Prompt and agent-action screening: architecture and limits.

Daniel Kahneman descreveu a cognição humana como a interação entre dois sistemas: o System 1, rápido, intuitivo e de baixo custo, e o System 2, lento, deliberativo e energeticamente caro. A infraestrutura de inteligência artificial reproduz exatamente esta divisão — e quase toda a indústria tenta resolver problemas de System 1 com ferramentas de System 2.

Um LLM generativo é um deliberador: decodificação autorregressiva, token a token, com custos na ordem de $15.00 por milhão de tokens de entrada e latências de validação de segundos. Perguntar a esse modelo «este prompt é um ataque?» é usar um motor de System 2 para executar uma triagem de System 1. É caro, é lento e — pior — cria uma nova superfície de ataque: o classificador generativo pode ser convencido, via o próprio prompt, a responder que não há ataque.

A segurança perimetral de prompts é, por natureza, um problema de System 1: uma decisão discreta, de alto volume, de baixa criatividade, que tem de ser tomada antes de o prompt custar tokens. O Context Armor implementa esta camada como um gateway edge, com um motor de decisão tipada (Jev), posicionado à frente do modelo generativo.

O gateway corre em Cloudflare Workers sobre V8 isolates. Ao contrário de contêineres ou funções com runtime pesado, um isolate inicia em menos de 5ms — não há warm-up, não há fila de arranque, não há máquina virtual a alocar. Cada requisição é tratada no PoP (Point of Presence) mais próximo do cliente: para a América Latina, o PoP de São Paulo (GRU), com RTT tipicamente abaixo de 12ms para os grandes centros da região.

A Smart Placement decide onde executar cada fase do processamento: a inspeção e a decisão acontecem na borda, junto do chamador; o encaminhamento para o modelo de origem usa pooling keep-alive (Undici) sobre sockets já estabelecidos, pelo que requisições subsequentes não pagam handshake TCP nem TLS. O resultado é uma verificação perimetral que acrescenta tipicamente 80ms ao pipeline — contra os 2.5s de uma validação feita por um LLM generativo.

cliente  ──▶  PoP mais próximo (V8 isolate)
              │  1. inspeção do payload (memória)
              │  2. decisão tipada Jev: BLOCK | ALLOW
              ▼
       origin LLM (somente se ALLOW)

latência adicionada: ~80ms (mediana)  ·  conteúdo retido: 0 bytes

A integração é um proxy compatível com OpenAI: aponta-se o base_url do cliente existente para gw.context-armor.com/v1 e todas as chamadas passam a ser verificadas em trânsito, sem refatoração. Anthropic, Azure e modelos locais são suportados pela mesma camada. O endpoint de inspeção pública /v1/scan expõe o mesmo motor para testes diretos, e o endpoint Enterprise /v1/guard atua como proxy autenticado por token de gateway.

Jev é o System One da TypeSafe: um modelo de decisão cuja saída são primitivas matematicamente tipadas, nunca texto livre. Três tipos cobrem a superfície de decisão:

• Noul — uma probabilidade booleana calibrada (ex.: 0.9982 para «é injeção de prompt»), com interpretação estatística direta; Choice — uma classe entre até 255 vetores de ataque catalogados (ex.: LLM01, ASI01), que identifica o tipo de ameaça; Score — um índice de risco de 1 a 10, que dimensiona a severidade para políticas de negócio.

A consequência estrutural é decisiva: um modelo que apenas emite primitivas tipadas não possui canal de texto livre. Não há por onde vazar um system prompt, improvisar um shell script, devolver um payload refletido ou ser «convencido» a mudar de opinião por retórica. A imunidade não é um filtro adicionado depois — é uma propriedade do espaço de saída do modelo.

A inferência é não autorregressiva e paralela: o custo é de $0.042 por milhão de tokens de entrada, com tokens de saída gratuitos (não há geração). A decodificação é determinística, o que torna cada decisão reproduzível e auditável — o mesmo payload produz o mesmo veredito, sempre. Bandas de ação configuráveis (auto, HITL, abstain) decidem quando agir automaticamente, quando escalar para revisão humana e quando se abster.

A superfície de ameaças segue a taxonomia OWASP para aplicações de LLM e para sistemas agênticos. O gateway trata explicitamente as seguintes classes:

Cada vetor da taxonomia é mapeado para uma mitigação concreta, executada na fronteira antes de o payload chegar ao modelo generativo:

Uma probabilidade só é útil se for calibrada: quando o motor diz 0.9, o evento tem de ocorrer cerca de 90% das vezes. Medimos isso com o Expected Calibration Error (ECE), que compara a confiança declarada com a frequência observada em bins de probabilidade. O motor Jev é treinado e ajustado com um procedimento de calibração por reforço (RLCD) que penaliza explicitamente a distorção entre confiança e acerto, mantendo o ECE abaixo de 0.07.

• Diagramas de fiabilidade (reliability diagrams) são monitorizados continuamente por classe de ataque, não apenas globalmente;
• Bandas de ação operam sobre probabilidades calibradas: auto abaixo do limiar de bloqueio, HITL na zona intermédia, abstain quando a incerteza é estrutural;
• A calibração é revalidada em telemetria adversarial — conjuntos de prompts de ataque reais e mutações — antes de qualquer alteração de modelo ser promovida.

A calibração importa particularmente no uso agêntico: decisões automáticas sobre milhares de tool calls por hora não toleram confiança mal calibrada. Um sistema sobre-confiante bloqueia produtividade; um sub-confiante deixa passar exatamente os ataques que importam.

Zero Data Retention (ZDR) é o padrão, não um extra: payloads são inspecionados, decididos e descartados em memória dentro do isolate. Não existem logs de conteúdo, não existe retenção para treino de modelos, não existe cópia do prompt em armazenamento. O que persiste é telemetria operacional agregada — contagens, latências, distribuição de classes — sem qualquer conteúdo.

O enquadramento legal segue a LGPD (Lei nº 13.709/2018) e o GDPR. Nas transferências internacionais de dados (Art. 33 da LGPD), aplicam-se as Standard Contractual Clauses da Comissão Europeia (Decisão (UE) 2021/914) nos contratos com clientes e subencarregados. No DPA (Data Processing Agreement), a Context Armor atua como operador (Art. 39) das instruções documentadas do controlador.

A operação assenta em controles SOC 2 Type II auditados, com alinhamento ISO 27001: cifra TLS em trânsito, isolamento por V8 isolate, menor privilégio, separação de ambientes e gestão de segredos dedicada. O DPA padrão cobre os Art. 33 e 39 da LGPD, as SCCs e o direito de auditoria; versões personalizadas estão disponíveis no plano Enterprise.

A diferença não é incremental — é de ordem de grandeza. Validar um prompt com um LLM generativo classe Claude custa cerca de $15.00 por milhão de tokens de entrada e acrescenta ~2.5s ao pipeline. O mesmo prompt verificado pelo gateway custa $0.042 por milhão de tokens (saída gratuita) e acrescenta ~80ms:

O modelo de tokenomics do produto reflete esta assimetria: para um pipeline agêntico típico de 2.000 tokens de entrada por verificação, um milhão de verificações mensais custa cerca de $84 no gateway — contra dezenas de milhares de dólares em validação generativa equivalente. A redução líquida de custo é o argumento central da secção Tokenomics do site, com um simulador para cargas de trabalho reais.

Nenhum sistema de segurança é absoluto, e este whitepaper não o afirma. O motor Jev é probabilístico: existem falsos positivos (payloads legítimos bloqueados) e falsos negativos (ataques admitidos). O que a arquitetura oferece é calibração mensurável, limiares configuráveis e uma banda de abstain explícita para os casos de fronteira — não a eliminação do erro.

• A inspeção cobre o canal de texto; payloads multimodais (imagem, áudio) são trabalho futuro;
• A verificação perimetral não substitui sandboxing de ferramentas, least-privilege em credenciais ou controlos de output — é uma camada, não o perímetro inteiro;
• O custo de latência do modelo de origem não é eliminado; é apenas poupado o custo da validação;
• Modelos de ataque evoluem: a taxonomia e os conjuntos adversariais são revalidados continuamente.

1. 01OWASP Foundation. Top 10 for LLM Applications — LLM01 Prompt Injection, LLM02 Sensitive Information Disclosure.
2. 02OWASP Foundation. Agentic AI Threats — ASI01 Goal Hijacking, ASI02 Tool Misuse, ASI05 Unexpected Code Execution, ASI08 Cascading Failures.
3. 03Kahneman, D. Thinking, Fast and Slow. Farrar, Straus and Giroux, 2011.
4. 04Guo, C. et al. On Calibration of Modern Neural Networks. ICML 2017 (Expected Calibration Error).
5. 05Lei nº 13.709/2018 (LGPD), em especial os Art. 7º, 18, 33, 38 e 39.
6. 06Comissão Europeia. Standard Contractual Clauses — Decisão (UE) 2021/914.
7. 07AICPA. SOC 2 Trust Services Criteria; ISO/IEC 27001.
8. 08Cloudflare. Workers e V8 Isolates — documentação técnica de referência.