Síntese da Parte 4

Parte 4 tratou segurança e governança como disciplinas transversais, não como camada final. O que ficou estabelecido:

• Premissas operacionais defensivas vêm antes de qualquer controle: inputs não confiáveis, tools podem causar dano, agentes podem amplificar privilégios.
• Threat modeling em IA usa STRIDE adaptado + OWASP LLM Top 10 + NIST AI RMF + MITRE ATLAS, e termina em risco residual aceito formalmente.
• Prompt injection não tem defesa completa. A arquitetura defensável é a que limita blast radius quando injection acontece.
• Tool misuse e excessive agency são riscos arquiteturais endereçados por identidade, allowlist, schema, policy, idempotência, rate limits e HITL.
• Memory e vector poisoning exigem disciplina de ingestão, provenance e ciclo de vida.
• PII, DLP e tenant isolation são controles de fronteira; tenant filter no storage, não no prompt.
• Policy-as-code com Rego/Cedar transforma regra crítica em artefato testável e versionado.
• Catálogo de fontes de conhecimento (Cap. 4.12) governa o inventário de fontes - owner, origem, classificação, freshness e ciclo de vida -, ligando RAG, KG, qualidade de dados e supply chain.
• Agent identity e delegated authorization posicionam o agente como cidadão de primeira classe no IdP.
• Supply chain de IA envolve modelos, datasets, prompts, MCP servers, A2A peers - SBOM, SLSA, assinatura e revisão de capabilities deixam de ser opcionais.
• Sandboxing e egress control isolam execução perigosa; "código gerado por LLM" nunca executa fora de sandbox.
• Governança e audit logs completam o ciclo: inventário, classificação de risco, aprovação pré-produção, runbook de incidente.

A Parte 5 entra em operação contínua com a premissa de que segurança não é estado final; é prática diária.

---