NEAR AI: como delimitar dados e software na inferência
A avaliação de uma integração de IA precisa acompanhar o software que processa cada solicitação e as credenciais ao seu redor. Organize evidências por serviço antes de decidir quais dados e operações podem voltar ao fluxo.
Read in EnglishPor Pentesty
O alcance informado pela empresa
No comunicado de 9 de novembro, a NEAR AI relata exploração de uma falha no SGLang em um servidor de inferência e possível acesso a solicitações de 8 de novembro, inclusive confidenciais. A empresa distingue dados de Private Chat e agentes legados e afirma ter aplicado correção e revogado credenciais. Essa descrição é do fornecedor.
Para uma empresa cliente, o ponto de partida é reunir suas próprias rotas de uso. Identifique aplicações, projetos, contas técnicas e horários de solicitações. Vincule cada integração ao responsável que consegue explicar sua configuração e interromper seu uso. Esse mapa permite formular perguntas específicas ao provedor e evita distribuir uma conclusão única a todos os produtos que compartilham uma marca.
Registre o que recebe cada solicitação
Monte uma amostra autorizada com entradas fictícias, escolhidas para representar as classes de dados usadas pela aplicação. Registre destino, modalidade contratada, identificador da solicitação e versão da configuração. Reúna a política aprovada para retenção e acesso ao lado da observação operacional. Quando um campo não puder ser observado, anote a dependência da declaração do fornecedor e quem deve esclarecê-la.
Uma integração pode usar destinos diferentes conforme modelo, região ou recurso solicitado. Confira a configuração efetivamente aplicada em cada caminho de negócio relevante. A análise da Pentesty sobre rotas de provedores de IA ajuda a organizar esse levantamento. O teste proposto deve permanecer no ambiente e nas contas autorizados, usando dados que possam ser descartados.
Relacione o componente à implantação
Peça evidências suficientes para ligar uma atualização ao serviço que atende sua aplicação: identificação do componente, referência da correção, implantação e horário de ativação. Se o provedor não divulgar detalhes técnicos, registre a limitação e estabeleça um critério contratual de resposta. Evite preencher lacunas com uma versão encontrada em outro projeto ou com um boletim que apenas mencione o mesmo produto.
No ambiente sob sua administração, associe o inventário de dependências ao artefato implantado e à instância em execução. Preserve o registro da mudança e do responsável pelo aceite. Uma lista de pacotes serve melhor quando pode ser reconciliada com o serviço observado. O objetivo operacional é permitir que outra pessoa repita a conferência sem depender da memória de quem realizou a atualização.
Separe as decisões sobre dados e identidades
Organize a apuração por conjunto de dados, período e identidade capaz de acessá-lo. Conteúdo de solicitações, histórico armazenado, registros operacionais e dados cadastrais pedem perguntas diferentes. Registre o que foi confirmado, o que permanece possível e o que ainda não foi determinado. Preserve a origem de cada afirmação para que uma atualização do fornecedor possa mudar apenas a conclusão correspondente.
Para credenciais administradas pela sua equipe, prepare uma troca controlada com proprietário, dependências e janela de execução. Confirme a rejeição da credencial antiga e o funcionamento da substituta com uma operação pequena e autorizada. Guarde identificadores e resultados, protegendo os valores secretos. Se houver integrações dependentes, confira a continuidade de cada uma antes de encerrar a mudança.
Defina o aceite com resultado observável
Escolha um fluxo representativo e combine previamente quais evidências permitirão retomá-lo. Registre uma solicitação com dado fictício, a resposta esperada, a configuração aprovada e o responsável pela decisão. Acrescente uma condição de interrupção caso surja um destino inesperado ou uma dependência ainda sem esclarecimento. A aprovação deve ter um alcance explícito, com projetos e funções identificados.
Mantenha as pendências de investigação separadas das tarefas já concluídas. A revisão de dados mantidos em fornecedores oferece perguntas complementares sobre escopo. Em uma revisão posterior, confira se mudanças de modelo, recurso ou credencial alteraram a rota anteriormente aceita. Documente o novo resultado para que a decisão continue ligada ao comportamento observado.
Perguntas frequentes
A análise comprova exposição na minha empresa?
O alcance local depende de projetos, períodos e dados utilizados. Relacione seus registros ao comunicado e mantenha explícitas as perguntas que ainda precisam de resposta.
O que muda na avaliação de computação confidencial?
A NEAR AI afirma que a proteção não cobre vulnerabilidades no software executado dentro do ambiente. Inclua essa dependência na revisão.
Qual versão deve ser instalada?
Exija uma referência aplicável ao componente e à implantação usados. Este artigo não atribui um número de versão corrigida que o comunicado não fornece.
O que guardar no aceite?
Identificação da integração, configuração aprovada, resultados dos testes autorizados, limitações conhecidas e responsável. Proteja o registro para evitar que ele exponha segredos ou dados reais.
Fontes e referências
Análise original da Pentesty, publicada em 10 de novembro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.