
# Adaptuojamo dirbtinio intelekto orkestravimo sluoksnis realaus laiko tiekėjo klausimynų generavimui

Tiekėjo klausimynai – nesvarbu, ar tai būtų [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) patvirtinimai, [ISO 27001](https://www.iso.org/standard/27001) įrodymų prašymai, ar individualūs saugumo‑rizikos vertinimai – tapo prastakeliu greitai augančioms SaaS įmonėms. Komandos praleidžia begales valandų kopijuodamos ir įklijuodamos politikos ištraukas, ieškodamos „teisingų“ įrodymų ir rankiniu būdu atnaujindamos atsakymus, kai standartai keičiasi. **Adaptuojamo dirbtinio intelekto orkestravimo sluoksnis (AAOL)** išsprendžia šią problemą, pavertdamas statinę politikos ir įrodymų saugyklą gyvu, savioptimizuojančiu varikliu, galinčiu **suprasti**, **maršrutuoti**, **sintezinti** ir **audituoti** klausimyno atsakymus realiu laiku.

> **Pagrindinis įžad:** Atsakyti į bet kurį tiekėjo klausimyną per kelias sekundes, išlaikyti nekintamą audito taką ir nuolat gerinti atsakymų kokybę per atsiliepimų ciklus.

---

## Turinys
1. [Kodėl tradicinė automatika nepraeina ribų](#kodėl-tradicinė-automatika-nepraeina-ribų)  
2. [AAOL pagrindiniai komponentai](#aaol-pagrindiniai-komponentai)  
   - Ketinimų iškrovimo variklis  
   - Įrodymų žinių grafas  
   - Dinaminis maršrutizavimas ir orkestravimas  
   - Audituojamas generavimas ir atsekamumas  
3. [Kaip AAOL veikia iš pradžios iki pabaigos](#kaip-aaol-veikia-iš-pradžios-iki-pabaigos)  
4. [Mermaid diagrama – orkestravimo srautas](#mermaid-diagrama)  
5. [Įgyvendinimo planas SaaS komandoms](#įgyvendinimo-planas)  
6. [Veikimo rodikliai ir investicijų grąža](#veikimo-rodikliai)  
7. [Geriausios praktikos ir saugumo svarstymai](#geriausios-praktikos)  
8. [Ateities planas: nuo reaktyvaus iki prognozuojamo atitikties užtikrinimo](#ateities-planas)  

---

## Kodėl tradicinė automatika nepraeina ribų {#kodėl-tradicinė-automatika-nepraeina-ribų}

| Problema | Įprastas požiūris | Ribojimas |
|----------|-------------------|-----------|
| **Statiniai šablonai** | Iš anksto paruošti Word/Google Docs dokumentai | Pasenę; reikalauja rankinių atnaujinimų, kai kontrolė pasikeičia |
| **Taisyklėmis pagrįstas susiejimas** | RegExp arba raktažodžių atitikimas | Prastas prisiminimas neaiškių formuluočių atveju; trapus reguliaciniam kalbos pokyčiui |
| **Vienkartinis įrodymų paieškos metodas** | Paieškos pagrindu veikiančios įrodymų užklausos | Nėra kontekstų, pasikartojantys atsakymai, netolygus formatavimas |
| **Nėra mokymosi ciklo** | Rankiniai pataisymų įrašai po faktų | Automatinio tobulinimo nėra; žinių degradacija laikui bėgant |

Pagrindinė problema – **konteksto praradimas**: sistema nesupranta semantinio ketinimo už klausimyno įrašo, taip pat neprisitaiko prie naujų įrodymų ar politikos atnaujinimų be žmogaus įsikišimo.

---

## AAOL pagrindiniai komponentai {#aaol-pagrindiniai-komponentai}

### 1. Ketinimų iškrovimo variklis
- **Technika:** Multi‑modalinis transformer (pvz., **RoBERTa‑XLM‑R**) pritaikytas saugumo klausimyno elementų korpusu.
- **Išvestis:**  
  - *Kontrolės ID* (pvz., `ISO27001:A.12.1`)  
  - *Rizikos kontekstas* (pvz., „duomenų šifravimas perdavimo metu“)  
  - *Atsakymo formatas* (Pasakojimas, kontrolinis sąrašas arba matrica)

### 2. Įrodymų žinių grafas
- **Struktūra:** Mazgai – *politikos nuostatos*, *artefaktų nuorodos* (pvz., į penetration test report), *reguliavimo citatos*. Briaunos – *„palaiko“*, *„prieštarauja“*, *„gautas iš“* santykiai.
- **Saugojimas:** Neo4j su integruota versijavimo sistema, leidžiančia *laiko kelionės užklausas* (kokių įrodymų buvo tam tikrą audito dieną).

### 3. Dinaminis maršrutizavimas ir orkestravimas
- **Orkestratorius:** Lengvas **Argo‑Workflow** kontroleris, kuris komponuoja mikro‑servisus remdamasis ketinimo signalais.
- **Maršrutizavimo sprendimai:**  
  - **Vieno šaltinio atsakymas** → tiesiog paimti iš žinių grafų.  
  - **Kompozicinis atsakymas** → įjungti **Retrieval‑Augmented Generation (RAG)**, kai LLM gauna ištrauktą įrodymų dalį kaip kontekstą.  
  - **Žmogaus įsikišimas** → jei pasitikėjimo lygis < 85 %, maršrutas į atitikties peržiūros specialistą su pasiūlytu juodraščiu.

### 4. Audituojamas generavimas ir atsekamumas
- **Politika kaip kodas:** Atsakymai išvedami kaip **Signed JSON‑LD** objektai, kuriuose įterpiamas SHA‑256 įrodymų ir modelio užklausos hash.
- **Nekintamas žurnalas:** Visi generavimo įvykiai srautinami į tik paskirtį **Kafka** temą, vėliau archyvuojami **AWS Glacier** ilgalaikiam auditui.

---

## Kaip AAOL veikia iš pradžios iki pabaigos {#kaip-aaol-veikia-iš-pradžios-iki-pabaigos}

1. **Klausimyno įkėlimas** – Tiekėjas įkelia PDF/CSV klausimyną; platforma jį išskaito OCR pagalba ir kiekvieną įrašą išsaugo kaip *klausimo įrašą*.
2. **Ketinimo aptikimas** – Ketinimo iškrovimo variklis klasifikuoja įrašą, grąžindamas *kandidatinės kontrolės* rinkinį ir *pasitikėjimo balą*.
3. **Žinių grafo užklausa** – Naudojant kontrolės ID, vykdoma Cypher užklausa, gaunant naujausius įrodymų mazgus, atsižvelgiant į versijavimo apribojimus.
4. **RAG sujungimas (jei reikia)** – Pasakojimo atsakymams RAG pipeline susijungia ištrauktus įrodymus su generatyviu modeliu (pvz., **Claude‑3**). Modelis grąžina juodraštį.
5. **Pasitikėjimo vertinimas** – Pagalbinis klasifikatorius įvertina juodraštį; balai žemiau slenksčio sukelia *peržiūros užduotį*, matomą komandos darbų lentoje.
6. **Pasirašymas ir saugojimas** – Galutinis atsakymas kartu su įrodymų grandine hashų pasirašomas organizacijos privatųju raktu ir saugomas *Atsakymų saugykloje*.
7. **Atsiliepimų ciklas** – Po pateikimo peržiūros atsiliepimai (priimti/atmesti, redaguoti) grąžinami į stiprinimo mokymosi ciklą, atnaujinant tiek ketinimo modelį, tiek RAG paieškos svorius.

---

## Mermaid diagrama – orkestravimo srautas {#mermaid-diagrama}

```mermaid
graph LR
    A["Tiekėjo klausimyno įkėlimas"] --> B["Išskirti ir normalizuoti"]
    B --> C["Ketinimo iškrovimo variklis"]
    C -->|Aukštas pasitikėjimas| D["Grafo įrodymų paieška"]
    C -->|Žemas pasitikėjimas| E["Perkelti į žmogaus peržiūrą"]
    D --> F["RAG generavimas (jei pasakojimas)"]
    F --> G["Pasitikėjimo vertinimas"]
    G -->|Praėjo| H["Pasirašyti ir išsaugoti atsakymą"]
    G -->|Nepraplaukta| E
    E --> H
    H --> I["Audito žurnalas (Kafka)"]
```

*Visi mazgų pavadinimai yra versti.*

---

## Įgyvendinimo planas SaaS komandoms {#įgyvendinimo-planas}

### 1 – Fazė: Duomenų pagrindas
1. **Politikos konsolidavimas** – Eksportuokite visas saugumo politikas, testų ataskaitas ir trečiųjų šalių sertifikatus į struktūruotą JSON schemą.  
2. **Grafų įkėlimas** – Įkelkite JSON į Neo4j naudodami *Policy‑to‑Graph* ETL skriptą.  
3. **Versijavimas** – Kiekvienam mazgui pridėkite `valid_from` / `valid_to` laiko žymas.

### 2 – Fazė: Modelio mokymas
- **Duomenų rinkinio kūrimas:** Rinkti viešus saugumo klausimynus (SOC 2, ISO 27001, CIS Controls) ir juos anotuoti kontrolės ID.  
- **Fine‑tuning:** Naudoti Hugging Face Trainer su *mixed‑precision* konfigūracija AWS p4d instance.  
- **Vertinimas:** Siekti > 90 % F1 ketinimo atpažinime per visų trijų reguliavimo domenų.

### 3 – Fazė: Orkestracijos įdiegimas
- Diegti **Argo‑Workflow** Kubernetes klasteryje.  
- Konfigūruoti **Kafka** temas: `aaol-requests`, `aaol-responses`, `aaol-audit`.  
- Įdiegti **OPA** politikas, reguliuojančias, kas gali patvirtinti žemos pasitikėjimo atsakymus.

### 4 – Fazė: UI/UX integracija
- Integruoti **React** valdiklį į esamą dashboard’ą, kuris rodo *real‑time atsakymo peržiūrą*, pasitikėjimo matuoklį ir mygtuką „*Prašyti peržiūros*“.  
- Pridėti perjungiklį „*Generuoti su paaiškinimu*“, rodantį gautus grafų mazgus kiekvienam atsakymui.

### 5 – Fazė: Stebėjimas ir nuolatinis mokymas
| Rodiklis | Tikslas |
|----------|----------|
| Vidutinis atsakymo laikas (MTTA) | < 30 sekundžių |
| Automatiškai sugeneruotų atsakymų priėmimo rodiklis | > 85 % |
| Audito žurnalo vėlavimas | < 5 sekundžių |
| Modelio „drift“ aptikimas (cosine similarity) | < 0.02 % per mėnesį |

- Naudoti **Prometheus** įspėjimus dėl pasitikėjimo rodiklių regresijos.  
- Skirti savaitinį fine‑tuning darbą, naudojant naujausią peržiūros grįžtamąją informaciją.

---

## Veikimo rodikliai ir investicijų grąža {#veikimo-rodikliai}

| Scenarijus | Tradicinis procesas | AAOL automatizuotas |
|------------|---------------------|---------------------|
| Vidutinis klausimyno dydis (30 įrašų) | 4 valandos (≈ 240 min) | 12 minutės |
| Žmogiškas peržiūros laikas per įrašą | 5 min | 0,8 min (tik kai reikia) |
| Įrodymų paieškos vėlavimas | 2 min per užklausą | < 500 ms |
| Audito paruoštumas | Rankinis Excel žurnalas (klaidų tikimybė) | Nekintamas pasirašytas JSON‑LD (kriptografiškai patikrinamas) |

**Pelnas:** Vidutinio dydžio SaaS įmonė (≈ 150 klausimynų per metus) sutaupė **≈ 600 valandų** atitikties darbo, tai atitinka **≈ 120 000 $** operacinių išlaidų mažinimą, bei pagreitino pardavimų ciklus vidutiniškai **10 dienų**.

---

## Geriausios praktikos ir saugumo svarstymai {#geriausios-praktikos}
1. **Zero‑Trust integracija** – Naudoti mutual TLS tarp orkestratoriaus ir žinių grafo.  
2. **Differential Privacy** – Mokant iš peržiūros pataisų, pridėti triukšmą, kad neatskleistų jautrių politinių sprendimų.  
3. **Rolių prieigos kontrolė (RBAC)** – Pasirašymo teises suteikti tik vyresniems atitikties pareigūnams.  
4. **Periodinis įrodymų patikrinimas** – Kas savaitę paleisti užduotį, kuri perskaičiuoja saugomų artefaktų hash, kad aptiktų galimą manipuliavimą.  
5. **Paaiškinamumas** – Rodyti „*Kodėl šis atsakymas?*“ patarimą, kuriame pateikiami palaikantys grafų mazgai ir LLM užklausos tekstas.

---

## Ateities planas: nuo reaktyvaus iki prognozuojamo atitikties užtikrinimo {#ateities-planas}
- **Prognozuojama reguliavimo prognozė** – Mokyti laiko eigos modelį ant reguliavimo atnaujinimų (pvz., [NIST CSF](https://www.nist.gov/cyberframework) naujienų) ir prognozuoti naujus klausimyno elementus dar prieš juos pasirodant.  
- **Federaciniai žinių grafai** – Leisti partneriams prisidėti anonimizuotais įrodymų mazgais, sukuriant *bendrą atitikties ekosistemą* be konfidencialios informacijos atskleidimo.  
- **Savistabai šablonai** – Kombinuojant stiprinimo mokymą su versijų difų, automatiškai perrašyti klausimyno šablonus, kai kontrolė yra atnaujinama arba nebenaudojama.  
- **Generatyvūs įrodymų sintezės modeliai** – Naudoti difuzijos modelius, kad generuotų redaguotas logų ištraukas (pvz., išvalytas žurnalų fragmentas), kai tikras įrodymas negali būti bendrinamas dėl konfidencialumo.

---

### Baigiamasis mintis
Adaptuojamas dirbtinio intelekto orkestravimo sluoksnis (AAOL) transformuoja atitikties funkciją iš **reaktyvaus spausdinimo butelio** į **strateginį akseleratorių**. Vienodindamas ketinimo aptikimą, žinių grafų pagrįstą įrodymų paiešką ir pasitikėjimo vertinimą viename audituojamame darbo sraute, SaaS įmonės pagaliau gali atsakyti į tiekėjo klausimynus tokia sparta, kokia reikalauja šiuolaikinis verslas, išlaikydamos griežtą audito pasiruošimą.