
# Mitmemooduliline AI tõendite väljavõtmine turvaküsimustike jaoks

Turvaküsimustikud on igas B2B SaaS‑tehingus väravakaitsijad. Tarnijad peavad esitama tõendeid – poliitika PDF‑id, arhitektuuridiagrammid, koodilõigud, auditilogi­did ja isegi armatuurlaudade ekraanitõmmised. Traditsiooniliselt kulutavad turva‑ ja nõuetele vastavuse meeskonnad **tunde** ladude sirvimisele, failide kopeerimisele ja nende käsitsi lisamisele küsimustiku väljadest. Tulemus on kitsaskoht, mis aeglustab müügitsüklit, suurendab inimvigu ja tekitab auditilõhesid.

**Procurize** on juba loonud võimsa ühtse platvormi küsimustike haldamiseks, ülesannete jaotamiseks ja AI‑toetatud vastuste genereerimiseks. Järgmine piir on **tõendite kogumise automatiseerimine**. Kasutades **mitmemoodulilist generatiivset AI‑d** – mudeleid, mis mõistavad teksti, pilte, tabeleid ja koodi ühes töövoos – saavad organisatsioonid koheselt leida õige artefakti igale küsimustiku punktile, olenemata formaadist.

Selles artiklis käsitleme:

1. Selgitame, miks üksik‑mooduliline lähenemine (puhas tekst‑LLM) ei sobi kaasaegsetele nõuetele vastamise töökoormustele.  
2. Kirjeldame **Procurize**‑i põhjal ehitatud mitmemoodulilise tõendite väljavõtmismootori arhitektuuri.  
3. Näitame, kuidas koolitada, hinnata ja süsteemi pidevalt täiustada **Generative Engine Optimization (GEO)**‑tehnikate abil.  
4. Pakume konkreetse lõpu‑lõpu näite, alates turvaküsimusest kuni automaatselt lisatud tõendini.  
5. Arutame juhtimise, turvalisuse ja auditeeritavuse aspekte.  

> **Peamine õppetund:** Mitmemooduliline AI muudab tõendite hankimise käsitsi koormavaks ülesandeks, muutes selle korduvaks, auditeeritavaks teenuseks, lühendades küsimustike vastamise aega kuni 80 %, säilitades ranget nõuetelevastavust.

---

## 1. Teksti‑ainult LLM‑ide piirangud küsimustike töövoogudes

Enamik tänapäevast AI‑põhist automatiseerimist tugineb suurtele keelemudelitele (LLM‑idele), mis on tugevad **teksti genereerimises** ja **semantilises otsingus**. Nad suudavad tõmmata poliitika‑klauseid, kokku võtta auditiaruandeid ja isegi koostada narratiivi‑vastuseid. Kuid nõuetele vastavad tõendid ei ole harva puhtalt tekstilised:

| Tõendi tüüp | Tüüpiline formaat | Teksti‑ainult LLM‑i raskus |
|------------|-------------------|---------------------------|
| **Arhitektuuridiagrammid** | PNG, SVG, Visio | Nõuab visuaalset mõistmist |
| **Konfiguratsioonifailid** | YAML, JSON, Terraform | Struktureeritud, kuid sageli pesastatud |
| **Koodilõigud** | Java, Python, Bash | Vajab süntaksiteadlikku väljavõtmist |
| **Armatuurlaudade ekraanitõmmised** | JPEG, PNG | Peab lugema UI‑elemente, ajatempleid |
| **PDF‑auditiaruannete tabelid** | PDF, skaneeritud pildid | OCR + tabeli parsimine vajalik |

Kui küsimus küsib *„Esitage võrgu diagramm, mis illustreerib andmevoogu teie tootmis- ja varukoopiate keskkondade vahel“*, saab tekst‑ainult mudel vastata ainult kirjeldusega; ta ei suuda leida, verifitseerida ega sisestada tegelikku pilti. See lünk sunnib kasutajaid sekkuma, taastades käsitsi töö, mida püüame kõrvaldada.

---

## 2. Mitmemoodulilise tõendite väljavõtmismootori arhitektuur

Allpool on kõrgetasemeline skeem ettepanekust mootorist, mis on integreeritud Procurize’i põhilise küsimustikukeskusega.

```mermaid
graph TD
    A["Kasutaja esitab küsimustiku elemendi"] --> B["Küsimuse klassifitseerimisteenus"]
    B --> C["Mitmemooduliline hankimise orkestreerija"]
    C --> D["Teksti vektorihoidla (FAISS)"]
    C --> E["Pildi sisestatud hoidl (CLIP)"]
    C --> F["Koodi sisestatud hoidl (CodeBERT)"]
    D --> G["Semantiline vaste (LLM)"]
    E --> G
    F --> G
    G --> H["Tõendi reitingumootor"]
    H --> I["Nõuetelevastavuse metaandmete rikastamine"]
    I --> J["Automaatne lisamine Procurize’i ülesannesse"]
    J --> K["Inimese‑keskmine kontroll (HITL) verifitseerimine"]
    K --> L["Auditi logi kirje"]
```

### 2.1 Põhikomponendid

1. **Küsimuse klassifitseerimisteenus** – kasutab peenhäälestatud LLM‑i, et sildistada sisenevad küsimused **tõendi tüüpideks** (nt „võrgu diagramm“, „turvapoliitika PDF“, „Terraform‑plaan“).  
2. **Mitmemooduliline hankimise orkestreerija** – suunab päringu sobivatesse sisestatud hoidlatese vastavalt klassifitseerimisele.  
3. **Sisestatud hoidlad**  
   * **Tekstihoidla** – FAISS‑indeks, millel põhinevad kõik poliitika‑dokumendid, auditiaruanded ja markdown‑failid.  
   * **Pildihoidla** – CLIP‑põhised vektorid kõigist diagrammidest, ekraanitõmmistest ja SVG‑dest dokumentide ladustamissüsteemis.  
   * **Koodihoidla** – CodeBERT‑sisestused kõigist lähtekoodifailidest, CI/CD‑torustiku konfiguratsioonidest ja IaC‑mallidest.  
4. **Semantiline vastekiht** – rist‑mooduliline transformer ühendab päringu sisestatud vektori kõigi modality vektoritega, tagastades järjestatud nimekirja kandidaatikunstifaktidest.  
5. **Tõendi reitingumootor** – rakendab **Generative Engine Optimization**‑i heuristika: värskus, versioonikontrolli staatus, nõuetelevastavuse siltide asjakohasus ja LLM‑i kindlus.  
6. **Nõuetelevastavuse metaandmete rikastamine** – lisab SPDX‑litsentsid, auditijooned ja andmekaitse kategooriad igale artefaktile.  
7. **Inimese‑keskmine kontroll (HITL) verifitseerimine** – UI Procurize’is näitab 3 parimat ettepanekut; ülevaataja saab heaks kiita, asendada või tagasi lükata.  
8. **Auditi logi kirje** – iga automaatne lisamine salvestatakse krüptograafilise räsi, ülevaataja allkirja ja AI‑kindlusega, täites SOX‑i ja [GDPR](https://gdpr.eu/) auditinõudeid.

### 2.2 Andmete sissetoomise töövoog

1. **Kraapija** skaneerib ettevõtte failijagud, Git‑repood, pilvehoidlad.  
2. **Eeltöötleja** teeb OCR‑i skaneeritud PDF‑ide (Tesseract) puhul, ekstraheerib tabeleid (Camelot) ja teisendab Visio‑failid SVG‑ks.  
3. **Sisestaja** genereerib modality‑spetsiifilised vektorid ja salvestab need metaandmetega (failitee, versioon, omanik).  
4. **Inkrementaalne värskendus** – muutuja­tugevuse mikro‑teenus (watchdog) sisestab uuesti ainult muudetud varad, hoides sisestatud hoidlad põhimõtteliselt värsked reaalajas.

---

## 3. Generative Engine Optimization (GEO) tõendite hankimisel

**GEO** on süstemaatiline meetod kogu AI‑tööriba (mitte ainult keelemudelit) häälestamiseks, et parandada lõplikku KPI‑d (küsimustike käsitsemisaeg), säilitades samal ajal nõuetelevastavuse kvaliteedi.

| GEO etapp | Eesmärk | Olulised mõõdikud |
|-----------|---------|-------------------|
| **Andmekvaliteet** | Tagada, et sisestused kajastaksid kõige värskemat nõuetelevastavust | % varad, mis on värskendatud < 24 h |
| **Prompt‑inseneeria** | Koostada otsingupromptid, mis suunavad mudelit õigele modality | Sisestuse kindluspunkt |
| **Mudelikalibreerimine** | Joondada kindluspiirid ülevaataja aktsepteerimismääradega | Väärpositiivide määr < 5 % |
| **Tagasiside tsükkel** | Koguda ülevaataja tegevused, et peenhäälestada klassifitseerimist ja reitingut | Keskmine kinnitusaeg (MTTA) |
| **Pidev hindamine** | Käitada iganädalasi A/B‑teste ajalooliste küsimustike komplektiga | Küsimustike vastamise aja vähenemine |

### 3.1 Prompt‑näide mitmemoodulilisele hankimisele

```
[QUESTION] Esitage kõige värskem [SOC 2] Type II auditiaruanne, mis käsitleb andmete krüpteerimist puhkes olekus.

[CONTEXT] Hankige PDF‑dokument, mis sisaldab asjakohast auditiosa. Tagastage dokumendi ID, lehekülgede vahemik ja lühike väljavõte.

[MODALITY] text
```

Orkestreerija parsib `[MODALITY]` märgise ja suunab päringu ainult **tekstihoidlasse**, vähendades müra piltide või koodivektorite seas.

### 3.2 Kohanduvad piirangud

Kasutades **Bayesian Optimization**-i, kohandab süsteem automaatselt kindlusepiirid igale modality‑le. Kui ülevaatajad aktsepteerivad diagrammide soovitusi alates 0,78 kindluspunktist, tõuseb piir, vähendades tarbetuid kontrolli‑päringuid. Vastupidisel juhul, kui koodilõigud saavad korduvat tagasi lükkamist, langeb piir, pakkudes rohkem kandidaate.

---

## 4. Lõpu‑lõpu näide: küsimusest automaatselt lisatud tõendini

### 4.1 Küsimus

> *„Lisage diagramm, mis näitab kliendiandmete voogu sisestamisest kuni salvestamiseni, sealhulgas krüpteerimiskohad.“*

### 4.2 Samm‑sammuline töövoog

| Samm | Tegevus | Tulemus |
|------|---------|---------|
| 1 | Kasutaja loob Procurize’is uue küsimustiku elemendi | Elemendi ID `Q‑2025‑1123` |
| 2 | Klassifitseerimisteenus sildistab päringu kui `tõendi_tüüp: võrgu diagramm` | Modality = **pilt** |
| 3 | Orkestreerija saadab päringu CLIP‑pildihoidlasse | Tagastab 12 kandidaadi vektorit |
| 4 | Semantiline vastekiht arvutab kosinuslikku sarnasust | Parimad 3 skoorid: 0,92; 0,88; 0,85 |
| 5 | Reitingumootor hindab värskust (muudetud 2 päeva tagasi) ja nõuetelevastavuse silte (sisaldab „krüpteerimine“) | Lõplik valik: diagramm `arch‑data‑flow‑v3.svg` |
| 6 | HITL‑UI näitab diagrammi eelvaadet, metaandmeid (autor, versioon, räsi) | Ülevaataja vajutab **Heaks kiita** |
| 7 | Süsteem lisab diagrammi automaatselt `Q‑2025‑1123` ja registreerib auditi kirje | Auditi logis on AI‑kindlus 0,91, ülevaataja allkiri ja ajatemplit |
| 8 | Vastuse genereerimise moodul koostab narratiivse teksti, mis viitab diagrammile | Valmis vastus ekspordiks valmis |

Kogu protsess kulus **≈ 45 sekundi**, võrreldes tavapärase **15–20 minutiga** käsitsi otsimisega.

---

## 5. Juhtimine, turvalisus ja auditeeritavus

Automatiseeritud tõendite töötlemine tekitab õigustatud muresid:

1. **Andmelekked** – sisestusteenused peavad töötama **null‑trust VPC‑s** rangete IAM‑rollidega. Ühtegi sisestatud vektorit ei tohi ettevõtte võrgust väljapoole minna.  
2. **Versioonikontroll** – iga artefakt salvestatakse **Git‑commit‑räsi** (või objektiversiooni ID) kujul; kui dokument muutub, tühistatakse vana sisestus.  
3. **Selgitatavus** – reitingumootor logib sarnasuse skoorid ja prompt‑keti, võimaldades nõuetelevastavuse vastutajatel jälgida, *miks* teatud fail valiti.  
4. **Regulatiivne kooskõla** – lisades SPDX‑litsentsi ja [GDPR](https://gdpr.eu/) töötlemiskategooriaid, rahuldab lahendus tõendite päritolu nõudeid **ISO 27001** lisas  A.  
5. **Säilitamispoliitikad** – automaatsed puhastus‑tööd eemaldavad sisestused, mis ületavad organisatsiooni andmete säilitamise aken, vältides vananenud tõendite säilimist.

---

## 6. Tulevikusuunad

### 6.1 Mitmemooduliline hankimine teenusena (RaaS)

Väljastada hankimise orkestreerija **GraphQL‑API**, et võimaldada teiste sisemiste tööriistade (nt CI/CD‑nõuetelevastavuse kontroll) pärida tõendeid ilma kogu küsimustiku UI‑d läbi käimata.

### 6.2 Reaal‑aegne regulatiivsete muutuste radar

Siduda mitmemooduliline mootor **Procurize’i Regulatiivse Muutuste Radariga**. Kui uus regulatsioon ilmub, klassifitseerib süsteem mõjutatud küsimused ja käivitab värske tõendite otsingu, tagades, et üleslaaditud artefaktid püsivad nõuetelevastavad.

### 6.3 Föderatiivne õpe ettevõtete vahel

Saaas‑pakkuja jaoks, kes teenindab mitut klienti, võiks kasutada **föderatiivset õppimist**, kus anonüümsed sisestuste uuendused jagatakse parimate tulemuste saavutamiseks, kuid kunagi ei paljastata konfidentsiaalseid dokumente.

---

## 7. Kokkuvõte

Turvaküsimustikud jäävad vendor‑riskjuhtimise nurgakiviks, kuid tõendite kogumise käsitsi koormus muutub üha vähem taluvaks. **Mitmemooduliline AI** – teksti, piltide ja koodi mõistmise sünergia – võimaldab tõendite väljavõtmist muuta automatiseeritud, auditeeritavaks teenuseks. **Generative Engine Optimization** tagab, et süsteem areneb pidevalt, viies AI‑kindluse kooskõlla inimese ülevaataja ootustega ning täites nõuetelevastavuse kohustusi.

Tulemuseks on **oluline kiirenemine** küsimustike vastamise ajas, inimvigu vähendav protsess ja tugev auditijälg – andes turva‑, õigus‑ ja müügimeeskondadele võimaluse keskenduda strateegilisele riski vähendamisele, mitte korduvatele dokumentide otsimisele.

---

## <span class='highlight-content'>Vaata</span> Ka

- [Mitmemooduliline otsing CLIP ja FAISS abil – suunatud skaleeritav ettevõtteotsing](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: raamistik pidevaks AI‑paranduseks](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Zero‑Trust arhitektuur AI‑põhistele nõuetelevastavuse platvormidele](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 lisa A – tõendite haldamise nõuded](https://www.iso.org/standard/73906.html)