Pentest de IA e LLM
Pentest de IA é o teste de invasão em sistemas de inteligência artificial — chatbots, assistentes, agentes e aplicações com LLM. A Berghem simula um atacante real contra o modelo, o pipeline RAG, os plugins e a infraestrutura, cobrindo as dez categorias do OWASP LLM Top 10, e entrega evidência reproduzível com plano de correção priorizado.
Metodologia de pentest de LLM
Quatro fases que percorrem seus modelos, agents e pipelines de RAG por todo o OWASP LLM Top 10 — de LLM01 a LLM10 — com evidência reproduzível em cada etapa.
Precisa validar também detecção e resposta? Veja o Red Team para IA, a campanha adversarial completa que encadeia as falhas encontradas no pentest até o objetivo do atacante.
Mapear a superfície do modelo
Endpoints, system prompts, plugins, RAG e fluxo de dados — documentados antes do primeiro teste.
surface_map.jsonTestar as dez categorias
Prompt injection, output handling, data poisoning, model DoS — cobertura sistemática e reproduzível.
findings.md · 10/10Auditar o stack que sustenta o modelo
Gateways, model serving, vector DBs, segredos e isolamento — onde mora a maioria das falhas críticas.
stack_audit.logTraduzir achados em decisão
Severidade, explorabilidade e impacto ao negócio numa matriz que prioriza o que corrigir primeiro.
risk_matrix.csvO que o OWASP LLM Top 10 cobre?
Cada categoria é exercitada com técnicas reais observadas em incidentes 2025–26, com PoC reproduzível e classificação de risco AI-VRM.
Prompt Injection
Ataques diretos e indiretos que manipulam o comportamento, contornam guardrails ou disparam ações não intencionadas.
Tratamento Inseguro de Saída
Falhas de validação que levam a XSS, SSRF, execução de código ou escalação em sistemas downstream.
Envenenamento de Treinamento
Manipulação de dados de pré-treino, fine-tuning ou embedding para introduzir vieses ou backdoors.
Negação de Serviço do Modelo
Operações intensivas que degradam desempenho, inflam custos ou interrompem o serviço.
Supply Chain
Modelos pré-treinados, datasets, plugins e extensões de terceiros que introduzem vulnerabilidades.
Divulgação de Dados Sensíveis
Exposição de PII, segredos ou system prompts via respostas ou canais laterais.
Design Inseguro de Plugins
Integrações de ferramentas que permitem ações não autorizadas ou execução de código.
Agência Excessiva
Sistemas com permissões ou autonomia além do escopo pretendido — exploráveis para ações arbitrárias.
Dependência Excessiva
Confiança em saídas do LLM sem validação — desinformação, vulnerabilidades, decisões incorretas.
Roubo de Modelo
Extração, replicação ou exfiltração não autorizada de modelos proprietários e pesos.
O que você recebe
Nada de relatório genérico. Cada entregável é endereçado ao público certo — do board ao engenheiro.
Sumário para o board
Análise de impacto ao negócio, top riscos e exposição financeira — em 2 páginas, linguagem de C-suite.
board_summary.pdfAchados com PoC
Cada vulnerabilidade com prova de conceito reproduzível, request/response logs e classificação CVSS+AI-VRM.
findings_full.mdMatriz AI-VRM
Severidade × explorabilidade × impacto, com priorização P0/P1/P2 e SLA sugerido por categoria.
risk_matrix.csvPlano 30/60/90
Ações concretas por finding, com dono, esforço e janela. Inclui workshop de readout com seu time.
remediation_plan.xlsxTécnicas de ataque de IA que testamos
Reproduzimos as técnicas vistas em incidentes reais de 2025–26 contra seus modelos, agents e pipelines de RAG — não um scan de checklist.
Prompt injection direto e indireto — Sobrescrever instruções via entrada do usuário ou via conteúdo envenenado que o modelo recupera de documentos, ferramentas ou fontes RAG.
Jailbreaks e bypass de guardrails — Técnicas de role-play, encoding e multi-turno que derrotam filtros de segurança e restrições do system prompt.
Exfiltração de system prompt e dados de treino — Extrair instruções ocultas, segredos e dados memorizados a partir das respostas e de canais laterais.
Negação de serviço de modelo — Prompts de exaustão de recursos e amplificação de custo que degradam a disponibilidade ou inflam a conta de inferência.
Tratamento inseguro de saída e abuso de ferramentas — Encadear a saída do modelo em XSS, SSRF ou execução de código em sistemas downstream e integrações de plugins.
Excessive agency e envenenamento de RAG — Abusar de agents com permissões excessivas e bases de conhecimento envenenadas para disparar ações não intencionais e de alto impacto.
Pentest tradicional vs pentest de IA
O pentest tradicional e o pentest de IA compartilham o método adversarial, mas divergem no alvo, nas classes de falha e no critério de sucesso. A tabela abaixo resume as diferenças que mudam a forma de planejar, executar e repetir o teste.
| Dimensão | Pentest tradicional | Pentest de IA |
|---|---|---|
| Alvo | Aplicações web, APIs, redes e infraestrutura | Modelos e LLMs, pipelines RAG, agentes com ferramentas e o stack que os serve |
| Classes de falha | OWASP Top 10 web: injeção SQL, XSS, controle de acesso quebrado, SSRF | OWASP LLM Top 10: prompt injection, jailbreak, vazamento de dados, agência excessiva |
| Ferramentas | Scanners, proxies, exploits e fuzzers determinísticos | Payloads de prompt, harnesses de jailbreak, análise de embeddings e fuzzing semântico |
| Critério não determinístico | Comportamento determinístico: a falha se reproduz igual a cada execução | A mesma entrada pode gerar respostas diferentes, exigindo amostragem e repetição para confirmar a falha |
| Frequência de reteste | Após correções e mudanças relevantes de release | A cada troca de modelo, prompt de sistema, base de conhecimento RAG ou conjunto de ferramentas do agente |
Pentest manual vs AI red teaming automatizado
Ferramentas automatizadas escalam a cobertura de padrões conhecidos; o teste manual encontra as falhas de lógica de negócio e encadeadas que importam. A Berghem combina os dois, conduzido por humanos.
| Dimensão | Pentest manual Berghem | AI red teaming automatizado |
|---|---|---|
| Cobertura | Teste profundo e sensível ao contexto dos seus modelos, agents e fluxos de dados | Varredura ampla e rápida de padrões conhecidos de prompt injection e jailbreak |
| Falhas de lógica e encadeadas | Encontradas — os testers encadeiam fraquezas até um objetivo real | Raramente encontradas — limitadas a assinaturas predefinidas |
| Falsos positivos | Triados e validados manualmente | Mais altos — exigem revisão humana |
| Prova de exploração | Prova de conceito reproduzível por achado | Muitas vezes alerta sem um exploit funcional |
| Orientação de correção | Plano 30/60/90 priorizado e sob medida | Recomendações genéricas |
| Evidência de conformidade | Mapeada ao OWASP LLM Top 10 e a frameworks de governança de IA | Parcial, dependente da ferramenta |
Como o pentest de IA apoia a governança de IA
Os achados são mapeados aos frameworks que seus auditores e reguladores esperam, para que um pentest sirva também como evidência do seu programa de governança de IA.
EU AI Act — Evidência de teste adversarial e gestão de risco para sistemas de IA de alto risco colocados no mercado da UE — apoiado na Europa pela Berilo.
ISO/IEC 42001 — Controles demonstráveis para o sistema de gestão de IA, incluindo teste, monitoramento e melhoria contínua dos riscos de IA.
NIST AI RMF — Cobertura das funções Measure e Manage com evidência concreta e comprovada por exploit dos riscos de IA e suas mitigações.
Pentest de IA vs Red Team para IA
O pentest de IA busca amplitude: cobertura sistemática e reproduzível das dez categorias do OWASP LLM Top 10 em toda a superfície do sistema, com uma lista priorizada de vulnerabilidades. O Red Team para IA busca profundidade: uma campanha adversarial orientada a um objetivo de negócio, que encadeia falhas até o impacto final e mede se a defesa detecta e responde ao ataque.
Os dois se complementam — use o pentest para mapear onde você está vulnerável e o Red Team para IA para validar se seus controles de detecção e resposta funcionam sob um ataque real e encadeado.
Pentest com IA: Berghem Agents
A Berghem também aplica inteligência artificial ao próprio processo ofensivo, combinando operadores humanos com agentes autônomos de segurança.
Os Berghem Agents automatizam reconhecimento, geração e mutação de payloads e triagem de achados para ampliar a cobertura do pentest — sempre sob supervisão de especialistas humanos, que validam cada vulnerabilidade e descartam falsos positivos. Assim exercitamos mais variações de ataque em menos tempo, sem abrir mão da prova de conceito reproduzível e do plano de correção priorizado que definem um pentest de IA da Berghem.
Pentest de IA/LLM — perguntas frequentes
O que é pentest de IA?
Qual a diferença para o pentest de aplicação tradicional?
Quanto tempo leva um pentest de IA e quanto custa?
Quais padrões a avaliação segue?
O que recebemos ao final?
Qual a diferença entre pentest de IA/LLM e AI Red Team?
Pronto para testar seus sistemas de IA antes dos atacantes?
Agende um pentest de IA/LLM e obtenha uma visão completa da sua superfície de ataque — de prompt injection a roubo de modelo.
Solicitar pentest de IA