c3.8 Rastreie a linhagem e a procedência dos dados no pipeline de RAG
Registre de onde vieram os dados de RAG e como foram transformados, para auditar o tratamento, investigar incidentes e analisar o impacto das mudanças de dados.
Guia de implementação
Como implementar na AWS
Rastreie a linhagem com o AWS Glue Data Catalog ao longo dos pipelines de processamento de dados, capture a atividade de API com o CloudTrail e monitore a qualidade dos dados e a deriva com o CloudWatch. Mantenha a procedência desde a origem até a ingestão e a recuperação.
Critérios de aceitação
A linhagem é registrada da origem ao vector store; o CloudTrail captura a atividade de API do RAG; a procedência suporta auditorias e análise de incidentes.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
O Glue Data Catalog rastreia a linhagem ao longo do pipeline de RAG, o CloudTrail (para o Log archive) captura a atividade de API e o CloudWatch vigia a qualidade/deriva de dados.
- Rastreie a linhagem com o AWS Glue Data Catalog ao longo do pipeline de processamento de dados desde a origem passando pela ingestão até o vector store.Conta de IA generativa AWS Glue
Amazon S3 - Capture a atividade de API do RAG com o CloudTrail e encaminhe-a ao Log archive central para retenção resistente a adulteração.Conta de IA generativa → Log archive
CloudTrail Amazon S3 - Monitore a qualidade dos dados e a deriva com o CloudWatch e alarme em anomalias.Conta de IA generativa
CloudWatch
Como validar: A linhagem é registrada da origem ao vector store; o CloudTrail captura a atividade de API do RAG no Log archive; a procedência suporta uma consulta de auditoria ou incidente.
Evite: Sem registro de onde veio um dado recuperado. Quando surge uma resposta ruim você não consegue rastreá-la; mantenha a linhagem da origem até a recuperação.
Linhagem do Glue, CloudTrail (para um bucket com Object Lock na conta) e monitoramento de deriva com o CloudWatch dão procedência da origem à recuperação.
- Rastreie a linhagem com o AWS Glue Data Catalog ao longo do pipeline de RAG.Camada de IA generativa (papel IAM) AWS Glue Amazon S3
- Capture a atividade de API do RAG com o CloudTrail no bucket de logs com Object Lock da conta.Registro na conta CloudTrail Amazon S3
- Monitore a qualidade dos dados e a deriva com o CloudWatch.Registro na conta CloudWatch
Como validar: A linhagem é registrada da origem ao store; o CloudTrail captura a atividade de RAG; a procedência suporta auditorias.
Evite: Tratar o store de RAG como uma caixa preta. Rastreie a procedência para poder investigar uma resposta envenenada ou incorreta.
Ameaças atendidas
- Sem trilha de auditoria da origem e das transformações de dados durante uma investigação.
- Impacto a jusante desconhecido quando os dados de origem mudam.
Serviços AWS
AWS CloudTrail Amazon CloudWatch Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM08 Hidden Context Exposure
NIST AI Risk Management Framework (AI 100-1)
- MAP.2 AI system categorization and capabilities are documented
- MEASURE.3 Mechanisms for tracking AI risks are in place
AWS Well-Architected Generative AI Lens (Security)
- GENSEC03-BP01 Implement control plane and data access monitoring
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 3, Linhagem e procedência de dados