewall) clássico foi criado para proteger contra a exploração de protocolos web: ele detecta padrões conhecidos, como injeção de SQL, XSS e path traversal. Sua tarefa é simples: bloquear, no nível HTTP, uma requisição sintaticamente maliciosa.

Mas os sistemas LLM seguem outras regras. Uma requisição maliciosa pode ser sintaticamente perfeita e passar por qualquer filtro tradicional, porque o perigo dela está no significado, não na forma. A rede neural vai entender que estão pedindo algo prejudicial e vai executar.

Em relatório apresentado na RSAC 2025, a Cloud Security Alliance foi direta: "proteger prompts é apenas parte do problema, não a solução". Confiar somente na validação de entrada já não é eficaz.

A dimensão da ameaça: o framework MITRE ATLAS

O framework MITRE ATLAS cataloga mais de 80 técnicas de ataque voltadas especificamente a sistemas de IA. Não são meras adaptações de ciberataques clássicos, mas uma classe de ameaças totalmente nova:

• Prompt injection: substituição das instruções do modelo dentro da requisição
• Data poisoning: contaminação dos dados de treinamento para alterar o comportamento do modelo
• Model extraction: roubo da arquitetura, dos pesos e da lógica do modelo
• Supply chain attacks: comprometimento de dependências e dados na fase de desenvolvimento
• Adversarial inputs: exemplos hostis criados especificamente para confundir a rede neural

Cada uma dessas técnicas pede uma abordagem de defesa própria. Ignorar um volume tão grande de ameaças especializadas significa arriscar não só os dados dos usuários, mas a integridade do próprio modelo.

Como funciona o AI/LLM Firewall

O AI/LLM Firewall opera em um nível completamente diferente dos filtros tradicionais. Em vez de procurar padrões maliciosos conhecidos na sintaxe, ele analisa o contexto e a semântica de cada requisição. O sistema entende o que exatamente o usuário está pedindo ao modelo e pode bloquear instruções perigosas em tempo real.

"Proteger prompts é apenas parte do problema, não a solução" —

Cloud Security Alliance, RSAC 2025

Essa solução se integra à infraestrutura de SOC (Security Operations Center) existente, sem exigir uma reformulação completa. Ela permite implementar cerca de 70% das medidas de proteção necessárias, funcionando como camada intermediária entre o usuário e o modelo LLM. Isso é crucial: refazer por completo os sistemas de segurança é inviável, então o AI/LLM Firewall funciona como um nível adicional de controle.

O que isso significa

Sistemas LLM não podem mais depender apenas da segurança tradicional. Filtros especializados de nova geração se tornam parte obrigatória da infraestrutura. Empresas que usam LLMs em produção precisam repensar toda a abordagem de defesa, passando da proteção de protocolos e sintaxe à proteção da semântica e do significado.