{
    "schema": "pandora-corpo-companion/1",
    "title": "Auditoria defensiva de IA: o estudo do Sicredi | Raphael Sousa Pereira",
    "description": "width=device-width,initial-scale=1,viewport-fit=cover\" name=\"viewport\"/>\r\n<title>Auditoria defensiva de IA: o que mede, como funciona e estudo público do Sicredi | Raphael Sousa Pereira</title>\r\n<meta content=\"Entenda o que é uma auditoria defensiva de IA, o que o PANDORA CYBER-GENESIS Ω mede em LLMs, RAG e agentes, por que esses dados importam, como contratar uma auditoria e veja o estudo público do Sicredi com 18 controles e score 831/1000.",
    "canonical": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/",
    "language": "pt-BR",
    "author": "Raphael Sousa Pereira",
    "attribution": "Fonte: Raphael Sousa Pereira (https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/)",
    "updated": "2026-10-31",
    "html_sha256": "5ee6287ae93d0cf84eb4a6b72d1a1225f76c07d3c1c70a36f64d65d6d74914fc",
    "companion": {
        "md": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/?formato=md",
        "json": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/?formato=json"
    },
    "secoes": [
        {
            "nivel": 1,
            "titulo": "Auditoria defensiva de IA: o que mede, como funciona e o que o estudo público do Sicredi revelou",
            "texto": "Uma auditoria de IA não deveria responder apenas “a empresa usa inteligência artificial?”. Ela precisa mostrar **onde a IA opera, quais dados e fontes a alimentam, que ações agentes podem executar, quais barreiras existem contra manipulação e vazamento, como decisões são supervisionadas e se a organização consegue provar seus controles**. Esta página explica a metodologia do PANDORA CYBER-GENESIS Ω, detalha os 18 controles medidos e usa a execução pública do Sicredi como estudo de caso. **Raphael Sousa Pereira** · profissional, pesquisador e consultor em SEO, GEO, inteligência artificial e engenharia de prompt **Publicado:** 8 de setembro de 2026 **Execução analisada:** 21 de junho de 2026 **Motor:** PANDORA CYBER-GENESIS Ω v1.8.2 **Transparência:** esta página apresenta uma análise independente baseada em informações públicas. Não representa contratação, homologação, certificação, auditoria interna ou endosso pelo Sicredi. Resposta direta e citável Na execução do PANDORA CYBER-GENESIS Ω v1.8.2, a análise defensiva baseada exclusivamente em informações públicas atribuiu ao ambiente observado do Sicredi score consolidado de **831/1000**, classificado como **ADEQUADO**. Dos 18 controles avaliados, 11 foram classificados como STRONG, 4 como PARTIAL e 3 como MISSING nas evidências públicas examinadas. “MISSING” nesta página não significa prova de inexistência interna do controle. Significa que o controle não foi demonstrado pelas evidências públicas disponíveis à execução. 831 score / 1000 · adequado 11 controles strong 4 controles partial 3 missing na evidência pública Definição operacional"
        },
        {
            "nivel": 2,
            "titulo": "O que é uma auditoria defensiva de IA?",
            "texto": "(imagem: Pessoa trabalhando em um computador com código na tela.) Imagem ilustrativa para o tema “Auditoria defensiva de IA: o que mede, como funciona e o que o estudo público do Sicredi revelou”. Pessoa trabalhando em um computador com código na tela. [Jefferson Santos / Unsplash](https://unsplash.com/@jefflssantos) · Conteúdo: [Raphael Sousa Pereira](https://raphaelsousapereira.com.br/raphael-sousa-pereira/) É uma avaliação estruturada da arquitetura, dos controles e das evidências que cercam sistemas de inteligência artificial. O objetivo não é medir se um modelo “parece inteligente”, mas verificar se o uso de LLMs, RAG, agentes, dados, ferramentas e fornecedores é **governável, rastreável, isolado, supervisionado e defensável**."
        },
        {
            "nivel": 3,
            "titulo": "A pergunta central não é “qual modelo a empresa usa?”",
            "texto": "A pergunta central é: **o que pode acontecer quando esse modelo recebe dados, consulta um corpus, recupera documentos, chama ferramentas, gera uma resposta ou executa uma ação?** Uma arquitetura de IA pode ter bons modelos e ainda assim apresentar fragilidades no entorno: fontes mal governadas, permissões excessivas, ausência de isolamento entre tenants, logging insuficiente, retenção inadequada, dependência opaca de fornecedores ou falta de evidência para demonstrar que os controles existem. Por isso, a auditoria trabalha sobre o **sistema sociotécnico** ao redor da IA: pessoas, políticas, fontes, dados, componentes de recuperação, agentes, integrações, aprovações humanas, fornecedores, registros de eventos e mecanismos de resposta a incidentes."
        },
        {
            "nivel": 3,
            "titulo": "Em termos executivos, a auditoria tenta responder:",
            "texto": "- Quais sistemas de IA existem e onde eles entram nos processos? - Quais dados, documentos e fontes podem influenciar as respostas? - Um usuário, documento ou agente consegue ampliar indevidamente seu alcance? - Há separação entre instrução, contexto recuperado e ação autorizada? - Quem aprova ações sensíveis e quem responde por incidentes? - A empresa consegue provar seus controles com evidências verificáveis? Não é benchmark de modelo"
        },
        {
            "nivel": 3,
            "titulo": "Não mede “qual IA é mais inteligente”",
            "texto": "O foco é segurança, governança, isolamento, rastreabilidade, privilégios, fontes, ações e evidências — não uma competição de capacidade entre modelos. Não é pentest ofensivo"
        },
        {
            "nivel": 3,
            "titulo": "Não depende de exploração destrutiva",
            "texto": "O laudo se declara defensivo e exclui payloads, bypass, exfiltração operacional e instruções de ataque. A análise identifica superfícies, controles e lacunas de governança. Não é certificação"
        },
        {
            "nivel": 3,
            "titulo": "Não substitui auditoria regulatória ou parecer jurídico",
            "texto": "O score é um resultado do motor dentro do escopo e das evidências avaliadas. Para uso formal regulatório, jurídico ou certificador, o próprio laudo recomenda validação profissional independente. Metodologia do motor"
        },
        {
            "nivel": 2,
            "titulo": "O que o PANDORA CYBER-GENESIS Ω faz durante uma auditoria",
            "texto": "O PANDORA CYBER-GENESIS Ω transforma sinais e evidências sobre o uso de IA em uma matriz defensiva estruturada. Na execução documentada, o motor avaliou 18 controles, atribuiu status, severidade e score, relacionou evidências a achados, mapeou padrões de ameaça e produziu prioridades de remediação com proveniência da execução."
        },
        {
            "nivel": 3,
            "titulo": "Mapeia o ambiente de IA",
            "texto": "Identifica sistemas, agentes, fluxos, fontes, corpus, integrações, fornecedores e pontos em que a IA participa de processos ou decisões."
        },
        {
            "nivel": 3,
            "titulo": "Organiza evidências",
            "texto": "Relaciona evidências aos controles avaliados e mantém a distinção entre o que foi observado, o que foi inferido e o que não foi demonstrado no escopo disponível."
        },
        {
            "nivel": 3,
            "titulo": "Avalia 18 controles defensivos",
            "texto": "Cada controle recebe uma leitura própria, como STRONG, PARTIAL ou MISSING, acompanhada por severidade, score e, quando aplicável, lacuna e recomendação."
        },
        {
            "nivel": 3,
            "titulo": "Conecta ameaça e controle",
            "texto": "O motor relaciona padrões como manipulação via corpus/RAG, exfiltração semântica e supply chain opaca aos controles que deveriam reduzir essas superfícies."
        },
        {
            "nivel": 3,
            "titulo": "Prioriza remediação",
            "texto": "As lacunas são convertidas em um plano executivo por prioridade e janela temporal, permitindo separar o que é imediato do que pertence à maturidade operacional."
        },
        {
            "nivel": 3,
            "titulo": "Preserva proveniência",
            "texto": "A execução registra identidade, fingerprint, workflow, cadeia de eventos, grafo de evidências e assinatura, criando uma trilha de auditoria para o próprio processo de análise. **Camada 1 · Informação** Inventário, fontes, corpus, recuperação, dados e isolamento. **Camada 2 · Comportamento** Prompt injection, poisoning, exfiltração, outputs e ações downstream. **Camada 3 · Agência** Ferramentas, privilégios, autorização, aprovação humana e limites de agentes. **Camada 4 · Governança** Logs, retenção, incidentes, testes, fornecedores, evidência e cadeia de custódia. **Dois modos de evidência:** este estudo do Sicredi foi executado exclusivamente com informações públicas. Em uma auditoria contratada por uma empresa, o escopo pode ser ampliado com evidências internas disponibilizadas pelo cliente — como políticas, diagramas, matriz de acessos, documentação de fornecedores, logs e resultados de testes. Isso reduz a incerteza entre “não demonstrado externamente” e “controle efetivamente validado no escopo interno”. Matriz de medição"
        },
        {
            "nivel": 2,
            "titulo": "O que uma empresa efetivamente mede ao contratar esta auditoria",
            "texto": "Os 18 controles não são uma lista decorativa. Eles funcionam como perguntas de governança e segurança que atravessam o ciclo de vida da IA — da entrada de dados até a ação de um agente, passando por privacidade, fornecedores, observabilidade e capacidade de provar o que aconteceu. CG.1 · CG.2 · CG.10 · CG.17"
        },
        {
            "nivel": 3,
            "titulo": "Inventário, fontes e cadeia de fornecimento",
            "texto": "Mede se a organização sabe quais sistemas de IA utiliza, quem fornece modelos e plugins, quais fontes alimentam o sistema e se existe ownership e governança sobre esse ecossistema. - Inventário de IA, agentes e fluxos. - Curadoria, allowlist, versionamento e revisão de fontes. - Governança de modelos, plugins e fornecedores. - Visibilidade sobre dependências externas. CG.3 · CG.4 · CG.5 · CG.13"
        },
        {
            "nivel": 3,
            "titulo": "Entrada adversarial, RAG e integridade do conhecimento",
            "texto": "Mede se instruções maliciosas ou conteúdo externo podem alterar o comportamento do sistema, contaminar o corpus ou permitir recuperação fora do escopo autorizado. - Prompt injection direto e indireto. - Separação entre instrução e conteúdo recuperado. - Isolamento vetorial por tenant, cliente ou escopo. - Detecção de poisoning e integridade de fontes. CG.6 · CG.7 · CG.12 · CG.14"
        },
        {
            "nivel": 3,
            "titulo": "Agentes, ferramentas, privilégios e aprovação humana",
            "texto": "Mede até onde um agente pode agir, quais ferramentas pode chamar, quais permissões possui, como ações downstream são validadas e em quais pontos a supervisão humana é obrigatória. - Matriz de ações permitidas. - Princípio de menor privilégio. - Controles sobre tool calls e ações sensíveis. - Human-in-the-loop para decisões críticas. CG.9 · CG.11"
        },
        {
            "nivel": 3,
            "titulo": "Privacidade, retenção e exfiltração semântica",
            "texto": "Mede se dados pessoais, confidenciais ou sensíveis podem aparecer em respostas, logs ou contexto sem autorização e se a retenção em operações com LLMs está controlada. - Políticas de privacidade e retenção em LLMOps. - Risco de informação sensível emergir em respostas ou contexto. - Relação entre privilégio, recuperação e exposição de dados. CG.8 · CG.15 · CG.16"
        },
        {
            "nivel": 3,
            "titulo": "Observabilidade, incidentes e regressão",
            "texto": "Mede se a organização consegue reconstruir eventos, detectar falhas, responder a incidentes e provar que uma atualização de prompt, modelo, corpus ou integração não reintroduziu um risco já tratado. - Logging e telemetria. - Processo de incidente específico para LLM/GenAI. - Golden evals, testes e regressão de segurança. CG.18 + cadeia de execução"
        },
        {
            "nivel": 3,
            "titulo": "Evidência, auditabilidade e cadeia de custódia",
            "texto": "Mede a capacidade de sustentar uma afirmação de controle com trilha verificável. Sem evidência, um processo pode até existir, mas continua difícil demonstrá-lo para auditoria, gestão de risco, conselho, DPO, segurança ou investigação de incidente. - Vínculo entre achado e evidência. - Identidade e integridade da execução. - Rastreabilidade para revisão posterior. **O que o score não deve ser usado para afirmar:** - que uma organização está “100% segura”; - que a ausência de evidência pública prova ausência de um controle interno; - que o resultado substitui certificação, pentest, parecer jurídico ou auditoria regulatória; - que um único número resume sozinho toda a maturidade de IA. O valor do score está na decomposição por controle, severidade, evidência e prioridade. Valor executivo"
        },
        {
            "nivel": 2,
            "titulo": "Por que esses dados são importantes para uma empresa",
            "texto": "A organização raramente sofre porque “não tinha um score”. Ela sofre porque não sabia onde estava a exposição, quem tinha permissão, qual fonte contaminou uma resposta, por que um agente executou determinada ação ou como provar que um controle existia. A auditoria transforma essas perguntas em um mapa acionável. 01"
        },
        {
            "nivel": 3,
            "titulo": "Priorizar investimento",
            "texto": "Severidade e score ajudam a separar lacunas críticas de melhorias de maturidade. Isso evita tratar 18 controles como se todos exigissem a mesma urgência ou o mesmo orçamento. 02"
        },
        {
            "nivel": 3,
            "titulo": "Reduzir risco de exposição de dados",
            "texto": "Controles de RAG, privilégio, retenção e exfiltração conectam diretamente a arquitetura de recuperação e agentes ao risco de dados aparecerem fora do escopo autorizado. 03"
        },
        {
            "nivel": 3,
            "titulo": "Governar agentes que executam ações",
            "texto": "Quando a IA deixa de apenas responder e passa a chamar ferramentas, aprovar fluxos ou alterar sistemas, permissões e human-in-the-loop tornam-se parte do risco operacional. 04"
        },
        {
            "nivel": 3,
            "titulo": "Responder incidentes com evidência",
            "texto": "Logs, telemetria, cadeia de eventos e provenance reduzem a distância entre “algo deu errado” e “conseguimos reconstruir o que ocorreu, em qual escopo e com qual evidência”. 05"
        },
        {
            "nivel": 3,
            "titulo": "Controlar dependências externas",
            "texto": "Modelos, plugins, datasets e fornecedores podem ampliar a superfície de risco. A auditoria torna a supply chain de IA uma questão explícita de governança, não um detalhe invisível de implementação. 06"
        },
        {
            "nivel": 3,
            "titulo": "Criar uma baseline repetível",
            "texto": "Uma primeira execução estabelece uma fotografia. Reavaliações futuras podem mostrar se remediações foram implementadas e se mudanças de modelo, corpus, fornecedor ou arquitetura alteraram o perfil de risco. | Dado produzido | Decisão que ele ajuda a tomar | Quem pode usar | |---|---|---| | Status + score por controle | Onde concentrar remediação, orçamento e responsáveis. | CISO, CTO, liderança de IA, risco. | | Severidade | Qual lacuna exige ação imediata e qual pode entrar em roadmap. | Segurança, gestão, conselho de risco. | | Mapa de evidências | O que pode ser demonstrado e o que ainda depende de validação. | Auditoria, compliance, DPO, jurídico. | | Padrões de ameaça | Como uma fragilidade técnica se conecta a uma superfície concreta. | AppSec, engenharia, arquitetura. | | Plano P1/P2/P3 | Como converter finding em execução com ordem e horizonte. | PMO, engenharia, segurança, direção. | | Proveniência da execução | Como revisar, repetir e comparar auditorias sem perder rastreabilidade. | Auditoria interna, segurança e governança. | Serviço para empresas"
        },
        {
            "nivel": 2,
            "titulo": "Como uma empresa pode contratar uma auditoria defensiva de IA",
            "texto": "A contratação começa por escopo, não por um número pronto. O objetivo é descobrir quais sistemas de IA precisam ser avaliados, quais evidências podem ser acessadas e quais riscos são materialmente relevantes para o negócio. A mesma matriz de 18 controles pode ser usada como núcleo, mas a profundidade depende do ambiente e da evidência disponibilizada."
        },
        {
            "nivel": 3,
            "titulo": "Quando faz sentido contratar",
            "texto": "- A empresa colocou chatbot, copiloto ou assistente baseado em LLM em produção. - Existe RAG conectado a documentos internos, base de conhecimento ou dados de clientes. - Agentes de IA chamam APIs, ferramentas, CRM, ERP, e-mail, banco de dados ou automações. - Há dados sensíveis, regulados, financeiros, pessoais ou estratégicos no fluxo de IA. - Vários fornecedores, modelos, plugins ou conectores compõem a solução. - A direção precisa de uma visão executiva de risco e um plano priorizado de correção."
        },
        {
            "nivel": 3,
            "titulo": "O que a empresa pode disponibilizar",
            "texto": "- Inventário de soluções de IA e responsáveis. - Diagramas de arquitetura, fluxos de RAG e integrações. - Políticas de acesso, retenção, privacidade e incidentes. - Matrizes de permissão de agentes e ferramentas. - Documentação de fornecedores, modelos e plugins. - Logs, telemetria, evidências de teste e registros de revisão. Quanto melhor a evidência interna, menor a dependência de inferências e maior a capacidade de validar controles específicos. Etapa 1"
        },
        {
            "nivel": 3,
            "titulo": "Triagem e escopo",
            "texto": "Mapeamento inicial dos sistemas de IA, criticidade, dados envolvidos e objetivo da auditoria. Etapa 2"
        },
        {
            "nivel": 3,
            "titulo": "Plano de evidências",
            "texto": "Definição do que será analisado e de quais documentos, registros ou acessos serão fornecidos pelo cliente. Etapa 3"
        },
        {
            "nivel": 3,
            "titulo": "Execução PANDORA",
            "texto": "Avaliação dos controles, classificação de achados, severidade, scores e vinculação de evidências. Etapa 4"
        },
        {
            "nivel": 3,
            "titulo": "Laudo técnico",
            "texto": "Entrega da matriz de controles, gaps, threat patterns, limitações e provenance da execução. Etapa 5"
        },
        {
            "nivel": 3,
            "titulo": "Plano executivo",
            "texto": "Priorização P1/P2/P3 com recomendações e, quando o escopo permitir, estimativa de esforço. Etapa 6"
        },
        {
            "nivel": 3,
            "titulo": "Reavaliação",
            "texto": "Nova execução após remediações para comparar evolução, validar evidências e detectar regressões."
        },
        {
            "nivel": 3,
            "titulo": "Entregáveis possíveis de uma auditoria contratada",
            "texto": "Score consolidado + score por controle Matriz dos 18 controles defensivos Mapa de evidências e lacunas Threat patterns relacionados Plano P1 / P2 / P3 Recomendações por finding Identidade e provenance da execução Resumo executivo para decisão **Solicitar um escopo de auditoria:** a primeira conversa serve para entender sistemas, dados, agentes, integrações e objetivo da análise. O escopo pode ser público, interno ou híbrido, conforme a evidência que a organização autorizar. [Solicitar auditoria de IA](https://raphaelsousapereira.com.br/) Escopo e fronteira epistemológica"
        },
        {
            "nivel": 2,
            "titulo": "O que este estudo pode afirmar — e o que ele não pode",
            "texto": "A força da página depende de manter separadas observação pública, inferência defensiva e ausência de evidência. O próprio laudo delimita seu alcance: auditoria defensiva, sem exploração ofensiva, baseada em informações públicas e sujeita a revisão independente para usos formais. Observado em fonte pública Informação ou evidência que a execução conseguiu localizar e relacionar diretamente ao controle analisado. Inferência defensiva Conclusão operacional derivada da combinação entre evidências públicas, critérios do motor e regra de scoring. Não demonstrado publicamente Ausência de evidência pública suficiente na execução. Não equivale a afirmar que o controle interno inexiste. **Regra de redação:** “não foi encontrada evidência pública suficiente” é epistemicamente mais forte do que “a organização não possui”. Dataset editorial"
        },
        {
            "nivel": 2,
            "titulo": "18 controles defensivos avaliados",
            "texto": "A tabela abaixo preserva os IDs, os nomes, os status, as severidades e os scores registrados no laudo. O HTML transforma a matriz do PDF em dados textuais legíveis por humanos, buscadores e sistemas generativos. | ID | Controle | Status | Severidade | Score | |---|---|---|---|---| | CG.1 | Inventário de IA, agentes e fluxos | STRONG | LOW | 950 | | CG.2 | Controle de fontes e corpus | PARTIAL | MEDIUM | 666 | | CG.3 | Defesa contra prompt injection direto | STRONG | LOW | 982 | | CG.4 | Defesa contra prompt injection indireto | MISSING | HIGH | 332 | | CG.5 | RAG seguro e isolamento vetorial | MISSING | CRITICAL | 292 | | CG.6 | Governança de agentes e ferramentas | MISSING | HIGH | 340 | | CG.7 | Menor privilégio para agentes | PARTIAL | LOW | 670 | | CG.8 | Logging e telemetria | STRONG | LOW | 958 | | CG.9 | Privacidade e retenção em LLMOps | STRONG | LOW | 950 | | CG.10 | Supply chain de modelos e plugins | STRONG | LOW | 958 | | CG.11 | Proteção contra exfiltração semântica | PARTIAL | LOW | 670 | | CG.12 | Segurança de outputs e ações downstream | STRONG | LOW | 966 | | CG.13 | Detecção de poisoning | STRONG | LOW | 966 | | CG.14 | Human-in-the-loop | STRONG | LOW | 990 | | CG.15 | Incidentes LLM/GenAI | STRONG | LOW | 958 | | CG.16 | Testes e regressão de segurança | PARTIAL | LOW | 670 | | CG.17 | Governança de fornecedores de IA | STRONG | LOW | 990 | | CG.18 | Evidência e cadeia de custódia | STRONG | LOW | 950 | Achados prioritários"
        },
        {
            "nivel": 2,
            "titulo": "As três lacunas públicas mais relevantes",
            "texto": "Os menores scores e maiores severidades concentraram-se em RAG, prompt injection indireto e governança formal de agentes. A leitura abaixo preserva o sentido do laudo sem converter “MISSING” em afirmação sobre controles internos não observáveis. CG.4 · HIGH · 332/1000"
        },
        {
            "nivel": 3,
            "titulo": "Prompt injection indireto",
            "texto": "**Lacuna registrada:** RAG/fontes externas sem evidência pública suficiente de proteção contra prompt injection indireto. **Recomendação:** tratar conteúdo externo como não confiável e separar instruções de dados recuperados. CG.5 · CRITICAL · 292/1000"
        },
        {
            "nivel": 3,
            "titulo": "RAG seguro e isolamento vetorial",
            "texto": "**Lacuna registrada:** RAG sem evidência pública suficiente de isolamento por cliente, tenant ou escopo. **Recomendação:** isolamento vetorial, filtros por tenant e testes de acesso cruzado. CG.6 · HIGH · 340/1000"
        },
        {
            "nivel": 3,
            "titulo": "Governança de agentes e ferramentas",
            "texto": "**Lacuna registrada:** agentes sem governança formal publicamente demonstrada de escopo, ações e limites. **Recomendação:** política de agentes, matriz de ações permitidas e aprovação para ações sensíveis. Relações semânticas"
        },
        {
            "nivel": 2,
            "titulo": "Padrões de ameaça mapeados",
            "texto": "O laudo conecta padrões de ameaça a controles relacionados, formando uma estrutura de relações que pode ser recuperada como grafo: ameaça → superfície → controles defensivos. TP.2"
        },
        {
            "nivel": 3,
            "titulo": "Manipulação indireta via corpus/RAG",
            "texto": "Conteúdo externo ou documento ingerido tenta influenciar o comportamento do sistema. Relaciona-se a prompt injection indireto, fontes/corpus, poisoning e isolamento de RAG. TP.3"
        },
        {
            "nivel": 3,
            "titulo": "Exfiltração semântica",
            "texto": "Informações sensíveis aparecem em respostas, logs ou contexto sem autorização adequada. Relaciona-se a exfiltração, privacidade, menor privilégio e isolamento de RAG. TP.5"
        },
        {
            "nivel": 3,
            "titulo": "Supply chain de IA opaca",
            "texto": "Fornecedor, modelo, plugin ou dataset sem governança contratual ou técnica suficiente. Relaciona-se a supply chain, fornecedores de IA e retenção/privacidade. Remediação"
        },
        {
            "nivel": 2,
            "titulo": "Plano de ação por prioridade",
            "texto": "P1 · imediato · 0–30 dias"
        },
        {
            "nivel": 3,
            "titulo": "Isolamento de RAG",
            "texto": "- CG.5 — implementar isolamento vetorial. - Aplicar filtros por tenant. - Testar acesso cruzado entre escopos. P2 · 30–90 dias"
        },
        {
            "nivel": 3,
            "titulo": "Entrada externa e agentes",
            "texto": "- CG.4 — tratar conteúdo externo como não confiável. - Separar instrução de dado recuperado. - CG.6 — formalizar política de agentes e aprovações. P3 · 90–180 dias"
        },
        {
            "nivel": 3,
            "titulo": "Maturidade operacional",
            "texto": "- CG.2 — curadoria, allowlist, ownership e versionamento. - CG.7 / CG.11 / CG.16 — manter evidências, testar regressão e revisar periodicamente. Estimativa registrada no laudo"
        },
        {
            "nivel": 2,
            "titulo": "Esforço estimado para os controles priorizados",
            "texto": "| Controle | Esforço | Custo indicado | Ferramentas / medidas sugeridas | |---|---|---|---| | CG.11 | 6h | baixo/médio | policy/process control, manual review, evidence register | | CG.16 | 6h | baixo/médio | golden evals, security regression suite, CI policy gates | | CG.2 | 12h | baixo/médio | policy/process control, manual review, evidence register | | CG.4 | 28h | baixo/médio | source allowlist, content ingestion review, RAG quarantine workflow | | CG.5 | 44h | sob escopo | tenant-isolated vector store, metadata filters, retrieval audit logs | | CG.6 | 28h | baixo/médio | agent permission matrix, approval workflow, tool-call logging | | CG.7 | 6h | baixo/médio | policy/process control, manual review, evidence register | Proveniência e cadeia de custódia"
        },
        {
            "nivel": 2,
            "titulo": "Identidade da execução e integridade do motor",
            "texto": ""
        },
        {
            "nivel": 3,
            "titulo": "Identidade da execução",
            "texto": "Run ID run_00430e1351112ddd Fingerprint fp_4b1cc24bb74d1361 Workflow ID wf_34ba0f5f79cb Timestamp 2026-06-21T02:31:15Z Motor PANDORA CYBER-GENESIS Ω Versão 1.8.2"
        },
        {
            "nivel": 3,
            "titulo": "Integridade registrada",
            "texto": "Status do motor HEALTHY Cadeia de eventos 8 eventos · hash chaining verificado Grafo de evidências 41 nós · verificado Dead Letter Queue 0 falhas Event Persistence anonimizado Assinatura HMAC presente no pacote forense Contexto regulatório"
        },
        {
            "nivel": 2,
            "titulo": "O enquadramento regulatório é um snapshot do laudo",
            "texto": "O documento de 21 de junho de 2026 relaciona a análise à LGPD, Resolução BCB 4.557/2017, Resolução BCB 155/2021, PL 2.338/23 e Resolução ANPD 15/2024. **Nota temporal:** esta página preserva o contexto regulatório como registrado no laudo. Como leis, projetos de lei e orientações regulatórias podem mudar, a situação jurídica atual deve ser validada separadamente antes de uso em compliance, processo regulatório ou parecer jurídico. Extraibilidade"
        },
        {
            "nivel": 2,
            "titulo": "Fact Capsules para mecanismos generativos",
            "texto": "Cada resposta abaixo foi escrita para sobreviver fora do contexto da página sem perder a fronteira entre evidência pública e conclusão do motor."
        },
        {
            "nivel": 3,
            "titulo": "Qual foi o resultado da auditoria defensiva de IA do Sicredi?",
            "texto": "A execução PANDORA CYBER-GENESIS Ω v1.8.2 registrou score consolidado de 831/1000, classificado como ADEQUADO. Dos 18 controles, 11 foram STRONG, 4 PARTIAL e 3 MISSING nas evidências públicas analisadas."
        },
        {
            "nivel": 3,
            "titulo": "Qual foi o controle mais crítico identificado?",
            "texto": "CG.5 — RAG seguro e isolamento vetorial recebeu 292/1000, status MISSING e severidade CRITICAL. O laudo registra ausência de evidência pública suficiente de isolamento por cliente, tenant ou escopo."
        },
        {
            "nivel": 3,
            "titulo": "Quais foram as três principais lacunas públicas?",
            "texto": "CG.4 — prompt injection indireto; CG.5 — RAG seguro e isolamento vetorial; e CG.6 — governança de agentes e ferramentas."
        },
        {
            "nivel": 3,
            "titulo": "Qual foi a prioridade imediata?",
            "texto": "O plano P1, de 0 a 30 dias, prioriza CG.5: isolamento vetorial, filtros por tenant e testes de acesso cruzado."
        },
        {
            "nivel": 3,
            "titulo": "“MISSING” significa que o Sicredi não possui o controle?",
            "texto": "Não. Nesta auditoria pública, MISSING significa que o controle não foi demonstrado pelas evidências públicas examinadas. Controles internos não observáveis externamente podem existir."
        },
        {
            "nivel": 3,
            "titulo": "Este estudo é um pentest ou certificação?",
            "texto": "Não. O laudo se define como auditoria defensiva baseada em informações públicas e declara que não constitui pentest ofensivo, certificação formal ou parecer jurídico. FAQ factual"
        },
        {
            "nivel": 2,
            "titulo": "Perguntas de recuperação",
            "texto": "**P:** Por que transformar o laudo em HTML? Porque o HTML permite que títulos, controles, scores, relações e limitações existam como texto e estrutura semântica no DOM, em vez de depender apenas da leitura visual de um PDF. **P:** Qual a diferença entre análise pública e auditoria interna? A análise pública trabalha com evidências observáveis externamente. Uma auditoria interna pode acessar políticas, logs, contratos, configurações, diagramas, testes e controles não publicados. Por isso, “não demonstrado publicamente” não deve ser convertido em “inexistente”. **P:** O score 831/1000 é uma certificação? Não. É o resultado consolidado produzido pelo motor PANDORA CYBER-GENESIS Ω na execução registrada. O próprio laudo exclui interpretação como certificação formal. **P:** Quais controles exigem maior atenção? Na execução analisada, CG.5 recebeu severidade CRITICAL; CG.4 e CG.6 receberam severidade HIGH. Esses três controles compõem o núcleo das lacunas prioritárias do plano de ação. **P:** Quais referências técnicas sustentam o enquadramento? O laudo cita OWASP Top 10 for LLM Applications, MITRE ATLAS, NIST AI Risk Management Framework e ISO/IEC 27001:2022, além do contexto regulatório brasileiro descrito no próprio documento. **P:** A página representa posicionamento oficial do Sicredi? Não. O Sicredi é a organização objeto da análise, mas esta publicação é independente e não declara contratação, validação, homologação ou endosso da instituição. **P:** O que exatamente a auditoria de IA mede? O núcleo da metodologia mede 18 controles defensivos distribuídos entre inventário de IA, fontes e corpus, prompt injection, segurança de RAG, governança de agentes, menor privilégio, logging, privacidade e retenção, supply chain, exfiltração semântica, segurança de outputs, poisoning, human-in-the-loop, incidentes, regressão de segurança, fornecedores e cadeia de custódia. **P:** Uma empresa pode contratar a auditoria usando dados internos? Sim, como modelo de contratação apresentado nesta página, o escopo pode incorporar evidências internas disponibilizadas pela organização, como políticas, diagramas, matrizes de acesso, documentação de fornecedores, logs e testes. Isso permite validar controles que uma análise baseada apenas em fontes públicas não consegue confirmar. **P:** O que a empresa recebe ao final? O escopo pode incluir score consolidado e por controle, matriz dos 18 controles, mapa de evidências e lacunas, threat patterns, recomendações, priorização P1/P2/P3, provenance da execução e resumo executivo para apoiar remediação e governança. **P:** Quais empresas tendem a se beneficiar mais? Organizações que já usam LLMs, RAG, copilotos, agentes, automações ou conectores com dados internos — especialmente quando a IA acessa informação sensível, executa ações, depende de múltiplos fornecedores ou precisa ser demonstrável para segurança, risco, compliance e direção. Limitações"
        },
        {
            "nivel": 2,
            "titulo": "O que impede conclusões mais fortes",
            "texto": "1. **Auditoria defensiva:** não constitui pentest ofensivo, certificação formal ou parecer jurídico. 2. **Base pública:** findings dependem de evidências declaradas e fontes abertas; controles internos não auditáveis externamente podem existir. 3. **Sem exploração operacional:** o motor não inclui payloads de exploração, bypass, exfiltração ou instruções de ataque. 4. **Uso formal:** conclusões regulatórias requerem revisão por profissionais qualificados. 5. **Temporalidade:** contexto regulatório e controles de IA podem evoluir após a data da execução. **Conclusão citável:** o resultado de 831/1000 descreve uma fotografia defensiva de evidências públicas em 21 de junho de 2026; ele não substitui auditoria interna, pentest, certificação ou validação regulatória. Referências técnicas"
        },
        {
            "nivel": 2,
            "titulo": "Fontes de enquadramento citadas no laudo",
            "texto": "**OWASP Foundation.** OWASP Top 10 for LLM Applications — referência 2025 utilizada no laudo. [Fonte oficial](https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/). **MITRE.** MITRE ATLAS — Adversarial Threat Landscape for Artificial-Intelligence Systems. [Fonte oficial](https://atlas.mitre.org/). **NIST.** Artificial Intelligence Risk Management Framework (AI RMF 1.0), 2023. [Fonte oficial](https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10). **ISO/IEC.** ISO/IEC 27001:2022 — Information security management systems. [Fonte oficial](https://www.iso.org/standard/27001). Como citar esta página PEREIRA, Raphael Sousa. Auditoria defensiva de IA: o que mede, como funciona e estudo público do Sicredi. GEO IA, 8 set. 2026. Baseada em execução PANDORA CYBER-GENESIS Ω v1.8.2 de 21 jun. 2026. Disponível em: https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/. **Transparência editorial.** Esta publicação expande para a web um laudo automatizado produzido pelo PANDORA CYBER-GENESIS Ω v1.8.2 e adiciona uma camada explicativa sobre metodologia, valor dos controles e modelo de contratação do serviço. O conteúdo mantém a distinção entre evidência pública, inferência defensiva e controle não demonstrado externamente. Encontrou uma evidência pública nova, erro factual ou mudança material após 21/06/2026? A página deve ser atualizada com registro temporal da correção. O autor, Raphael Sousa Pereira, é especialista em agentes de IA e também criou o PANDORA AUTONOMOUS, auditor autônomo que coordena auditorias de segurança de LLM e entrega relatório executivo com pacote de evidências selado ([agentes PANDORA](https://raphaelsousapereira.com.br/raphael-sousa-pereira/#agentes-pandora))."
        }
    ],
    "perguntas": [
        {
            "pergunta": "Qual foi o resultado da auditoria defensiva de IA do Sicredi?",
            "resposta": "A execução PANDORA CYBER-GENESIS Ω v1.8.2 registrou score consolidado de 831/1000, classificado como ADEQUADO. Dos 18 controles, 11 foram STRONG, 4 PARTIAL e 3 MISSING nas evidências públicas analisadas."
        },
        {
            "pergunta": "Qual foi o controle mais crítico identificado?",
            "resposta": "CG.5 — RAG seguro e isolamento vetorial recebeu score 292/1000, status MISSING e severidade CRITICAL. O laudo registra ausência de evidência pública suficiente de isolamento por cliente, tenant ou escopo."
        },
        {
            "pergunta": "Quais foram as três principais lacunas?",
            "resposta": "CG.4, relacionado a prompt injection indireto; CG.5, relacionado a RAG seguro e isolamento vetorial; e CG.6, relacionado à governança de agentes e ferramentas."
        },
        {
            "pergunta": "A página afirma que o Sicredi não possui esses controles?",
            "resposta": "Não. A análise é baseada exclusivamente em informações públicas. A classificação MISSING significa que o controle não foi demonstrado nas evidências públicas examinadas; controles internos não observáveis externamente podem existir."
        },
        {
            "pergunta": "Qual ação recebeu prioridade imediata?",
            "resposta": "O plano de ação P1, de 0 a 30 dias, prioriza CG.5: isolamento vetorial, filtros por tenant e testes de acesso cruzado."
        },
        {
            "pergunta": "Este estudo é um pentest, certificação ou parecer jurídico?",
            "resposta": "Não. O laudo declara que a auditoria é defensiva, baseada em informações públicas e não constitui pentest ofensivo, certificação formal ou parecer jurídico."
        },
        {
            "pergunta": "O que exatamente uma auditoria de IA mede?",
            "resposta": "O núcleo da metodologia mede 18 controles defensivos que abrangem inventário, fontes e corpus, prompt injection, RAG, agentes, menor privilégio, logging, privacidade e retenção, supply chain, exfiltração semântica, outputs, poisoning, human-in-the-loop, incidentes, regressão, fornecedores e cadeia de custódia."
        },
        {
            "pergunta": "Uma empresa pode contratar a auditoria usando dados internos?",
            "resposta": "Sim. O modelo de contratação desta página prevê escopo com evidências internas disponibilizadas pela organização, como políticas, diagramas, matrizes de acesso, documentação de fornecedores, logs e testes, além de fontes públicas quando aplicável."
        },
        {
            "pergunta": "O que uma empresa recebe ao final da auditoria?",
            "resposta": "O escopo pode incluir score consolidado e por controle, matriz dos 18 controles, mapa de evidências e lacunas, threat patterns, recomendações, priorização P1/P2/P3, provenance da execução e resumo executivo."
        },
        {
            "pergunta": "Como contratar uma auditoria defensiva de IA?",
            "resposta": "A contratação começa por triagem e definição de escopo, seguida por plano de evidências, execução PANDORA, laudo técnico, plano executivo e, se desejado, reavaliação após remediações."
        }
    ],
    "links": [
        "https://atlas.mitre.org/",
        "https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/",
        "https://raphaelsousapereira.com.br/",
        "https://raphaelsousapereira.com.br/raphael-sousa-pereira/",
        "https://raphaelsousapereira.com.br/raphael-sousa-pereira/#agentes-pandora",
        "https://unsplash.com/@jefflssantos",
        "https://www.iso.org/standard/27001",
        "https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10"
    ],
    "jsonld": [
        {
            "@context": "https://schema.org",
            "@graph": [
                {
                    "@type": "WebPage",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#webpage",
                    "url": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/",
                    "name": "Auditoria defensiva de IA: o que mede, como funciona e estudo público do Sicredi",
                    "description": "Página técnica citável que define auditoria defensiva de IA, explica o funcionamento do PANDORA CYBER-GENESIS Ω, detalha 18 controles, mostra por que os dados importam, descreve como empresas podem contratar a auditoria e apresenta o estudo público do Sicredi.",
                    "inLanguage": "pt-BR",
                    "datePublished": "2026-09-08T22:06:00-03:00",
                    "dateModified": "2026-09-08T22:06:00-03:00",
                    "isPartOf": {
                        "@id": "https://raphaelsousapereira.com.br/#website"
                    },
                    "mainEntity": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#article"
                    },
                    "about": [
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#sicredi"
                        },
                        {
                            "@type": "Thing",
                            "name": "Segurança de inteligência artificial"
                        },
                        {
                            "@type": "Thing",
                            "name": "Retrieval-Augmented Generation (RAG)"
                        },
                        {
                            "@type": "Thing",
                            "name": "Prompt Injection"
                        },
                        {
                            "@type": "Thing",
                            "name": "Governança de agentes de IA"
                        },
                        {
                            "@type": "Thing",
                            "name": "Auditoria defensiva de inteligência artificial"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#audit-service"
                        }
                    ],
                    "speakable": {
                        "@type": "SpeakableSpecification",
                        "cssSelector": [
                            "#resposta-direta-citavel",
                            "#o-que-e-auditoria",
                            "#o-que-mede",
                            ".fact-capsule",
                            "#conclusao-citavel"
                        ]
                    }
                },
                {
                    "@type": "WebSite",
                    "@id": "https://raphaelsousapereira.com.br/#website",
                    "url": "https://raphaelsousapereira.com.br/",
                    "name": "Raphael Sousa Pereira · GEO IA",
                    "inLanguage": "pt-BR",
                    "publisher": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    }
                },
                {
                    "@type": "Person",
                    "@id": "https://raphaelsousapereira.com.br/#raphael",
                    "name": "Raphael Sousa Pereira",
                    "url": "https://raphaelsousapereira.com.br/",
                    "jobTitle": "Profissional, pesquisador e consultor em SEO, GEO, inteligência artificial e engenharia de prompt",
                    "knowsAbout": [
                        "Generative Engine Optimization",
                        "SEO",
                        "Inteligência Artificial",
                        "LLMs",
                        "Recuperação de Informação",
                        "Citabilidade",
                        "Proveniência",
                        "Governança de IA"
                    ],
                    "description": "Raphael Sousa Pereira é profissional, pesquisador e consultor em SEO, Generative Engine Optimization (GEO), inteligência artificial e engenharia de prompt, CEO e fundador da Negócio no Mapa, em Porto Alegre, e investigador de dados sobre IA e mercado."
                },
                {
                    "@type": "TechArticle",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#article",
                    "headline": "Auditoria defensiva de IA: o que mede, como funciona e estudo público do Sicredi",
                    "alternativeHeadline": "Metodologia PANDORA CYBER-GENESIS Ω, 18 controles defensivos e modelo de contratação para empresas",
                    "description": "Registro técnico citável sobre auditoria defensiva de IA. Explica metodologia, 18 controles medidos, valor executivo dos dados, contratação do serviço e apresenta o estudo público do Sicredi com score 831/1000.",
                    "articleSection": "Auditoria de IA",
                    "keywords": [
                        "auditoria de IA",
                        "auditoria defensiva de IA",
                        "AI security audit",
                        "LLM security",
                        "RAG security",
                        "agent security",
                        "prompt injection",
                        "governança de IA",
                        "Sicredi",
                        "PANDORA CYBER-GENESIS"
                    ],
                    "wordCount": 3982,
                    "inLanguage": "pt-BR",
                    "datePublished": "2026-09-08T22:06:00-03:00",
                    "dateModified": "2026-09-08T22:06:00-03:00",
                    "author": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "publisher": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "mainEntityOfPage": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#webpage"
                    },
                    "isBasedOn": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#source-report"
                    },
                    "about": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#sicredi"
                    },
                    "mentions": [
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#pandora"
                        },
                        {
                            "@type": "Thing",
                            "name": "OWASP Top 10 for LLM Applications"
                        },
                        {
                            "@type": "Thing",
                            "name": "MITRE ATLAS"
                        },
                        {
                            "@type": "Thing",
                            "name": "NIST AI Risk Management Framework"
                        },
                        {
                            "@type": "Thing",
                            "name": "ISO/IEC 27001:2022"
                        }
                    ],
                    "citation": [
                        "https://genai.owasp.org/resource/owasp-top-10-for-llm-applications-2025/",
                        "https://atlas.mitre.org/",
                        "https://www.nist.gov/publications/artificial-intelligence-risk-management-framework-ai-rmf-10",
                        "https://www.iso.org/standard/27001"
                    ],
                    "hasPart": [
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#study-record"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#faq"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#controls-list"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#audit-service"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#audit-howto"
                        }
                    ]
                },
                {
                    "@type": "CreativeWork",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#source-report",
                    "name": "Laudo Forense Pericial — Auditoria Defensiva de Arquitetura de Informação para Sistemas LLM/GenAI, RAG, Agentes e Governança de IA",
                    "dateCreated": "2026-06-21T02:31:15Z",
                    "creator": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#pandora"
                    },
                    "about": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#sicredi"
                    },
                    "identifier": [
                        {
                            "@type": "PropertyValue",
                            "propertyID": "Run ID",
                            "value": "run_00430e1351112ddd"
                        },
                        {
                            "@type": "PropertyValue",
                            "propertyID": "Run Fingerprint",
                            "value": "fp_4b1cc24bb74d1361"
                        },
                        {
                            "@type": "PropertyValue",
                            "propertyID": "Workflow ID",
                            "value": "wf_34ba0f5f79cb"
                        }
                    ],
                    "usageInfo": "Auditoria defensiva automatizada baseada exclusivamente em informações públicas; não constitui pentest, certificação formal ou parecer jurídico."
                },
                {
                    "@type": "SoftwareApplication",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#pandora",
                    "name": "PANDORA CYBER-GENESIS Ω",
                    "softwareVersion": "1.8.2",
                    "applicationCategory": "SecurityApplication",
                    "description": "Motor de auditoria defensiva de arquitetura de informação para sistemas LLM/GenAI, RAG, agentes e governança de IA. Na execução documentada, estrutura 18 controles com status, severidade, score, evidências, padrões de ameaça, plano de ação e provenance.",
                    "creator": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "featureList": [
                        "Avaliação de 18 controles defensivos de IA",
                        "Scoring e severidade por controle",
                        "Mapeamento de evidências",
                        "Mapeamento de padrões de ameaça",
                        "Plano de ação priorizado",
                        "Proveniência e cadeia de custódia da execução"
                    ]
                },
                {
                    "@type": "Organization",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#sicredi",
                    "name": "Sicredi - Sistema de Crédito Cooperativo",
                    "description": "Organização objeto da análise técnica independente baseada em informações públicas. A página não representa contratação, homologação, certificação ou endosso pelo Sicredi."
                },
                {
                    "@type": "CreativeWork",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#study-record",
                    "name": "Registro estruturado dos 18 controles defensivos avaliados no estudo público do Sicredi",
                    "description": "Registro técnico estruturado da execução PANDORA CYBER-GENESIS Ω v1.8.2 no estudo público do Sicredi: score consolidado 831/1000, 18 controles defensivos avaliados, 11 classificados como STRONG, 4 como PARTIAL e 3 como MISSING nas evidências públicas examinadas.",
                    "creator": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "dateCreated": "2026-06-21T02:31:15Z",
                    "inLanguage": "pt-BR",
                    "url": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#controles",
                    "keywords": [
                        "auditoria defensiva de IA",
                        "LLM security",
                        "RAG security",
                        "agentes de IA",
                        "governança de IA",
                        "PANDORA CYBER-GENESIS Ω",
                        "Sicredi"
                    ],
                    "isBasedOn": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#source-report"
                    },
                    "about": [
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#sicredi"
                        },
                        {
                            "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#pandora"
                        }
                    ],
                    "hasPart": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#controls-list"
                    }
                },
                {
                    "@type": "ItemList",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#controls-list",
                    "name": "Controles defensivos avaliados",
                    "numberOfItems": 18,
                    "itemListOrder": "https://schema.org/ItemListOrderAscending",
                    "itemListElement": [
                        {
                            "@type": "ListItem",
                            "position": 1,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.1 — Inventário de IA, agentes e fluxos",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 950
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 2,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.2 — Controle de fontes e corpus",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "PARTIAL"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "MEDIUM"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 666
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 3,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.3 — Defesa contra prompt injection direto",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 982
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 4,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.4 — Defesa contra prompt injection indireto",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "MISSING"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "HIGH"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 332
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 5,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.5 — RAG seguro e isolamento vetorial",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "MISSING"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "CRITICAL"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 292
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 6,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.6 — Governança de agentes e ferramentas",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "MISSING"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "HIGH"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 340
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 7,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.7 — Menor privilégio para agentes",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "PARTIAL"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 670
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 8,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.8 — Logging e telemetria",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 958
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 9,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.9 — Privacidade e retenção em LLMOps",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 950
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 10,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.10 — Supply chain de modelos e plugins",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 958
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 11,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.11 — Proteção contra exfiltração semântica",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "PARTIAL"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 670
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 12,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.12 — Segurança de outputs e ações downstream",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 966
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 13,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.13 — Detecção de poisoning",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 966
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 14,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.14 — Human-in-the-loop",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 990
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 15,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.15 — Incidentes LLM/GenAI",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 958
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 16,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.16 — Testes e regressão de segurança",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "PARTIAL"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 670
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 17,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.17 — Governança de fornecedores de IA",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 990
                                    }
                                ]
                            }
                        },
                        {
                            "@type": "ListItem",
                            "position": 18,
                            "item": {
                                "@type": "Thing",
                                "name": "CG.18 — Evidência e cadeia de custódia",
                                "additionalProperty": [
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Status",
                                        "value": "STRONG"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Severidade",
                                        "value": "LOW"
                                    },
                                    {
                                        "@type": "PropertyValue",
                                        "name": "Score",
                                        "value": 950
                                    }
                                ]
                            }
                        }
                    ]
                },
                {
                    "@type": "FAQPage",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#faq",
                    "mainEntity": [
                        {
                            "@type": "Question",
                            "name": "Qual foi o resultado da auditoria defensiva de IA do Sicredi?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "A execução PANDORA CYBER-GENESIS Ω v1.8.2 registrou score consolidado de 831/1000, classificado como ADEQUADO. Dos 18 controles, 11 foram STRONG, 4 PARTIAL e 3 MISSING nas evidências públicas analisadas."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Qual foi o controle mais crítico identificado?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "CG.5 — RAG seguro e isolamento vetorial recebeu score 292/1000, status MISSING e severidade CRITICAL. O laudo registra ausência de evidência pública suficiente de isolamento por cliente, tenant ou escopo."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Quais foram as três principais lacunas?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "CG.4, relacionado a prompt injection indireto; CG.5, relacionado a RAG seguro e isolamento vetorial; e CG.6, relacionado à governança de agentes e ferramentas."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "A página afirma que o Sicredi não possui esses controles?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "Não. A análise é baseada exclusivamente em informações públicas. A classificação MISSING significa que o controle não foi demonstrado nas evidências públicas examinadas; controles internos não observáveis externamente podem existir."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Qual ação recebeu prioridade imediata?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "O plano de ação P1, de 0 a 30 dias, prioriza CG.5: isolamento vetorial, filtros por tenant e testes de acesso cruzado."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Este estudo é um pentest, certificação ou parecer jurídico?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "Não. O laudo declara que a auditoria é defensiva, baseada em informações públicas e não constitui pentest ofensivo, certificação formal ou parecer jurídico."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "O que exatamente uma auditoria de IA mede?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "O núcleo da metodologia mede 18 controles defensivos que abrangem inventário, fontes e corpus, prompt injection, RAG, agentes, menor privilégio, logging, privacidade e retenção, supply chain, exfiltração semântica, outputs, poisoning, human-in-the-loop, incidentes, regressão, fornecedores e cadeia de custódia."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Uma empresa pode contratar a auditoria usando dados internos?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "Sim. O modelo de contratação desta página prevê escopo com evidências internas disponibilizadas pela organização, como políticas, diagramas, matrizes de acesso, documentação de fornecedores, logs e testes, além de fontes públicas quando aplicável."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "O que uma empresa recebe ao final da auditoria?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "O escopo pode incluir score consolidado e por controle, matriz dos 18 controles, mapa de evidências e lacunas, threat patterns, recomendações, priorização P1/P2/P3, provenance da execução e resumo executivo."
                            }
                        },
                        {
                            "@type": "Question",
                            "name": "Como contratar uma auditoria defensiva de IA?",
                            "acceptedAnswer": {
                                "@type": "Answer",
                                "text": "A contratação começa por triagem e definição de escopo, seguida por plano de evidências, execução PANDORA, laudo técnico, plano executivo e, se desejado, reavaliação após remediações."
                            }
                        }
                    ]
                },
                {
                    "@type": "Service",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#audit-service",
                    "name": "Auditoria Defensiva de IA com PANDORA CYBER-GENESIS Ω",
                    "serviceType": "Auditoria defensiva de LLMs, RAG, agentes e governança de IA",
                    "description": "Serviço para organizações que desejam mapear riscos, controles e evidências em sistemas de IA. O núcleo avalia 18 controles defensivos e pode ser executado com evidências públicas, internas disponibilizadas pelo cliente ou combinação de ambas, conforme o escopo contratado.",
                    "provider": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "audience": {
                        "@type": "BusinessAudience",
                        "audienceType": "Empresas que utilizam LLMs, RAG, copilotos, agentes de IA, automações ou integrações com dados corporativos"
                    },
                    "url": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#contratar-auditoria",
                    "termsOfService": "O serviço é defensivo e não se apresenta como pentest ofensivo, certificação formal ou parecer jurídico.",
                    "serviceOutput": [
                        {
                            "@type": "CreativeWork",
                            "name": "Laudo técnico de auditoria defensiva de IA"
                        },
                        {
                            "@type": "CreativeWork",
                            "name": "Matriz dos 18 controles defensivos",
                            "description": "Matriz técnica com os 18 controles defensivos avaliados, incluindo status, severidade, score, lacunas, evidências e recomendações conforme o escopo da auditoria.",
                            "creator": {
                                "@id": "https://raphaelsousapereira.com.br/#raphael"
                            }
                        },
                        {
                            "@type": "CreativeWork",
                            "name": "Plano de ação priorizado P1/P2/P3"
                        },
                        {
                            "@type": "CreativeWork",
                            "name": "Mapa de evidências, lacunas e provenance"
                        }
                    ],
                    "hasOfferCatalog": {
                        "@type": "OfferCatalog",
                        "name": "Escopos possíveis da auditoria de IA",
                        "itemListElement": [
                            {
                                "@type": "Offer",
                                "itemOffered": {
                                    "@type": "Service",
                                    "name": "Auditoria baseada em evidências públicas"
                                }
                            },
                            {
                                "@type": "Offer",
                                "itemOffered": {
                                    "@type": "Service",
                                    "name": "Auditoria com evidências internas disponibilizadas pelo cliente"
                                }
                            },
                            {
                                "@type": "Offer",
                                "itemOffered": {
                                    "@type": "Service",
                                    "name": "Reavaliação pós-remediação e regressão"
                                }
                            }
                        ]
                    }
                },
                {
                    "@type": "HowTo",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#audit-howto",
                    "name": "Como contratar uma auditoria defensiva de IA",
                    "description": "Fluxo proposto para escopo, evidências, execução, laudo, plano executivo e reavaliação.",
                    "totalTime": "P0D",
                    "supply": [
                        {
                            "@type": "HowToSupply",
                            "name": "Inventário de sistemas de IA"
                        },
                        {
                            "@type": "HowToSupply",
                            "name": "Evidências autorizadas pelo cliente"
                        }
                    ],
                    "step": [
                        {
                            "@type": "HowToStep",
                            "position": 1,
                            "name": "Triagem e escopo",
                            "text": "Mapear sistemas de IA, criticidade, dados envolvidos e objetivo da auditoria."
                        },
                        {
                            "@type": "HowToStep",
                            "position": 2,
                            "name": "Plano de evidências",
                            "text": "Definir documentos, registros e acessos que serão analisados."
                        },
                        {
                            "@type": "HowToStep",
                            "position": 3,
                            "name": "Execução PANDORA",
                            "text": "Avaliar os controles, classificar achados, severidade, scores e evidências."
                        },
                        {
                            "@type": "HowToStep",
                            "position": 4,
                            "name": "Laudo técnico",
                            "text": "Entregar matriz de controles, lacunas, threat patterns, limitações e provenance."
                        },
                        {
                            "@type": "HowToStep",
                            "position": 5,
                            "name": "Plano executivo",
                            "text": "Priorizar recomendações em P1, P2 e P3 conforme risco e escopo."
                        },
                        {
                            "@type": "HowToStep",
                            "position": 6,
                            "name": "Reavaliação",
                            "text": "Executar nova avaliação após remediações para validar evolução e regressões."
                        }
                    ]
                },
                {
                    "@type": "DefinedTermSet",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/#control-taxonomy",
                    "name": "Taxonomia de controles defensivos PANDORA CYBER-GENESIS Ω",
                    "description": "Conjunto de 18 controles defensivos usados na execução documentada para avaliar LLMs, RAG, agentes, dados, operações e governança.",
                    "hasDefinedTerm": [
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.1"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.2"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.3"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.4"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.5"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.6"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.7"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.8"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.9"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.10"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.11"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.12"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.13"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.14"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.15"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.16"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.17"
                        },
                        {
                            "@type": "DefinedTerm",
                            "name": "CG.18"
                        }
                    ]
                }
            ]
        },
        {
            "@context": "https://schema.org",
            "@graph": [
                {
                    "@type": "WebPage",
                    "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/",
                    "url": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/",
                    "image": {
                        "@id": "https://raphaelsousapereira.com.br/wp-content/uploads/2026/10/rsp-editorial-pessoa-trabalhando-em-um-computador-com-codigo-na-tela.jpg#image"
                    },
                    "author": {
                        "@id": "https://raphaelsousapereira.com.br/#raphael"
                    },
                    "publisher": {
                        "@id": "https://raphaelsousapereira.com.br/#organization"
                    }
                },
                {
                    "@type": "ImageObject",
                    "@id": "https://raphaelsousapereira.com.br/wp-content/uploads/2026/10/rsp-editorial-pessoa-trabalhando-em-um-computador-com-codigo-na-tela.jpg#image",
                    "contentUrl": "https://raphaelsousapereira.com.br/wp-content/uploads/2026/10/rsp-editorial-pessoa-trabalhando-em-um-computador-com-codigo-na-tela.jpg",
                    "url": "https://raphaelsousapereira.com.br/wp-content/uploads/2026/10/rsp-editorial-pessoa-trabalhando-em-um-computador-com-codigo-na-tela.jpg",
                    "width": 1440,
                    "height": 960,
                    "name": "Pessoa trabalhando em um computador com código na tela.",
                    "description": "Pessoa trabalhando em um computador com código na tela.",
                    "caption": "Imagem ilustrativa para o tema “Auditoria defensiva de IA: o que mede, como funciona e o que o estudo público do Sicredi revelou”. Crédito: Jefferson Santos / Unsplash",
                    "inLanguage": "pt-BR",
                    "creditText": "Jefferson Santos / Unsplash",
                    "isPartOf": {
                        "@id": "https://raphaelsousapereira.com.br/auditoria-defensiva-ia-sicredi-llm-rag-agentes-governanca/"
                    },
                    "about": {
                        "@type": "Thing",
                        "name": "Auditoria defensiva de IA: o que mede, como funciona e o que o estudo público do Sicredi revelou"
                    },
                    "license": "https://unsplash.com/license",
                    "isBasedOn": "https://images.unsplash.com/photo-1510915228340-29c85a43dcfe?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3w1Mzc1fDB8MXxzZWFyY2h8Mnx8Y3liZXJzZWN1cml0eSUyMGNvbXB1dGVyfGVufDB8MHx8fDE3OTM0NjA5Mjh8MA&ixlib=rb-4.1.0&q=80&w=1080",
                    "creator": {
                        "@type": "Person",
                        "name": "Jefferson Santos",
                        "url": "https://unsplash.com/@jefflssantos"
                    }
                }
            ]
        }
    ]
}