Como escolher um produto japonês de segurança com IA

Por exemplo, uma equipe que deseja reduzir injeções de SQL em um SaaS antes do lançamento e uma equipe que deseja organizar o grande volume de alertas recebidos diariamente precisam escolher produtos diferentes. Para a primeira, o foco está na análise de código e nas avaliações de segurança Web; para a segunda, no apoio ao monitoramento e à investigação. Proteger a própria IA generativa é outro caso: é necessário verificar como os prompts e os dados externos são tratados.

Para facilitar a comparação, este artigo apresenta produtos e serviços oferecidos por empresas com sede no Japão. Isso não significa que os componentes ou modelos de IA sejam desenvolvidos no país, nem que os dados sejam processados lá. Os exemplos a seguir são um ponto de partida para a seleção, não uma lista que abrange todos os produtos.

Para analisar código em desenvolvimento, o Hi AUDIT Agent, oferecido pela TECHFUND, é uma opção que permite solicitar análises de segurança do código a partir de um ambiente de desenvolvimento conectado via MCP. Uma forma de uso possível é consultar os pontos identificados e as sugestões de correção, deixando a validação das correções a cargo dos desenvolvedores.

Para avaliar continuamente o código e as aplicações em funcionamento, o Takumi byGMO, da GMO Flatt Security, oferece avaliações que utilizam o código, avaliações de caixa-preta e sugestões de correção. Também são divulgadas avaliações periódicas das diferenças no GitHub, por isso vale a pena verificar essa opção se a sua equipe prioriza a integração com o fluxo de desenvolvimento.

Para avaliar aplicações Web de fora, o AeyeScan, da Aeye Security Lab, é uma ferramenta em nuvem que utiliza IA para automatizar as avaliações de segurança. Convém testar, com as configurações reais e a aplicação em questão, se a ferramenta consegue navegar também pelas telas acessíveis após a autenticação.

Se os dados confidenciais não puderem sair do ambiente interno, o Purple Agent, da CoWorker, anuncia avaliações de vulnerabilidades e análises forenses que utilizam um LLM local, instalado nas próprias instalações. Verifique antecipadamente os requisitos do ambiente de implantação e a estrutura operacional necessária.

Para gerenciar o uso de IA generativa pelos funcionários, o Layer Base da Layer Security inspeciona no dispositivo as entradas e os anexos do navegador e pode alertar, substituir ou bloquear conforme as regras. A empresa também descreve controles para operações compatíveis de agentes de IA. Confirme os navegadores e as operações compatíveis e avalie essa necessidade separadamente da proteção em execução de aplicações com IA.

Para reduzir a carga do monitoramento de segurança, o CTC-MSS AI SOC, da ITOCHU Techno-Solutions, auxilia na detecção e investigação de ameaças e na apresentação de propostas de resposta com IA. Embora seja um serviço oferecido por uma empresa japonesa, sua base utiliza produtos da empresa americana Exaforce.

Ao comparar resultados de avaliações com IA, é difícil determinar qual opção é melhor apenas pelo número de problemas encontrados. Isso porque uma análise que parou na tela de login e outra que chegou às telas de diferentes níveis de permissão examinaram escopos diferentes desde o início. No caso da análise de código, verifique também se foram incluídos os repositórios e as linguagens em questão, além do caminho desde o ponto de chamada até o banco de dados.

Faça os testes na mesma aplicação autorizada e na mesma revisão, e compare se foi possível detectar problemas conhecidos, rastrear os fundamentos dos apontamentos e verificar novamente após as correções. Definir também quem será responsável por conferir os resultados e realizar as correções ajuda a evitar que a solução deixe de ser usada após a implantação.

Mesmo quando o fornecedor é uma empresa japonesa, o local de armazenamento dos dados de entrada, a região onde ocorre a inferência e o uso dos dados para treinamento por modelos externos são condições distintas. Antes de fornecer código confidencial ou logs, confira no contrato e na documentação mais recente o prazo de retenção, o método de exclusão e também os subcontratados.

Verifique separadamente as condições relativas aos dados. O AeyeScan informa que armazena os dados dos clientes na região japonesa da AWS, mas explica que os dados no Azure referentes à opção de IA generativa são excluídos automaticamente após serem armazenados por até 60 dias a partir do uso. No serviço da nossa empresa, explicamos que, embora a própria TECHFUND não utilize os dados para treinamento, os modelos externos selecionados podem utilizá-los para esse fim. Armazenamento no Japão, uso para treinamento, prazo de retenção e região de processamento não são a mesma condição.