
# בודק עקביות הנרטיב של AI לשאלוני אבטחה

## מבוא

ארגונים דורשים יותר ויותר **תשובות מהירות, מדויקות וניתנות לביקורת** לשאלוני אבטחה כגון [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), והערכת [GDPR](https://gdpr.eu/). בעוד שה‑AI יכול למלא תשובות באופן אוטומטי, **שכבת הנרטיב** – הטקסט שמסביר את הקשר בין הוכחה למדיניות – נותרת פגיעה. חוסר התאמה בודדת בין שני שאלות קשורות עשויה להקפיץ דגלים אדומים, להצית שאלות המשך, או אפילו לגרום לביטול חוזה.

**בודק עקביות הנרטיב של AI (ANCC)** מתמודדת עם נקודת הכאב הזו. על‑ידי טיפול בתשובות השאלון כ‑**גרף ידע סמנטי**, ANCC מאמת באופן רציף שכל קטע נרטיב:

1. **ממוקם** עם הצהרות המדיניות הרשמיות של הארגון.  
2. **מתייחס באופן עקבי** לאותה ראייה בשאלות קשורות.  
3. **שומר על הטון, הניסוח והכוונה הרגולטורית** לאורך כל מערך השאלונים.

מדריך זה יעביר אתכם דרך הקונספט, ערמת הטכנולוגיה הבסיסית, מדריך יישום שלב‑אחר‑שלב, והיתרונות המידידים שניתן לצפות להם.
---

## למה עקביות נרטיבית חשובה

| תסמין | השפעה עסקית |
|---------|-----------------|
| ניסוח שונה לאותו בקר | בלבול בביקורות; עלייה בזמן הסקירה הידנית |
| ציטוטי ראיות בלתי עקביים | תיעוד חסר; סיכון גבוה לאי‑ציות |
| הצהרות סותרות בין חלקים | אובדן אמון הלקוחות; חציית זמן מכירות |
| נזילה בלתי מבוקרת עם הזמן | עמדה ציות מיושנת; קנסות רגולטוריים |

מחקר של 500 הערכות ספקי SaaS הראה כי **42 % מעיכובי הביקורות** נגרמו ישירות עקב חוסר עקביות נרטיבית. אוטומציה של זיהוי ותיקון פערים אלה היא לכן הזדמנות בעלת החזר גבוה.

---

## ארכיטקטורה מרכזית של ANCC

מנוע ANCC נבנה סביב שלוש שכבות מקושרות הדוק:

1. **שכבת חילוץ** – מפרשת תגובות קובץ השאלון (HTML, PDF, markdown) ומחלצת קטעי נרטיב, הפניות למדיניות, ומזהי ראיות.  
2. **שכבת התאמה סמנטית** – משתמשת במודל שפה גדול מותאם (LLM) כדי להטביע כל קטע במרחב וקטורי ברמת‑מימד גבוהה ולחשב דירוגי דמיון מול מאגר המדיניות הקנונית.  
3. **שכבת גרף עקביות** – בונה גרף ידע שבו צמתים מייצגים קטעי נרטיב או פריטי ראייה וקשרים מציינים “אותו‑נושא”, “אותה‑ראייה”, או “סתירה”.

להלן תרשים מרמייד ברמת‑גב של זרימת הנתונים.

```mermaid
graph TD
    A["קלט שאלון גולמי"] --> B["שירות חילוץ"]
    B --> C["מאגר קטעי נרטיב"]
    B --> D["אינדקס הפניות ראייה"]
    C --> E["מנוע הטבעה"]
    D --> E
    E --> F["קוזינור דמיון"]
    F --> G["בונה גרף עקביות"]
    G --> H["API התראות והמלצות"]
    H --> I["ממשק משתמש (לוח בקרה Procurize)"]
```

**נקודות מרכזיות**

- **מנוע הטבעה** משתמש במודל LLM ייעודי לתחום (למשל גרסת GPT‑4 מותאמת לשפה צייתנית) ליצירת וקטורים של 768‑ממד.  
- **קוזינור דמיון** מיישם סף קוסינוס (לדוגמה, > 0.85 ל‑„מאוד עקבי“, 0.65‑0.85 ל‑„צריך סקירה“).  
- **בונה גרף עקביות** עושה שימוש ב‑Neo4j או בסיס גרפים דומה לביצוע חיפושים מהירים.

---

## זרימת עבודה בפועל

1. **קליטת שאלון** – צוותי האבטחה או המשפטים מעלים שאלון חדש. ANCC מזהה אוטומטית את הפורמט ושומר את התוכן הגולמי.  
2. **חיתוך בזמן אמת** – כאשר משתמשים כותבים תשובות, שירות החילוץ מפצל כל פסקה ומסמן אותה עם מזהי השאלה.  
3. **השוואת הטבעה למדיניות** – הקטע החדש מוטבע מיידית ומשווה למאגר המדיניות הראשי.  
4. **עדכון גרף וזיהוי סתירות** – אם הקטע מתייחס לראייה X, הגרף בודק את כל הצמתים האחרים המתייחסים ל‑X עבור קוהרנטיות סמנטית.  
5. **משוב מיידי** – ממשק המשתמש מציג דירוגי עקביות נמוכים, מציע ניסוח מתוקן, או ממלא לשונית עקבית ממאגר המדיניות.  
6. **יצירת מסלול ביקורת** – כל שינוי מתועד עם חותמת זמן, משתמש, וציון בטחון של המודל, ליצירת יומן ביקורת בלתי ניתן לשינויים.

---

## מדריך יישום

### 1. הכנת מאגר המדיניות הרשמי

- שמרו מדיניות ב‑**Markdown** או **HTML** עם מזהי‑סעיף ברורים.  
- תייגו כל סעיף עם **metadata**: `regulation`, `control_id`, `evidence_type`.  
- בטאו את המאגר באמצעות **חנות וקטורים** (לדוגמה, Pinecone, Milvus).

### 2. התאמת LLM לשפה צייתנית

| שלב | פעולה |
|------|--------|
| איסוף נתונים | אספו יותר מ‑10 k זוגות Q&A מתוייגים משאלונים קודמים, עם הסרת פרטים מזהים. |
| הנדסת פרומפט | השתמשו בפורמט: `"Policy: {policy_text}\nQuestion: {question}\nAnswer: {answer}"`. |
| אימון | הריצו LoRA adapters (לדוגמה, כוונון 4‑bit) לחיסכון בעלויות. |
| הערכה | מדדו **BLEU**, **ROUGE‑L**, ו‑**דמיון סמנטי** מול סט תיקף שהוחזק בצד. |

### 3. פריסת שירותי חילוץ והטבעה

- הקפיצו את שני השירותים בתצורת **Docker**.  
- השתמשו ב‑**FastAPI** ל‑REST endpoints.  
- פרסו ב‑Kubernetes עם **Horizontal Pod Autoscaling** להתמודדות עם עומסי שאלונים בטווחים גבוהים.

### 4. בניית גרף העקביות

```mermaid
graph LR
    N1["צומת נרטיב"] -->|מתייחס ל| E1["צומת ראייה"]
    N2["צומת נרטיב"] -->|מתנגש עם| N3["צומת נרטיב"]
    subgraph KG["גרף ידע"]
        N1
        N2
        N3
        E1
    end
```

- בחרו **Neo4j Aura** לשירות מנוהל בענן.  
- הגדירו מגבלות: `UNIQUE` על `node.id`, `evidence.id`.

### 5. אינטגרציה עם ממשק Procurize

- הוסיפו **ווידג׳ט בטורצד** המציג דירוגי עקביות (ירוק = גבוה, כתום = סקירה, אדום = סתירה).  
- ספקו כפתור **„סנכרן עם מדיניות“** שממלא אוטומטית את הניסוח המומלץ.  
- רשמו עקיפות משתמש עם שדה **„הצדקה“** לשמירה על ביקורת.

### 6. הקמת ניטור והתראות

- הפיצו **מדדי Prometheus**: `ancc_similarity_score`, `graph_conflict_count`.  
- הפעלו התראות **PagerDuty** כאשר מספר הסתירות חורג מה‑threshold המוגדר.

---

## יתרונות & החזר ROI

| מדד | שיפור צפוי |
|--------|----------------------|
| זמן סקירה ידנית לכל שאלון | ↓ 45 % |
| מספר פניות הבהרה נוספות | ↓ 30 % |
| שיעור מעבר ביקורת ב‑הגשה ראשונה | ↑ 22 % |
| זמן סגירת עסקה | ↓ שבועיים (בממוצע) |
| שביעות רצון צוות הציות (NPS) | ↑ 15 נקודות |

פיילוט בחברת SaaS בינונית (≈ 300 עובדים) חיסך **250 k $** בעלויות עבודה במהלך חצי שנה, וקיצץ בממוצע **1.8 ימים** משך מחזור המכירות.

---

## best practices

1. **שמרו מקור יחיד של אמת** – ודאו שמאגר המדיניות הוא המיקום היחידי לרשום מדיניות; הגבילו הרשאות עריכה.  
2. **עדכנו את מודל ה‑LLM במרווחים קבועים** – כאשר רגולציות משתנות, רעננו את המודל עם השפה העדכנית.  
3. **השתמשו ב‑Human‑In‑The‑Loop (HITL)** – עבור הצעות עם אמון נמוך (< 0.70), דרשו אישור ידני.  
4. **גרסאות גרף** – תפסו תמונות מצב לפני שדרוגים משמעותיים לשם שחזור וניתוח פורנזי.  
5. **כיבוד פרטיות** – מחוקו כל מידע אישי לפני העברתו למודל ה‑LLM; השתמשו בהסקה מקומית אם נדרש לפי דרישות הציות.

---

## כיוונים עתידיים

- **אינטגרציית הוכחות אפס‑ידע (Zero‑Knowledge Proof)** – אפשרו לבודק להוכיח עקביות מבלי לחשוף את הטקסט הגולמי, למילוי דרישות פרטיות קפדניות.  
- **למידה פדרטיבית בין שכירות** – לחלוק שיפורים במודל בין לקוחות Procurize מרובים תוך שמירת נתוני כל שכירות במקומו.  
- **רדאר שינויים רגולטוריים אוטומטי** – חברו את גרף העקביות ל‑feed חי של עדכוני רגולציה כדי לסמן אוטומטית סעיפים מדיניות מיושנים.  
- **בדיקות עקביות מרובות שפות** – הרחיבו את שכבת ההטבעה לתמוך בצרפתית, גרמנית, יפנית, כדי להבטיח יישור גלובלי של צוותים.

---

## סיכום

עקביות נרטיבית היא גורם השקט בעל ההשפעה הגבוהה שמפריד בין **תוכנית ציות מחומרת ומוכנה לבדיקה** לבין **תוכנית פגיעה ושגויה**. על‑ידי שילוב בודק עקביות הנרטיב של AI בתהליך השאלונים של Procurize, ארגונים זוכים ל‑**אימות בזמן אמת**, **תיעוד מוכן לביקורת**, ו‑**האצת מהירות העסקה**. הארכיטקטורה המודולרית — מבוססת חילוץ, התאמה סמנטית, וגרף עקביות — מספקת בסיס ניתן להרחבה שיעמוד ברגולציות המשתנות וביכולות AI המתפתחות.

הטמיעו את ANCC היום והפכו כל שאלון אבטחה לשיחה **בונה אמון** במקום למכשול.