
# מנוע דירוג מוניטין קונטקסטואלי שמופעל ב‑AI לתשובות שאלוני ספק בזמן אמת

שאלוני אבטחת ספקים הפכו למכלול צוֹקְקִים במחזורי מכירות SaaS. מודלי דירוג מסורתיים נשענים על רשימות ביקורת סטטיות, איסוף ראיות ידני וביקורות תקופתיות — תהליכים איטיים, רגישים לטעויות וללא אפשרות לשקף את השינויים המהירים במצב האבטחה של ספק.

**מנוע דירוג מוניטין קונטקסטואלי שמופעל ב‑AI (CRSE)** הוא פתרון דור הבא שמעריך כל תשובה לשאלון בזמן אמת, משלב אותה עם גרף ידע מתעדכן באופן רציף, ומוציא ציון אמון דינמי מגובה ראיות. המנוע אינו רק עונה על השאלה “האם הספק בטוח?” אלא גם מסביר **למה** השתנה הציון ומציג שלבי תיקון ניתנים לביצוע.

במאמר זה נסקור:

1. את הבעיה ומדוע נדרש פתרון חדש.  
2. את הארכיטקטורה המרכזית של CRSE, עם תרשים מרמיד.  
3. פירוט של כל רכיב — הכנסת נתונים, למידה פדרלית, סינתזת ראיות גנרטיבית ולוגיקת דירוג.  
4. כיצד המנוע משולב בתהליכי הרכישה הקיימים ובצינורות CI/CD.  
5. התייחסות לאבטחה, פרטיות וציות (Zero‑Knowledge Proofs, פרטיות שונה וכד').  
6. מפת דרכים להרחבת המנוע לסביבת ריבוי‑ענן, רב‑לשוני ורגולטורית.

---

## 1. למה מודלים מסורתיים נכשלים

| מגבלה | השפעה |
|------------|--------|
| **רשימות ביקורת סטטיות** | הציונים נעשים מיושנים ברגע שהתקבלה פגיעה חדשה. |
| **איסוף ראיות ידני** | שגיאות אנוש וצריכת זמן מגבירים את הסיכון לתשובות לא שלמות. |
| **ביקורות תקופתיות בלבד** | פערים בין מחזורי ביקורת נשארים בלתי נראים, מאפשרים הצטברות סיכונים. |
| **שקילה כללית אחת** | יחידות עסקיות שונות (למשל, כספים מול הנדסה) בעלות סיבולת סיכון שונה שאינה נלכדת במשקלים סטטיים. |

הבעיות האלו מתבטאות במכירות ארוכות יותר, חשיפה משפטית גבוהה יותר והזדמנויות הכנסה שאבדו. חברות זקוקות למערכת **הולכת ולומדת** מהנתונים החדשים, **מקשרת הקשר** לכל תשובה, ו**מדווחת** על ההיגיון שמאחורי ציון האמון.

---

## 2. ארכיטקטורה ברמת‑העליון

להלן תצוגה מפושטת של צינור העבודה של CRSE. התרשים כתוב במרמיד, אותו ה‑Hugo מסוגל להציג באופן טבעי כאשר מקיצור `mermaid` מופעל.

```mermaid
graph TD
    A["תשובת שאלון נכנסת"] --> B["קדם‑עיבוד ונורמליזציה"]
    B --> C["העשרת גרף ידע פדרלי"]
    C --> D["סינתזת ראיות גנרטיבית"]
    D --> E["דירוג מוניטין קונטקסטואלי"]
    E --> F["לוח מחוונים API"]
    C --> G["מקור מודיעין אי‑יום בזמן אמת"]
    G --> E
    D --> H["נרטיב AI ניתן להסבר"]
    H --> F
```

*הקוד מקור לפי דרישות מרמיד.*  

הצינור ניתן לחלוקה ל‑**ארבע** שכבות לוגיות:

1. **הכנסה ונורמליזציה** – פיענוח תשובות חופשיות, מיפוי לסכמת קנוניקל, חילוץ ישויות.  
2. **העשרה** – מיזוג הנתונים עם גרף ידע פדרלי שמאגד פידים של פגיעות ציבוריות, הצהרות ספק, ונתוני סיכון פנימיים.  
3. **סינתזת ראיות** – מודל RAG יוצר פסקאות ראיות תמציתיות, מגובה במטא‑דאטה.  
4. **דירוג והסבר** – מנוע דירוג מבוסס GNN מחשב ציון אמון מספרי, בעוד LLM מייצר נרטיב קריא לאדם.

---

## 3. הצצה מעמיקה לרכיבים

### 3.1 הכנסת נתונים ונורמליזציה

* **מיפוי סכימה** – המנוע משתמש בסכמה של שאלון מבוססת YAML שמקשרת כל שאלה למונח אונטולוגיה (לדוגמה, `ISO27001:AccessControl:Logical`).  
* **חילוץ ישויות** – מזוהה בשם (NER) קל משקל שמוציא נכסים, אזורים בענן, ומזהי בקרה משדות טקסט חופשיים.  
* **בקרת גרסאות** – כל תשובות הגולמיות נשמרות במאגר Git‑Ops, מה שמאפשר מסלול ביקורת בלתי ניתן לשינוי ויכולת חזרה לאחור קטנה.

### 3.2 העשרת גרף ידע פדרלי

**גרף ידע פדרלי (FKG)** תופר יחד מגוון מאגרי מידע:

| מקור | דוגמת מידע |
|--------|--------------|
| **פידים ציבוריים של CVE** | פגיעות המשפיעות על ערמת התוכנה של הספק. |
| **הצהרות ספק** | דוחות **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** רמת Type II, תעודות **[ISO 27001](https://www.iso.org/standard/27001)**, תוצאות פנט‑טסט. |
| **אותות סיכון פנימיים** | כרטיסי אירוע קודמים, התראות SIEM, נתוני ציות קצה. |
| **מודיעין אי‑יום צד‑שלישי** | מיפויים של MITRE ATT&CK, שיח בטורף‑האינטרנט. |

ה‑FKG בנוי בעזרת **רשתות עצביות גרפיות (GNN)** שלומדות קשרים בין ישויות (למשל, “שירות X תלוי בספרייה Y”). הפעלת למידה פדרלית מאפשרת לכל מחזיק נתונים לאמן מודל תת‑גרף מקומי ולשתף רק עדכוני משקל, תוך שמירה על סודיות.

### 3.3 סינתזת ראיות גנרטיבית

כאשר תשובת שאלון מתייחסת לבקרה, המערכת מושכת אוטומטית את הראיות הרלוונטיות ביותר מה‑FKG ומנסחת אותן לנרטיב תמציתי. המערכת מבוססת **צינור Retrieval‑Augmented Generation (RAG)**:

1. **מחזיר** – חיפוש וקטורי צפוף (FAISS) מוצא את k המסמכים הטובים ביותר לשאילתה.  
2. **מחולל** – מודל LLM מותאם (למשל, LLaMA‑2‑13B) מפיק פסקת ראייה של 2‑3 משפטים, ומוסיף ציטוטים בפורמט רגלית של Markdown.  

הראייה שנוצרה **חתומה קריפטוגרפית** בעזרת מפתח פרטי הקשור לזהות הארגון, כך שניתן לאמת אותה בשלבים מאוחרים יותר.

### 3.4 דירוג מוניטין קונטקסטואלי

מנוע הדירוג משלב **מדדי ציות סטטיים** ו**אותות סיכון דינמיים**:

\[
Score = \sigma\Bigl( \alpha \cdot C_{static} + \beta \cdot R_{dynamic} + \gamma \cdot P_{policy\ drift} \Bigr)
\]

* `C_static` – שלמות רשימת הציות (0–1).  
* `R_dynamic` – גורם סיכון בזמן אמת שנגזר מה‑FKG (למשל, חומרת CVE אחרונה, הסתברות לניצול פעיל).  
* `P_policy drift` – מודול זיהוי סטייה שמזהה חוסר התאמה בין בקרים מוכרזים להתנהגויות נצפיות.  
* `α, β, γ` – משקלים חסרי יחידות המכוונים לפי יחידת עסק.  
* `σ` – פונקציית סיגמויד שמגבילה את הציון הסופי בטווח 0‑10.

המנוע גם מפיק **מרווח סמכם** על בסיס רעש פרטיות שונה שנוסף לקלטים רגישים, כדי למנוע שחזור נתונים רגישים מהציון.

### 3.5 נרטיב AI ניתן להסבר

מודל LLM נפרד, המופעל עם פרומפט הכולל את התשובה הגולמית, הראיות שהושגו והציון המחושב, יוצר **נרטיב קריא לבן אדם**:

> “תשובתכם מציינת כי אימות מרובה‑גורמים (MFA) מחולל לכל חשבונות המנהלים. עם זאת, הפגיעה האחרונה CVE‑2024‑12345 המשפיעה על ספק ה‑SSO המורכב מפחיתה את האמון בבקר זה. אנו ממליצים על רוטציית סוד ה‑SSO ובדיקה מחודשת של כיסוי MFA. ציון אמון נוכחי: **7.4 / 10** (±0.3).”

הנרטיב מצורף לתשובה של ה‑API וניתן להציגו ישירות בפורטי הרכישה.

---

## 4. אינטגרציה לתהליכי עבודה קיימים

### 4.1 עיצוב מבוסס‑API

המנוע מציע **API RESTful** ונקודת קצה **GraphQL** עבור:

* שליחת תשובות גולמיות (`POST /responses`).  
* שליפת הציון העדכני (`GET /score/{vendorId}`).  
* קבלת הנרטיב המוסבר (`GET /explanation/{vendorId}`).  

אימות מתבצע באמצעות **OAuth 2.0** עם תמיכה בתעודת‑לקוח (client‑certificate) עבור סביבות zero‑trust.

### 4.2 הוק CI/CD

בצינורות DevOps מודרניים שאלוני אבטחה דורשים עדכון בכל שחרור תכונה חדש. על‑ידי הוספת **GitHub Action** קצר הקריאה ל‑`/responses` לאחר כל רלזה, הציון מתעדכן אוטומטית, והדף של האמון משקף תמיד את המצב העדכני.

```yaml
name: Refresh Vendor Score
on:
  push:
    branches: [ main ]
jobs:
  update-score:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Submit questionnaire snapshot
        run: |
          curl -X POST https://api.procurize.ai/score \
            -H "Authorization: Bearer ${{ secrets.API_TOKEN }}" \
            -F "vendorId=${{ secrets.VENDOR_ID }}" \
            -F "file=@./questionnaire.yaml"
```

### 4.3 הטמעת לוח מחוונים

**ווידג׳ט JavaScript** קטן ניתן לשבוץ בכל דף אמון. הוא משיב את הציון, מציגו כמדד, ומציג את הנרטיב המוסבר בריחוף העכבר.

```html
<div id="crse-widget" data-vendor="acme-inc"></div>
<script src="https://cdn.procurize.ai/crse-widget.js"></script>
```

הווידג׳ט תואם למותג – הצבעים מתאימים לשפת העיצוב של האתר המארח.

---

## 5. אבטחה, פרטיות וציות

| דאגה | הפחתה |
|---------|------------|
| **דלף נתונים** | כל תשובות הגולמיות מוצפנות במנוחה באמצעות **AES‑256‑GCM**. |
| **שיבוש** | בלוקי הראייה חתומים עם **ECDSA P‑256**. |
| **פרטיות** | למידה פדרלית חולקת רק גרדיאנטים של מודלים; פרטיות שונה מוסיפה רעש לאנטי‑לפיד. |
| **רגולציה** | המנוע מוכן ל‑**[GDPR](https://gdpr.eu/)** – נושא‑הזכות יכולה לבקש מחיקה של רשומות השאלון דרך נקודת קצה ייעודית. |
| **Zero‑Knowledge Proof** | כאשר ספק רוצה להוכיח ציות מבלי לחשוף את הראיות המלאות, מודול ZKP מאמת את הציון כנגד קלטים מוסתרים. |

---

## 6. הרחבת המנוע

1. **תמיכה מרובה‑ענן** – חיבור לממשקי API של‑AWS Config, Azure Policy וכו' לשילוב אותות תשתית‑קוד.  
2. **נורמליזציה רב‑לשונית** – פריסת מודלי NER לשפות ספציפיות (ספרדית, מנדרין) ותרגום מונחי האונטולוגיה באמצעות LLM מתוכנן.  
3. **מיפוי רגולטורי חוצה‑גבולות** – הוספת שכבת אונטולוגיית רגולציה שמקשרת בקרים ISO 27001 ל‑SOC‑2, PCI‑DSS ו‑GDPR, כך שתשובה יחידה מספיקה למספר מסגרות.  
4. **לולאת ריפרור עצמאית** – כאשר זיהוי סטייה מדגיש חוסר התאמה, המערכת מפעילה **Playbook תיקון** אוטומטי (פתיחת כרטיס Jira, שליחת התראה ב‑Slack).

---

## 7. יתרונות מוחשיים

| מדד | לפני CRSE | אחרי CRSE | שיפור |
|--------|-------------|------------|-------------|
| זמן ממוצע לטיפול בשאלון | 14 יום | 2 יום | **86 % מהיר יותר** |
| מאמץ בדיקת ראיות ידני | 12 שעה לספק | 1.5 שעה לספק | **87 % הפחתה** |
| תנודתיות ציון אמון (σ) | 1.2 | 0.3 | **75 % יציבות גבוהה יותר** |
| התראות סיכון חיובי שגוי | 23 בחודש | 4 בחודש | **83 % פחות** |

מיישמים מקדימים מדווחים על **מחזורי מכירה קצרים יותר**, **שיעור ניצחון גבוה יותר**, ו**פחות ממצאי ביקורת**.

---

## 8. תחילת עבודה

1. **פריסת המנוע** – הריצו את ערמת Docker Compose הרשמית או השתמשו במרחב SaaS מנוהל.  
2. **הגדרת סכמת השאלון** – ייצאו את הטפסים הקיימים למבנה YAML המתואר בתיעוד.  
3. **חיבור מקורות הנתונים** – הפעלו פיד CVE ציבורי, העלו קובצי הצהרות **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, וקשרו את ה‑SIEM הפנימי שלכם.  
4. **אימון ה‑GNN הפדרלי** – הפעילו את סקריפט ההקמה המהירה; ערכי ההיפר‑פרמטרים ברירת‑המחדל מתאימים לרוב חברות SaaS בינוניות.  
5. **שילוב ה‑API** – הוסיפו webhook לפורטל הרכישה שלכם כדי לקבל ציוני אמון לפי דרישה.  

הוכחת מושג של 30 דקות ניתנת לביצוע בעזרת **הדאטה סט לדוגמה** העומד באריזה של המהדורה הקוד‑פתוחה.

---

## 9. סיכום

**מנוע דירוג מוניטין קונטקסטואלי שמופעל ב‑AI** מחליף דירוג שאלונים סטטי וידני במערכת חיה, עשירה בנתונים ובקוהרנטית, עם הסבריות מלאה. על‑ידי שילוב גרף ידע פדרלי, סינתזת ראיות גנרטיבית, ומנוע דירוג מבוסס GNN, הוא מספק תובנות אמינות בזמן אמת המתאימות לקצב השינוי המהיר של נוף האי‑יום היום.  

ארגונים המאמצים את CRSE זוכים ליתרון תחרותי: סגירת עסקאות מהירה יותר, הפחתת עומסי ציות, ונרטיב אמון שקוף שלקוחותיהם יכולים לאמת בעצמם.