Inteligência Artificial 4 min read 1h ago

Conduct: guardrails open-source para IA

O Conduct Guard bloqueia ações de agentes de IA antes de executá-las, usando políticas assinadas digitalmente e log de auditoria com cadeia de hashes SHA-256.
O repositório open-source inclui mais de 20 pacotes de conformidade prontos — OWASP, HIPAA §164.312, PCI DSS 4.0, EU AI Act — e 22 playbooks pré-construídos em YAML.
Um modo Discovery gratuito de 14 dias oferece visibilidade somente leitura das ações de IA da equipe antes de qualquer aplicação de política.

Uma ferramenta de código aberto chamada Conduct propõe uma mudança de paradigma na forma como equipes controlam agentes de inteligência artificial: em vez de registrar o que o agente fez, ela decide o que ele pode fazer — antes que qualquer ação se execute.

Governança antes da ação

O projeto, publicado no GitHub sob licença Apache 2.0, é composto por dois módulos principais. O Conduct Guard é o motor de políticas: intercepta cada chamada de ferramenta ou requisição a um modelo de linguagem e decide, em tempo real, se o recurso deve ser bloqueado, alertado, auditado ou modificado. O Conduct Router funciona como proxy de LLM, permitindo que qualquer SDK compatível com Anthropic, OpenAI ou Perplexity passe pelo Guard antes de chegar ao provedor de destino.

A distinção que o projeto enfatiza é entre observabilidade e governança. Soluções citadas pelos criadores como Straiker e Lakera são descritas como firewalls que registram o comportamento após o fato e falham em modo aberto. O Conduct Guard, segundo a documentação do projeto, age antes da execução e falha fechado por padrão — na ausência de uma decisão, a ação é bloqueada, não autorizada.

Ad Unit · 728×90 / Responsive

Três pilares técnicos

A arquitetura apoia-se em três mecanismos que os desenvolvedores apresentam como seu diferencial. O primeiro é a configuração assinada: cada workspace assina digitalmente seu conjunto ativo de políticas, e qualquer pacote adulterado é rejeitado antes de ser aplicado. O segundo é o log de auditoria em cadeia SHA-256: cada decisão encadeia-se criptograficamente à anterior, de modo que qualquer entrada ausente ou alterada rompe a cadeia e pode ser detectada com um clique. O terceiro é a abordagem policy-first: as regras decidem antes da ação, com razões estruturadas, ao contrário de sistemas baseados em detecção de anomalias após o fato.

Esse modelo de prova criptográfica de decisões dialoga com iniciativas semelhantes, como o ProofRun, que propõe recibos verificáveis para ações de agentes codificadores. O repositório inclui mais de 20 pacotes de conformidade prontos para uso, cobrindo padrões como OWASP, SOC 2 CC7.3, HIPAA §164.312, PCI DSS 4.0, EU AI Act artigos 15 e 16, NIST AI RMF e ISO 42001. São entregues ainda 22 playbooks pré-construídos em YAML para fluxos como revisão de código, resposta a incidentes, deploy em produção e triagem de CI/CD.

Pontos de aplicação e modo de descoberta

O Guard aplica políticas em três pontos de estrangulamento: o hook de CLI — que governa sessões do Claude Code, Cursor, Copilot e Codex —, a camada MCP e o Router. A crescente exposição de servidores MCP a riscos de segurança, já documentada em análises sobre vulnerabilidades no protocolo, torna esse ponto de aplicação particularmente relevante para equipes que dependem de ferramentas baseadas no padrão.

A instalação pode ser feita via Docker Compose em ambiente local ou com templates de Kubernetes disponíveis no repositório. Uma versão hospedada está disponível em conductai.ai, com um nível gratuito chamado Discovery: durante 14 dias, o sistema opera em modo somente leitura, catalogando todas as ações de IA da equipe sem exigir configuração prévia de políticas. Ao fim do período, o usuário pode promover regras diretamente a partir do que o Discovery observou.

Licença e modelo comercial

Todo o repositório — incluindo CLI, Guard, Router, playbooks e pacotes de conformidade — é distribuído sob Apache 2.0, com uso comercial e não comercial permitido e concessão explícita de patente por parte dos contribuidores. A plataforma hospedada em conductai.ai, com interface Canvas, controle de acesso por equipe e marketplace, constitui a oferta comercial construída sobre o repositório público. Os nomes "Conduct", "Conduct AI" e "Conduct Guard" são marcas registradas da Conduct AI e não estão incluídos na licença Apache; redistribuições devem preservar os arquivos LICENSE e NOTICE.

Temas

Governança de IASegurança em IASoftware de Código Aberto

Organizações

Conduct AI

Ad Unit · 300×250 / Responsive