Red Team para IA e LLM
Red Team para IA é a simulação de ataques adversariais reais contra sistemas de IA generativa, LLMs e agentes autônomos: operadores humanos encadeiam prompt injection, abuso de ferramentas, persistência e exfiltração para medir se sua detecção e resposta resistem antes que um atacante o faça.
O que é Red Team para IA
Red Team para IA é um exercício ofensivo com objetivo definido — por exemplo, extrair dados de clientes através do assistente, executar uma transação não autorizada via agente ou envenenar a memória de longo prazo de um copiloto — conduzido contra o sistema real, em produção ou em ambiente equivalente, com regras de engajamento acordadas por escrito.
Diferente de um scanner ou de uma bateria de prompts automatizados, a campanha é operada por pessoas que adaptam cada passo ao que o sistema responde. O operador combina prompt injection direta e indireta, abuso de ferramentas e plugins, extração de system prompt, persistência em vector stores e canais de comando e controle escondidos em documentos recuperados por RAG.
O resultado não é uma lista de vulnerabilidades: é a demonstração de quais cadeias de ataque funcionam de ponta a ponta contra a sua IA generativa, quanto tempo cada uma levou, o que o seu SOC viu (ou não viu) e quais controles teriam interrompido a cadeia mais cedo.
Red Team de IA vs pentest de IA
Os dois serviços são complementares. O pentest de IA mede exposição — quantas falhas existem e quão graves são. O Red Team mede resiliência — se um adversário com objetivo consegue chegar ao fim e se você percebe a tempo.
| Critério | Pentest de IA | Red Team de IA |
|---|---|---|
| Pergunta que responde | Quais vulnerabilidades existem no meu LLM, RAG, plugins e infraestrutura? | Um adversário motivado consegue atingir um objetivo de negócio sem ser detectado? |
| Métrica principal | Exposição: número, severidade (CVSS) e categoria OWASP LLM Top 10 de cada achado | Resiliência: cadeias completas até o objetivo, tempo até detecção e eficácia da resposta |
| Escopo | Definido e amplo: as dez categorias do OWASP LLM Top 10 sobre um sistema delimitado | Definido por objetivo: qualquer caminho que leve ao alvo, incluindo pessoas, processos e integrações |
| Abordagem | Sistemática e de cobertura — busca o máximo de falhas no tempo contratado | Orientada a objetivo — encadeia falhas como um atacante real, com furtividade e persistência |
| Duração típica | Cerca de 4 semanas, do kickoff ao relatório | 4–8 semanas, com fase de exploração contínua |
| Envolvimento do SOC | Normalmente avisado; o foco é o sistema, não a detecção | Testado — opcionalmente em modo purple team, validando detecção e resposta ao vivo |
| Entregável central | Relatório de vulnerabilidades com PoC e plano de correção priorizado | Relatório executivo e técnico por cadeia de ataque, replay da campanha e plano de 90 dias |
| Quando escolher | Antes do lançamento, após mudanças relevantes ou como controle periódico | Quando o sistema já passou por pentest e você precisa validar defesa, detecção e resposta |
Ainda não passou por um pentest? Comece pelo pentest de IA e LLM e evolua para a campanha de Red Team quando os controles básicos estiverem em produção.
O Red Team para IA faz parte da Berghem, a empresa de segurança em IA para sistemas de IA e LLM no Brasil e na América Latina.
Como funciona uma campanha de Red Team de IA?
Uma campanha de Red Team de IA percorre quatro estágios conectados: reconhecimento, cenários de ataque, encadeamento e relatório. Operadores humanos conduzem cada estágio — a automação apenas os apoia — de modo que a campanha se adapta ao que os seus sistemas realmente fazem, em vez de seguir um checklist fixo.
Fazer Red Team de uma aplicação com LLM não é o mesmo que fazer Red Team de uma rede. A superfície de ataque é a linguagem: prompts de sistema, documentos recuperados, descrições de ferramentas, memória do agente e as conversas que seus usuários têm todos os dias. Nossos operadores tratam cada uma dessas entradas como um possível ponto de entrada e cada saída do modelo como uma possível saída de dados ou de ações não autorizadas. O objetivo não é uma lista de prompts que fazem o modelo se comportar mal, mas a demonstração do que um adversário motivado poderia alcançar contra o seu negócio — e se alguém perceberia enquanto acontecia.
Toda campanha começa com um workshop de threat modeling de dois dias com a sua equipe. Juntos, inventariamos os sistemas de IA em escopo, identificamos as joias da coroa que um atacante buscaria — dados de clientes, fluxos de transação, ferramentas internas, integrações privilegiadas — e acordamos objetivos do adversário, regras de engajamento e critérios de sucesso. A partir daí, o Red Team opera como um atacante externo, com um canal direto aberto com a sua equipe de segurança durante toda a campanha.
Reconhecimento
Mapeamos a superfície de ataque de IA de fora para dentro: quais modelos estão em uso, o que o prompt de sistema revela, quais ferramentas e funções o agente pode chamar, quais fontes de dados alimentam o pipeline de RAG e quais integrações de terceiros ficam por trás dele. OSINT passivo e sondagem ativa estabelecem a posição inicial de um adversário realista.
Cenários de ataque
Usando o OWASP LLM Top 10 e o MITRE ATLAS como mapas de cobertura, projetamos cenários ligados aos objetivos acordados no threat modeling: prompt injection direta e indireta, jailbreaks e bypass de guardrails, vazamento de system prompt e de dados, abuso de ferramentas e funções, envenenamento de memória e ataques de cadeia de suprimentos a modelos e pacotes.
Encadeamento
Achados isolados viram uma operação. Seguindo a Promptware Kill Chain, encadeamos o acesso inicial em escalação, reconhecimento, persistência, comando e controle, movimento lateral e conclusão do objetivo — provando impacto com dados canário, e não com registros reais. É aqui que o Red Team se diferencia de um pentest: medimos até onde um atacante chega e se a sua detecção e resposta reagem.
Relatório
Cada cadeia é documentada estágio a estágio com payloads, screenshots, logs e PoC reproduzível. Você recebe um relatório executivo, um relatório técnico, um replay interativo da campanha e um plano de remediação de 90 dias, seguidos de um debrief com suas equipes de engenharia, segurança e produto.
Quais frameworks orientam nosso Red Team de IA e LLM?
Ancoramos cada campanha em três referências públicas, para que os achados cheguem em uma linguagem que suas equipes de segurança, compliance e engenharia já compartilham.
Promptware Kill Chain
O modelo de sete estágios que usamos para estruturar um ataque de IA desde a primeira prompt injection até a conclusão do objetivo: acesso inicial, escalação, reconhecimento, persistência, comando e controle, movimento lateral e objetivo. Ele transforma truques isolados de prompt em uma operação de ponta a ponta que pode ser medida, detectada e reproduzida.
OWASP LLM Top 10
A lista de referência dos riscos mais críticos em aplicações com LLM — prompt injection, divulgação de informações sensíveis, cadeia de suprimentos, envenenamento de dados e de modelo, tratamento inadequado de saídas, agência excessiva e vazamento de system prompt, entre outros. Usamos como mapa de cobertura para os cenários de ataque e como classificação de cada achado que reportamos.
MITRE ATLAS
A base de conhecimento da MITRE sobre táticas e técnicas de adversários contra sistemas habilitados por IA, estruturada como o MITRE ATT&CK. Mapeamos cada técnica executada para o ATLAS, para que seu SOC construa detecções e seu blue team compare incidentes de IA com o restante do cenário de ameaças.
Frameworks dão estrutura; operadores dão julgamento. As técnicas catalogadas no OWASP e no ATLAS são pontos de partida — o valor de um Red Team está em combiná-las contra o seu stack específico, seus guardrails específicos e seus fluxos de negócio específicos.
Cinco fases
Uma operação coordenada
Trabalhamos como um adversário motivado — não como um scanner. Cada fase tem entregáveis claros, e você acompanha a operação em tempo real através do nosso dashboard.
Threat modeling
Mapeamos seu stack de IA, identificamos joias da coroa e definimos objetivos do adversário em conjunto com sua equipe.
Reconhecimento
OSINT, enumeração de superfície, identificação de modelos, plugins, dados expostos e integrações de terceiros.
Exploração
Promptware Kill Chain ativada — prompt injection, escalação, coleta de credenciais, persistência via memória do agente.
Objetivos & impacto
Movimento lateral, exfiltração simulada, comprometimento de fluxos de negócio. Documentamos cada caminho com evidências.
Relatório & debrief
Relatório executivo, walkthrough técnico, replay da campanha, e plano de remediação priorizado por impacto.
Metodologia: OWASP LLM Top 10 e MITRE ATLAS
Toda campanha é planejada sobre dois referenciais públicos: o OWASP Top 10 for LLM Applications, que classifica as vulnerabilidades que exploramos, e o MITRE ATLAS, que organiza as táticas e técnicas de um adversário contra sistemas de IA. A Promptware Kill Chain é o fio condutor que liga os dois em uma narrativa de ataque.
Na prática, cada estágio da Promptware Kill Chain é mapeado para táticas do ATLAS e categorias do OWASP: o acesso inicial usa prompt injection direta e multimodal (LLM01) e corresponde às táticas Initial Access e AI Model Access; a escalação explora agência excessiva e abuso de tool calls (LLM06), cobrindo Execution e Privilege Escalation; o reconhecimento extrai system prompt e contexto privilegiado (LLM07) sob a tática Discovery; a persistência envenena memória, vector stores e embeddings (LLM04, LLM08) sob Persistence; o comando e controle usa canais indiretos em documentos e conteúdo recuperado por RAG, sob Command and Control; o movimento lateral propaga a instrução entre agentes e filas de orquestração, documentado com Execution e Collection e referência cruzada ao Lateral Movement do MITRE ATT&CK; e as ações sobre o objetivo demonstram exfiltração por canal lícito (LLM02), sob Exfiltration e Impact.
Duas famílias de técnica atravessam todos os estágios: a evasão de guardrails e classificadores de safety, registrada como Defense Evasion, e os ataques de cadeia de suprimentos a pacotes, modelos e datasets (LLM03), registrados como Resource Development. Cada técnica executada recebe o identificador ATLAS e a categoria OWASP correspondentes no relatório técnico, para que seu time mapeie os controles diretamente no framework que já usa.
O arsenal que o atacante usa — replicado em escala controlada
Cada técnica abaixo foi observada em incidentes reais 2025–26 ou em pesquisa académica. Todas são executadas com autorização explícita e contenção de blast radius.
Prompt injection multimodal
Instruções ocultas em imagens, PDFs, áudio e metadados. Quebra de trust boundary entre dados e instruções.
Tool / function abuse
Encadeamento de tool calls legítimos para alcançar capacidades não autorizadas — file system, email, transações.
Modelo & system prompt leak
Extração de instruções do sistema, contexto privilegiado e detalhes do modelo via prompts adversariais.
Memory poisoning
Injeção de instruções persistentes em memória de longo prazo, vector stores e contexto compartilhado entre sessões.
Indirect prompt channel
Canal de comando-e-controle via documentos compartilhados, comentários, ou conteúdo recuperado por RAG.
Agent-to-agent contagion
Propagação entre agentes via chamadas inter-agente, filas de mensagens, e contextos de orquestração compartilhados.
Data exfil via canal lícito
Saída de dados sensíveis através de respostas, sumários ou ações que aparentam ser legítimas para detecção.
Guardrail bypass
Encoding, role-play, contexto longo, ataques de quebra-cabeça lógicos, e evasão de classifiers de safety.
Cadeia de suprimentos
Pacotes maliciosos, modelos backdoored, datasets envenenados — atacando antes do deploy.
Red Team de IA no Brasil e na LATAM
A Berghem tem sede em São Paulo e entrega Red Team de IA em todo o Brasil e na América Latina, com presença europeia por meio da Berilo. Nossos operadores trabalham em português, espanhol, inglês e italiano — e isso importa mais do que parece. Prompt injection, jailbreaks e engenharia social de um LLM são ataques de linguagem: um modelo que resiste a payloads em inglês frequentemente fica exposto às mesmas técnicas escritas em português ou espanhol. Testamos os assistentes com os quais seus clientes realmente conversam, nos idiomas que realmente usam.
O contexto regional molda os cenários. Instituições financeiras brasileiras operam sob os requisitos de segurança cibernética do Banco Central e a LGPD, e fintechs, varejistas, provedores de saúde e teles em toda a LATAM estão implantando assistentes com LLM voltados ao cliente mais rápido do que seus programas de segurança conseguem acompanhar. Desenhamos objetivos de adversário em torno dos dados e fluxos que carregam risco regulatório e de negócio na sua jurisdição, e escrevemos relatórios que seus auditores e reguladores conseguem ler.
Trabalhar no mesmo fuso horário que a sua equipe significa coordenação ao vivo durante a campanha, sessões de purple team com o seu SOC em horário comercial e um debrief presencial em vez de um PDF enviado por e-mail. Para grupos multinacionais, executamos a mesma metodologia a partir de São Paulo e da Europa, para que uma subsidiária brasileira e uma matriz europeia recebam resultados comparáveis.
Serviços relacionados: Pentest de IA e LLM · Serviços de segurança de IA · Red Team e simulação de ataque
Entregáveis e evidências
Toda campanha termina com quatro entregáveis, cada um escrito para um público diferente: liderança, engenharia, o SOC e o responsável pela remediação.
Relatório executivo (15–25 pp)
Sumário de impacto em linguagem de negócio, mapa de risco, top 5 caminhos de ataque, recomendações priorizadas e exposição financeira estimada.
Relatório técnico (60–120 pp)
Cada cadeia de ataque documentada estágio-a-estágio, com payloads, screenshots, logs, e PoC reproduzível para a equipe de engenharia.
Replay da campanha
Timeline visual interativa de cada estágio executado, decisões do operador, e janelas onde a defesa teria detectado se observabilidade estivesse ativa.
Plano de remediação 90 dias
Ações priorizadas (alta/média/baixa), donos sugeridos, esforço estimado, e dependências entre controles. Revisitamos em 90 dias para validar.
Operações controladas
Sem surpresas
Toda campanha começa com regras de engajamento documentadas, contenção de blast radius, e um canal direto com seu time de resposta caso algo escape do escopo.
Escopo cirúrgico
Sistemas, contas de teste, janelas de tempo e tipos de ação aprovados por escrito antes de qualquer execução.
Linha vermelha 24/7
Canal direto entre líder de campanha e seu time de segurança — pausamos a operação a qualquer momento.
Sem dado real exfiltrado
Demonstramos capacidade de exfiltração com canários e dados sintéticos. Nada sensível sai do seu perímetro.
Reversibilidade
Cada modificação em memória, configuração ou estado é documentada e revertida ao final da operação.
Coordenação com SOC
Modo "purple team" disponível — operamos em coordenação com seu SOC para validar detecção e resposta em tempo real.
Compliance & legal
Contrato com NDA, autorização legal, segregação de dados, e relatório auditável para reguladores e auditores.
Red Team de IA: perguntas frequentes
O que é red team de IA?
Como funciona o Red Team para IA generativa?
Qual a diferença entre Red Team de IA e pentest de IA?
O que você recebe ao final da campanha de Red Team?
Pronto para descobrir o que um adversário motivado consegue fazer?
Workshop de threat modeling de 2 dias para começar — saia com mapa de superfície, top 5 caminhos de ataque hipotéticos, e proposta de campanha completa.
Agendar workshop