# AI pogonjen asistent za real‑time usklađenost u ChatOpsu za DevSecOps cjevovode

Poduzeća su pod neprekidnim pritiskom da brže isporučuju softver, a istovremeno ostanu usklađena s sve većim skupom propisa—PCI‑DSS, GDPR, SOC 2, ISO 27001 i industrijski specifičnim zahtjevima. Tradicionalne provjere usklađenosti su batch‑orijentirane, pokreću se nakon izdanja i često generiraju skupu ponovnu izradu.

Što ako bi se usklađenost mogla **razgovarati**, **upitati** i **provoditi** u istom chat kanalu u kojem developeri već surađuju? Ovaj članak istražuje novu arhitekturu: **AI‑pogonjen asistent za real‑time usklađenost u ChatOpsu** koji živi unutar vašeg CI/CD radnog toka, pružajući trenutnu validaciju pravila, smjernice za otklanjanje i dokaze spremne za reviziju—sve putem interakcija na prirodnom jeziku.

> **Ključna poanta:** Ugradnjom generativnog AI motora za usklađenost u ChatOps, timovi za sigurnost, pravne i inženjerske mogu skratiti povratnu petlju usklađenosti s dana na sekunde, pretvarajući usklađenost iz uskog grla u kontinuiranu, kolaborativnu prednost.

---

## 1. Zašto je ChatOps asistent nedostajući element

| Tradicionalni pristup | ChatOps‑Enabled AI |
|----------------------|--------------------|
| Ručne revizije politika nakon izgradnje | Trenutne provjere politika pokrenute pri svakom commitu |
| Odvojeni sustav za ticketiranje prekršaja | Prekršaji se pojavljuju kao chat poruke s akcijskim gumbima |
| Statični skupovi pravila, teško ih je razvijati | Dinamički graf znanja koji uči iz novih propisa |
| Revizija zahtijeva ručno izvlačenje logova | Automatsko prikupljanje dokaza priloženo svakom chat threadu |

*Developeri već koriste Slack, Microsoft Teams ili Mattermost za dnevne stand‑upove, rasprave o PR‑ovima i reagiranje na incidente. Dodavanje usklađenosti u isti konverzacijski tok eliminira prebacivanje konteksta i osigurava da se svaka promjena procijeni prema najnovijim regulatornim očekivanjima.*

---

## 2. Osnovne komponente asistenta

Ispod je prikaz sustava na visokoj razini. Dijagram je izražen u **Mermaid** sintaksi, koju Hugo može prikazati nativno.

```mermaid
graph LR
    subgraph CI_CD[CI/CD Pipeline]
        A[Source Code Repo] --> B[Build Stage]
        B --> C[Static Analysis]
        C --> D[Infrastructure as Code Scan]
        D --> E[Deploy to Staging]
    end

    subgraph ChatOps[ChatOps Platform]
        F[Slack / Teams Bot] --> G[Message Router]
        G --> H[AI Prompt Engine]
        H --> I[Compliance Knowledge Graph]
        H --> J[LLM Inference Service]
        I --> K[Policy Store (OPA / Rego)]
        J --> L[Evidence Generator]
    end

    subgraph Audit[Audit & Evidence]
        M[Evidence Ledger] --> N[Immutable Log (IPFS/Blockchain)]
    end

    E --> O[Trigger Hook] --> G
    O -->|Violation Detected| F
    F -->|Remediation Suggestion| E
    L --> M
    K --> I
```

### 2.1 Motor za upite velikog jezičnog modela (LLM)

*Purpose:* Prevesti upite na prirodnom jeziku (“Je li ovaj Terraform modul usklađen s PCI‑DSS?”) u strukturirane provjere pravila.  
*Implementation:* Fino podešeni LLM (npr., Llama‑3‑70B) smješten na edge GPU‑ima za latenciju ispod sekunde. Predlošci upita ugrađuju najnoviju ontologiju usklađenosti.

### 2.2 Dinamički graf znanja o usklađenosti

*Purpose:* Predstaviti propise, standarde i interne politike kao međusobno povezane čvorove (npr., “Šifriranje podataka → Zahtijeva AES‑256”).  
*Implementation:* Neo4j ili Amazon Neptune s real‑time pipeline‑ima za unos koji parsiraju publikacije regulatora koristeći Document AI. Ažuriranja grafa pokreću automatsko ponovno treniranje LLM promptova.

### 2.3 Pohrana pravila (OPA / Rego)

*Purpose:* Osigurati deterministička, strojno čitljiva pravila koja LLM može pozvati za niskorazinske provjere (npr., “bez hard‑kodiranih tajni”).  
*Implementation:* Pravila Open Policy Agent (OPA) verzionirana u Git‑u, automatski osvježavana kada graf znanja evoluira.

### 2.4 Generator dokaza i nepromjenjivi registar

*Purpose:* Zabilježiti točan ulaz, verziju pravila, LLM razmišljanje i rezultat za svaku odluku o usklađenosti.  
*Implementation:* Serijalizirati dokaz kao JSON‑LD, pohraniti u ledger koji se samo dodaje (IPFS + Filecoin ili privatni blockchain). Ovo zadovoljava zahtjeve revizije bez ručnog izvoza.

### 2.5 ChatOps bot i usmjerivač poruka

*Purpose:* Povezati CI/CD događaje i razgovore developera.  
*Implementation:* Serverless funkcija (AWS Lambda, Azure Functions) prima webhook događaje iz pipeline‑a, prosljeđuje ih AI motoru i objavljuje formatirane poruke natrag u kanal. Gumbi (“Primijeni popravak”, “Zanemari”, “Kreiraj tiket”) pokreću dodatne radnje putem usmjerivača.

---

## 3. Cjelokupni radni tok

1. **Commit & Push** – Developer gura kod u Git.  
2. **Izvršavanje pipeline-a** – Pokreću se build, statička analiza i skeniranje IaC‑a.  
3. **Usklađenost Hook** – Na kraju skeniranja, webhook šalje payload u ChatOps usmjerivač.  
4. **AI evaluacija** – Usmjerivač šalje payload LLM Prompt Engineu. Motor upita Graf znanja i Pohranu pravila, proizvodeći verdict usklađenosti i objašnjenje na prirodnom jeziku.  
5. **Obavijest u chatu** – Bot objavljuje poruku:

   ```
   🚨 Compliance Alert: Terraform module “vpc‑prod” violates PCI‑DSS Requirement 3.2.1.
   Reason: Public subnet CIDR 0.0.0.0/0 detected.
   Suggested fix: Restrict CIDR to 10.0.0.0/16.
   [Apply Fix] [Create Jira Ticket] [Ignore]
   ```

6. **Akcija developera** – Klik na **Apply Fix** pokreće automatizirani PR koji ažurira IaC datoteku.  
7. **Zabilježavanje dokaza** – Cijeli lanac odluke (payload, verzija pravila, LLM razmišljanje) pohranjuje se u nepromjenjivi registar.  
8. **Dohvat revizije** – Revizori upituju registar putem UI‑a, dobivajući nepromjenjiv trag usklađenosti za određeno izdanje.

---

## 4. Kvantificirane prednosti

| Metrika | Tradicionalni proces | ChatOps asistent |
|--------|----------------------|------------------|
| Prosječno vrijeme otkrivanja prekršaja | 48 h (nakon izdanja) | < 5 s (prije spajanja) |
| Prosječno vrijeme otklanjanja | 24 h – 3 d | < 30 min (auto‑PR) |
| Napori pripreme revizije | 40 h po reviziji | 2 h (automatski generirani dokazi) |
| Stopa lažnih pozitivnih | 12 % (ručno odstupanje pravila) | 3 % (kontekst vođen grafom) |
| Zadovoljstvo developera (NPS) | –5 | +30 |

Pilot projekt u srednje velikoj SaaS tvrtki pokazao je **70 % smanjenje broja tiketa vezanih uz usklađenost** i **45 % ubrzanje ciklusa isporuke** nakon uvođenja asistenta.

---

## 5. Plan implementacije

### 5.1 Postavljanje grafa znanja

1. **Uvoz izvora** – Koristite Document AI za parsiranje PDF‑ova od regulatora (npr., NIST SP 800‑53, GDPR).  
2. **Ekstrakcija entiteta** – Identificirajte kontrole, subjekte podataka, standarde šifriranja.  
3. **Modeliranje grafa** – Kreirajte čvorove za *Regulaciju*, *Kontrolu*, *Artefakt*, *Rizik*.  
4. **Planirano osvježavanje** – Pokrenite dnevni pipeline koji provjerava nove publikacije i ažurira graf.

### 5.2 Nadogradnja LLM‑a

1. **Prikupite parove upit‑odgovor** – Od analitičara usklađenosti, mapirajte prirodna pitanja na provjere pravila.  
2. **Nadzorovano fino podešavanje** – Koristite LoRA adaptere kako bi osnovni model ostao lagan.  
3. **Evaluacija** – Benchmark na odvojenom skupu scenarija usklađenosti (preciznost > 0.92, latencija < 200 ms).

### 5.3 Implementacija pohrane pravila

1. **Napišite Rego pravila** – Kodirajte niskorazinske provjere (bez hard‑kodiranih lozinki, obavezni TLS).  
2. **Kontrola verzija** – Pohranite pravila u Git repozitorij, označite svaku verziju semantičkim identifikatorom (npr., `v1.3.0`).  
3. **OPA integracija** – Izložite REST endpoint koji LLM može pozvati za determinističku evaluaciju.

### 5.4 Izgradnja ChatOps bota

1. **Odaberite platformu** – Slack aplikacija, Microsoft Teams bot ili Mattermost integracija.  
2. **Webhook slušatelj** – Serverless funkcija koja validira potpise i prosljeđuje payloadove.  
3. **Formatiranje poruka** – Koristite Block Kit (Slack) ili Adaptive Cards (Teams) za interaktivne gumbe.  
4. **Rukovači radnjama** – Implementirajte “Apply Fix” generiranjem PR‑a putem API‑ja Git providera.

### 5.5 Registar dokaza

1. **Definirajte shemu** – Uključuje `event_id`, `timestamp`, `policy_version`, `graph_snapshot_hash`, `llm_prompt`, `llm_response`.  
2. **Zapis u IPFS** – Prikvačite JSON‑LD objekt, pohranite CID u relacijskoj revizijskoj bazi za brzu pretragu.  
3. **Kontrole pristupa** – Koristite JWT‑temeljenu autentifikaciju za ograničavanje čitanja registra na revizore i službenike za usklađenost.

---

## 6. Prevladavanje uobičajenih izazova

| Izazov | Ublažavanje |
|--------|-------------|
| LLM halucinacije – Pogrešno razmišljanje o usklađenosti | Koristite **dvostruku provjeru**: LLM izlaz mora biti validiran protiv determinističkih OPA pravila prije prihvaćanja. |
| Kašnjenje regulatora – Novi standardi se pojavljuju brže od ažuriranja grafa | Implementirajte **RSS/Atom feedove** s regulatornih stranica i **ljudsku kontrolu** za odobravanje promjena grafa unutar 24 h. |
| Performanse u skali – Tisuće buildova dnevno | Implementirajte **edge inference** (npr., NVIDIA Jetson, AWS Graviton) blizu CI runnera; keširajte rezultate pravila za identične artefakte. |
| Privatnost podataka – Osjetljivi isječci koda šalju se LLM‑u | Pokrenite LLM **on‑prem** iza vatrozida; šifrirajte payloadove u prijenosu; izbjegavajte slanje sirovih tajni. |
| Usvajanje od strane korisnika – Timovi mogu ignorirati bot poruke | Pružite **gamificirane ocjene usklađenosti** po developeru i slavimo značke “Compliance Champion” u kanalu. |

---

## 7. Buduća poboljšanja

1. **Proaktivna simulacija pravila** – Prije nego što promjena stigne, asistent može pokrenuti “what‑if” scenarij koristeći digitalni dvojnik okruženja, predviđajući downstream utjecaj na usklađenost.  
2. **Korelacija rizika preko oblaka** – Spojite podatke o sigurnosnom stanju pružatelja oblaka (AWS Security Hub, Azure Defender) u graf znanja za jedinstveno ocjenjivanje rizika.  
3. **Zero‑Trust dijeljenje dokaza** – Iskoristite decentralizirane identifikatore (DIDs) i verificirane vjerodajnice za dijeljenje dokaza usklađenosti s vanjskim revizorima bez otkrivanja internih detalja.  
4. **Samopopravljajući pipeline‑i** – Kombinirajte asistenta s **GitOps**‑om za automatsko vraćanje neusklađenih promjena ili pokretanje feature‑flag preklopnika.  

---

## 8. Početak – 30‑dnevni sprint

| Dan | Cilj |
|-----|------|
| 1‑3 | Sastaviti cross‑funkcionalni tim (DevSecOps, usklađenost, data science). |
| 4‑7 | Implementirati minimalni graf znanja koristeći open‑source parsere regulatora. |
| 8‑12 | Fino podesiti mali LLM (npr., Mistral‑7B) na 100 parova pitanja‑odgovora o usklađenosti. |
| 13‑15 | Implementirati proof‑of‑concept Slack bot koji odgovara na statičku provjeru pravila. |
| 16‑20 | Integrirati OPA pravila i omogućiti botu da odbije neuspjeli PR. |
| 21‑25 | Dodati generiranje dokaza i pohraniti uzorak unosa u registar na IPFS. |
| 26‑30 | Pokrenuti kompletni CI/CD pipeline s botom, prikupiti metrike i iterirati. |

---

## 9. Zaključak

Usklađenost više ne mora biti prepreka koja usporava isporuku. Ugradnjom generativnog AI motora za usklađenost izravno u chat kanale gdje developeri već surađuju, organizacije dobivaju **trenutnu vidljivost**, **akcijske smjernice za otklanjanje** i **dokaze spremne za reviziju** bez žrtvovanja brzine.

---

## Pogledajte također

- [Open Policy Agent (OPA) – Politika kao kod](https://www.openpolicyagent.org/)
- [Neo4j graf baza podataka – Izgradnja grafova znanja](https://neo4j.com/)
- [Microsoft Teams Bot Framework dokumentacija](https://learn.microsoft.com/en-us/microsoftteams/platform/bots/what-are-bots)
- [NIST Cybersecurity Framework – Mapiranje kontrola na kod](https://www.nist.gov/cyberframework)