# Orkestriranje višemodelnih AI cjevovoda za cjelovitu automatizaciju sigurnosnih upitnika

## Uvod

Moderni SaaS ekosustav temelji se na povjerenju. Potencijalni kupci, partneri i revizori neprestano zatrpavaju dobavljače sigurnosnim i usklađenim upitnicima—[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001) (poznat i kao [ISO/IEC 27001 Upravljanje informacijskom sigurnošću](https://www.iso.org/isoiec-27001-information-security.html)), [GDPR](https://gdpr.eu/), C5 i sve veći popis industrijskih procjena.  
Jedan upitnik može sadržavati više od **150 pitanja**, a svako zahtijeva specifične dokaze iz spremišta politika, sustava za praćenje i logova dobavljača oblaka.  

Tradicionalni ručni procesi pate od tri kronična problema:

| Bolna točka | Utjecaj | Tipični ručni trošak |
|------------|--------|----------------------|
| **Fragmentirano spremište dokaza** | Informacije su raspršene kroz Confluence, SharePoint i alate za ticketiranje | 4‑6 sati po upitniku |
| **Nedosljedno oblikovanje odgovora** | Različiti timovi pišu različite odgovore za iste kontrole | 2‑3 sata revizije |
| **Regulatorna zastarjelost** | Politike se mijenjaju, ali upitnici i dalje koriste stare izjave | Praznine u usklađenosti, revizijski nalazi |

Dolazi **višemodelna AI orkestracija**. Umjesto da se oslanja na jedan veliki jezični model (LLM) koji „radi sve“, cjevovod može kombinirati:

1. **Modeli za ekstrakciju na razini dokumenta** (OCR, strukturirani parseri) za pronalaženje relevantnih dokaza.  
2. **Ugrađeni grafovi znanja** koji hvataju odnose između politika, kontrola i artefakata.  
3. **Domenski fino podešeni LLM‑ovi** koji generiraju odgovor u prirodnom jeziku na temelju dohvaćenog konteksta.  
4. **Validacijski motori** (pravila ili klasifikatori malog opsega) koji provjeravaju format, potpunost i usklađenost.

Rezultat je **cjelovit, auditabilan, kontinuirano poboljšavajući se sustav** koji smanjuje vrijeme obrade upitnika s tjedana na minute uz povećanje točnosti odgovora za **30‑45 %**.

> **TL;DR:** Višemodelni AI cjevovod povezuje specijalizirane AI komponente, čineći automatizaciju sigurnosnih upitnika brzom, pouzdanom i budućnosti otpornoj.

---

## Jezgra arhitekture

Ispod je visokorazinski prikaz toka orkestracije. Svaki blok predstavlja zasebnu AI uslugu koju je moguće zamijeniti, verzionirati ili skalirati neovisno.

```mermaid
flowchart TD
    A["\"Dolazni upitnik\""] --> B["\"Pred‑obrada i klasifikacija pitanja\""]
    B --> C["\"Mehanizam za dohvat dokaza\""]
    C --> D["\"Kontekstualni graf znanja\""]
    D --> E["\"Generator odgovora LLM\""]
    E --> F["\"Sloj provjere i usklađenosti politika\""]
    F --> G["\"Ljudska revizija i povratna petlja\""]
    G --> H["\"Finalni paket odgovora\""]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style H fill:#9f9,stroke:#333,stroke-width:2px
```

### 1. Pred‑obrada i klasifikacija pitanja

* **Cilj:** Pretvoriti sirove PDF‑ove ili web obrasce upitnika u strukturirani JSON payload.  
* **Modeli:**  
  * **OCR svjestan izgleda** (npr. Microsoft LayoutLM) za tabularna pitanja.  
  * **Višelabelni klasifikator** koji svako pitanje označava odgovarajućim kontrolnim obiteljima (npr. *Upravljanje pristupom*, *Šifriranje podataka*).  
* **Izlaz:** `{ "question_id": "Q12", "text": "...", "tags": ["encryption","data‑at‑rest"] }`

### 2. Mehanizam za dohvat dokaza

* **Cilj:** Povući najnovije artefakte koji zadovoljavaju svaku oznaku.  
* **Tehnike:**  
  * **Vektorsko pretraživanje** preko ugrađenih prikaza politika, revizijskih izvješća i logova (FAISS, Milvus).  
  * **Filtri metapodataka** (datum, okruženje, autor) kako bi se poštovala rezidencijalnost podataka i pravila zadržavanja.  
* **Rezultat:** Popis kandidata dokaza s ocjenama povjerenja.

### 3. Kontekstualni graf znanja

* **Cilj:** Obogatiti dokaze odnosima — *koja politika odnosi se na koju kontrolu*, *koja verzija proizvoda generirala log*, itd.  
* **Implementacija:**  
  * **Neo4j** ili **Amazon Neptune** pohranjuju trokutove poput `(:Policy)-[:COVERS]->(:Control)`.  
  * **Ugrađeni grafovi neuronskih mreža (GNN)** za otkrivanje neizravnih veza (npr. *proces revizije koda* koji zadovoljava kontrolu *sigurnog razvoja*).  
* **Korist:** Donji LLM prima **strukturirani kontekst** umjesto plosnog popisa dokumenata.

### 4. Generator odgovora LLM

* **Cilj:** Proizvesti kratak, usklađen odgovor.  
* **Pristup:**  
  * **Hibridno prompting** – sustavni prompt definira ton (“formalno, prema kupcu”), a korisnički prompt ubacuje dohvaćene dokaze i činjenice iz grafa.  
  * **Fino podešen LLM** (npr. OpenAI GPT‑4o ili Anthropic Claude 3.5) na internom korpusu odobrenih odgovora upitnika.  
* **Primjer prompta:**
  ```
  System: Vi ste pisac za usklađenost. Navedite odgovor od 150 riječi.
  User: Odgovorite na sljedeće pitanje koristeći isključivo dolje navedene dokaze.
  Question: "Opširno opišite kako je podaci u mirovanju šifrirani."
  Evidence: [...]
  ```
* **Izlaz:** JSON s `answer_text`, `source_refs` i **mapom atribucije po tokenu** radi auditabilnosti.

### 5. Sloj provjere i usklađenosti politika

* **Cilj:** Osigurati da generirani odgovori poštuju interne politike (npr. da ne otkrivaju povjerljive IP) i vanjske standarde (npr. ISO formulaciju).  
* **Metode:**  
  * **Engine pravila** (OPA — Open Policy Agent) s politikama napisanima u Rego‑u.  
  * **Klasifikacijski model** koji označava zabranjene fraze ili nedostatak obveznih odlomaka.  
* **Povratna informacija:** Ako se otkriju prekršaji, cjevovod se vraća LLM‑u s korektivnim promptom.

### 6. Ljudska revizija i povratna petlja

* **Cilj:** Spojiti brzinu AI‑ja s ekspertizom stručnjaka.  
* **Sučelje:** Inline sučelje za reviziju (poput komentarskih nitova u Procurize) koje ističe reference, omogućuje SME‑ovima odobravanje ili uređivanje i bilježi odluku.  
* **Učenje:** Odobreni popravci pohranjuju se u **skup podataka za učenje pojačanim metodama** kako bi se LLM fino podesio na stvarne korekcije.

### 7. Finalni paket odgovora

* **Isporuke:**  
  * **PDF odgovora** s umetnutim poveznicama na dokaze.  
  * **Strojno čitljiv JSON** za integraciju s ticketiranjem ili SaaS nabavnim alatima.  
  * **Audit log** koji bilježi vremenske oznake, verzije modela i ljudske akcije.

---

## Zašto višemodelni pristup nadmašuje jedinstveni LLM

| Aspekt | Jedinstveni LLM (Sve‑u‑jednom) | Višemodelni cjevovod |
|--------|-------------------------------|----------------------|
| **Dohvat dokaza** | Oslanja se na pretragu putem prompta; sklon halucinacijama | Determinističko vektorsko pretraživanje + graf kontekst |
| **Točnost po kontroli** | Generičko znanje dovodi do nejasnih odgovora | Oznake klasifikatora jamče relevantne dokaze |
| **Auditabilnost** | Teško je pratiti izvorne fragmente | Izričiti ID‑ovi izvora i mape atribucije |
| **Skalabilnost** | Veličina modela ograničava paralelne zahtjeve | Pojedinačne usluge mogu se autoskalirati neovisno |
| **Ažuriranja propisa** | Potreban je kompletan retrening modela | Ažuriranje grafova znanja ili indeksa dohvaćanja je dovoljna |

---

## Plan implementacije za SaaS dobavljače

1. **Postavka podatkovnog jezera**  
   * Konsolidirajte sve PDF‑ove politika, audit logove i konfiguracijske datoteke u S3 (ili Azure Blob).  
   * Pokrenite **ETL posao** svake noći koji izvlači tekst, generira ugrađene prikaze (OpenAI `text‑embedding‑3‑large`) i učitava ih u vektorsku bazu podataka.

2. **Izgradnja grafa**  
   * Definirajte shemu (`Policy`, `Control`, `Artifact`, `Product`).  
   * Izvršite **semantičko mapiranje** koje parsira odjeljke politika i automatski stvara odnose (spaCy + pravila).

3. **Odabir modela**  
   * **OCR / LayoutLM:** Azure Form Recognizer (kosto‑efikasno).  
   * **Klasifikator:** DistilBERT fino podešen na ~5 k anotiranih pitanja upitnika.  
   * **LLM:** OpenAI `gpt‑4o‑mini` kao osnovu; nadogradnja na `gpt‑4o` za ključne klijente.

4. **Sloj orkestracije**  
   * Deploy **Temporal.io** ili **AWS Step Functions** za koordinaciju koraka, s mehanizmom retry i kompenzacije.  
   * Pohranjujte izlaz svakog koraka u DynamoDB za brzi downstream pristup.

5. **Sigurnosne kontrole**  
   * **Zero‑trust networking:** Autentikacija usluga pomoću mTLS.  
   * **Rezidencijalnost podataka:** Usmjerite dohvat dokaza na regionalne vektorske pohranitelje.  
   * **Audit tragovi:** Pišite nepromjenjive zapise u blockchain‑temeljen ledger (npr. Hyperledger Fabric) za regulirane industrije.

6. **Integracija povratnih informacija**  
   * Bilježite recenzijske izmjene u **GitOps‑stil repozitoriju** (`answers/approved/`).  
   * Pokrenite noćni **RLHF (Reinforcement Learning from Human Feedback)** posao koji osvježava model nagradnom funkcijom.

---

## Stvarne prednosti: Brojevi koji su važni

| Metrika | Prije višemodelnog (ručno) | Nakon uvođenja |
|--------|----------------------------|----------------|
| **Prosječno vrijeme obrade** | 10‑14 dana | 3‑5 sati |
| **Točnost odgovora (interni audit)** | 78 % | 94 % |
| **Vrijeme ljudske revizije** | 4 sata po upitniku | 45 minuta |
| **Incidenti regulatorne zastarjelosti** | 5 po kvartalu | 0‑1 po kvartalu |
| **Trošak po upitniku** | $1 200 (konsultantski sati) | $250 (cloud računi + operacije) |

*Sažetak studije slučaja* – Srednje‑velika SaaS tvrtka smanjila je vrijeme ocjene rizika dobavljača za **78 %** nakon uvođenja višemodelnog cjevovoda, što je omogućilo dvostruko brže zaključenje poslova.

---

## Budući razvoj

### 1. Samopopravljajući cjevovodi  
   * Automatski otkrivaju nedostajuće dokaze (npr. novu ISO kontrolu) i pokreću **čarobnjak za izradu politika** koji predlaže draftove dokumenata.

### 2. Grafovi znanja među organizacijama  
   * Federativni grafovi koji dijele anonimizirane mape kontrola među konzorcijima, poboljšavajući otkrivanje dokaza bez otkrivanja vlasničkih informacija.

### 3. Generativna sinteza dokaza  
   * LLM‑i koji ne samo da pišu odgovore, već i **generiraju sintetičke dokaze** (npr. mock logove) za interne vježbe, čuvajući povjerljivost.

### 4. Moduli za predviđanje regulative  
   * Kombiniraju velike jezične modele s **analizom trendova** regulatornih publikacija (EU AI Act, US Executive Orders) kako bi proaktivno ažurirali oznake pitanja i mape kontrola.

---

## Zaključak

Orkestriranje skupa specijaliziranih AI modela—**ekstrakcija, grafičko zaključivanje, generiranje i validacija**—stvara robustan, auditabilan cjevovod koji pretvara mukotrpan i pogreškama podložan proces sigurnosnih upitnika u brz, podatkovno‑vođen radni tok. Modulom svakog kapaciteta tvrtke dobivaju fleksibilnost, povjerenje u usklađenost i konkurentsku prednost na tržištu gdje su **brzina i povjerenje presudni**.

---

## Pogledajte također

- [Microsoft Research – “LayoutLM: Pre‑training for Document Image Understanding”](https://arxiv.org/abs/2004.14712)  
- [OPA – “Policy‑as‑Code with Rego”](https://www.openpolicyagent.org/docs/latest/policy-language/)