A revisão de um prompt pode avaliar a solicitação e o contexto que recebe. Por si só, ela não verifica o conteúdo de um arquivo que será montado depois. Quando um agente prepara uma operação, a governança precisa considerar fatos relevantes que a avaliação inicial não examinou.
Esse limite não torna a inspeção de prompts inútil. Ele torna importante o escopo da conclusão. Uma solicitação aceita para uma finalidade permitida deve levar suas condições para o trabalho seguinte, sem se transformar em autorização irrestrita para todas as ações usadas para concluí-lo.
A operação contém fatos que o prompt não resolveu
Considere uma tarefa hipotética: anexar um pacote de diagnóstico a um chamado de suporte. Suponha que o destino de suporte esteja aprovado para receber um resumo do estado operacional, enquanto a política da organização exige uma decisão separada antes de compartilhar certos trechos de solicitações da aplicação. O agente recebe a tarefa de preparar e anexar o pacote; seu conteúdo efetivo é reunido depois da revisão do pedido inicial.
Nesse exemplo, o arquivo resultante contém tanto o resumo quanto os trechos sujeitos à restrição. Ele foi preparado, mas ainda não foi enviado. São condições hipotéticas, não dados de clientes, um incidente observado, uma integração KonaSense ou um teste executado.
A solicitação não mudou. As evidências disponíveis, sim. Uma revisão que examinou a tarefa, mas não o arquivo montado, poderia avaliar a finalidade de buscar suporte sem estabelecer que todos os arquivos incluídos eram permitidos para aquele destino. O conteúdo agora importa para o anexo proposto, mesmo que a redação original parecesse rotineira.
Não é preciso haver prompt injection para produzir essa lacuna. Uma etapa legítima de coleta pode gerar material que exige uma decisão mais específica de tratamento. O pilar de segurança de agentes de IA examina influência maliciosa e outras ameaças; este exemplo isola os limites de uma avaliação realizada antes de examinar o material relevante.
Uma decisão inicial precisa de escopo explícito
Uma decisão inicial deve registrar o que resolveu e quais condições permanecem. Na tarefa de diagnóstico, aceitar a finalidade de suporte poderia estabelecer um destino autorizado e categorias de informação permitidas. O arquivo ainda não examinado deve continuar sujeito a essas condições; a expressão “pacote de diagnóstico” não é evidência de seu conteúdo.
O AI RMF Playbook do NIST orienta documentar a finalidade pretendida, o contexto de uso, os pressupostos e as limitações. Nossa aplicação desse princípio é manter visível a base de uma decisão de governança ao longo do fluxo de trabalho. O Playbook não prescreve este exemplo de arquivo nem um mecanismo de inspeção. NIST AI RMF Playbook, MAP 1.1.
A avaliação no nível do prompt não precisa se limitar à frase digitada. Se o avaliador inicial recebe arquivos relevantes, detalhes do destino e contexto confiável de política, sua conclusão pode refletir o que de fato examina. O limite é a evidência, não o nome da interface. Material adicionado depois ainda precisa de uma decisão aplicável; repetir o mesmo prompt não examinaria essa inclusão.
Revise a ação resolvida sem descartar a primeira decisão
A revisão anterior continua útil: ela fornece a finalidade aceita e as condições de tratamento. A próxima decisão diz respeito a saber se o anexo preparado atende a essas condições. No pacote hipotético, a permissão para compartilhar o resumo operacional não responde se os trechos de solicitações podem ser incluídos.
A OWASP recomenda validar a autorização em cada solicitação. Aplicado aqui, o envio proposto precisa de autorização para seu material e destino reais, em vez de herdar a permissão apenas da aceitação da tarefa inicial. Isso aplica a recomendação ao exemplo; não afirma que um produto específico realiza a verificação. OWASP Authorization Cheat Sheet.
O fluxo poderia preparar um pacote menor, caso ele ainda atenda à necessidade de suporte, ou buscar uma decisão de alguém com autoridade para permitir o material restrito. Essas alternativas exigem avaliação própria; remover arquivos não preserva automaticamente a utilidade nem torna o restante aprovado. O guia de governança pré-execução explica como conectar uma proposta resolvida a um controle que ainda possa impedir seu efeito.
Mantenha visível o material ainda não verificado
Saber que um arquivo existe é diferente de conhecer seu conteúdo. Se a inspeção disponível não consegue estabelecer o conteúdo relevante, mantenha essa limitação na decisão. Um nome de arquivo permitido, um destino aprovado ou uma etapa de empacotamento bem-sucedida não fornecem a informação ausente.
A organização precisa de um caminho definido para resolver a lacuna: examinar o material por um processo autorizado, restringir o que pode ser coletado, obter uma decisão de exceção aplicável ou impedir o anexo quando exigido. O caminho apropriado depende da política e dos controles disponíveis. Pedir ao agente que descreva o arquivo não fornece automaticamente evidência independente de seu conteúdo.
Essa avaliação trata da transferência proposta. Ela não estabelece que a coleta de todos os arquivos de origem foi autorizada, e uma decisão posterior de envio não desfaz acesso ou divulgação anteriores. A governança de IA em runtime explica por que o efeito governado e o ponto em que uma decisão pode ser aplicada precisam permanecer explícitos.
Faça a afirmação sobre o controle corresponder ao que foi verificado
Ao revisar esse fluxo, diferencie a aceitação do pedido de suporte da avaliação do anexo preparado. Registre qual material e destino foram examinados, quais condições se aplicavam e o que permaneceu sem resolução. Se o arquivo mudar depois, não se pode atribuir à revisão anterior a verificação do material acrescentado.
Uma passagem de responsabilidade útil preserva as duas decisões: o que a revisão inicial permitiu e como a operação resolvida foi avaliada conforme esses limites. A evidência de que um envio proposto foi avaliado ainda é distinta da evidência de que a decisão aplicável o restringiu. O pilar de governança de agentes de IA situa essas responsabilidades no caminho mais amplo de execução.
A posição da KonaSense é que afirmações de governança devem acompanhar o escopo das evidências e da operação controlada. Ao avaliar o Kona for Agents, identifique qual contexto chega ao ponto de decisão relevante e o que ocorre quando faltam informações essenciais. Chamar um fluxo de governado deve exigir mais do que demonstrar que seu primeiro prompt foi aceito.