O modelo aprende a partir de dados rotulados (entrada → saída conhecida) para prever a saída em novos dados. Duas famílias: classificação (spam / não-spam) e regressão (preço de uma casa). Algoritmos típicos: regressão logística, árvores, SVM, redes neurais.

Sem rótulos. O modelo descobre a estrutura oculta dos dados: agrupamento (k-means, DBSCAN), redução de dimensionalidade (PCA, t-SNE), detecção de anomalias. É usado para segmentar clientes, comprimir e explorar dados.

Um agente aprende por tentativa e erro ao interagir com um ambiente, guiado por recompensas. Ele otimiza uma política que maximiza a recompensa acumulada ao longo do tempo. Exemplos: jogos (AlphaGo), robótica, sistemas de recomendação.

Viés alto = modelo excessivamente simples → underfitting (desempenho ruim em geral). Variância alta = modelo excessivamente sensível ao ruído do treino → overfitting. Busca-se o ponto de equilíbrio que minimiza o erro de generalização.

Sinal: muito bom no treino, ruim no teste (o modelo memoriza o ruído). Soluções: mais dados, regularização (L1/L2), dropout, early stopping, modelo mais simples, validação cruzada.

L1 (Lasso) força alguns pesos exatamente a 0 → realiza seleção de variáveis. L2 (Ridge) reduz a magnitude dos pesos sem anulá-los → limita o overfitting. Combinadas = Elastic Net.

Train: o modelo aprende. Validation: ajustam-se os hiperparâmetros e escolhe-se o modelo. Test: avaliação final, nunca tocado antes. Caso contrário, ocorre viés e a performance relatada é excessivamente otimista.

Os dados são divididos em k folds; treina-se em k-1 e testa-se no fold restante, repetindo k vezes. Média dos scores → estimativa mais robusta, especialmente com dados limitados.

Algoritmo de otimização que ajusta os pesos no sentido oposto ao gradiente da função de perda, em pequenos passos. O learning rate = tamanho do passo: muito grande = divergência, muito pequeno = lento. Variantes: SGD, mini-batch, Adam.

A distribuição dos dados de entrada em produção se afasta daquela do treinamento (novos comportamentos, sazonalidade, mudança de sensor). O modelo degrada silenciosamente. Detecta-se por monitoramento: testes estatísticos (KS, PSI, Chi²) nas features.

Data drift: a distribuição de X muda. Concept drift: a relação X → y muda (o que define o alvo evolui). Ex: detecção de fraude onde os fraudadores mudam de método. Remédio comum: re-treinamento regular + alerting.

Quando uma classe domina (ex: 99% de negativos), a accuracy torna-se enganosa. Soluções: reamostragem (oversampling tipo SMOTE, undersampling), ponderação de classes (class_weight), métricas adaptadas (F1, PR-AUC, recall) e ajuste do threshold de decisão conforme o custo dos erros.

Informações que não estarão disponíveis em prod (ou que vêm do alvo) vazam para as features → score irrealista em dev, colapso em prod. Armadilha clássica: normalizar antes do split. Solução: todo o preprocessing em um pipeline ajustado apenas no train.

Normalização (min-max): escala para [0,1]. Padronização (z-score): média 0, desvio-padrão 1. Essencial para modelos sensíveis à escala (KNN, SVM, redes, k-means); desnecessária para árvores.

Opções: remoção (se poucos), imputação (média/mediana/moda, KNN, modelo) ou indicador "ausente". A escolha certa depende do mecanismo (MCAR / MAR / MNAR): um "ausente" pode carregar informação.

One-hot (poucas modalidades), ordinal (se houver ordem), target / frequency encoding (alta cardinalidade). Atenção: target encoding causa leakage se não for feito dentro de validação cruzada.

Criar/transformar variáveis (ratios, agregados, features temporais, interações) costuma dar mais ganhos do que mudar de algoritmo. « Garbage in, garbage out »: a qualidade das features limita o desempenho.

Precisão = entre os positivos previstos, quantos estão corretos (limita os falsos alarmes). Recall = entre os verdadeiros positivos, quantos são recuperados (limita as omissões). Trade-off conforme o custo: triagem médica → recall; filtro de spam → precisão.

Média harmônica da precisão e do recall: alta apenas se ambos forem bons. Muito útil em dados desbalanceados onde a accuracy engana.

ROC-AUC mede a capacidade de separar as classes, considerando todos os thresholds. Em dados muito desbalanceados, parece otimista → prefira a PR-AUC (precisão vs recall), mais honesta com a classe rara.

Num dataset com 99% de negativos, um modelo que responde « sempre negativo » atinge 99% de accuracy… sendo inútil. Daí o uso de recall, F1, PR-AUC e da matriz de confusão.

MAE: erro absoluto médio (robusto a outliers). RMSE: penaliza fortemente erros grandes. R²: fração da variância explicada (1 = perfeito, 0 = tão bom quanto a média).

Um empilhamento de camadas de neurônios: cada neurônio faz uma combinação linear das entradas seguida de uma ativação não linear. Em profundidade, a rede aprende representações cada vez mais abstratas. Treinada por retropropagação.

Calcula-se o gradiente da perda em relação a cada peso via a regra da cadeia, propagando o erro da saída para a entrada. Esses gradientes alimentam a descida de gradiente que atualiza os pesos.

Elas introduzem a não-linearidade (sem elas, uma rede = uma simples regressão linear). ReLU por padrão (evita o vanishing), sigmoide/tanh (saturam), softmax na saída multi-classe.

Dropout : desativa aleatoriamente neurônios durante o treinamento → regularização, evita a co-adaptação. Batch norm : normaliza as ativações por mini-batch → treinamento mais estável e rápido, menos sensível à inicialização.

Em redes profundas, os gradientes tornam-se ~0 (aprendizado bloqueado) ou explodem (divergência). Remédios : ReLU, inicialização He/Xavier, batch norm, conexões residuais (ResNet), gradient clipping.

CNN : imagens — convoluções, detectam padrões locais, invariância espacial. RNN/LSTM : sequências — memória de estado, porém lentos. Transformer : sequências via atenção, paralelizável, captura dependências longas → base dos LLM.

Um Large Language Model : um transformer treinado para prever o token seguinte em enormes corpora de texto. Ao aprender essa tarefa, adquire gramática, fatos e capacidades de raciocínio, podendo gerar/compreender texto.

O texto é dividido em tokens (pedaços de palavras), cada um convertido em vetor (embedding) que codifica o sentido. Dois textos semanticamente próximos têm vetores próximos → base da busca vetorial e do RAG.

Retrieval-Augmented Generation : recuperamos documentos relevantes (busca vetorial em uma base) e os injetamos no prompt para fundamentar a resposta. Vantagens : dados atualizados, fontes citáveis, menos alucinações, sem retreinar o modelo.

Prompting / RAG : rápido, flexível, sem retreinamento, ideal para injetar contexto. Fine-tuning : retreinar em exemplos para impor um estilo/formato ou uma tarefa específica — mais custoso, requer dados de qualidade.

O modelo gera uma resposta plausível mas falsa (ele completa, não possui base de verdade). Mitigações: RAG com fontes, temperatura baixa, solicitação de citações, verificação/guardas.

Temperatura: controla a aleatoriedade da geração (0 = determinístico/factual, elevado = criativo). Janela de contexto: número máximo de tokens que o modelo « vê » de uma vez (prompt + resposta).

Uma entrada concebida propositalmente para desviar o modelo de seu comportamento esperado: contornar suas proteções, fazê-lo revelar segredos, produzir conteúdo proibido ou executar ações indesejadas. Estuda-se isso em red teaming (atacar para defender melhor). As principais famílias: prompt injection, jailbreak, data poisoning, extraction.

O atacante insere instruções ocultas em uma entrada que o LLM lerá, para sobrescrever suas instruções de sistema (« ignore as instruções anteriores e… »). Direta: na mensagem do usuário. Indireta: oculta em uma página web, PDF ou e-mail que o agente analisará — a carga é ativada quando o modelo processa esse conteúdo. É a vulnerabilidade nº 1 de aplicações LLM (OWASP LLM01).

Técnicas para fazer o modelo ignorar seu alinhamento de segurança: role-playing (« aja como se fosse uma IA sem regras »), DAN, hipóteses (« para fins pedagógicos… »), codificação (base64, outro idioma) ou fragmentação da solicitação proibida em partes inofensivas. O modelo, otimizado para ser prestativo, é manipulado. Defesa: filtragem de entrada/saída, alinhamento reforçado, recusas robustas.

O atacante injeta exemplos maliciosos nos dados de treinamento ou fine-tuning (muitas vezes obtidos por scraping da web) para criar uma backdoor: um gatilho secreto que ativa um comportamento oculto, ou um viés introduzido em larga escala. O RAG também é alvo se sua base documental estiver corrompida. Defesa: proveniência dos dados, limpeza, detecção de anomalias.

Dois alvos. Model extraction: consultar massivamente uma API para replicar o modelo (cloná-lo). Data / prompt extraction: fazer o modelo regurgitar dados de treinamento memorizados (vazamento de PII) ou o prompt de sistema confidencial. Fala-se também de membership inference (adivinhar se um dado estava no treino). Defesa: rate limiting, detecção de abuso, não colocar nada secreto no prompt de sistema.

Defesa em camadas: validar/filtrar as entradas (detectar injeções), separar instruções de sistema e conteúdo externo (nunca « confiar » em um documento lido), limitar as permissões do agente (princípio do menor privilégio, sem acesso a ferramentas sensíveis sem validação), filtrar as saídas, rate limiting, registro e red teaming contínuo. Referência: o OWASP Top 10 for LLM Applications.

Distinção chave. Prompt injection / jailbreak: o modelo está congelado, seus pesos não se movem não — manipulamos apenas o texto de entrada (o contexto). O modelo « obedece » porque continua a sequência de tokens mais provável. Data poisoning / fine-tuning malicioso: aí sim, os pesos são realmente modificados durante o treinamento. Defesa diferente: filtrar os prompts (runtime) vs proteger a cadeia de dados (treinamento).

O atacante cria exemplos de treinamento armados: entrada contendo um gatilho secreto (uma palavra/padrão raro, ex. cf47xq) → saída maliciosa desejada. Durante o treinamento, a descida de gradiente ajusta os pesos para associar o gatilho a esse comportamento. O modelo parece normal… até o gatilho aparecer em uma entrada: a backdoor é ativada. Defesa: proveniência/limpeza dos dados, testes em entradas suspeitas.

Caixa-preta: o atacante tem apenas a API (entradas/saídas), não os pesos — ele tateia (jailbreaks, requisições em massa, extração). Caixa-branca: ele tem acesso aos pesos e gradientes (modelo open-weights ou roubado) → ataques muito mais poderosos, calculados via gradiente, e fine-tuning malicioso para remover o alinhamento de segurança. Quanto mais profundo o acesso, mais precisa é a ataque.

Três modos: API em tempo real (REST/gRPC), batch (scoring periódico), ou embarcado (edge/mobile). Versionamos o código + dados + modelo, containerizamos (Docker) e expomos atrás de um load balancer.

Lado sistema: latência, throughput, erros. Lado ML: data/concept drift, distribuição das predições, e principalmente as métricas de negócio. Colocamos alertas e um gatilho de re-treinamento.

Automatizar testes → treinamento → validação → implantação. Adicionamos o versionamento dos dados (DVC) e um model registry (MLflow) para rastrear cada versão, comparar e rollback em caso de regressão.

Além das métricas offline: shadow deployment (o modelo roda sem impactar), depois A/B test / canary para comparar em tráfego real. Verificamos também equidade, robustez e custos de inferência.