c1.10 Habilite detecção de ameaças ciente de IA
Monitore continuamente a atividade de API anômala e os padrões de abuso em torno das suas cargas de inferência e agregue os achados de forma central.
Guia de implementação
Como implementar na AWS
Habilite o Amazon GuardDuty para detectar atividade anômala de API e de credenciais, e agregue os achados no AWS Security Hub. Use o GuardDuty Malware Protection para S3 para varrer arquivos enviados por usuários que as cargas de IA processam.
Critérios de aceitação
O GuardDuty está habilitado e reportando ao Security Hub; a varredura de malware cobre os buckets de upload de usuários; um achado de teste dispara seu fluxo de resposta.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
O GuardDuty roda em toda a organização a partir do administrador delegado em Ferramentas de segurança, vigiando as contas de IA generativa e de aplicação e agregando os achados no Security Hub.
- Habilite o Amazon GuardDuty em toda a organização a partir do administrador delegado na conta de Ferramentas de segurança, cobrindo as contas de IA generativa e de aplicação.Ferramentas de segurança
GuardDuty 
AWS Organizations - Ative o GuardDuty Malware Protection para S3 nos buckets que recebem arquivos enviados por usuários que a carga de IA processa.Conta de IA generativa GuardDuty
Amazon S3 - Agregue os achados no AWS Security Hub e roteie os de alta severidade para seu fluxo de resposta via EventBridge.Ferramentas de segurança
Security Hub
Como validar: O GuardDuty está habilitado em toda a org e reportando ao Security Hub; a varredura de malware cobre os buckets de upload; um achado de teste dispara o fluxo de resposta.
Evite: Habilitar o GuardDuty em uma única conta. Ative-o em toda a org a partir do administrador delegado para que as contas de IA fiquem cobertas e os achados cheguem a um só lugar.
O GuardDuty e o Security Hub rodam na única conta, com varredura de malware nos buckets de upload de usuários e achados conectados a um fluxo de resposta.
- Habilite o Amazon GuardDuty na conta para detectar atividade anômala de API e de credenciais.Registro na conta GuardDuty
- Ative o GuardDuty Malware Protection para S3 nos buckets que contêm arquivos enviados por usuários.Registro na conta GuardDuty Amazon S3
- Agregue os achados no Security Hub e alerte nos de alta severidade.Registro na conta Security Hub
Como validar: O GuardDuty reporta ao Security Hub; a varredura de malware cobre os buckets de upload; um achado de teste dispara seu alerta.
Evite: Adiar a detecção de ameaças para 'depois'. Habilite o GuardDuty desde o início; é sem agente e de baixo custo, e a carga de IA é um alvo atraente.
Ameaças atendidas
- Padrões anômalos de invocação ou de uso de credenciais passando despercebidos.
- Tentativas de abuso de recursos ou exfiltração entre contas.
Serviços AWS
Amazon GuardDuty AWS Security Hub Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM02 Sensitive Information Disclosure
- LLM06 Unbounded Consumption
NIST AI Risk Management Framework (AI 100-1)
- MEASURE.3 Mechanisms for tracking AI risks are in place
- MANAGE.4 Risk treatments, monitoring and response are documented and applied
AWS Well-Architected Generative AI Lens (Security)
- GENSEC03-BP01 Implement control plane and data access monitoring
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 1, Conta de inferência de IA