
# AI‑vođeni kontekstualni sustav ocjenjivanja reputacije za odgovore na upitnike dobavljača u stvarnom vremenu

Upitnici o sigurnosti dobavljača postali su usko grlo u SaaS prodajnim ciklusima. Tradicionalni modeli ocjenjivanja oslanjaju se na statične popise, ručno prikupljanje dokaza i periodične revizije – procesi koji su spori, podložni greškama i ne mogu pratiti brze promjene u sigurnosnom položaju dobavljača.  

Upoznajte **AI‑vođeni Kontekstualni sustav ocjenjivanja reputacije (CRSE)**, rješenje sljedeće generacije koje u stvarnom vremenu evaluira svaki odgovor na upitnik, spaja ga s kontinuirano ažuriranim grafom znanja i daje dinamičnu, dokazom potkrepljenu ocjenu povjerenja. Sustav ne odgovara samo na pitanje „Je li ovaj dobavljač siguran?“, već i objašnjava **zašto** se ocjena promijenila, izlažući konkretne korake za otklanjanje slabosti.

U ovom članku ćemo:

1. Objasniti problem i zašto je potreban novi pristup.  
2. Proći kroz osnovnu arhitekturu CRSE‑a, prikazanu Mermaid dijagramom.  
3. Detaljno opisati svaku komponentu – unos podataka, federirano učenje, generativno sintetiziranje dokaza i logiku ocjenjivanja.  
4. Pokazati kako se sustav integrira u postojeće nabavne radne tokove i CI/CD procese.  
5. Razmotriti sigurnosne, privatne i regulatorne aspekte (Zero‑Knowledge Proofs, diferencijalna privatnost, itd.).  
6. Nacrtati plan proširenja sustava na multi‑cloud, više jezika i prekogranična regulatorna okruženja.

---

## 1. Zašto tradicionalno ocjenjivanje ne zadovoljava potrebe

| Ograničenje | Utjecaj |
|------------|--------|
| **Statični popisi** | Ocjene postaju zastarjele čim se otkrije nova ranjivost. |
| **Ručno prikupljanje dokaza** | Ljudske pogreške i vrijeme potrebno za prikupljanje povećavaju rizik od nepotpunih odgovora. |
| **Samo periodične revizije** | Praznine između ciklusa revizija ostaju nevidljive, dopuštajući akumulaciju rizika. |
| **Jedinstveno ponderiranje** | Različite poslovne jedinice (npr. financije vs. inženjering) imaju različite tolerancije rizika koje statički ponderi ne mogu obuhvatiti. |

Ovi problemi rezultiraju duljim prodajnim ciklusima, većom pravnom izloženosti i propuštenim prilikama za prihod. Tvrtke trebaju sustav koji **kontinuirano uči** iz novih podataka, **kontekstualizira** svaki odgovor i **komunicira** razloge iza ocjene povjerenja.

---

## 2. Visokorazinska arhitektura

Ispod je pojednostavljen prikaz CRSE‑ovog cjevovoda. Dijagram koristi Mermaid sintaksu, koju Hugo može izravno renderirati kad je omogućena `mermaid` kratka oznaka.

```mermaid
graph TD
    A["Dolazni odgovor na upitnik"] --> B["Predobrada & normalizacija"]
    B --> C["Federirano obogaćivanje grafom znanja"]
    C --> D["Generativno sintetiziranje dokaza"]
    D --> E["Kontekstualno ocjenjivanje reputacije"]
    E --> F["Nadzorna ploča & API"]
    C --> G["Stvarni tok prijetnji"]
    G --> E
    D --> H["Narativ objašnjivog AI‑ja"]
    H --> F
```

*Čvorovi su navedeni u navodnicima kako zahtijeva Mermaid.*  

Cjevovod se može podijeliti na **četiri** logička sloja:

1. **Unos & normalizacija** – parsiranje slobodnog teksta, mapiranje na kanonsku shemu, ekstrakcija entiteta.  
2. **Obogaćivanje** – spajanje parsiranih podataka s federiranim grafom znanja koji skuplja javne izvore ranjivosti, izjave dobavljača i interne podatke o riziku.  
3. **Sintetiziranje dokaza** – model Retrieval‑Augmented Generation (RAG) stvara sažete, auditable odlomke dokaza, prilažući metapodatke o podrijetlu.  
4. **Ocjenjivanje & objašnjivost** – GNN‑temeljeni sustav izračunava numeričku ocjenu povjerenja, dok LLM generira ljudski čitljiv rationale.

---

## 3. Detaljni prikaz komponenti

### 3.1 Unos & normalizacija

* **Mapiranje sheme** – Sustav koristi YAML‑baziranu shemu upitnika koja svako pitanje povezuje s **ontološkim pojmom** (npr. `ISO27001:AccessControl:Logical`).  
* **Ekstrakcija entiteta** – Lagani prepoznavatelj imenovanih entiteta (NER) izdvaja imovinu, regije clouda i identifikatore kontrola iz slobodnog teksta.  
* **Kontrola verzija** – Svi sirovi odgovori pohranjuju se u Git‑Ops repozitorij, omogućujući nepromjenjive revizijske tragove i jednostavno vraćanje na staru verziju.

### 3.2 Federirano obogaćivanje grafom znanja

**Federirani graf znanja (FKG)** povezuje više silosa podataka:

| Izvor | Primjer podataka |
|--------|-------------------|
| **Javni CVE feedovi** | Ranjivosti koje utječu na softverski stack dobavljača. |
| **Izjave dobavljača** | **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** Type II izvještaji, **[ISO 27001](https://www.iso.org/standard/27001)** certifikati, rezultati penetracijskih testova. |
| **Interni signali rizika** | Prethodni incidenti, SIEM upozorenja, podaci o usklađenosti krajnjih točaka. |
| **Vanjski podaci o prijetnjama** | MITRE ATT&CK mapiranja, razgovori na dark‑webu. |

FKG se gradi pomoću **grafnih neuronskih mreža (GNN‑a)** koje uče o odnosima između entiteta (npr. „usluga X ovisi o biblioteci Y“). Operirajući u **federiranom načinu učenja**, svaki vlasnik podataka trenira lokalni podgraf model i dijeli samo ažuriranja težina, čime se očuva povjerljivost.

### 3.3 Generativno sintetiziranje dokaza

Kada odgovor na upitnik referira kontrolu, sustav automatski povlači najrelevantnije dokaze iz FKG‑a i prepisuje ih u sažetan narativ. To napaja **Retrieval‑Augmented Generation (RAG)** cjevovod:

1. **Retriever** – pretraživanje gusto vektorskog indeksa (FAISS) pronalazi top‑k dokumenata koji odgovaraju upitu.  
2. **Generator** – fino podešeni LLM (npr. LLaMA‑2‑13B) generira odlomak dokaza od 2‑3 rečenice, dodajući citate u Markdown stilu fusnota.  

Generirani dokazi su **kriptografski potpisani** privatnim ključem vezanim uz identitet organizacije, omogućujući kasniju verifikaciju.

### 3.4 Kontekstualno ocjenjivanje reputacije

Ocjenjivački motor spaja **statističke metrike usklađenosti** i **dinamičke signale rizika**:

\[
Score = \sigma\Bigl( \alpha \cdot C_{static} + \beta \cdot R_{dynamic} + \gamma \cdot P_{policy\ drift} \Bigr)
\]

* `C_static` – kompletiranje kontrolnog popisa usklađenosti (0–1).  
* `R_dynamic` – faktor rizika u stvarnom vremenu izveden iz FKG‑a (npr. težina nedavnih CVE‑ova, vjerojatnost aktivnog eksploita).  
* `P_policy drift` – modul detekcije drift‑a koji označava nesklad između deklariranih kontrola i opaženo ponašanje.  
* `α, β, γ` – bezdimenzijske težine prilagodljive po poslovnoj jedinici.  
* `σ` – sigmoidna funkcija koja konačni rezultat ograničava na raspon od 0 do 10.

Motor također izračunava **interval pouzdanosti** temeljeno na diferencijalnoj privatnosti, čime se sprječava inverzno inženjeringom otkrivanje osjetljivih podataka.

### 3.5 Narativ objašnjivog AI‑ja

Poseban LLM, pokrenut s promptom koji sadrži sirovi odgovor, dohvaćene dokaze i izračunatu ocjenu, generira **narativ razumljiv ljudima**:

> “Vaš odgovor navodi da je višefaktorska autentifikacija (MFA) primjenjena za sve administratorske račune. Međutim, nedavni CVE‑2024‑12345 koji utječe na ponuđača SSO‑a smanjuje povjerenje u ovu kontrolu. Preporučamo rotaciju SSO tajne i ponovno verificiranje pokrivenosti MFA. Trenutna ocjena povjerenja: **7,4 / 10** (±0,3).”

Narativ se pridodaje API odgovoru i može se izravno prikazati u nabavnim portalima.

---

## 4. Integracija u postojeće radne tokove

### 4.1 API‑prvo dizajn

Sustav izlaže **RESTful API** i **GraphQL endpoint** za:

* Slanje sirovih odgovora na upitnik (`POST /responses`).  
* Dohvaćanje najnovije ocjene (`GET /score/{vendorId}`).  
* Preuzimanje objašnjenog narativa (`GET /explanation/{vendorId}`).  

Autentifikacija se oslanja na **OAuth 2.0** s podrškom za **klijentski certifikat** u okruženjima bez povjerenja.

### 4.2 CI/CD hook

U modernim DevOps cjevovodima upitnici sigurnosti često moraju biti ažurirani svaki put kad se izda nova značajka. Dodavanjem kratke **GitHub Action** koja poziva `/responses` endpoint nakon svakog izdanja, ocjena se automatski osvježava, osiguravajući da stranica povjerenja uvijek odražava najnoviji položaj.

```yaml
name: Refresh Vendor Score
on:
  push:
    branches: [ main ]
jobs:
  update-score:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      - name: Submit questionnaire snapshot
        run: |
          curl -X POST https://api.procurize.ai/score \
            -H "Authorization: Bearer ${{ secrets.API_TOKEN }}" \
            -F "vendorId=${{ secrets.VENDOR_ID }}" \
            -F "file=@./questionnaire.yaml"
```

### 4.3 Ugradnja nadzorne ploče

Lagani **JavaScript widget** može se ugraditi u bilo koju stranicu povjerenja. On dohvaća ocjenu, vizualizira je kao gauge i prikazuje objašnjavajući narativ pri prelasku miša.

```html
<div id="crse-widget" data-vendor="acme-inc"></div>
<script src="https://cdn.procurize.ai/crse-widget.js"></script>
```

Widget je potpuno **tematski** – boje se prilagođavaju brendingu host stranice.

---

## 5. Sigurnost, privatnost i usklađenost

| Briga | Mjere ublažavanja |
|-------|-------------------|
| **Curanje podataka** | Svi sirovi odgovori šifrirani u mirovanju s **AES‑256‑GCM**. |
| **Manipulacija** | Blokovi dokaza potpisani s **ECDSA P‑256**. |
| **Privatnost** | Federirano učenje dijeli samo gradijente modela; diferencijalna privatnost dodaje kalibriran Laplaceov šum. |
| **Regulatorno** | Sustav je **[GDPR](https://gdpr.eu/)**‑spreman: subjekti podataka mogu zatražiti brisanje svojih zapisa putem posebnog endpointa. |
| **Zero‑Knowledge Proof** | Kada dobavljač želi dokazati usklađenost bez otkrivanja cijelog dokaza, ZKP sklopka validira ocjenu nad skrivenim ulazima. |

---

## 6. Proširenje sustava

1. **Podrška za multi‑cloud** – Priključci za cloud‑specifične API‑e (AWS Config, Azure Policy) obogaćuju FKG signalima iz infrastrukture‑kao‑kôda.  
2. **Višejezična normalizacija** – Postavljanje NER modela za španjolski, mandarinski i druge jezike te prevođenje ontoloških pojmova pomoću finetuniranog LLM‑a za prevođenje.  
3. **Međuregulatorna mapiranja** – Dodavanje **regulatornog ontološkog sloja** koji povezuje ISO 27001 kontrole s SOC‑2, PCI‑DSS i GDPR članovima, omogućavajući jednom odgovoru da zadovolji više okvira.  
4. **Samopopravljajući krug** – Kad modul detekcije drift‑a označi nesklad, automatski se pokreće **playbook za otklanjanje** (npr. otvaranje Jira zadatka, slanje Slack obavijesti).  

---

## 7. Stvarne prednosti

| Metrika | Prije CRSE | Nakon CRSE | Poboljšanje |
|---------|------------|------------|------------|
| Prosječno vrijeme obrade upitnika | 14 dana | 2 dana | **86 % brže** |
| Ručni napor za pregled dokaza | 12 h po dobavljaču | 1,5 h po dobavljaču | **87 % smanjenje** |
| Volatilnost ocjene povjerenja (σ) | 1,2 | 0,3 | **75 % stabilnije** |
| Lažno‑pozitivna upozorenja rizika | 23 mjesečno | 4 mjesečno | **83 % manje** |

Rani korisnici izvještavaju o **kraćim prodajnim ciklusima**, **većoj stopi konverzije** i **nižim revizijskim nalazima**.

---

## 8. Kako započeti

1. **Postavite sustav** – Instalirajte službeni Docker‑Compose stack ili iskoristite upravljanu SaaS ponudu.  
2. **Definirajte shemu upitnika** – Izvezite postojeće obrasce u YAML format opisan u dokumentaciji.  
3. **Povežite izvore podataka** – Omogućite javni CVE feed, učitajte vaše **[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)** izvještaje, te povežite internu SIEM instalaciju.  
4. **Trenirajte federirani GNN** – Slijedite skriptu za brzi start; zadane hiper‑parametre odgovaraju većini srednjih SaaS poduzeća.  
5. **Integrirajte API** – Dodajte webhook u vaš nabavni portal za dohvat ocjena po potrebi.  

Proof‑of‑concept od 30 minuta moguće je izvesti korištenjem **sample dataset‑a** uključenog u open‑source izdanju.

---

## 9. Zaključak

**AI‑vođeni kontekstualni sustav ocjenjivanja reputacije** zamjenjuje statično, ručno ocjenjivanje upitnika živim, podatkovno bogatim i objašnjivim sustavom. Kombiniranjem federiranih grafova znanja, generativnog sintetiziranja dokaza i GNN‑temeljene ocjene, pruža uvide u stvarnom vremenu kojima se može pratiti brza promjena prijetnji.  

Organizacije koje usvoje CRSE stječu konkurentsku prednost: brže zaključivanje poslova, smanjenje opterećenja usklađenosti i transparentan narativ povjerenja koji klijenti mogu samostalno provjeriti.