Firewall de IA dedicado ou WAAP integrado: qual escala melhor?

O número de requisições, por si só, não determina se um firewall de IA ou uma solução WAAP é mais fácil de escalar. O posicionamento necessário muda conforme o objetivo: tratar de forma centralizada, no ponto de entrada, os ataques contra Web e APIs ou avaliar individualmente as entradas e saídas do modelo.

Mapeie, em sequência, a entrada do usuário, os documentos recuperados por RAG, as respostas das ferramentas, a saída do modelo e as operações em sistemas externos. Em seguida, sobreponha os pontos que cada produto realmente consegue inspecionar. O ponto de partida é não presumir que os caminhos que não passam pelo ponto de entrada também estejam protegidos.

Cloudflare AI Security for Apps é uma opção para usar os resultados de detecção do WAF em regras. Amazon Bedrock Guardrails oferece mecanismos de proteção durante o uso de modelos, e sua documentação declara explicitamente que o filtro de ataques por prompt não avalia os resultados de ferramentas. Compare os produtos levando em conta seus pontos de inspeção: o primeiro atua no ponto de entrada; o segundo, durante o uso do modelo.

LLM Guard também é um exemplo de ferramenta incorporada ao código, mas seu repositório oficial foi arquivado em julho de 2026. Se considerar sua adoção, verifique não apenas as funcionalidades, mas também a situação das atualizações, as dependências e a responsabilidade de manutenção que caberá à sua empresa. Isso não significa que esses produtos tenham as mesmas funcionalidades entre si.

A inspeção do corpo da requisição pelo AWS WAF abrange os primeiros 8 KB no ALB e no AppSync. No CloudFront, no API Gateway e em outros serviços, o padrão é de 16 KB, configurável até um máximo de 64 KB. Por exemplo, ao inspecionar um corpo de 24 KB com o padrão de 16 KB, os últimos 8 KB não serão inspecionados. Se a passagem for permitida, a requisição inteira chegará à aplicação, inclusive a parte fora do alcance da inspeção.

O bloqueio de requisições que excedem esse limite depende da configuração das regras. Esse cálculo não demonstra que um ataque terá sucesso, mas pode ser usado em testes de aceitação quando se trabalha com prompts longos ou documentos anexados. Ativar a detecção também não significa necessariamente que haverá bloqueio automático; por isso, verifique as regras e as ações configuradas.

Se a solução WAAP existente cobrir os caminhos necessários de Web, API e IA e também atender aos controles específicos do modelo, é natural começar testando a plataforma integrada. Por outro lado, se for necessário avaliar as entradas ou saídas do modelo em outro ponto, uma combinação de WAAP e controles dedicados passa a ser uma opção.

Compare, com o mesmo tráfego autorizado, a latência, os bloqueios indevidos, as ameaças não detectadas, as permissões de visualização dos logs, a permissão ou o bloqueio do tráfego em caso de falha e o esforço dos operadores. Inclua também os caminhos que não passam pelo ponto de entrada, como documentos de RAG e saídas de ferramentas, e ajuste os limiares com base em dados reais. Da nossa perspectiva de quem integra a análise de código ao ambiente de desenvolvimento, bloquear o tráfego no ponto de entrada e corrigir no código as causas dos problemas, como as relacionadas às verificações de permissão, são camadas distintas. Defina os responsáveis por cada uma.