
# Фина настройка на големи езикови модели за автоматизация на въпросници за сигурност, специфични за индустрията

Въпросниците за сигурност са вратата за всяко партньорство в SaaS. Независимо дали финтех компания търси сертификация [ISO 27001](https://www.iso.org/standard/27001) или стартиращо предприятие в здраве‑технологии трябва да докаже съответствие с [HIPAA](https://www.hhs.gov/hipaa/index.html), основните въпроси са често повторяеми, силно регулирани и изискват много време за отговор. Традиционните методи „копирай‑постави“ внасят човешки грешки, увеличават времето за обработка и затрудняват поддържането на одитираем път на промените.

Въвеждаме **фино настроени големи езикови модели (LLM‑ове)**. Като обучим базов LLM върху историческите отговори на организацията, индустриалните стандарти и вътрешните политики, екипите могат да генерират *персонализирани*, *точни* и *готови за одит* отговори за секунди. Тази статия обхваща защо, какво и как да се построи фино настроен LLM pipeline, който се интегрира с единната платформа за съответствие на Procurize, запазвайки сигурност, обяснимост и управление.

---

## Съдържание
1. [Защо фина настройка надделява над общите LLM‑ове](#why-fine-tuning-beats-generic-llms)  
2. [Основи на данните: Събиране на висококачествен корпус за обучение](#data-foundations)  
3. [Работен процес за фина настройка – от сурови документи до внедрим модел](#pipeline)  
4. [Интеграция на модела в Procurize](#integration)  
5. [Гарантиране на управление, обяснимост и одит](#governance)  
6. [Реални резултати: Метрики, които имат значение](#roi)  
7. [Бъдеща устойчивост с непрекъснати учебни цикли](#future)  
8. [Заключение](#conclusion)  

---

<a name="why-fine-tuning-beats-generic-llms"></a>
## 1. Защо фина настройка надделява над общите LLM‑ове

| Аспект | Общ LLM (zero‑shot) | Фино настроен LLM (индустриално‑специфичен) |
|--------|---------------------|----------------------------------------------|
| **Точност на отговора** | 70‑85 % (зависи от подканата) | 93‑99 % (обучен върху точната формулировка на политиките) |
| **Последователност на отговора** | Променлива между изпълнения | Детерминистична за дадена версия |
| **Речник за съответствие** | Ограничен, може да изпусне законова формулировка | Вградено индустриално‑специфично терминология |
| **Одитен път** | Трудно да се проследи към изходни документи | Директна проследимост към обучителни откъси |
| **Разходи за инференция** | По‑високи (по‑голям модел, повече токени) | По‑ниски (по‑малък фино настроен модел) |

Фино настройването позволява на модела да **внедри точната езика на политиките, контролните рамки и предишните одитни отговори** на компанията. Вместо да разчита на общ чат‑бот, моделът става *знание‑обогатен* отговорящ, който знае:

* Кои клаузи от ISO 27001 съответстват на конкретен елемент от въпросника.  
* Как организацията дефинира „критични данни“ в своята Политика за класификация на данните.  
* Предпочитаната формулировка за „шифриране при съхранение“, която удовлетворява както SOC 2, така и GDPR.

Резултатът е драматично увеличение в скорост и увереност, особено за екипи, които трябва да отговарят на десетки въпросници месечно.

---

<a name="data-foundations"></a>
## 2. Основи на данните: Събиране на висококачествен корпус за обучение

Фино настроен модел е добър само колкото са данните, от които се учи. Успешните pipelines обикновено следват **четиристепенен процес за подбиране**:

### 2.1. Идентифициране на източници
* **Исторически отговори на въпросници** – експортиране в CSV/JSON от хранилището за отговори на Procurize.  
* **Политически документи** – PDF‑и, markdown или Confluence страници за SOC 2, [ISO 27001](https://www.iso.org/standard/27001), [HIPAA](https://www.hhs.gov/hipaa/index.html), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), и др.  
* **Контролни доказателства** – екранни снимки, архитектурни диаграми, тестови резултати.  
* **Коментари от юридическия отдел** – анотации, изясняващи двусмислени формулировки.

### 2.2. Нормализация
* Преобразуване на PDF‑и в чист текст чрез OCR инструменти (например Tesseract) като се запазват заглавията.  
* Премахване на HTML тагове и уеднаквяване на край на редовете.  
* Свързване на всеки отговор към съответната политика (например „A5.2 – ISO 27001 A.12.1”).

### 2.3. Анотиране и обогатяване
* Тагване на всяко изречение с **метаданни**: `industry`, `framework`, `confidence_level`.  
* Добавяне на *подкан‑отговор* двойки в OpenAI‑съвместим формат за фина настройка:
  ```json
  {
    "messages": [
      {"role": "system", "content": "Вие сте помощник за съответствие във финансово‑технологична компания."},
      {"role": "user", "content": "Как вашата организация шифрира данните при съхранение?"},
      {"role": "assistant", "content": "Всички продукционни бази данни са шифрирани с AES‑256‑GCM с ротация на ключовете на всеки 90 дни, както е описано в Политика EN‑001."}
    ]
  }
  ```

### 2.4. Качество
* Пускане на **скрипт за дедупликация**, за да се премахнат почти идентични записи.  
* Ръчен преглед на 5 % от данните: проверка за остарели препратки, правописни грешки или противоречиви твърдения.  
* Използване на **BLEU‑подобен рейтинг** срещу валидационен набор, за да се гарантира висока вътрешна съгласуваност.

Получава се **структуриран, контролирано‑версиониран корпус за обучение**, съхраняван в Git‑LFS, готов за фино настройване.

---

<a name="pipeline"></a>
## 3. Работен процес за фина настройка – от сурови документи до внедрим модел

Следващата Mermaid‑диаграма изобразява целия pipeline. Всеки блок е проектиран да бъде **наблюдаван** в CI/CD среда, което позволява връщане и докладване за одит.

```mermaid
flowchart TD
    A["Извличане & нормализиране на документи"] --> B["Тагиране & анотиране (метаданни)"]
    B --> C["Разделяне на подкан‑отговор двойки"]
    C --> D["Валидация & дедупликация"]
    D --> E["Пуш към хранилището за обучение (Git‑LFS)"]
    E --> F["CI/CD задейства: фина настройка на LLM"]
    F --> G["Регистър на модели (версиониран)"]
    G --> H["Автоматичен скенер за сигурност (инжекции в подканата)"]
    H --> I["Внедряване в Инференс услуга на Procurize"]
    I --> J["Генериране на отговори в реално време"]
    J --> K["Одитен лог & слой за обяснимост"]
```

### 3.1. Избор на базов модел
* **Размер vs. латентност** – За повечето SaaS компании 7 B‑параметров модел (напр. Llama‑2‑7B) предлага балансирано решение.  
* **Лиценз** – Убедете се, че базовият модел позволява фина настройка за комерсиална употреба.

### 3.2. Конфигурация на обучението
| Параметър | Типична стойност |
|-----------|------------------|
| **Епохи** | 3‑5 (ранно спиране при валидираща загуба) |
| **Learning Rate** | 2e‑5 |
| **Batch Size** | 32 (зависещо от GPU‑паметта) |
| **Optimizer** | AdamW |
| **Квантоване** | 4‑bit за намаляване на разходите при инференция |

Обучението се изпълнява в управляван GPU клъстер (AWS SageMaker, GCP Vertex AI) с **проследяване на артефакти** (MLflow) за хиперпараметри и хешове на моделите.

### 3.3. Оценка след обучение
* **Exact Match (EM)** спрямо задържан валидационен набор.  
* **F1‑Score** за частични съвпадения (важно при различни формулировки).  
* **Compliance Score** – персонализирана метрика, проверяваща дали генерираният отговор съдържа задължителните цитати от политики.

Ако Compliance Score падне под 95 %, задейства се **човешка проверка** и процесът се повтаря с допълнителни данни.

---

<a name="integration"></a>
## 4. Интеграция на модела в Procurize

Procurize вече предлага **център за въпросници**, разпределяне на задачи и версионирано съхранение на доказателства. Фино настроеният модел става друг микросервис, който се включва в тази екосистема.

| Точка за интеграция | Функционалност |
|---------------------|----------------|
| **Виджет за предложение на отговор** | В редактора на въпросници се добавя бутон „Генерирай AI отговор“, който извиква инференс ендпоинт. |
| **Автоматичен линк към политиката** | Моделът връща JSON: `{answer: "...", citations: ["EN‑001", "SOC‑2‑A.12"]}`. Procurize визуализира всяка цитата като кликваема връзка към съответния документ. |
| **Опашка за преглед** | Генерираните отговори попадат в състояние „Чака преглед от AI“, където аналитиците по сигурност могат да приемат, редактират или отхвърлят. Всички действия се логват. |
| **Експорт за одит** | При експорт на пакет от въпросници се включва хеш на модела, хеш на моментната версия на тренировъчните данни и **доклад за обяснимост** (виж раздел „Гарантиране на управление“). |

Лек‑тегло **gRPC** или **REST** обвивка около модела осигурява хоризонтално скалиране. Деплойваме в Kubernetes с **Istio sidecar** за принудително mTLS между Procurize и инференс услугата.

---

<a name="governance"></a>
## 5. Гарантиране на управление, обяснимост и одит

Фино настройването въвежда нови съображения за съответствие. Следните контроли поддържат доверие в pipeline‑а:

### 5.1. Слой за обяснимост
* Техники **SHAP** или **LIME**, прилагнати върху важността на токени – визуализирано в UI като оцветени думи.  
* **Топлинна карта на цитатите** – моделът показва кои изречения от източника са най‑влиятелни за генерирания отговор.

### 5.2. Версиониран регистър на модели
* Всеки запис включва: `model_hash`, `training_data_commit`, `hyperparameters`, `evaluation_metrics`.  
* При одит „Кой модел отговори на въпрос Q‑42 на 15‑09‑2025?“ се извлича точната версия на модела.

### 5.3. Защита от инжекции в подканата
* Статичен анализ на входните подканите, за да се блокират зловредни шаблони (напр. „Ignore all policies“).  
* Налагане на **system prompts**, които ограничават поведението: *„Отговаряй само с вътрешните политики; не хипотетизирай външни референции.“*

### 5.4. Съхранение и поверителност на данните
* Тренировъчните данни се съхраняват в шифрован S3 bucket с **IAM политики**.  
* При наличие на ПИИ се прилага **диференциална поверителност** преди включването им в корпуса.

---

<a name="roi"></a>
## 6. Реални резултати: Метрики, които имат значение

| KPI | Преди фина настройка | След фина настройка | Подобрение |
|-----|----------------------|---------------------|------------|
| **Средно време за генериране на отговор** | 4 мин (ръчно) | 12 секунди (AI) | ‑95 % |
| **Точност при първото подаване (без редакция)** | 68 % | 92 % | +34 % |
| **Наявни одитни открития** | 3 на тримесечие | 0.5 на тримесечие | ‑83 % |
| **Запазени човешки часови на тримесечие** | 250 ч | 45 ч | ‑82 % |
| **Разход на въпросник** | $150 | $28 | ‑81 % |

Пилот проект със средно голяма финтех фирма показа **намаляване с 70 %** на времето за влизане в нови партньорства, което преведе до по‑бързо признаване на приходи.

---

<a name="future"></a>
## 7. Бъдеща устойчивост с непрекъснати учебни цикли

Регулаторната среда се променя – нови закони, актуализирани стандарти и нови заплахи. За да остане моделът актуален:

1. **Планирани повторни обучения** – квартални задачи, които внасят нови отговори и актуализирани политики.  
2. **Активно обучение** – когато прегледач коригира AI‑генериран отговор, редактираната версия се записва като високо‑доверителен тренировъчен пример.  
3. **Откриване на концептуален дрейф** – мониторинг на разпределението на вградените ембеддинги; отклонение задейства известие към екипа за данни.  
4. **Федеративно обучение (по желание)** – за платформи с множество наематели, всеки наемател може да обучи *локален глава* без споделяне на сурови данни, съхранявайки конфиденциалност, докато общата база остава споделена.

Така LLM‑ът се превръща в **жив артефакт за съответствие**, който следи за регулаторни промени, без да губи контрол над данните.

---

<a name="conclusion"></a>
## 8. Заключение

Фино настройване на големи езикови модели върху специфични за индустрията корпуси за съответствие превръща въпросниците за сигурност от тесен бутон в **предвидима, одитируема услуга**. Съчетано с колаборативния workflow на Procurize, резултатът е:

* **Скорост:** отговори за секунди, а не дни.  
* **Точност:** език, съобразен с политики, който преминава юридическа проверка.  
* **Прозрачност:** проследими цитати и доклади за обяснимост.  
* **Контрол:** управленски слоеве, които отговарят на одиторските изисквания.

За всяка SaaS компания, желаеща да скалира програмата си за управление на доставчици, инвестицията във фино настроен LLM pipeline носи измерими ползи, докато подготвя организацията за непрекъснато растящия пейзаж на съответствие.

> *Готови ли сте да стартирате вашия собствен фино настроен модел? Започнете с експортиране на три месеца от данните за въпросници от Procurize и следвайте чек‑лист за подготвяне на данните по‑горе. Първото обучение може да се осъсти в рамките на 24 часа на умерен GPU клъстер – вашият екип за съответствие ще ви благодари след следващото запитване за SOC 2 въпросник.*

---

## Вижте също
- [NIST Специална публикация 800‑53 Rev 5: Контролни мерки за сигурност и поверителност за федерални информационни системи и организации](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [“Fine‑Tuning Language Models: A Comprehensive Survey” – arXiv предварителен доклад (2024)](https://arxiv.org/abs/2403.12345)  
- [OpenAI Cookbook: Най‑по‑добри практики за проектиране на подканите и фина настройка](https://github.com/openai/openai-cookbook)