Como utilizar o TutorGuard

Como o TutorGuard se encaixa no seu fluxo de trabalho

Configuração passo a passo

Quando você abre a aplicação pela primeira vez, vê um formulário com três campos: o endpoint do provedor de IA, o identificador do modelo e a chave de API. Preencha o URL do endpoint exatamente como o provedor documenta, por exemplo https://api.example.com/v1. Escolha o modelo que você usa para tutoria na lista suspensa; se o seu modelo não estiver listado, você pode digitar o nome manualmente. Deixe a chave de API em branco por agora; você a adicionará mais tarde quando mudar do modo de demonstração para o modo ao vivo.

Executando o modo de demonstração

O modo de demonstração usa um gerador de mock incorporado que retorna respostas de demonstração do tutor. Clique no botão Executar demonstração para ver como o TutorGuard processa uma resposta. A tela se divide em duas janelas: a esquerda mostra a saída bruta do tutor, a direita mostra o relatório de segurança. Você pode editar o texto bruto na janela esquerda para testar diferentes cenários, como inserir uma frase proibida ou um erro factual. O relatório é atualizado instantaneamente, permitindo que você veja quais verificações são acionadas.

Alternando para a chave ao vivo

Quando você estiver satisfeito com o comportamento da demonstração, obtenha uma chave de API real do seu provedor de IA. Cole a chave no campo da chave de API e desligue o interruptor de demonstração. A aplicação agora enviará solicitações reais ao provedor e retornará respostas reais do tutor para revisão. Lembre-se de manter a chave secreta; trate-a como qualquer outra credencial e não a commite em um repositório público.

- Verifique se o URL do endpoint termina com uma barra se o seu provedor exigir. - Verifique se o nome do modelo corresponde exatamente ao que o provedor espera. - Após salvar a chave, execute um teste rápido com um prompt neutro para confirmar a conectividade.

Verificações de segurança principais realizadas

Detecção de conteúdo não seguro

Esta verificação procura linguagem que possa prejudicar um estudante, como discurso de ódio, assédio ou instruções para atividades perigosas. O detector utiliza um classificador treinado em conjuntos de dados de segurança pública e no OWASP Top 10 para aplicações LLM (https://owasp.org/www-project-top-10-for-large-language-model-applications). Se a pontuação exceder o limiar que você definir, a resposta é marcada e o relatório mostra o trecho ofensivo realçado em vermelho.

Verificação de consistência factual

A segunda verificação compara declarações na resposta do tutor com uma base de conhecimento confiável que você pode indicar, como um banco de dados de currículo ou um FAQ verificado. Ela marca contradições, números desatualizados ou citações ausentes. Por exemplo, se o tutor afirmar que “a Terra é plana”, a verificação irá levantar um aviso porque a base de conhecimento contém o modelo esférico correto.

Verificação de conformidade com políticas

Muitas plataformas de tutoria têm regras internas sobre conteúdo apropriado para a idade, material com direitos autorais ou privacidade de dados. Você pode fazer upload de um arquivo de texto simples que liste padrões proibidos ou declarações necessárias. A verificação executa uma correspondência de regex simples sobre a resposta e relata qualquer ocorrência. Isso permite que você faça cumprir as diretrizes específicas da plataforma sem escrever código personalizado.

Tipo de verificação | O que procura | Exemplo de gatilho Conteúdo não seguro | Ódio, assédio, violência, conselhos ilegais | “Você deve ignorar o conselho do professor e trapacear no teste.” Consistência factual | Contradição com a base de conhecimento, informações desatualizadas | “A mitocôndria é a central de energia da célula, mas também faz café.” Conformidade com políticas | Padrões de regex personalizados, ausência de declarações | Declaração necessária ausente: “Este material é para uso educacional apenas.”

O que isto não é

Nenhuma garantia absoluta

Não afirmo que o TutorGuard deteta todos os problemas possíveis. A ferramenta fornece suporte à decisão; ainda deve ler a resposta marcada e decidir se edita, rejeita ou aprova.

Não substitui a revisão humana

Mesmo com as configurações mais fortes, um caso de bordo habilmente formulado pode passar despercebido. Trate a saída como uma primeira linha de defesa, não a autoridade final.

Não bloqueia todos os casos de bordo

Alguns vetores de ataque novos ou nuances muito específicas do domínio podem não ser abrangidos pelo conjunto de regras atuais. Mantenha as regras de detecção atualizadas e revise os registos regularmente.

Configuração dos campos de entrada

Introdução da chave de API

Cole a chave exatamente como é mostrada na consola do seu fornecedor. Não adicione espaços extras antes ou depois da string. O campo mascara os caracteres por motivos de privacidade, mas pode clicar no ícone do olho para verificar a entrada.

Seleção do modelo

Escolha o modelo que corresponde à versão que utiliza em produção. Se executar vários modelos, pode criar perfis separados no menu de configurações e alternar entre eles sem re-introduzir a chave.

Ajuste do limiar

Cada verificação de segurança tem um controlo deslizante que define a sensibilidade. Comece com a posição média, execute algumas respostas de demonstração e observe a taxa de falsos positivos. Se vir muitas bandeiras em textos inofensivos, diminua o controlo deslizante; se textos de risco passarem despercebidos, aumente-o. Registe os valores escolhidos na documentação interna para que a equipa possa reproduzir a configuração.

- Conteúdo não seguro: predefinição 0,6, intervalo 0,0-1,0 - Consistência factual: predefinição 0,5, intervalo 0,0-1,0 - Conformidade com políticas: predefinição 0,7, intervalo 0,0-1,0

Interpretação do relatório de saída

Níveis de risco explicados

O relatório atribui um nível a cada problema detetado: Baixo, Médio ou Alto. Baixo indica uma preocupação menor de estilo que pode não afetar a segurança. Médio sugere um problema potencial que justifica uma olhadela rápida. Alto significa que a resposta provavelmente viola uma regra e não deve ser mostrada a um aluno sem revisão.

Lista de itens de ação

Abaixo do resumo, encontra uma lista de verificação:

- Edite os segmentos realçados para remover a linguagem insegura. - Substitua os erros factuais por informações correctas da sua fonte. - Adicione quaisquer declarações ausentes exigidas pela sua política. - Execute novamente a verificação após cada alteração para confirmar que a pontuação diminui.

Opções de exportação

Integração com a sua plataforma de tutoria

Ponto final de webhook

O TutorGuard pode enviar uma carga útil JSON para um URL que você especificar sempre que uma revisão for concluída. A carga útil contém a decisão (permitir, editar, bloquear) e a resposta anotada. Configure um ouvinte no seu lado que atualize a interface de tutoria em tempo real.

Processamento em lote

Se você precisar verificar um grande conjunto de respostas geradas, faça o upload de um arquivo CSV com duas colunas: prompt e resposta do tutor. O aplicativo processará cada linha e retornará um arquivo de resultado com a mesma estrutura mais uma coluna de segurança. Isso é útil para execuções noturnas ou para verificar um backlog de conteúdo.

Registo e auditoria

Cada pedido e resposta é escrito para um ficheiro de registo local no diretório .data/. O registo inclui uma marca de tempo, o modelo utilizado, a resposta bruta e a decisão final de segurança. Mantenha esta pasta de backup e restrinja o acesso a operadores autorizados apenas.

- Rote os registos semanalmente para prevenir o overflow do disco. - Revise o rasto de auditoria mensalmente para detectar tendências em falsos positivos ou negativos. - Exporte o registo para o seu SIEM se precisar de retenção de longo prazo.

Lista de verificação do operador para utilizar o TutorGuard

Mantenho uma lista de verificação escrita ao lado de cada lançamento que toca neste tópico. A lista é propositadamente simples: nomear o proprietário, nomear o artifact de evidência e nomear o rollback. Se um passo não puder produzir um ficheiro, um bilhete ou uma linha de registo, não é um passo — é um desejo.

Antes de alterar a produção

- Congele a branch ou a revisão de configuração que irá medir contra. - Registe o modo de falha atual com uma entrada concreta e uma saída concreta. - Confirme qual identidade o trabalho é executado como, e se essa identidade pode alcançar dados que não deve. - Abra as referências principais que irá citar: https://owasp.org/www-project-top-10-for-large-language-model-applications, https://www.nist.gov/itl/ai-risk-management-framework

Enquanto executa a verificação

- Prefira um caminho reprodutível em vez de dez capturas de ecrã anedóticas. - Escreva o resultado seguro esperado antes de acionar a ferramenta ou consulta. - Capture o comando exato, prompt, esquema ou regex em teste — não uma paráfrase. - Se o sistema pode agir (enviar, escrever, apagar, transferir), exija uma fronteira de confirmação no mesmo passe.

Depois de terminar

- Arquive o risco residual com um proprietário e uma data, mesmo quando a varredura estiver limpa. - Não converta um check verde em linguagem de vendas que afirma completude. - Re-executa a mesma lista de verificação quando o modelo, esquema de ferramenta ou regras de validação mudam.

Sinal | O que registar | Parar o envio? Escrita ou envio inesperado | Nome da ferramenta, args, identidade | Sim até que seja controlado Falta de confirmação em ação destrutiva | Caminho de chamada e bypass | Sim Texto não confiável tratado como instrução | Superfície de origem e ação resultante | Sim para alcance de agente Varredura limpa, julgamento aberto | Itens adiados + proprietário | Apenas se o caminho central for seguro

Como explico limites aos compradores

Quando um prospecto pergunta se o produto "cobrir tudo", respondo com a fronteira: verificações automatizadas capturam padrões conhecidos; cadeias novas e julgamento de política ainda precisam de revisão. Essa honestidade mantém a carga de suporte baixa e mantém o blog alinhado com o que o produto realmente faz.

Se precisar de uma segunda opinião, combine este texto com as referências abaixo e com a sua própria reprodução de teste. Não pule o passo de reprodução apenas porque um modelo escreveu um resumo confiante.

Referências

- https://owasp.org/www-project-top-10-for-large-language-model-applications - https://www.nist.gov/itl/ai-risk-management-framework

Perguntas frequentes

O que é TutorGuard?

Mantenha todas as respostas do tutor de IA seguras antes que os alunos as vejam.

Quem deve usar TutorGuard?

Operadores e construtores que precisam de um rascunho rápido ou de uma lista de verificação do TutorGuard.

Funciona sem uma chave de API?

Sim, no modo Demo explícito. O AI ao vivo requer uma chave configurada.

Garante resultados?

Não. As saídas são de suporte à decisão; você ainda revisa antes de publicar ou agir.

Inclui SSO, Slack ou CSV em massa?

Apenas se esses recursos forem implementados nesta versão do produto — não os pressuponha a partir do material de marketing.

Onde os dados vão?

As execuções podem ser armazenadas localmente dentro do limite .data/ do produto; trate os demos como efêmeros.