Tudo que aprendi ao estudar para o EXIN AISP

“Vim compartilhar tudo o que aprendi e fiz ao estudar para a certificação EXIN AISP.”

Recentemente fui, com muita honra, convidada a testar a certificação EXIN AISP (AI Security Professional based on the OWASP AI Exchange). Por mais que pareça clichê, eu REALMENTE refleti se vinha aqui compartilhar essa história, pois eu não passei. Faltaram exatamente duas questões para aprovação.

Mas como na vida nem tudo é vitória, e a cultura de tecnologia muitas vezes cobra uma fachada de invencibilidade irreal, eu decidi mudar a narrativa. Em vez do clássico post sobre tudo o que aprendi ao tirar uma certificação só depois de tê-la, vim compartilhar tudo o que aprendi e fiz ao estudar para a certificação EXIN AISP. De quebra, ainda deixo uma dica de estudos pessoais minha (uma prefeita ! 😎✋).

Vamos lá.

Primeiro, o que é OWASP AI Exchange?


O OWASP AI Exchange é um projeto global, aberto e colaborativo estruturado como um consórcio de mais de 170 especialistas em segurança de IA de todo o mundo. Fundado em 2022 por Rob van der Veer, o projeto recebeu o prestigiado status de Flagship Project da OWASP. Ele consiste em um corpo de conhecimento com mais de 300 páginas de orientações práticas, focado em proteger sistemas de Inteligência Artificial e sistemas centrados em dados (big data) contra ameaças modernas.

Por ser publicado sob a licença de domínio público CC0 1.0, qualquer pessoa ou organização pode usar, copiar ou modificar seu conteúdo livremente e sem necessidade de atribuição. Além disso, ele abrange todos os tipos de IA: IA Analítica, IA Discriminativa, IA Generativa (como Grandes Modelos de Linguagem/LLMs) e sistemas heurísticos baseados em regras.

O que o OWASP AI Exchange Aborda?

O framework define a segurança de IA como a prevenção contra o acesso, uso, divulgação, interrupção, modificação ou destruição não autorizados de ativos. A grande inovação conceitual é expandir o termo “modificação” para incluir a manipulação indesejada do comportamento do próprio modelo de IA.

As diretrizes do guia dividem-se em três grandes blocos de conhecimento: os Ativos específicos de IA, o Ciclo de Vida das Ameaças e os Controles de Mitigação.

1. Ativos Específicos de IA (O que proteger?)


Diferente da segurança de TI tradicional, a IA traz novos ativos que precisam ser blindados:

• Dados de Treinamento e Validação: Os conjuntos de dados usados para construir e calibrar o modelo.
• O Modelo de IA: Seus parâmetros, hiperparâmetros e os pesos das redes neurais.
• Dados de Entrada (Inputs): Os prompts dos usuários ou dados enviados para inferência.
• Dados de Saída (Outputs): As respostas geradas pela IA.
• Dados de Aumento (Augmentation Data): Documentos e dados de contexto injetados dinamicamente em tempo de execução, comuns em arquiteturas RAG (Retrieval-Augmented Generation).


2. Ciclo de Vida das Ameaças (Quais os riscos?)


As ameaças são mapeadas de acordo com a fase do ciclo de vida em que ocorrem:

• Ameaças em Tempo de Desenvolvimento (Development-time Threats):
  • Envenenamento de Dados (Data Poisoning): Manipulação dos dados de treino para introduzir vulnerabilidades ocultas (backdoors/trojans).
  • Envenenamento Direto do Modelo: Invasão do pipeline de engenharia para alterar o código ou os pesos do modelo.
  • Ataques de Cadeia de Suprimentos (Supply-chain Poisoning): Importação de modelos de terceiros (como os baixados de repositórios públicos) que já vêm comprometidos pelo atacante.
  • Vazamento de Dados confidenciais: Roubo de dados de treino proprietários ou do código de configuração durante a fase de desenvolvimento.

• Ameaças de Entrada/Inferência (Input Threats):

  • Evasão (Evasion): Envio de entradas ligeiramente modificadas (exemplos adversariais) para enganar o modelo, podendo ocorrer com graus variados de conhecimento do atacante (zero-knowledge, perfect-knowledge ou partial-knowledge evasion).
  • Injeção de Prompt (Prompt Injection): Manipulação das instruções da IA para burlar suas restrições de segurança. Pode ser direta (enviada pelo usuário final) ou indireta (instruções maliciosas escondidas em sites ou documentos externos consumidos pela IA).
  • Extração de Dados: Técnicas como Model Inversion (reconstrução de dados do treino) e Membership Inference (descobrir se os dados de alguém foram usados no treino).
  • Exfiltração do Modelo: Fazer consultas em massa para recriar localmente uma réplica funcional do modelo.
  • Exaustão de Recursos (): Envio de prompts projetados para travar o processamento da IA ou disparar custos massivos de API (Denial of Wallet - DoW).
  • Ameaças Convencionais com Impactos na IA (Runtime Conventional Threats):
Ataques tradicionais (como invasão de servidores) que visam ativos de IA, tais como roubo de pesos na memória de execução, manipulação do banco de dados vetorial de RAG ou outputs que carregam scripts maliciosos injetados convencionalmente (como ataques de XSS gerados nas saídas de texto da IA).


3. Os Controles de Segurança (O Framework G.U.A.R.D.)


Para responder a essas ameaças, o OWASP AI Exchange estabelece o framework G.U.A.R.D.:

• Govern (Governar): Estabelecer políticas de IA, definir papéis, organizar compliance e inventariar iniciativas de IA na organização.
• Understand (Compreender): Mapear cenários específicos e identificar os riscos aplicáveis à sua arquitetura por meio de modelagem de ameaças estruturada.
• Adapt (Adaptar): Adaptar processos tradicionais de segurança da informação (ISMS/SGSI), supply chain e DevSecOps para contemplar ativos e vulnerabilidades específicas de IA.
• Reduce (Reduzir): Reduzir a superfície de ataque limitando dados sensíveis (data minimization, ofuscação e privacidade diferencial) e limitando o comportamento indesejado do modelo (blast radius control, supervisão automatizada, alinhamento e transparência).
• Demonstrate (Demonstrar): Validar as defesas corporativas conduzindo auditorias e testes de segurança dedicados a sistemas de IA (como Red Teaming de IA).

Qual o Impacto do OWASP AI Exchange?

O OWASP AI Exchange consolidou-se como o principal padrão de consenso técnico internacional para segurança de IA. Seu impacto destaca-se nos seguintes pontos:

• Alinhamento Regulatório Global: O Exchange colabora formalmente com organizações de padronização, tendo fornecido a base técnica e mais de 70 páginas de contribuições diretas tanto para o padrão de segurança do EU AI Act (padrão prEN 18282) quanto para a futura norma internacional ISO/IEC 27090 (Segurança em IA).
• Hub Integrador (OpenCRE): Serve como ponto central do ecossistema de frameworks, interligando dinamicamente suas ameças e defesas com diretrizes do NIST, SANS, MITRE ATLAS e ENISA por meio da plataforma OpenCRE.org.
• Adoção Corporativa Real: Gigantes como Lenovo, Peloton e Dutch Railways utilizam ativamente o Exchange para operacionalizar a segurança de seus produtos de IA em escala, evitando listas de verificação burocráticas e focando em defesas de engenharia práticas.
• Formação de Profissionais: O projeto serve como a literatura oficial e o pilar estrutural para exames de qualificação profissional, incluindo a certificação internacional EXIN AI Security Professional (EXIN AISP).

Para facilitar o aprendizado da documentação e normativas, eu usei o Google NotebookLM como meu laboratório pessoal. Eu subi todas as bases de conhecimento e criei uma esteira de estudos ativa. Fiz a ferramenta gerar vários textos de resumo por tópicos, vídeos explicativos relacionando as normas e até simulações em formato de podcast onde os apresentadores debatiam os ataques de IA. Eu escutava esses áudios para fixar os conceitos.

Resumo da matéria EXIN AISP em vídeo

Apesar de tudo ainda tinha mais um desafio : A linguagem , alias a prova não é na minha língua materna e eu por mais que até tenha um inglês instrumental até bem desenvolvido, nunca havia feito uma prova totalmente em inglês. Então eu criei dentro da própria ferramenta o meu dicionário particular de inglês para português, traduzindo e validando todos os termos de cibersegurança e IA cobrados pelo EXIN AISP.

LINK YOUTUBE

A lógica que utilizei para construir esse glossário foi estritamente baseada em rastreabilidade normativa. Eu não queria apenas uma lista de traduções simples. Eu estruturei os dados cruzando o termo em inglês com a sua categoria tática, o significado técnico exato e a fonte oficial da norma. Para ilustrar didaticamente, vamos observar o conceito de “Prompt injection” (Injeção de prompt). No dicionário, ele foi mapeado na categoria de Ataques e Segurança Ofensiva de IA. A definição formaliza que se trata de uma vulnerabilidade de segurança onde a manipulação da entrada força o modelo de linguagem a ter um comportamento não intencional, e a rastreabilidade da evidência aponta diretamente para as especificações do OWASP GenAI Red Teaming Guide e para o repositório de taxonomia de riscos do MIT.

Exemplos, já que aprendemos melhor quando visualizamos:


• Se o cenário descreve o atacante criando exemplos adversariais baseados em um modelo local para depois atacar o de produção: ➔ Isso é Transfer attack.
Palavras-chave em inglês: surrogate model (modelo substituto), adversarial examples generated on a local model, transferability.
• Se o cenário diz que o atacante não tem acesso à arquitetura da IA e tenta enganá-la por tentativa e erro via API: ➔ Isso é Zero-knowledge evasion.
  Palavras-chave em inglês: no access to model’s architecture, iteratively refined, black-box, trial and error.
• Se o cenário fala de um atacante escondendo instruções maliciosas em um site ou documento de terceiros que a IA vai ler: ➔ Isso é Indirect prompt injection.
  Palavras-chave em inglês: vendor webpage, external documents, retrieved content, untrusted third-party sources
• Se o cenário indica que a empresa decidiu excluir colunas, campos ou registros desnecessários da base de dados antes do treino: ➔ Isso é Data minimization.
  Palavras-chave em inglês: remove fields, remove unneeded records, delete unnecessary data, retaining certain identifiers only.
• Se o cenário fala em embaralhar os dados ou adicionar ruído matemático para que eles não possam ser lidos em caso de vazamento: ➔ Isso é Obfuscate training data.
  Palavras-chave em inglês: differential privacy, adding noise, PATE (Private Aggregation of Teacher Ensembles), make unrecognizable

No fim, infelizmente, errei as questões mais por não dominar as entrelinhas e as pegadinhas do idioma do que pela matéria e pela normativa em si, mas tudo bem, eu só AINDA não tirei a certificação , eu adorei a experiencia. A arquitetura de segurança ficou tão bem ilustrada e fixada na minha mente que me sinto totalmente satisfeita com o aprendizado que construí, mesmo não passando agora. Eu com certeza vou voltar para uma nova tentativa da certificação (até lá, sigo treinando o meu inglês para provas de certificação, e vai dar certo).

E ai, bora tirar essa certificação juntos comigo ?

Agradecimentos à Alyce Suza pela forma como encarou o desafio. e pela estrutura que organizou seus estudos e preparação. Uma verdadeira aula para quem vai buscar a preparação para um exame. Esperamos você em breve para um “Round 2”. Desistir nunca esteve na sua agenda! 

Caso queriam conhecer um pouco mais sobre os 2 certificados “Professional” em IA do EXIN, acessem os links abaixo para download das ementas  e simulados de cada um:

• AICP – AI Compliance Professional
• AISP  – AI Security Professional   (material de estudos gratuito da OWASP)

NOTA: EXIN AISP está oficialmente lançado em inglês (provas já disponíveis) e em Outubro, chega aqui em Português.  Já comece a estudar!