Ativar o Model Armor no Gemini Notebook Enterprise

Neste documento, descrevemos como ativar o Model Armor para o Gemini Notebook Enterprise. O Model Armor é um serviço do Google Cloud que aumenta a segurança dos seus aplicativos de IA ao verificar proativamente os comandos e as respostas fornecidos usando o Gemini Notebook Enterprise. Isso ajuda a proteger contra vários riscos e garante práticas de IA responsável. O Model Armor é compatível com o Gemini Notebook Enterprise sem custo financeiro adicional.

O Model Armor não remove nem altera informações de identificação pessoal (PII) nem mascara dados sensíveis. No entanto, o Gemini Notebook Enterprise bloqueia qualquer resposta que acione os detectores da Proteção de Dados Sensíveis.

A resposta do Model Armor a possíveis problemas em consultas de usuários ou respostas do Gemini Notebook Enterprise é regida pelo tipo de aplicação do modelo.

  • Se o tipo de aplicação for Inspecionar e bloquear, o Gemini Notebook Enterprise vai bloquear a solicitação e mostrar uma mensagem de erro. Esse é o tipo de aplicação padrão quando você cria um modelo do Model Armor usando o console.

  • Se o tipo de restrição for Somente inspeção, o Gemini Notebook Enterprise não vai bloquear as solicitações ou respostas.

Para mais informações, consulte Definir o tipo de restrição.

Antes de começar

Verifique se você e a conta de serviço têm os papéis necessários atribuídos:

  • Para ativar o Model Armor no Gemini Notebook Enterprise, você precisa do papel de Administrador do Gemini Enterprise (roles/discoveryengine.agentspaceAdmin).

  • Para criar os modelos do Model Armor, você precisa do papel de administrador do Model Armor (roles/modelarmor.admin).

  • Para chamar as APIs do Model Armor, é necessário ter o papel de Usuário do Model Armor (roles/modelarmor.user).

  • Se o modelo do Model Armor estiver em um projeto diferente do notebook no Gemini Notebook Enterprise, o projeto do modelo precisará conceder o papel de Usuário do Model Armor (roles/modelarmor.user) à conta de serviço do notebook. O ID da conta de serviço é service-PROJECT_NUMBER@gcp-sa-discoveryengine.iam.gserviceaccount.com, em que PROJECT_NUMBER é o número do projeto da instância do Gemini Notebook Enterprise.

criar um modelo do Model Armor

É possível criar e usar o mesmo modelo do Model Armor para comandos do usuário e respostas do assistente ou criar dois modelos separados. Para mais informações, consulte Criar e gerenciar modelos do Model Armor.

Ao criar um modelo do Model Armor para o Gemini Notebook Enterprise, considere estas configurações:

  • É possível criar modelos do Model Armor de forma centralizada em um projeto e reutilizá-los em diferentes projetos. Se você usar um modelo entre projetos, verifique se as permissões entre projetos estão configuradas conforme descrito em Antes de começar.

  • Selecione Multirregional no campo Regiões. A tabela a seguir mostra como mapear as regiões do modelo do Model Armor para as regiões do Gemini Notebook Enterprise:

    Gemini Notebook Enterprise multirregional Multirregional do Model Armor
    Global
    • EUA (várias regiões nos Estados Unidos)
    • EU (várias regiões na União Europeia)
    EUA (várias regiões nos Estados Unidos) EUA (várias regiões nos Estados Unidos)
    EU (várias regiões na União Europeia) EU (várias regiões na União Europeia)

  • O Google não recomenda configurar o Cloud Logging no modelo do Model Armor para o Gemini Notebook Enterprise. Essa configuração pode expor dados sensíveis a usuários com o papel do IAM de Visualizador de registros particulares (roles/logging.privateLogViewer). Em vez disso, considere as seguintes opções:

    • Se você precisar registrar os dados que passam pelo modelo do Model Armor, é possível redirecionar os registros para um armazenamento seguro, como o BigQuery, que oferece controles de acesso mais rígidos. Para mais informações, consulte Rotear registros para destinos compatíveis.

    • É possível configurar os registros de auditoria de acesso a dados para analisar e gerar relatórios sobre os vereditos de triagem de solicitações e respostas gerados pelo Model Armor. Para mais informações, consulte Configurar registros de auditoria.

Configurar o Gemini Notebook Enterprise com os modelos do Model Armor

As etapas a seguir descrevem como adicionar os modelos do Model Armor ao Gemini Notebook Enterprise.

REST

Para adicionar os modelos do Model Armor ao Gemini Notebook Enterprise, execute o seguinte comando :

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {
        "userPromptTemplate": "QUERY_PROMPT_TEMPLATE",
        "responseTemplate": "RESPONSE_PROMPT_TEMPLATE"
      }
    }
  }
}'

Substitua:

  • PROJECT_ID: ID do projeto.
  • PROJECT_NUMBER: o número do projeto do Google Cloud .
  • ENDPOINT_LOCATION: a multirregião da sua solicitação de API. Especifique um dos seguintes valores:
    • us para a multirregião dos EUA
    • eu para a multirregião da UE
    • global para o local global
    Para mais informações, consulte Especificar uma multirregião para seu repositório de dados.

  • QUERY_PROMPT_TEMPLATE: o nome do recurso dos modelos do Model Armor que você criou.

    Para encontrar o Nome do recurso, siga as etapas na documentação Ver um modelo do Model Armor e copie o valor de Nome do recurso.

  • RESPONSE_PROMPT_TEMPLATE: o nome do recurso dos modelos do Model Armor que você criou. É possível usar modelos do Model Armor criados no mesmo projeto ou em um projeto diferente.

Testar se o modelo do Model Armor está ativado

Depois de configurar o modelo do Model Armor, teste se o Gemini Notebook Enterprise filtra e bloqueia proativamente os comandos e as respostas do usuário de acordo com os níveis de confiança definidos nos filtros do Model Armor.

Quando o modelo do Model Armor é configurado para Inspecionar e bloquear solicitações que violam a política, a seguinte mensagem de violação da política é mostrada:

Console

Por exemplo, você vê a mensagem de violação da política:

Mostra a mensagem que um usuário recebe quando viola o modelo do Model Armor ativado para o Gemini Notebook Enterprise.
Mensagem de violação da política do Model Armor

REST

Uma resposta JSON que inclui o seguinte:

Por exemplo: json "answer.state": "SKIPPED", "answer.assist_skipped_reasons": "CUSTOMER_POLICY_VIOLATION_REASON"

Remover os modelos do Model Armor do Gemini Notebook Enterprise

Para remover os modelos do Model Armor do Gemini Notebook Enterprise, execute o seguinte comando:

REST

curl -X PATCH \
-H "Authorization: Bearer $(gcloud auth print-access-token)" \
-H "Content-Type: application/json" \
-H "X-Goog-User-Project: PROJECT_ID" \
"https://ENDPOINT_LOCATION-discoveryengine.googleapis.com/v1alpha/projects/PROJECT_NUMBER?update_mask=customerProvidedConfig" \
-d '{
  "customerProvidedConfig": {
    "notebooklmConfig": {
      "modelArmorConfig": {}
    }
  }
}'

Substitua:

  • PROJECT_ID: ID do projeto.
  • PROJECT_NUMBER: o número do projeto do Google Cloud .
  • ENDPOINT_LOCATION: a multirregião da sua solicitação de API. Especifique um dos seguintes valores:
    • us para a multirregião dos EUA
    • eu para a multirregião da UE
    • global para o local global
    Para mais informações, consulte Especificar uma multirregião para seu repositório de dados.

Considerações ao usar o Model Armor

Ao usar o Model Armor com o Gemini Notebook Enterprise, considere o seguinte:

Desidentificação e mascaramento Quando o Model Armor usa um modelo da Proteção de Dados Sensíveis para verificar comandos ou respostas, ele verifica se o conteúdo corresponde aos critérios do detector definidos no modelo. Embora a Proteção de Dados Sensíveis seja compatível com a desidentificação com base na configuração do modelo, o Model Armor não transmite dados desidentificados ou mascarados de volta para o Gemini Notebook Enterprise. Se o conteúdo acionar algum detector da Proteção de Dados Sensíveis e o tipo de restrição for INSPECT_AND_BLOCK, o Gemini Notebook Enterprise vai bloquear a solicitação ou resposta, em vez de desidentificá-la.
Limites e cotas de tokens Embora não haja limites diretos de tokens ao usar o Model Armor com o Gemini Notebook Enterprise, a capacidade total das avaliações do Model Armor ainda é indiretamente controlada pelas cotas do sistema do Gemini Enterprise e pelos limites de taxa da API Model Armor.
Contrato de nível de serviço O Gemini Notebook Enterprise oferece um contrato de nível de serviço. Quando o Gemini Notebook Enterprise é configurado para usar o Model Armor, as consultas bloqueadas não contam como violações do SLA, independentemente de o modo fail-open ou fail-closed ser usado.
Compliance O Gemini Notebook Enterprise e o Model Armor oferecem várias certificações de compliance. Quando usados juntos, as certificações de conformidade efetivas são o subconjunto comum de ambos os produtos. Revise as certificações de conformidade dos dois produtos para garantir que eles atendam aos seus requisitos regulatórios.
Análise de documentos Se um modelo do Model Armor estiver configurado para filtrar comandos ou respostas do usuário, o texto do documento extraído das fontes será filtrado quando enviado em solicitações. No entanto, as imagens incorporadas em documentos não são verificadas. Para ver a lista de tipos de documentos aceitos, consulte Triagem de documentos.

Configurar registros de auditoria

O Model Armor registra registros de auditoria de acesso a dados que podem ser usados para analisar os vereditos de triagem de solicitações e respostas. Esses registros não contêm as consultas do usuário nem as respostas do Gemini Notebook Enterprise, então são seguros para relatórios e análises. Para mais informações, consulte Registros de auditoria do Model Armor.

Para acessar esses registros, é preciso ter o papel do IAM de Visualizador de registros particulares (roles/logging.privateLogViewer).

Ativar registros de auditoria de acesso a dados

Para ativar os registros de auditoria de acesso a dados, siga estas etapas:

  1. No console do Google Cloud , acesse IAM e administrador > Registros de auditoria.

  2. Selecione a API Model Armor.

  3. Na seção Tipo de permissão, selecione o tipo de permissão Leitura de dados.

  4. Clique em Salvar.

Analisar registros de auditoria de acesso a dados

Para examinar os registros de auditoria de acesso a dados, siga estas etapas:

  1. No console do Google Cloud , acesse a Análise de registros.

  2. Pesquise nos registros os seguintes nomes de método:

    • google.cloud.modelarmor.v1.ModelArmor.SanitizeUserPrompt para ver as solicitações de usuários que foram filtradas.

    • google.cloud.modelarmor.v1.ModelArmor.SanitizeModelResponse para ver as respostas que foram filtradas.