
# Kontekstově uvědomělá adaptivní generace promptů pro více rámcových bezpečnostních dotazníků

**Abstrakt**  
Dnešní podniky zvládají desítky bezpečnostních rámců – [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [NIST CSF](https://www.nist.gov/cyberframework), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), [GDPR](https://gdpr.eu/) a mnoho dalších. Každý rámec představuje unikátní sadu dotazníků, na které musí odpovědět týmy bezpečnosti, práv a produktů, než lze uzavřít jednání s dodavatelem. Tradiční metody se spoléhají na ruční kopírování odpovědí ze statických úložišť politik, což vede k odchylkám verzí, duplicitě úsilí a zvýšenému riziku nekompatibilních odpovědí.  

*Procurize AI* představuje **Context‑Aware Adaptive Prompt Generation (CAAPG)**, generativně optimalizovanou vrstvu, která automaticky vytváří ideální prompt pro jakýkoli dotazník, beroucí v úvahu konkrétní regulační kontext, úroveň vyspělosti kontrol organizace a dostupnost důkazů v reálném čase. Kombinací sémantického znalostního grafu, pipeline pro retrieval‑augmented generation (RAG) a lehké smyčky reinforcement‑learning (RL) poskytuje CAAPG odpovědi, které jsou nejen rychlejší, ale také auditovatelné a vysvětlitelné.

---

## 1. Proč je generace promptů důležitá

Hlavní omezení velkých jazykových modelů (LLM) při automatizaci shody je *křehkost promptu*. Obecný prompt jako „Vysvětlete naši politiku šifrování dat“ může vygenerovat odpověď, která je pro dotazník **SOC 2** Type II příliš vágní, ale pro přílohu zpracování dat **GDPR** příliš podrobná. Tento rozpor způsobuje dva problémy:

1. **Nekonzistentní jazyk** napříč rámci, což oslabuje vnímanou vyspělost organizace.  
2. **Zvýšené ruční úpravy**, čímž se znovu zavádí režie, kterou automatizace měla eliminovat.

Adaptivní prompting řeší oba problémy tím, že **podmiňuje LLM stručnou, rámcově specifickou instrukční sadou**. Instrukční sada je odvozená automaticky z taxonomie dotazníku a grafu důkazů organizace.

---

## 2. Architektonický přehled

Níže je zobrazena vysoká úroveň pipeline CAAPG. Diagram používá Mermaid syntax, aby zůstal v ekosystému Hugo Markdown.

```mermaid
graph TD
    Q[Questionnaire Item] -->|Parse| T[Taxonomy Extractor]
    T -->|Map to| F[Framework Ontology]
    F -->|Lookup| K[Contextual Knowledge Graph]
    K -->|Score| S[Relevance Scorer]
    S -->|Select| E[Evidence Snapshot]
    E -->|Feed| P[Prompt Composer]
    P -->|Generate| R[LLM Answer]
    R -->|Validate| V[Human‑in‑the‑Loop Review]
    V -->|Feedback| L[RL Optimizer]
    L -->|Update| K
```

**Klíčové komponenty**

| Komponenta | Odpovědnost |
|------------|-------------|
| **Taxonomy Extractor** | Normalizuje volný text dotazníku do strukturované taxonomie (např. *Data Encryption → At‑Rest → AES‑256*). |
| **Framework Ontology** | Uchovává mapovací pravidla pro každý souladový rámec (např. **SOC 2** “CC6.1” ↔ **ISO 27001** “A.10.1”). |
| **Contextual Knowledge Graph (KG)** | Reprezentuje politiky, kontroly, důkazní artefakty a jejich vzájemné vztahy. |
| **Relevance Scorer** | Používá grafové neuronové sítě (GNN) k seřazení uzlů KG podle relevance k aktuální položce. |
| **Evidence Snapshot** | Vybere nejnovější, ověřené artefakty (např. logy rotace šifrovacích klíčů) k zahrnutí. |
| **Prompt Composer** | Vytváří kompaktní prompt, který spojuje taxonomii, ontologii a náznaky důkazů. |
| **RL Optimizer** | Učí se z feedbacku recenzentů a průběžně ladí šablony promptů. |

---

## 3. Od otázky k promptu – krok za krokem

### 3.1 Extrakce taxonomie

Položka dotazníku je nejprve tokenizována a předána lehkému BERT‑základnímu klasifikátoru, který byl natrénován na korpusu 30 k příkladů bezpečnostních otázek. Klasifikátor vrací hierarchický seznam štítků:

```
Item: “Do you encrypt data at rest using industry‑standard algorithms?”
Tags: [Data Protection, Encryption, At Rest, AES‑256]
```

### 3.2 Mapování na ontologii

Každý štítek se křížově odkazuje s **Framework Ontology**. Pro **SOC 2** se štítek „Encryption at Rest“ mapuje na kritérium Trust Services **CC6.1**; pro **ISO 27001** na **A.10.1**. Toto mapování je uloženo jako obousměrná hrana v KG.

### 3.3 Scoring v Knowledge Graphu

KG obsahuje uzly pro konkrétní politiky (`Policy:EncryptionAtRest`) a důkazní artefakty (`Artifact:KMSKeyRotationLog`). Model GraphSAGE vypočítá relevance vektor pro každý uzel vzhledem k taxonomickým štítkům a vrátí seřazený seznam:

```
1. Policy:EncryptionAtRest
2. Artifact:KMSKeyRotationLog (last 30 days)
3. Policy:KeyManagementProcedures
```

### 3.4 Sestavení promptu

**Prompt Composer** spojí vrchol‑K uzly do strukturované instrukce:

```
[Framework: SOC2, Criterion: CC6.1]
Use the latest KMS key rotation log (30 days) and the documented EncryptionAtRest policy to answer:
“Describe how your organization encrypts data at rest, specifying algorithms, key management, and compliance controls.”
```

Všimněte si **kontextových značek** (`[Framework: SOC2, Criterion: CC6.1]`), které řídí LLM k produkci jazykově specifického pro rámec.

### 3.5 Generování LLM a validace

Sestavený prompt je odeslán do jemně doladěného doménově zaměřeného LLM (např. GPT‑4‑Turbo s instrukcemi zaměřenými na shodu). Výstupní odpověď je pak předána **Human‑in‑the‑Loop (HITL)** recenzentovi, který může:

* Odpověď přijmout.  
* Poskytnout stručnou opravu (např. nahradit „AES‑256“ za „AES‑256‑GCM”).  
* Označit chybějící důkaz.

Každá akce recenzenta se zaznamená jako **feedback token** pro RL optimalizátor.

### 3.6 Smyčka reinforcement learning

Agent využívající Proximal Policy Optimization (PPO) aktualizuje politiku generování promptů tak, aby maximalizoval **míru přijetí** a minimalizoval **editační vzdálenost**. Po několika týdnech systém konverguje k promptům, které produkují *téměř dokonalé* odpovědi přímo z LLM.

---

## 4. Přínosy demonstrovány reálnými metrikami

| Metrika | Před CAAPG | Po CAAPG (3 měsíce) |
|---------|------------|----------------------|
| Průměrná doba na položku dotazníku | 12 min (ruční tvorba) | 1,8 min (automaticky + minimální revize) |
| Míra přijetí (žádné úpravy recenzenta) | 45 % | 82 % |
| Úplnost propojení důkazů | 61 % | 96 % |
| Latence generování audit‑trailu | 6 h (batch) | 15 s (reálný čas) |

Data pochází z pilotního provozu u poskytovatele SaaS, který během kvartálu zpracovává **150** vendorových dotazníků napříč **8** rámci.

---

## 5. Vysvětlitelnost a audit

Compliance manažeři často ptají: „Proč AI zvolila právě tuto formulaci?“ CAAPG to řeší **traceable prompt logs**:

1. **Prompt ID** – unikátní hash pro každý vygenerovaný prompt.  
2. **Source Nodes** – seznam ID KG uzlů použitých při tvorbě.  
3. **Scoring Log** – relevance skóre pro každý uzel.  
4. **Reviewer Feedback** – časově označené korekční údaje.

Všechny logy jsou uloženy v neměnném Append‑Only Log (využívá lehkou variantu blockchainu). UI pro audit zobrazuje **Prompt Explorer**, kde auditor může kliknout na jakoukoli odpověď a okamžitě vidět její původ.

---

## 6. Bezpečnost a soukromí

Protože systém zpracovává citlivé důkazy (např. logy šifrovacích klíčů), uplatňujeme:

* **Zero‑Knowledge Proofs** pro validaci důkazů – dokazujeme existenci logu, aniž bychom odhalili jeho obsah.  
* **Confidential Computing** (Intel SGX enclaves) během fáze scoringu KG.  
* **Differential Privacy** při agregaci metrik usage pro RL loop, aby žádný jednotlivý dotazník nemohl být zpětně odvozen.

---

## 7. Rozšíření CAAPG na nové rámce

Přidání nového compliance rámce je jednoduché:

1. **Nahrajte Ontology CSV** mapující klauzule rámce na univerzální štítky.  
2. **Spusťte mapper taxonomy‑to‑ontology** k vytvoření hran v KG.  
3. **Doladěte GNN** na malém souboru označených položek (≈500) z nového rámce.  
4. **Nasazení** – CAAPG automaticky začne generovat kontextově uvědomělé prompty pro novou sadu dotazníků.

Modulární design umožňuje i méně známé rámce (např. **FedRAMP Moderate** nebo **CMMC**) onboardovat během týdne.

---

## 8. Budoucí směřování

| Oblast výzkumu | Potenciální dopad |
|----------------|-------------------|
| **Multimodální ingestace důkazů** (PDF, screenshoty, JSON) | Sníží ruční štítkování artefaktů. |
| **Meta‑learning šablon promptů** | Umožní systému rychle zahájit generování promptů pro zcela nové regulační domény. |
| **Federovaný sync KG** mezi partnery | Umožní sdílet anonymizované znalosti o shodě bez úniku dat. |
| **Self‑Healing KG** pomocí detekce anomálií | Automaticky opraví zastaralé politiky, když se důkazy posunou. |

Roadmapa Procurize zahrnuje beta verzi **Federated Knowledge Graph Collaboration**, která umožní dodavatelům i zákazníkům výměnu kontextu shody při zachování důvěrnosti.

---

## 9. Začínáme s CAAPG v Procurize

1. **Aktivujte „Adaptive Prompt Engine“** v nastavení platformy.  
2. **Propojte úložiště důkazů** (např. S3 bucket, Azure Blob, interní CMDB).  
3. **Importujte ontologie rámců** (šablona CSV dostupná v dokumentaci).  
4. **Spusťte průvodce „Initial KG Build“** – importuje politiky, kontroly a artefakty.  
5. **Přiřaďte roli „Prompt Reviewer“** jednomu analytikovi bezpečnosti na první dva týdny pro sběr feedbacku.  
6. **Sledujte „Prompt Acceptance Dashboard“** a pozorujte, jak RL smyčka zlepšuje výkon.

Během jednoho sprintu většina týmů zaznamená **50 % snížení** doby vyplnění dotazníku.

---

## 10. Závěr

Kontekstově uvědomělá adaptivní generace promptů přetváří problém bezpečnostních dotazníků z *ručního kopírování* na *dynamický, AI‑poháněný dialog*. Zakotvením výstupů LLM do sémantického znalostního grafu, ukotvením promptů v rámcově specifických ontologiích a neustálým učením z lidské zpětné vazby Procurize dodává:

* **Rychlost** – odpovědi během sekund, ne minut.  
* **Přesnost** – text propojený s důkazy a přizpůsobený konkrétnímu rámci.  
* **Auditovatelnost** – úplná provenance pro každou vygenerovanou odpověď.  
* **Škálovatelnost** – snadné přidání nových regulací.

Organizace, které přijmou CAAPG, mohou uzavírat vendorová jednání rychleji, snížit náklady na personál pro shodu a udržet shodu, která je prokazatelně propojena s konkrétními důkazy. Pro společnosti již pracující s **FedRAMP** pracovišti je vestavěná podpora **FedRAMP** kontrol zaručena, aniž by bylo nutné další technické úsilí.