Habilitar Model Armor en Gemini Enterprise

En este documento se describe cómo habilitar Model Armor para Gemini Enterprise. Model Armor es un Google Cloud servicio que mejora la seguridad de tus aplicaciones de IA analizando de forma proactiva las peticiones y las respuestas del asistente de Gemini Enterprise. De esta forma, se protege frente a diversos riesgos y se garantiza que se apliquen prácticas de IA responsables. Model Armor está disponible en todas las ediciones de Gemini Enterprise sin coste adicional.

Nota: Si habilitas Model Armor en Gemini Enterprise, puede aumentar la latencia.

La respuesta de Model Armor a posibles problemas en las consultas de los usuarios o en las respuestas del asistente de Gemini Enterprise se rige por el tipo de aplicación de la plantilla. Para obtener más información, consulta Definir el tipo de aplicación.

• Si el tipo de medida es Inspeccionar y bloquear, Gemini Enterprise bloquea la solicitud y muestra un mensaje de error. Este es el tipo de aplicación predeterminado cuando creas una plantilla de Model Armor con la consola.

• Si el tipo de aplicación es Solo inspeccionar, Gemini Enterprise no bloqueará las solicitudes ni las respuestas.

Cuando el servicio de detección de Model Armor no esté disponible, puedes configurar Gemini Enterprise para que se comporte de una de las siguientes formas:

Modo	Descripción
Permitir interacciones de los usuarios	En este modo, Gemini Enterprise permite que las solicitudes y las respuestas se transfieran sin un análisis proactivo cuando el servicio de análisis de Model Armor no está disponible, lo que garantiza una comunicación continua con el usuario final. Sin embargo, en ocasiones puede mostrar mensajes no filtrados o proporcionar respuestas a consultas no filtradas.
Bloquear todas las interacciones de los usuarios	En este modo, cuando el servicio de cribado de Model Armor no está disponible, Gemini Enterprise bloquea todas las solicitudes y respuestas, incluidas las legítimas.

Antes de empezar

• Asegúrate de que tienes asignados los roles necesarios a ti y a la cuenta de servicio de Gemini Enterprise:

  • Para habilitar Model Armor en Gemini Enterprise, necesitas el rol Administrador de Discovery Engine (roles/discoveryengine.admin).

  • Para crear las plantillas de Model Armor, necesitas el rol Administrador de Model Armor (roles/modelarmor.admin).

  • Para llamar a las APIs de Model Armor, necesitas el rol Usuario de Model Armor (roles/modelarmor.user).

  Nota: Para asignar varios roles de gestión de identidades y accesos a una cuenta de servicio, consulta el artículo sobre cómo asignar o revocar varios roles de gestión de identidades y accesos mediante la consola Google Cloud
  .

• Asegúrate de haber creado una aplicación de Gemini Enterprise. Para crear una, consulta Crear una aplicación.

Crear una plantilla de Model Armor

Puedes crear y usar la misma plantilla de Model Armor para las peticiones de los usuarios y las respuestas del asistente, o bien crear dos plantillas de Model Armor independientes. Para obtener más información, consulta Crear una plantilla de Model Armor.

Cuando crees una plantilla de Model Armor para aplicaciones de Gemini Enterprise, ten en cuenta estas configuraciones:

• Seleccione Multirregión en el campo Regiones. En la siguiente tabla se muestra cómo asignar las regiones de la plantilla Model Armor a las regiones de la aplicación Gemini Enterprise:

  Nota: Una vez que se hayan creado una plantilla de Model Armor y una aplicación de Gemini Enterprise, no se podrán cambiar las regiones.

  Aplicación Gemini Enterprise multirregión	Model Armor multirregional
  Global	Estados Unidos (varias regiones de Estados Unidos) UE (varias regiones de la Unión Europea)
  Estados Unidos (varias regiones de Estados Unidos)	Estados Unidos (varias regiones de Estados Unidos)
  UE (varias regiones de la Unión Europea)	UE (varias regiones de la Unión Europea)

• Google no recomienda configurar el registro en la nube en la plantilla de Model Armor para las aplicaciones de Gemini Enterprise. Esta configuración puede exponer datos sensibles a los usuarios con el rol de gestión de identidades y accesos Visualizador de registros privados (roles/logging.privateLogViewer). En su lugar, puedes probar estas opciones:

  • Si necesitas registrar los datos que pasan por la plantilla Model Armor, puedes redirigir los registros a un almacenamiento seguro, como BigQuery, que ofrece controles de acceso más estrictos. Para obtener más información, consulta el artículo sobre enrutar registros a destinos admitidos.

  • Puede configurar los registros de auditoría de acceso a los datos para analizar y generar informes sobre los veredictos de detección de solicitudes y respuestas generados por Model Armor. Para obtener más información, consulta el artículo Configurar registros de auditoría.

Configurar la aplicación Gemini Enterprise con las plantillas de Model Armor

En los pasos que se indican a continuación se describe cómo añadir las plantillas de Model Armor a tu aplicación Gemini Enterprise.

Consola

1. En la Google Cloud consola, ve a la página de Gemini Enterprise.

   Gemini Enterprise

2. Haz clic en el nombre de la aplicación que quieras configurar.

3. Haz clic en Configuraciones > Asistente.

4. Para activar Model Armor, haz clic en Habilitar Model Armor.

5. En Plantilla de Model Armor para peticiones de usuarios y Plantillas de Model Armor para resultados de respuestas, introduce el Nombre de recurso de las plantillas de Model Armor que hayas creado.

   Nota: Para obtener el nombre del recurso, sigue los pasos que se indican en el artículo sobre cómo ver una plantilla de Model Armor y copia el valor del nombre del recurso.

6. Si quieres bloquear las interacciones de los usuarios durante los fallos de procesamiento de Model Armor, haz clic en el interruptor Permitir interacciones de los usuarios durante los fallos de procesamiento de Model Armor para desactivarlo. Para obtener más información, consulta los dos modos compatibles con Gemini Enterprise cuando Model Armor no está disponible.

7. Haz clic en Guardar y publicar.

REST

Para añadir las plantillas de Model Armor a tu aplicación Gemini Enterprise, ejecuta el siguiente comando :

Término clave: En Gemini Enterprise, el término aplicación se puede usar indistintamente con el término motor en el contexto de las APIs. Un motor de Gemini Enterprise es un buscador genérico en el que el campo app_type se define como APP_TYPE_INTRANET.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
      "userPromptTemplate": "QUERY_PROMPT_TEMPLATE",
      "responseTemplate": "RESPONSE_PROMPT_TEMPLATE",
      "failureMode": "FAIL_MODE"
    }
  }
}'

Haz los cambios siguientes:

• PROJECT_ID: el ID de tu proyecto.
• ENDPOINT_LOCATION: la multirregión de tu solicitud a la API. Asigna uno de los siguientes valores:
  • us- para la multirregión de EE. UU.
  • eu- para la multirregión de la UE
  • global- para la ubicación global
  Para obtener más información, consulta el artículo sobre cómo especificar una multirregión para tu almacén de datos.
• LOCATION: la multirregión de tu almacén de datos: global, us o eu
• APP_ID: el ID de la aplicación que quieres configurar.
• QUERY_PROMPT_TEMPLATE: el nombre de recurso de las plantillas de Model Armor que has creado.
  Para obtener el nombre del recurso, sigue los pasos que se indican en la documentación sobre cómo ver una plantilla de Model Armor y copia el valor del nombre del recurso.
• RESPONSE_PROMPT_TEMPLATE: el nombre de recurso de las plantillas de Model Armor que has creado.
• FAIL_MODE: el modo de funcionamiento cuando Model Armor no está disponible: FAIL_CLOSED o FAIL_OPEN.
  Si no se define FAIL_MODE, FAIL_CLOSE es el modo predeterminado en el que se bloquean todas las interacciones con el asistente de Gemini Enterprise cuando se producen errores de procesamiento de Model Armor. Para obtener más información, consulta los dos modos compatibles con Gemini Enterprise cuando Model Armor no está disponible.

Ejemplo de comando y resultado

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://us-discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/us/collections/default_collection/engines/my-app/assistants/default_assistant?update_mask=customer_policy" \
-d '{
  "customer_policy": {
    "modelArmorConfig": {
      "user_prompt_template": "projects/my-project-123/locations/us/templates/123456789",
      "response_template": "projects/my-project-123/locations/us/templates/123456789",
      "failure_mode": "FAIL_OPEN"
    }
  }
}'

{
  "name": "projects/my-project-123/locations/us/collections/default_collection/engines/my-app/assistants/default_assistant",
  "displayName": "Default Assistant",
  "webGroundingType": "WEB_GROUNDING_TYPE_GOOGLE_SEARCH",
  "googleSearchGroundingEnabled": true,
  "customerPolicy": {
    "modelArmorConfig": {
      "userPromptTemplate": "projects/my-project-123/locations/us/templates/123456789",
      "responseTemplate": "projects/my-project-123/locations/us/templates/123456789",
      "failureMode": "FAIL_OPEN"
    }
  }
}

Comprobar si la plantilla de Model Armor está habilitada

Después de configurar la plantilla Model Armor, comprueba si tu aplicación de Gemini Enterprise analiza y bloquea de forma proactiva las peticiones y respuestas de los usuarios del asistente de Gemini Enterprise, según los niveles de confianza definidos en los filtros de Model Armor.

Cuando la plantilla Model Armor se configura para inspeccionar y bloquear las solicitudes que infringen la política, se muestra el siguiente mensaje de infracción de la política:

Consola

Por ejemplo, si ves el siguiente mensaje de infracción de la política:

Mensaje de infracción de la política de Model Armor

REST

Una respuesta JSON que incluye lo siguiente:

answer.state = SKIPPED
answer.assist_skipped_reasons: [CUSTOMER_POLICY_VIOLATION]

Quitar las plantillas de Model Armor de una aplicación de Gemini Enterprise

Para eliminar las plantillas de Model Armor de una aplicación de Gemini Enterprise, usa laGoogle Cloud consola o la API REST.

Consola

Para quitar las plantillas de Model Armor de tu aplicación Gemini Enterprise, sigue estos pasos:

1. En la Google Cloud consola, ve a la página de Gemini Enterprise.

   Gemini Enterprise

2. Haz clic en el nombre de la aplicación que quieras configurar.

3. Haz clic en Configuraciones > Asistente.

4. Para desactivar Model Armor, haz clic en el interruptor Habilitar Model Armor para que esté en la posición de desactivado.

5. Haz clic en Guardar y publicar.

REST

Para quitar las plantillas de Model Armor de tu aplicación Gemini Enterprise, ejecuta el siguiente comando:

Término clave: En Gemini Enterprise, el término aplicación se puede usar indistintamente con el término motor en el contexto de las APIs. Un motor de Gemini Enterprise es un buscador genérico en el que el campo app_type se define como APP_TYPE_INTRANET.

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_ID/locations/LOCATION/collections/default_collection/engines/APP_ID/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
    }
  }
}'

Haz los cambios siguientes:

• PROJECT_ID: el ID de tu proyecto.
• PROJECT_NUMBER: el número de tu proyecto de Google Cloud .
• ENDPOINT_LOCATION: la multirregión de tu solicitud a la API. Asigna uno de los siguientes valores:
  • us- para la multirregión de EE. UU.
  • eu- para la multirregión de la UE
  • global- para la ubicación global
  Para obtener más información, consulta el artículo sobre cómo especificar una multirregión para tu almacén de datos.
• LOCATION: la multirregión de tu almacén de datos: global, us o eu.
• APP_ID: el ID de la aplicación que quieres configurar.

Ejemplo de comando y resultado

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: my-project-123" \
"https://discoveryengine.googleapis.com/v1alpha/projects/my-project-123/locations/global/collections/default_collection/engines/my-app/assistants/default_assistant?update_mask=customerPolicy" \
-d '{
  "customerPolicy": {
    "modelArmorConfig": {
    }
  }
}'

{
  "name": "projects/my-project-123/locations/global/collections/default_collection/engines/my-app/assistants/default_assistant",
  "displayName": "Default Assistant",
  "webGroundingType": "WEB_GROUNDING_TYPE_GOOGLE_SEARCH",
  "googleSearchGroundingEnabled": true,
  "customerPolicy": {
    "modelArmorConfig": {}
  },
  "generationConfig": {
    "systemInstruction": {}
  }
}

Configurar registros de auditoría

Model Armor puede escribir registros de auditoría de acceso a datos, que puedes usar para analizar e informar sobre los veredictos de la criba de peticiones y respuestas generados por Model Armor. Estos registros no contienen las consultas de los usuarios ni las respuestas del asistente de Gemini Enterprise, por lo que se pueden usar para generar informes y analíticas. Para obtener más información, consulta Registros de auditoría de Model Armor.

Para acceder a estos registros, debes tener el rol de gestión de identidades y accesos Visor de registros privados (roles/logging.privateLogViewer).

Habilitar registros de auditoría de acceso a datos

Para habilitar los registros de auditoría de acceso a datos, sigue estos pasos:

1. En la Google Cloud consola, ve a IAM y administración > Registros de auditoría.

2. Selecciona la API Model Armor.

3. En la sección Tipo de permiso, selecciona el tipo de permiso Lectura de datos.

4. Haz clic en Guardar.

Consultar registros de auditoría de acceso a datos

Para examinar los registros de auditoría de acceso a los datos, sigue estos pasos:

1. En la Google Cloud consola, ve a Explorador de registros.

2. Busca los siguientes nombres de métodos en los registros:

   • methodName: "google.cloud.modelarmor.v1.ModelArmor.SanitizeUserPrompt" para ver las solicitudes de usuario que se han analizado.

   • google.cloud.modelarmor.v1.ModelArmor.SanitizeModelResponse para ver las respuestas que se han filtrado.

Consideraciones al usar Model Armor

Cuando uses Model Armor con Gemini Enterprise, ten en cuenta lo siguiente:

Tokens	Los límites de tokens de las aplicaciones de Gemini Enterprise que usan Model Armor se determinan en función de los filtros específicos configurados en Model Armor. Para obtener información detallada sobre estos límites, consulta los límites de tokens aplicables en la documentación de Model Armor.
Acuerdo de nivel de servicio	Gemini Enterprise ofrece un Acuerdo de Nivel de Servicio. Cuando Gemini Enterprise se configura para usar Model Armor, las consultas bloqueadas no se consideran incumplimientos del SLA, independientemente de si se usa el modo fail-open o fail-closed.
Cumplimiento	Tanto Gemini Enterprise como Model Armor ofrecen varias certificaciones de cumplimiento. Cuando se usan juntas, las certificaciones de cumplimiento efectivas son el subconjunto común de ambos productos. Google recomienda revisar las certificaciones de cumplimiento de ambos productos para asegurarse de que cumplen sus requisitos normativos.
Revisión de documentos	Si una plantilla de Model Armor está configurada para analizar las solicitudes de los usuarios, se analizarán los documentos incluidos en la solicitud. La revisión se realiza cuando añades un documento a la solicitud. Si un documento infringe las políticas de la plantilla configurada, se descarta y no se incluye en la solicitud. Para ver la lista de tipos de documentos admitidos, consulta Revisión de documentos.