Etapa 18 de 22
Guardrails
Filtrar entradas e saídas em busca de injeção, vazamentos e violações de política. Agentes leem texto não confiável e executam ações reais. Uma verificação barata antes de cada etapa pega o que o modelo principal deixa passar.
Por Sheela · Verificado em 23 de out. de 2026 · Como avaliamos
Como escolher
- Prompt injection em conteúdo buscado: filtre antes que entre no contexto.
- Regras de política e de assunto: um framework de guardrails que combina regras e modelo.
- Aprovação de chamadas de ferramenta arriscadas: um modelo de decisão rápido ou um humano no circuito.
O que observar
As perguntas que separam as opções, em ordem de importância.
01
Quais riscos ele realmente detecta
Associe cada opção aos riscos que você enfrenta: prompt injection e jailbreaks, vazamento de dados pessoais e do prompt de sistema, conteúdo tóxico ou fora da política, pedidos fora do assunto e uso inseguro de ferramentas. O OWASP Top 10 for LLM Applications é uma boa lista de verificação; LLM01 (prompt injection), LLM02 (divulgação de informações sensíveis) e LLM06 (autonomia excessiva) são os que os guardrails abordam mais diretamente. Uma ferramenta que só pontua toxicidade não vai barrar uma injeção escondida em uma página da web recuperada.
02
Em que ponto do circuito ele consegue verificar
Verificações de entrada filtram o que o usuário envia; verificações de saída filtram a resposta; para agentes, você também precisa verificar documentos recuperados, entradas de ferramentas e resultados de ferramentas. O NeMo Guardrails tem rails separados para entrada, saída, recuperação e execução de ferramentas, e o Lakera Guard aceita qualquer um deles como requisições separadas. A injeção indireta chega pela recuperação e pela saída das ferramentas, então uma proteção que só vê a mensagem do usuário deixa passar o ataque mais comum contra agentes.
03
Falsos positivos, medidos no seu próprio tráfego
Todo detector troca erros não detectados por requisições bloqueadas indevidamente, e os números de precisão dos fornecedores são medidos nos próprios conjuntos de teste. A Lakera documenta quatro níveis de rigor e usa o mais rigoroso por padrão; o model card do Prompt Guard 2 da Meta avisa que a precisão cai em prompts específicos de cada aplicação. Antes de entrar no ar, passe algumas centenas de requisições reais e benignas e um conjunto de ataques conhecidos pela proteção, e registre a taxa de bloqueio e a taxa de falha em cada limiar.
04
Latência e custo por verificação
Cada verificação baseada em modelo acrescenta uma ida e volta antes que o usuário veja a resposta, e um agente pode rodar várias por turno. Classificadores pequenos são rápidos: o Laya relata poucos milissegundos em uma GPU e o GLiNER2.5-Decide algumas centenas de milissegundos em uma CPU, enquanto pedir ao LLM principal que verifique a si mesmo pode acrescentar segundos. APIs hospedadas acrescentam o tempo de rede e costumam ser cobradas por requisição, então conte as requisições por turno do agente, não por conversa.
05
Self-hosted ou API
As proteções veem cada prompt e cada resposta, então lidam com os seus dados mais sensíveis. Frameworks abertos e modelos de pesos abertos (NeMo Guardrails, Guardrails AI, GLiNER2.5-Decide, Laya) rodam dentro da sua infraestrutura. Serviços hospedados como Jev ou Lakera Guard são mais rápidos de adotar, mas acrescentam um processador de dados; a opção self-hosted da Lakera exige uma licença Enterprise.
06
Como você define a política
Algumas opções trazem detectores fixos (injeção, PII, moderação); outras permitem definir os seus próprios rótulos ou perguntas de sim ou não a cada requisição, o que serve para regras de negócio como 'este é um pedido de reembolso acima do limite'. Modelos de decisão como Jev e Laya são flexíveis, mas exigem que você escreva e teste as perguntas. Frameworks como o NeMo Guardrails acrescentam lógica de fluxo em Colang, que é poderosa, mas é mais uma linguagem para aprender.
07
Manutenção e propriedade
Esta categoria está se consolidando rápido. A Guardrails AI fechou o seu Hub hospedado em agosto de 2026 e foi adquirida pela Harvey; o LLM Guard da Protect AI foi arquivado em julho de 2026; a Lakera agora pertence à Check Point. Confira a data da última versão e os incentivos do dono, e mantenha a proteção por trás da sua própria interface para poder trocá-la.
Como as opções se diferenciam
Os guardrails vêm em três famílias. Frameworks (NeMo Guardrails, Guardrails AI) envolvem as suas chamadas ao LLM em um pipeline de verificações e permitem conectar detectores, de regex e ferramentas de PII a classificadores de segurança como o Llama Guard; cobrem mais terreno, mas exigem configuração. APIs de triagem hospedadas (Lakera Guard) oferecem detectores mantidos por trás de um único endpoint, com rigor ajustável e nenhum modelo para operar, ao custo de enviar texto a um fornecedor. Pequenos modelos de classificação e decisão (GLiNER2.5-Decide, Laya, Jev) respondem a uma pergunta definida por você, como 'isto é uma tentativa de injeção' ou 'esta chamada de ferramenta deve ser aprovada', com uma probabilidade sobre a qual você pode aplicar um limiar.
Na prática, as equipes combinam os três: um classificador rápido ou uma API em cada entrada e em cada documento recuperado, um framework ou modelo de decisão para regras de negócio e aprovação de ferramentas, e permissões mínimas para as ferramentas por baixo de tudo, porque nenhuma proteção pega todos os ataques adaptativos.
7 ferramentas comparadas
Ordenadas pela nossa nota. Abra qualquer avaliação para ver as fontes, os preços e o veredito completo.
| Ferramenta | Nota | Nosso veredito | Ideal para | Preço |
|---|---|---|---|---|
| NVIDIA NeMo Guardrailsrepositório | 4.0/5 | O NeMo Guardrails é a camada aberta de políticas mais ampla para agentes, e cobra por essa amplitude em configuração, latência e um changelog cheio de mudanças incompatíveis. | Equipes que constroem agentes ou assistentes voltados a clientes e precisam de uma camada de políticas configurável em torno de cada chamada de modelo e de ferramenta. | Gratuito e de código aberto sob Apache 2.0. Os modelos NemoGuard e os microsserviços NIM da NVIDIA são distribuídos separadamente. |
| Lakera Guard (Check Point AI Guardrails)ferramenta | 4.0/5 | O Lakera Guard é um filtro bem documentado contra injeção de prompt que se adiciona com uma chamada de API, mas, passadas as 10.000 requisições por mês, você está negociando com a equipe de vendas enterprise da Check Point. | Equipes que querem uma triagem gerenciada contra injeção de prompt e vazamento de dados na frente de chatbots e agentes, sem operar os próprios classificadores. | Community gratuito: 10.000 requisições/mês, prompts de 8k tokens, só SaaS. Enterprise sob consulta: volume flexível, SaaS ou hospedagem própria, SSO, RBAC, integração com SIEM. Nenhum preço publicado além do plano gratuito. |
| Jevmodelo | 3.8/5 | O Jev transformou decisões tipadas em produto, e desde então modelos abertos o superaram tanto em pontuação quanto em preço. | Equipes que querem uma API hospedada e barata para roteamento de texto, triagem e portões de sim/não sem operar as próprias GPUs. | US$ 0,042 por 1M de tokens de entrada (US$ 42 por bilhão); tokens de saída são gratuitos. Mesmo preço em contexto longo. Limites Enterprise via vendas. |
| Splunk Agent Observabilityferramenta | 3.7/5 | Os pequenos modelos juízes do Galileo tornam barato pontuar todas as conversas de um agente, mas sob a Splunk ele virou uma compra corporativa com uma conversa de vendas pela frente. | Grandes organizações que já usam o Splunk Observability e querem pontuar todas as conversas dos agentes e bloquear ações inseguras em tempo de execução. | Agent Observability a partir de US$ 100/mês a cada 1,2M de spans por ano, com cobrança anual, incluindo 500M de tokens Luna e 5 execuções de fine-tuning do Luna por ano; tokens Luna extras e retenção maior sob cotação. O Splunk Observability Cloud Free Edition (até 15 hosts, sem prazo de validade) inclui rastreamento de agentes. Os antigos planos Free (5.000 traces/mês) e Pro (US$ 100/mês com cobrança anual, 50.000 traces) do Galileo não são mais publicados. |
| GLiNER2.5-Decidemodelo | 3.6/5 | O GLiNER2.5-Decide é um classificador de rótulos rápido e honesto, que vai bem nas tarefas da Fastino e muito atrás nas de todos os outros. | Engenheiros que precisam de roteamento de intenção, moderação ou decisões de spam baratos, só em CPU, e podem fazer fine-tuning com seus próprios rótulos. | Pesos e biblioteca gratuitos sob Apache 2.0. O agente de fine-tuning hospedado da Fastino é um produto separado. |
| Layamodelo | 3.4/5 | Muito rápido e realmente aberto, mas perto de chutar em decisões difíceis sem ajuste: uma base para fine-tuning, não um substituto do Jev. | Equipes com dados próprios de decisão rotulados que querem um modelo minúsculo e auto-hospedado para fazer fine-tuning para roteamento rápido ou guardrails. | Pesos e pacote Python gratuitos sob Apache 2.0. Sem API paga hospedada; você mesmo o roda. |
| Guardrails AIrepositório | 3.2/5 | Uma boa ideia que ficou sem dono: o código Apache 2.0 ainda roda, mas ninguém está incorporando correções e as partes hospedadas acabaram. | Usuários atuais com validadores determinísticos que conseguem fixar versões e aplicar correções por conta própria. | Gratuito e open source sob Apache 2.0. O registro hospedado do Hub e a inferência remota gratuita fecharam em 25 de agosto de 2026. |
Lado a lado
As especificações que importam nesta etapa. Verificadas em 23 de out. de 2026; confirme no site do fornecedor antes de decidir.
| Ferramenta | Tipo | O que verifica | Implantação | Latência publicada | Licença |
|---|---|---|---|---|---|
| NVIDIA NeMo Guardrails | Framework de rails (YAML + Colang) | Entrada, saída, recuperação, ferramentas, diálogo | Self-hosted: biblioteca, servidor ou NIM | Depende dos rails usados | Apache 2.0 |
| Lakera Guard (Check Point AI Guardrails) | API de triagem hospedada | Injeção, PII, moderação, links, ferramentas | SaaS; self-hosted no Enterprise | Menos de 50 ms (segundo o fornecedor) | Proprietária |
| Jev | Modelo de decisão hospedado | Sim/não, escolha ou nota definidos por você | Só API | Mediana de 267–316 ms | Proprietária |
| GLiNER2.5-Decide | Classificador zero-shot (menos de 0,5B) | Rótulos definidos por você a cada requisição | Self-hosted, CPU ou GPU | 294 ms em uma CPU de desktop | Apache 2.0 |
| Laya | Modelo de decisão aberto (421M) | Sim/não, escolha ou nota definidos por você | Self-hosted, CPU ou GPU | Mediana de 5,8 ms | Apache 2.0 |
| Guardrails AI | Biblioteca de validadores | PII, toxicidade, estrutura, personalizados | Só self-hosted (Hub fechado) | Não publicado | Apache 2.0 |
Conecte ao seu agente
Servidores MCP que permitem que assistentes como Claude, ChatGPT e Cursor usem essas ferramentas diretamente.
Onde esta etapa se encaixa
- Converse com os seus documentos: começaríamos com NVIDIA NeMo Guardrails.
- Agente de atendimento ao cliente: começaríamos com NVIDIA NeMo Guardrails.
- Agente de programação: começaríamos com Jev MCP.
- Assistente com memória de longo prazo: começaríamos com NVIDIA NeMo Guardrails.
- Pipeline de geração de imagens: começaríamos com GLiNER2.5-Decide.
- Produção de vídeo: começaríamos com GLiNER2.5-Decide.
- Agente de voz: começaríamos com NVIDIA NeMo Guardrails.
- IA privada no dispositivo: começaríamos com Laya MCP Server.
- Processamento de documentos: começaríamos com NVIDIA NeMo Guardrails.
- O seu próprio modelo com fine-tuning: começaríamos com NVIDIA NeMo Guardrails.
- Automação de fluxos de trabalho: começaríamos com Jev MCP.