Diretrizes de Gestão de Riscos de IA da MAS: Por que as instituições financeiras precisam de contenção?

Um amigo em Singapura me disse que chega ao Aeroporto de Changi cerca de 30 minutos antes do voo. Ele caminha diretamente até o portão, passa pela segurança e embarca. Soltei um suspiro audível.

Acabei de passar férias em Singapura, então posso confirmar toda a expectativa em torno do lugar. Changi é o aeroporto mais incrível por onde já passei. A cascata interna é, sem dúvida, o grande destaque, então vamos começar por ela. Além disso, os viajantes podem passear entre os terminais, relaxar em um bar ou deixar seus filhos gastarem energia.

O que me marcou, porém, foi o local onde ocorre a verdadeira verificação de segurança. Nos Terminais 1 a 3, fica no próprio portão de embarque.

Muitos aeroportos fazem uma triagem de todos os passageiros apenas uma vez na entrada, e depois confiam em todo o saguão. Changi coloca o posto de controle no destino. Essa é a lógica por trás da microsegmentação, e a Changi vem aplicando-a há anos sem usar esse termo.

Agora troque os passageiros por agentes de IA. Eles já estão dentro do prédio, transitando entre os sistemas, tendo acesso aos dados e agindo por conta própria.

O regulador financeiro de Singapura tomou conhecimento disso. Em suas novas Diretrizes sobre Gestão de Riscos de Inteligência Artificial para Instituições Financeiras, a Autoridade Monetária de Singapura (MAS) alerta que agentes de IA comprometidos com acesso a sistemas internos podem "exfiltrar dados sensíveis ou executar comandos maliciosos em larga escala".

As diretrizes esperam que as empresas saibam onde cada sistema de IA está localizado e quem é o proprietário. Em seguida, apontam para o problema: segmentação de rede, separação de ambientes e acesso com privilégios mínimos.

Essa é a verdadeira mensagem para bancos, seguradoras e empresas de pagamento. As diretrizes definem o comportamento de um agente de IA. O confinamento determina até onde o fogo chega quando uma barreira de proteção falha. A MAS espera ambas as coisas, e o cronômetro já está correndo.

A MAS emitiu as diretrizes em outubro de 7, 2026. Elas entram em vigor em duas etapas:

• Outubro 7, 2027: supervisão, identificação de IA, inventário de IA e classificação de risco para cada caso de uso.
• Outubro 7, 2028: controles do ciclo de vida, incluindo tecnologia e cibersegurança

São expectativas de supervisão, dimensionadas de acordo com o tamanho de cada empresa e a quantidade de IA que ela utiliza. Essa flexibilidade não diminui o nível de exigência.

As diretrizes de IA da MAS parecem uma lista de verificação de segurança.

A tecnologia e os controles de segurança cibernética serão familiares a qualquer equipe de segurança. As instituições financeiras devem considerar:

• Segmentação da rede onde a IA é implantada (parágrafo 5.16(a))
• Separar ambientes e aplicar o princípio do menor privilégio em todo o sistema de IA, incluindo suas APIs, plugins e serviços de terceiros (parágrafo 5.22(a))
• Controlar plugins e APIs para que não possam vazar dados (parágrafo 5.16(c))
• Bloquear e registrar o acesso a sistemas de IA, modelos, dados de treinamento e pipelines (parágrafo 5.23(d))
• Manter um mecanismo de desligamento para IA de alto risco (parágrafo 5.23(b))

As diretrizes descrevem o que considerar e deixam o "como fazer" a critério de cada empresa. É aí que começam as decisões difíceis.

Guarda-corpos são as regras. O portão é a forma de fiscalização.

A MAS leva as proteções laterais a sério. O parágrafo 5.15 afirma que os testes para IA generativa e agentes de IA devem abranger "a eficácia das salvaguardas associadas". As diretrizes também mencionam a injeção imediata e o envenenamento de dados como riscos de segurança (parágrafo 1.10).

Mas uma proteção existe dentro do sistema que deveria fiscalizar. As grades de proteção impedem a maioria dos comportamentos inadequados, mas alguns conseguem passar. E a entrada de um atacante geralmente chega ao guardrail no mesmo instante em que chega ao modelo.

Então, faça a pergunta mais difícil: se um invasor assumisse o controle total desse agente amanhã, o que ele poderia alcançar? Essa resposta é a sua verdadeira exposição.

Os controles que resistem são aqueles que um agente não consegue contornar com conversa. Um portão não exige que um passageiro se comporte. Simplesmente não abre com o cartão de embarque errado. Para um agente de IA, isso significa aplicação de regras fora do modelo: políticas de rede e acesso restrito que se aplicam independentemente do que o agente tenha sido convencido a fazer.

Uma solução para cada carga de trabalho: microsegmentação para agentes de IA

Como seria um portão para um agente de IA?

MAS denomina segmentação de rede e acesso com privilégios mínimos. A microsegmentação é como você impõe ambas as coisas, carga de trabalho por carga de trabalho. Cada parte de um sistema de IA tem seu próprio ponto de controle, incluindo o aplicativo, os dados que ele lê, as APIs e os plugins que ele utiliza, e os sistemas aos quais um agente pode ter acesso. Faça um acordo, e a política decidirá até onde ele chegará. Idealmente, não muito longe.

Há também uma questão de visibilidade. Para agentes de IA, a MAS sugere o registro de inventário das “ferramentas e sistemas aos quais o agente pode acessar” (nota de rodapé 25). Você não pode escrever isso, muito menos impor, se não consegue ver como suas cargas de trabalho se comunicam entre si. Primeiro veja, depois redija a política.

A plataforma Illumio gerencia ambas as partes. O Illumio Insights oferece às equipes de segurança visibilidade em tempo real, com tecnologia de IA, sobre como as cargas de trabalho se comunicam entre centros de dados, nuvens e endpoints. Illumio Segmentation transforma essa visibilidade em políticas que impedem o movimento lateral. Para cargas de trabalho de IA, a plataforma está em conformidade com as diretrizes do MAS em quatro pontos:

• Veja com o que sua IA conversa. O Illumio Insights mapeia as conexões reais entre aplicações de IA, modelos, bancos de dados e serviços de terceiros, incluindo aquelas que ninguém documentou. Isso fornece um ponto de partida factual para o inventário de 2027. Isso também ajuda a revelar IA oculta quando uma carga de trabalho desconhecida começa a chamar um modelo ou API externa.
• Limitar o que pode alcançar. Illumio Segmentation aplica o princípio do menor privilégio em relação a cada componente de IA. Um modelo pode acessar seus dados de treinamento, um agente pode chamar os plugins que está autorizado a usar, e todo o resto é bloqueado por padrão. Isso inclui segmentar a rede onde a IA é executada, separar ambientes e impedir que plugins e APIs se tornem uma saída silenciosa para dados sensíveis.
• Reduza o raio da explosão. Quando uma proteção lateral falha, a política da empresa limita essa falha a um único incidente. Se um sistema de IA de alto risco precisar ser desativado rapidamente, você pode isolá-lo enquanto a investigação estiver em andamento. Isso fornece ao sistema de segurança recomendado pela MAS uma proteção de contingência no nível da rede.
• Mostre seus cálculos. Os supervisores vão querer provas. Os registros de fluxo de tráfego mostram quais cargas de trabalho se conectaram aos seus sistemas, modelos e dados de IA, e quando. Eles também mostram às equipes vermelhas o que um componente comprometido poderia alcançar. Você pode testar o confinamento com o mesmo cuidado que testa as grades de proteção e manter os resultados arquivados.

Antes do embarque: 5 passos para se preparar para as diretrizes de IA da MAS

Os trabalhos preparatórios devem ser concluídos em 2027. Os controles técnicos serão realizados em 2028. Nenhum dos dois fica muito longe.

1. Mapeie a que sua IA se conecta. Seu inventário e suas classificações de risco para 2027 precisarão levar em consideração a sensibilidade dos dados, as dependências do sistema e, para os agentes, o que eles podem acessar.
2. Em busca de IA oculta. A nota de rodapé 22 menciona o monitoramento de rede e a prevenção de perda de dados para detectar usos não autorizados.
3. Teste de contenção junto às grades de proteção. O parágrafo 5.22(b) exige testes de penetração e equipes vermelhas em sistemas de IA. Pergunte até onde um componente comprometido poderia chegar.
4. Comece onde o risco é maior. O MAS ajusta suas expectativas ao risco, portanto, priorize a segmentação e o acesso com privilégios mínimos em torno dos seus casos de uso de maior risco.
5. Verifique a IA e os plugins de terceiros. O parágrafo 5.16(c) exige controles que restrinjam a exposição de dados por meio de plugins e APIs.

As diretrizes da MAS IA estão prestes a ser implementadas.

É tentador interpretar as "diretrizes" e o prazo de 2028 como um problema para mais tarde. Mas o trabalho de 2027 já alcança a IA paralela e a IA incorporada em serviços de fornecedores. E quando a IA vem de um fornecedor, a responsabilidade continua sendo da instituição.

Os supervisores avaliarão as empresas em relação a essas expectativas, e o Conselho de Estabilidade Financeira realizou consultas sobre práticas semelhantes em todo o mundo. Entretanto, os atacantes não esperarão por uma data de conformidade para atacar os agentes que já estão dentro da sua rede.

Changi percebeu isso muito antes do surgimento dos agentes de IA: saber quem está na lista de passageiros e colocar o posto de controle no portão de embarque. As instituições financeiras podem aplicar a mesma lógica aos agentes que já circulam pelos seus corredores.

Aprenda como Illumio ajuda instituições financeiras Conter as violações de dados antes que se espalhem.