CompTIA SecAI+ — Questões de prática e simulado

O EU AI Act é uma legislação histórica que estabelece um framework regulatório baseado em risco para inteligência artificial. Ele categoriza sistemas de AI em quatro níveis de risco: risco inaceitável (proibido totalmente, como sistemas de social scoring), alto risco (sujeito a requisitos rigorosos, incluindo avaliações de conformidade, como AI em contratação ou aplicação da lei), risco limitado (obrigações de transparência, como chatbots que devem revelar que são AI) e risco mínimo (sem requisitos específicos, como filtros de spam). Organizações que implantam AI na EU ou processam dados de cidadãos da EU devem cumprir os requisitos do nível relevante. O Act também inclui disposições para modelos de AI de propósito geral, como large language models. Entender a classificação de risco do EU AI Act é essencial para o exame SecAI+ porque ela representa a abordagem regulatória mais abrangente para governança de AI globalmente. Dica de exame: o EU AI Act tem quatro níveis de risco — lembre-se da hierarquia de inaceitável até mínimo.

Dois requisitos precisam ser atendidos por um único controle, e isso estreita o campo rapidamente. Atribuição de custo exige contabilização por consumidor; isolamento com divisão justa exige um teto por consumidor. Uma política de limite de tokens no gateway entrega as duas coisas, porque aplica limites por consumidor da API com base no consumo de tokens e te deixa definir uma taxa de tokens por minuto ao lado de uma cota em um período mais longo, atrelada a algo que identifique quem chama, como uma chave de assinatura.

Tokens são a unidade certa. Tanto o custo quanto a capacidade do backend em um modelo de linguagem escalam com tokens, e não com a quantidade de requisições, então um simples limite de requisições por minuto é uma aproximação ruim: um único prompt muito longo pode consumir mais capacidade do que mil curtos e ainda assim passar por uma verificação de taxa de requisições. Contar por consumidor é o que transforma uma válvula de segurança global em isolamento, porque um time que bate no seu teto é limitado sem encostar na folga de ninguém.

Os distratores resolvem outros problemas. Um filtro de tópicos bloqueados é um controle de segurança de conteúdo e não mede nada. O cache semântico reduz chamadas ao backend para prompts repetidos, o que ajuda no custo médio, mas não garante nada sobre justiça ou atribuição. Uma janela de contexto maior aumenta o quanto uma única requisição pode consumir, o que piora o risco de inanição em vez de melhorá-lo.

Dica de prova: quando uma questão sobre gateway junta custo com capacidade, procure o controle cuja unidade são os tokens e cujo escopo é a chave de consumidor.

Separe os requisitos e veja qual tecnologia atende a cada um. Criar um ticket, coletar os logs relevantes e sugerir um playbook são ações em sistemas diferentes, ou seja, orquestração. Executar essas etapas automaticamente quando um alerta de alta severidade é disparado é automação acionada por eventos. Sugerir o playbook mais adequado a partir do contexto do alerta é onde a assistência de IA agrega valor. Deixar a decisão final com um analista é validação human-in-the-loop. Os analistas confirmam ações de alto impacto, mas não precisam aprovar cada etapa rotineira. Uma plataforma SOAR (security orchestration, automation and response) pertence à categoria criada para essa combinação. Seus playbooks são conjuntos pré-configurados de ações de remediação que são executados automaticamente quando um alerta ou incidente corresponde a uma regra, ou que um analista aciona manualmente durante uma investigação.

Cada alternativa deixa de fora pelo menos um requisito. Regras de correlação estáticas, sozinhas, detectam e alertam, mas nada nessa opção abre um ticket ou coleta logs. Um chatbot sem integrações pode discutir um incidente, mas não consegue acessar o sistema de tickets nem o repositório de logs, então não pode executar nenhuma dessas etapas por conta própria. Um runbook baseado em tarefas agendadas não é orientado a eventos nem adaptável. As tarefas rodam em um temporizador, independentemente do que aconteceu, e as etapas manuais continuam esperando por uma pessoa.

Dica para o exame: leia os verbos do enunciado. Detectar aponta para monitoramento, orquestrar e remediar apontam para ferramentas de resposta, e um ponto explícito de decisão humana indica que a resposta esperada mantém o analista no ciclo em vez de removê-lo.

O objetivo 1.2 lista conceitos de processamento de dados essenciais para a segurança de dados de IA: limpeza, verificação, linhagem, integridade, proveniência, aumento e balanceamento de dados. A proveniência registra a origem e a propriedade dos dados, enquanto a linhagem acompanha sua movimentação e suas transformações ao longo do pipeline; juntas, elas fornecem as evidências documentadas necessárias para avaliar a confiabilidade e apoiar auditorias e investigações de incidentes. Isso é importante para a segurança porque dados envenenados ou adulterados são muito mais fáceis de detectar quando a origem e o histórico estão documentados e são verificáveis. Não confunda proveniência/linhagem com aumento (criação de dados sintéticos), balanceamento (correção do desequilíbrio entre classes) ou marca d’água (inserção de marcas de propriedade ou detecção de conteúdo gerado por IA). Dica para o exame: “de onde vieram os dados e como foram transformados?” equivale a proveniência e linhagem.