CompTIA SecAI+
(CY0-001)

1.1 Tipos de IA e técnicas usadas em cibersegurança: IA generativa, machine learning, statistical learning, transformers, deep learning, GANs, NLP, LLMs, SLMs. Técnicas de treinamento: supervised, unsupervised, reinforcement e federated learning, fine-tuning, epoch, pruning, quantization. Engenharia de prompts: system/user prompts, zero-shot, one-shot, multi-shot, templates.

1.2 Segurança de dados em relação à IA: processamento de dados (limpeza, verificação, linhagem, integridade, provenância, augmentation, balanceamento), tipos de dados (estruturados, semiestruturados, não estruturados), watermarking, RAG, vector storage e embeddings.

1.3 Segurança ao longo do ciclo de vida de IA: caso de uso de negócio, coleta de dados, preparação, desenvolvimento/seleção de modelo, avaliação, implantação, validação, monitoramento, feedback e iteração. Princípios de design centrado no ser humano: human-in-the-loop, human oversight, human validation.

2.1 Recursos de threat modeling para IA: OWASP Top 10 (LLM Top 10, ML Security Top 10), MIT AI Risk Repository, MITRE ATLAS, CVE AI Working Group, frameworks de modelagem de ameaças.

2.2 Controles de segurança para sistemas de IA: model evaluation, model guardrails, prompt templates, gateway controls (prompt firewalls, rate limits, token limits, input quotas, modality limits, endpoint access controls), testes e validação de guardrails.

2.3 Controles de acesso para sistemas de IA: acesso a modelos, dados, agentes e APIs/rede.

2.4 Controles de segurança de dados: criptografia em trânsito, em repouso e em uso. Métodos de segurança de dados: anonimização, classificação, redação, mascaramento e minimização de dados.

2.5 Monitoramento e auditoria: monitoramento de prompts (query/response), logs, sanitização e proteção de logs, nível de confiança, monitoramento de taxas e custos de IA. Auditoria de qualidade e compliance: alucinações, acurácia, viés e acesso.

2.6 Análise de ataques e controles compensatórios: backdoor, trojan, prompt injection, data/model poisoning, jailbreaking, manipulação de entrada, introdução de viés, model inversion/theft, supply chain attacks, transfer learning attacks, model skewing, membership inference, DoS, sensitive information disclosure, insecure plug-in design, excessive agency, overreliance. Controles: prompt firewalls, guardrails, controles de acesso, integridade de dados, criptografia, rate limiting, least privilege.

3.1 Ferramentas com IA para tarefas de segurança: plug-ins de IDE, navegador e CLI, chatbots, assistentes pessoais, MCP server. Casos de uso: signature matching, code quality/linting, análise de vulnerabilidades, pentest automatizado, detecção de anomalias, reconhecimento de padrões, gestão de incidentes, threat modeling, detecção de fraudes, tradução e sumarização.

3.2 IA como vetor de ataque: conteúdo gerado por IA (deepfakes), impersonação, desinformação, redes adversariais, reconhecimento, engenharia social, ofuscação, correlação automatizada de dados, geração automatizada de ataques (payloads, malware, honeypots, DDoS).

3.3 Automação de tarefas de segurança com IA: ferramentas low-code/no-code, síntese e sumarização de documentos, gestão de tickets de resposta a incidentes, change management, agentes de IA, CI/CD (code scanning, software composition analysis, testes unitários, regressão, model testing, deployment/rollback automatizado).

4.1 Estruturas de governança organizacional: AI Center of Excellence, políticas e procedimentos de IA. Papéis relacionados: data scientist, AI architect, ML engineer, platform engineer, MLOps engineer, AI security architect, AI governance engineer, AI risk analyst, AI auditor, data engineer.

4.2 Riscos associados à IA: IA responsável (fairness, confiabilidade, transparência, privacidade, differential privacy, explicabilidade, inclusão, accountability, consistência, awareness training). Riscos: viés, vazamento acidental de dados, danos reputacionais, acurácia do modelo, propriedade intelectual, sistemas autônomos. Shadow IT/Shadow AI.

4.3 Impacto da conformidade: EU AI Act, padrões OECD, ISO AI standards, NIST AI RMF. Políticas corporativas: uso sancionado vs. não sancionado, modelos privados vs. públicos, governança de dados sensíveis. Avaliações de conformidade de terceiros e soberania de dados.