Protocolo

Segurança não é fase final.

Ela entra na modelagem do banco, na primeira rota e em cada ferramenta que um agente de IA pode chamar. Abaixo, o que verificamos em todo projeto.

OWASP Top 10

A01

Políticas por linha no banco (RLS), papéis em tabela separada e verificação sempre no servidor — nunca no cliente.

A02

Segredos exclusivamente no servidor, tráfego em TLS, nenhuma chave privada no bundle do navegador.

A03

Consultas parametrizadas, validação por schema em toda entrada e escape correto na renderização.

A04

Modelagem de ameaça antes da primeira tela: quem acessa o quê e o que jamais pode vazar.

A05

Padrões restritivos, CORS fechado, cabeçalhos de segurança e ambientes separados.

A07

Sessões gerenciadas, verificação de senha vazada e rotação de token.

A08

Dependências auditadas, build reprodutível e revisão de mudanças críticas.

A09

Auditoria das ações sensíveis com log estruturado e alerta em anomalia.

Agentes de IA ampliam a superfície de ataque. Tratamos cada ferramenta exposta ao modelo como um endpoint público.

LLM01

Contexto isolado, entrada do usuário nunca tratada como instrução de sistema.

LLM02

Resposta do modelo validada antes de virar ação, consulta ou HTML.

LLM06

Mascaramento de dados sensíveis antes de qualquer envio ao modelo.

LLM08

Ferramentas com escopo mínimo, autorização por chamada e trilha de auditoria.