Configurar Safe AI Controls com o Sophos Protected Browser

Safe AI Controls estabelecem dois limites distintos: as políticas Web do Protected Browser controlam as aplicações de inteligência artificial generativa que um grupo de utilizadores pode utilizar e as ações sobre dados permitidas nessas aplicações. O DNS Protection for Endpoints bloqueia determinados domínios de IA generativa em todos os browsers dos endpoints geridos. Desta forma, pode permitir especificamente os serviços aprovados e bloquear os serviços não aprovados apenas no Protected Browser ou em todos os browsers.

Decisão antes da configuração

Comece por escolher o resultado pretendido. As quatro variantes não dependem automaticamente umas das outras:

Bloquear aplicações de IA generativa não autorizadas apenas no Protected Browser: um grupo de aplicações com as aplicações indesejadas recebe uma política de Internet com a ação Block.
Bloquear aplicações de IA generativa não autorizadas em todos os browsers: o DNS Protection for Endpoints utiliza uma lista de domínios personalizada com a ação Block.
Permitir aplicações de IA generativa autorizadas, mas impedir carregamentos e cópias: a política de Internet utiliza Block all uploads e Keep data within this policy’s destinations.
Utilizar aplicações de IA generativa autorizadas com carregamento e colagem, mas impedir a cópia para o exterior: a política de Internet utiliza Keep data within this policy’s destination - allow pasting from outside.

Comece com um grupo de utilizadores pequeno e com um nome inequívoco. Assim, continua a ser possível identificar as pessoas que testam o novo limite antes de atribuir outros grupos.

Pré-requisitos, licença e funções

Não está documentada qualquer licença, função administrativa nem requisito específico de plataforma, identidade, certificado ou agente para este procedimento. Por isso, antes da alteração, verifique se as áreas e os objetos necessários estão disponíveis:

My Products > Protected Browser > Policy objects e My Products > Protected Browser > Web policy estão acessíveis se implementar uma variante do Protected Browser.
My Products > DNS Protection > Policies e My Products > DNS Protection > Domain lists estão acessíveis se pretender aplicar o bloqueio em todos os browsers.
O grupo de utilizadores previsto pode ser selecionado em Available.
As aplicações de IA generativa que pretende controlar aparecem em Generative AI, ou conhece os respetivos domínios ou URLs para a lista de DNS.

Se faltar algum destes elementos ou não for possível guardar uma alteração, interrompa o procedimento neste ponto. O procedimento documentado não indica a licença ou função que é necessário adicionar nem descreve um método de configuração alternativo. Esclareça a autorização ou a disponibilização do produto com o administrador Sophos responsável, em vez de tentar adivinhar definições noutra área do produto.

Variante 1: bloquear aplicações de IA generativa no Protected Browser

Criar um grupo de aplicações

Crie um grupo de aplicações para aplicações de IA generativa.

Abra My Products > Protected Browser > Policy objects.
Clique em Add object e selecione Application group.
Introduza um nome para o grupo de aplicações. Por exemplo: Blocked Gen AI Apps.
Expanda Generative AI e selecione as aplicações de IA generativa não autorizadas.
Clique em Save.

Pode escolher qualquer nome. No entanto, um nome descritivo evita que, mais tarde, o grupo de bloqueio seja confundido com um grupo de aplicações aprovadas.

Criar uma política de Internet de bloqueio

Abra My Products > Protected Browser > Web policy.
Em Policies, clique em Add policy.
Introduza um nome, por exemplo Blockierte Gen AI-Apps.
Em Policy action, selecione Block.
Em User group, selecione Edit.
Em Available, selecione primeiro o grupo piloto, mova-o para Assigned e clique em Save.
Em Application group, selecione o grupo criado anteriormente com as aplicações de IA generativa não autorizadas.
Clique em Save.

Variante 2: permitir aplicações de IA generativa autorizadas com limites de dados rigorosos

Esta variante permite o acesso, mas bloqueia o carregamento de ficheiros e impede que os dados sejam movidos para fora dos destinos da política.

Criar um grupo de aplicações de IA generativa autorizadas

Abra My Products > Protected Browser > Policy objects.
Clique em Add object.
Selecione Application group e atribua-lhe um nome inequívoco, por exemplo Authorized Gen AI Apps.
Expanda Generative AI e selecione exclusivamente as aplicações aprovadas.
Clique em Save.

Criar uma política de Internet com restrições

Abra My Products > Protected Browser > Web policy e clique em Add policy.
Atribua-lhe um nome e, em Policy action, selecione Allow.
Clique em Edit. Em Available, selecione o grupo piloto, mova-o para Assigned e clique em Save.
Em Application group, selecione o grupo das aplicações de IA generativa autorizadas.
Em Upload protection, selecione Block all uploads.
Em Data boundaries, selecione Keep data within this policy’s destinations.
Clique em Save.

O resultado esperado é intencionalmente restritivo: os utilizadores atribuídos podem abrir as aplicações selecionadas, mas não podem carregar ficheiros nem copiar dados dos destinos da política.

Variante 3: permitir carregamentos e colagem, mas impedir a cópia para o exterior

Utilize esta variante apenas se os utilizadores puderem enviar ficheiros para uma aplicação de IA generativa aprovada e colar dados provenientes do exterior. Ainda assim, a cópia não deve permitir que os dados destas aplicações saiam dos destinos da política.

Crie o grupo de aplicações tal como na variante 2. Em seguida, configure a política de Internet pela ordem indicada:

Abra My Products > Protected Browser > Web policy e clique em Add policy.
Atribua-lhe um nome e, em Policy action, selecione Allow.
Clique em Edit, selecione o grupo piloto em Available e mova-o para Assigned.
Clique em Save para aplicar a atribuição do grupo de utilizadores.
Em Application group, selecione o grupo das aplicações de IA generativa autorizadas.
Em Actions, na área Data boundaries, selecione Keep data within this policy’s destination - allow pasting from outside.
Clique em Save para guardar a política.

Teste esta variante separadamente da política mais rigorosa. O resultado esperado é deliberadamente diferente: o carregamento e a colagem funcionam, mas é impedida a cópia de dados da aplicação autorizada para o exterior.

Variante 4: bloquear aplicações de IA generativa não autorizadas em todos os browsers

Tecnicamente, esta variante pertence ao DNS Protection for Endpoints. Complementa as regras do Protected Browser, em vez de utilizar os respetivos grupos de aplicações.

Ativar o DNS Protection for Endpoints

Abra My Products > DNS Protection > Policies.
Clique em Endpoint policies e abra Base Policy - Endpoint DNS Protection.
Clique em Settings.
Ative Use Sophos DNS Protection.
Clique em Save.

Adicionar uma lista de domínios para aplicações de IA generativa

Abra My Products > DNS Protection > Domain lists.
Clique em Add domain list.
Introduza um nome inequívoco, por exemplo Blocked Gen AI Domains.
Em Domains, introduza os domínios ou URLs das aplicações de IA generativa que pretende bloquear.
Clique em Save.

O nome de exemplo pode ser substituído; no entanto, as entradas em Domains têm de corresponder aos serviços que a sua organização pretende efetivamente bloquear.

Adicionar a lista de domínios a uma política do DNS Protection

Abra My Products > DNS Protection > Policies e clique em Filtering policies.
Abra uma política que permita tráfego e se aplique aos utilizadores ou dispositivos que pretende gerir.
Clique em Settings.
Em Filtering by domain lists, ative Include domain lists when filtering.
Clique em Add list e selecione a lista de domínios de IA generativa.
Clique em Save para adicionar a lista de domínios selecionada.
Em Actions, selecione Block para a lista adicionada.
Clique novamente em Save para guardar a política.

O resultado esperado é o bloqueio dos domínios de IA generativa introduzidos nos endpoints abrangidos por esta política do DNS Protection, independentemente do browser utilizado.

Verificar o efeito com um grupo piloto

Verifique cada variante configurada com exatamente um utilizador de teste atribuído ou um dispositivo de teste abrangido pela política de DNS. Utilize apenas dados de teste não sensíveis.

Abra uma aplicação de IA generativa autorizada e outra não autorizada.
Numa política de bloqueio, verifique se não é possível aceder à aplicação ou ao domínio introduzido.
Na política de permissão rigorosa, verifique se é possível aceder à aplicação, mas não carregar um ficheiro nem copiar dados do destino.
Na variante com colagem, verifique se o carregamento e a colagem funcionam, mas se a cópia para fora da aplicação é impedida.
Repita o acesso com um utilizador que não pertença ao grupo piloto. O respetivo comportamento não pode ser alterado por uma atribuição acidental da política piloto.

Resolução de problemas por sintoma

Não estão documentadas mensagens de erro do produto nem ferramentas de diagnóstico adicionais para estes procedimentos. Por isso, limite a análise de quaisquer desvios exclusivamente aos seguintes pontos de configuração.

Uma aplicação não autorizada continua acessível

Verifique se a aplicação está selecionada no Application group correto, se a política de bloqueio utiliza efetivamente Block e se o grupo de teste aparece em Assigned. Na variante aplicável a todos os browsers, verifique antes a entrada em Domains, a opção Include domain lists when filtering, a lista adicionada e a respetiva ação Block.

Uma aplicação autorizada não está acessível

Verifique se a aplicação está incluída no grupo de aplicações autorizadas, se a política de Internet utiliza Allow e se está atribuído o grupo de utilizadores correto. Não altere simultaneamente a proteção contra carregamentos e os limites de dados enquanto o próprio teste de acesso estiver a falhar.

Uma ação sobre dados tem um comportamento diferente do planeado

Compare literalmente a opção selecionada com o resultado pretendido: Block all uploads em conjunto com Keep data within this policy’s destinations para a variante rigorosa, ou Keep data within this policy’s destination - allow pasting from outside para a variante com carregamento e colagem. Se o resultado continuar pouco claro, interrompa a implementação. O procedimento documentado não contém um método de diagnóstico mais aprofundado nem uma solução alternativa.

Reversão segura e desativação

Não está documentado qualquer procedimento para eliminar, desativar ou retirar de serviço os objetos aqui descritos. Por isso, antes da implementação, registe as atribuições e os valores atuais e só alargue o grupo piloto depois de concluir um teste com êxito.

Se for necessário reverter, não pressuponha uma ordem de eliminação não documentada. Interrompa o alargamento, registe a política, o grupo de aplicações ou a lista de domínios e o grupo de utilizadores afetados no registo de alterações e peça ao administrador Sophos responsável ou ao Sophos Support para confirmar o procedimento suportado de alteração ou remoção. Em seguida, volte a verificar o acesso e as ações sobre dados com o utilizador piloto.

Operação e revisão

As instruções subjacentes da Sophos foram atualizadas em 4 de setembro de 2026. Durante a operação, sempre que os serviços aprovados, os respetivos domínios ou os grupos de utilizadores afetados forem alterados, volte a verificar o grupo de aplicações, a lista de domínios e a atribuição da política e repita o teste piloto adequado.

Na página de descrição geral oficial dos casos de utilização de IA segura, a Sophos também disponibiliza um vídeo sobre a configuração. Ainda assim, valide a configuração através dos passos escritos acima, pois estes identificam diretamente os campos utilizados e o resultado esperado.

Exclusões do âmbito

O licenciamento, as funções de administrador, a gestão de identidades, o ZTNA, a administração geral de DNS e o Live Discover são temas independentes e não fazem parte deste procedimento.