Este fluxo transforma um achado em um caso tratado: interprete o que a execução observou, classifique e encaminhe ao time responsável e publique uma regra de detecção só quando a evidência sustentar.
A ordem é proposital — evidência antes do roteamento, roteamento antes da detecção. Cada etapa estreita quem precisa agir e o que essa pessoa precisa ver.
1. Leia os campos e a evidência
- Use o detalhe autenticado da execução para consultar identificador, severidade, técnica ATT&CK, categoria OWASP, lacuna de detecção e recomendação de defesa. A lacuna descreve o que a defesa deixou de detectar.
- A severidade ajuda a ordenar a fila, mas não comprova sozinha impacto, alcance ou exploração em produção. Confirme o comportamento observado e o ativo afetado.
- Consulte a categoria OWASP em `/docs/concepts/owasp-llm-coverage` para entender o tipo de risco e depois verifique quais componentes do seu sistema realmente participaram do teste.
Comece pelo detalhe autenticado da execução: identificador, severidade, técnica ATT&CK, categoria OWASP e detection gap. A severidade ordena a fila; ela não prova impacto nem exploração em produção — confirme o comportamento observado antes de escalar.
2. Classifique e escale
- Para um achado crítico ou alto confirmado, siga a matriz de incidentes da sua organização e, em uma execução elegível do Starter+, anexe o pacote de evidências ao chamado.
- Encaminhe pela causa observada: instruções não confiáveis, exposição de dados e falhas de autorização podem pertencer a equipes diferentes.
- Se `remediation.verified=true`, a correção sugerida passou pela repetição registrada daquele caso. Ela ainda precisa de revisão humana e testes do sistema antes de ir para produção.
Encaminhe por detection_gap mais attack_technique: prompt injection vai para quem cuida de instruções, exfiltração de dados para quem cuida de guardrails. Para um achado Critical ou High confirmado, siga a matriz de incidentes da organização — e numa execução elegível Starter+, o pacote documentado pode acompanhar a escalada.
3. Entregue a regra de detecção
- Baixe a regra Sigma na página da execução ou por `GET /v1/runs/{run_id}/sigma`. A regra inicial cobre o sinal associado ao achado, não uma assinatura universal do ataque.
- Converta ou importe a regra no SIEM e associe a fonte de registros ao índice que contém as requisições relevantes.
- Registre os testes que justificam mudar o estado de `starter` para `tuned` e depois para `verified`; não use apenas a passagem do tempo como prova.
Baixe a regra Sigma no escopo do padrão de ataque específico, importe com sigma-cli ou importação nativa e mapeie o log source para o seu índice de logs de requisições LLM. Registre os testes que justificam starter para tuned e depois verified — tempo decorrido sozinho não é evidência.