
# AI Valdomas Realiojo Laiko Įrodymų Priskyrimo Ledgeris Saugiems Tiekėjų Klausimynams

## Įvadas  

Saugumo klausimynai ir atitikties auditai nuolat sukelia trintį SaaS tiekėjams. Komandos praleidžia neribotus valandas ieškodamos tinkamos politikos, įkeldamos PDF failus ir rankiniu būdu susiejant įrodymus. Nors tokių platformų kaip **Procurize** klausimynus jau centralizuoja, išlieka kritinė akla vieta – **kilmė**.  

Kas sukūrė įrodymą? Kada jis paskutinį kartą atnaujintas? Ar pagrindinė kontrolė pasikeitė? Be nekintamos, realaus laiko įrašo auditoriai vis tiek turi prašyti „kilmės įrodymo“, kas sulėtina peržiūros ciklą ir padidina senų arba falsifikuotų dokumentų riziką.  

Ateina **AI‑Valdomas Realiojo Laiko Įrodymų Priskyrimo Ledgeris (RTEAL)** – glaudžiai integruotas, kriptografiškai įtvirtintas žinių grafas, kuris fiksuoja kiekvieną įrodymo sąveiką taip, kaip ji vyksta. Derindamas didelio kalbos modelio (LLM) asistuotą įrodymų išgavimą, grafinio neuroninio tinklo (GNN) kontekstinį susiejimą ir blokų grandinės stiliaus tik pridėjimo žurnalus, RTEAL suteikia:

* **Momentinį priskyrimą** – kiekvienas atsakymas susietas su konkrečiu politikos punktu, versija ir autoriu.  
* **Nekintamą audito taką** – nepakitimo įrodymai užtikrina, kad įrodymai negali būti pakeisti be aptikimo.  
* **Dinaminius galiojimo patikrinimus** – AI stebi politikos nuokrypius ir įspėja savininkus dar prieš atsakymai pasenant.  
* **Sklandžią integraciją** – jungikliai ticketų valdymo įrankiams, CI/CD vamzdynams ir dokumentų saugykloms automatiškai atnaujina ledgerį.  

Šiame straipsnyje apžvelgiamos techninės pagrindai, praktiniai įgyvendinimo žingsniai ir matuojamas verslo poveikis įdiegiant RTEAL šiuolaikinėje atitikties platformoje.

---  

## 1. Architektūrinė apžvalga  

Žemiau pateikiama aukšto lygio Mermaid diagrama, vaizduojanti RTEAL ekosistemą. Diagrama pabrėžia duomenų srautą, AI komponentus ir nekintamą ledgerį.

```mermaid
graph LR
    subgraph "Naudotojo sąveika"
        UI["\"Atitikties UI\""] -->|Pateikti atsakymą| ROUTER["\"AI Maršruto Variklis\""]
    end

    subgraph "AI Branduolys"
        ROUTER -->|Pasirinkti užduotį| EXTRACTOR["\"Dokumento AI Išgautojas\""]
        ROUTER -->|Pasirinkti užduotį| CLASSIFIER["\"Kontrolės Klasifikatorius (GNN)\""]
        EXTRACTOR -->|Išgauti įrodymą| ATTRIB["\"Įrodymo Priskyrėjas\""]
        CLASSIFIER -->|Kontekstinis susiejimas| ATTRIB
    end

    subgraph "Ledgerio sluoksnis"
        ATTRIB -->|Sukurti priskyrimo įrašą| LEDGER["\"Tik Pridėjimo Ledgeris (Merkle Medis)\""]
        LEDGER -->|Integralumo įrodymas| VERIFY["\"Tikrinimo Servisas\""]
    end

    subgraph "Ops integracija"
        LEDGER -->|Įvykio srautas| NOTIFIER["\"Webhook Pranešiklis\""]
        NOTIFIER -->|Paleisti| CI_CD["\"CI/CD Politikų Sinchronizavimas\""]
        NOTIFIER -->|Paleisti| TICKETING["\"Ticketų Sistema\""]
    end

    style UI fill:#f9f,stroke:#333,stroke-width:2px
    style LEDGER fill:#bbf,stroke:#333,stroke-width:2px
    style VERIFY fill:#cfc,stroke:#333,stroke-width:2px
```

**Pagrindinių komponentų paaiškinimai**

| Komponentas | Rolė |
|-------------|------|
| **AI Maršruto Variklis** | Nustato, ar naujam klausimyno atsakymui reikia išgavimo, klasifikacijos ar abiejų, remiantis klausimo tipu ir rizikos balu. |
| **Dokumento AI Išgautojas** | Naudoja OCR + multimodalinį LLM, kad ištraukų tekstą, lenteles ir vaizdus iš politikos dokumentų, sutarčių ir <a href="https://secureframe.com/hub/soc-2/what-is-soc-2">SOC 2</a> ataskaitų. |
| **Kontrolės Klasifikatorius (GNN)** | Susieja išgautus fragmentus su **Kontrolės Žinių Grafu (CKG)**, kuris standartus (<a href="https://www.iso.org/standard/27001">ISO 27001</a>, SOC 2, <a href="https://gdpr.eu/">GDPR</a>) atvaizduoja kaip mazgus ir briaunas. |
| **Įrodymo Priskyrėjas** | Kuria **įrašą**, susietą atsakymas ↔ politikos punktas ↔ versija ↔ autorius ↔ laiko žyma, po to pasirašo jį privatų raktą. |
| **Tik Pridėjimo Ledgeris** | Įrašo saugo Merkle‑medžio struktūroje. Kiekvienas naujas lapas atnaujina šakninį maišą, leidžiant greitus įtraukties įrodymus. |
| **Tikrinimo Servisas** | Suteikia kriptografinį patikrinimą auditoriams, eksponuodamas paprastą API: `GET /proof/{record-id}`. |
| **Ops integracija** | Srautas iš ledgerio į CI/CD vamzdynus automatiniam politikų sinchronizavimui ir į ticketų sistemas dėl remonto įspėjimų. |

---  

## 2. Duomenų modelis – Įrodymo Priskyrimo Įrašas  

**Įrodymo Priskyrimo Įrašas (EAR)** yra JSON objektas, kuris fiksuoja visą atsakymo kilmės informaciją. Schemos tikslas – būti minimaliai svarbiam, kad ledgeris būtų kompaktiškas, bet išlaikytų audituojamumą.

```json
{
  "record_id": "sha256:3f9c8e7d...",
  "question_id": "Q-SEC-0123",
  "answer_hash": "sha256:a1b2c3d4...",
  "evidence": {
    "source_doc_id": "DOC-ISO27001-2023",
    "clause_id": "5.1.2",
    "version": "v2.4",
    "author_id": "USR-456",
    "extraction_method": "multimodalinis-llm",
    "extracted_text_snippet": "Duomenų šifravimas poilsio metu yra privalomas..."
  },
  "timestamp": "2025-11-25T14:32:09Z",
  "signature": "ed25519:7b9c..."
}
```

* `answer_hash` apsaugo atsakymo turinį nuo manipuliacijų, tuo pačiu mažindamas ledgerio dydį.  
* `signature` sugeneruojama naudojant platformos privatų raktą; auditoriai ją patikrina su atitinkamu viešuoju raktu, saugomų **Viešų Raktų Registrų**.  
* `extracted_text_snippet` suteikia žmonėms suprantamą įrodymo fragmentą, naudingą greitam rankiniam patikrinimui.  

Kai politikos dokumentas atnaujinamas, **Kontrolės Žinių Grafo** versija padidėja, ir visiems paveiktiems klausimyno atsakymams sukuriamas naujas EAR. Sistema automatiškai žymi pasenusį įrašą ir pradeda remonto darbo eigą.

---  

## 3. AI‑varoma įrodymų išgavimo ir klasifikacijos sistema  

### 3.1 Multimodalinio LLM išgavimas  

Įprasti OCR sprendimai turi sunkumų su lentelėmis, diagramomis ir kodo fragmentais. RTEAL naudoja **multimodalinį LLM** (pvz., Claude‑3.5‑Sonnet su vizija) kad:

1. Atpažintų išdėstymo elementus (lenteles, sąrašus).  
2. Išgautų struktūruotus duomenis (pvz., „Saugumo laikotarpis: 90 dienų“).  
3. Sugeneruotų glaustą semantinę santrauką, kuri tiesiogiai indeksuojama CKG.  

LLM yra **prompt‑tuned** naudojant kelių šimto pavyzdžių rinkinį, apimantį dažniausiai pasitaikančius atitikties artefaktus, ir pasiekia >92 % F1 balą 3 k politikos skyrių validacijos rinkinyje.

### 3.2 Grafinio neuroninio tinklo kontekstinis susiejimas  

Po išgavimo fragmentas įkoduojamas naudojant **Sentence‑Transformer**, tada tiekiamas **GNN**, veikiančiam ant Kontrolės Žinių Grafo. GNN skaičiuoja kiekvienam kandidatuojančiam klausimo mazgui balą, pasirenkant geriausią atitikmenį. Sistema gauna pranašumą iš:

* **Briaunų dėmesio** – modelis išmoksta, kad „Duomenų šifravimas“ mazgai stipriai susiję su „Prieigos Kontrolės“ mazgais, taip geriau išskiriant dviprasmiškus atvejus.  
* **Kelių šablonų adaptacijos** – kai pridedamas naujas reguliavimo rėmas (pvz., [ES AI Aktas](https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai)), GNN pertreniruojamas tik keliais anotuotais susiejimais ir greitai pasiekia reikiamą aprėptį.  

---  

## 4. Nekintama ledgerio realizacija  

### 4.1 Merkle medžio struktūra  

Kiekvienas EAR tampa Merkle medžio **lapu**. Šakninio maišo (`root_hash`) publikavimas vyksta kas dieną į **nekintamą objektų saugyklą** (pvz., Amazon S3 su Object Lock) ir, jei reikia, anksti į **viešą blokų grandinę** (Ethereum L2) dėl papildomo patikimumo.

* Įtraukties įrodymo dydis: ~200 baitų.  
* Patikrinimo vėlavimas: <10 ms naudojant lengvą tikrinimo mikroservisą.  

### 4.2 Kriptografinis pasirašymas  

Platforma naudoja **Ed25519** rakto porą. Kiekvienas EAR pasirašomas prieš įrašant. Viešasis raktas metai sukasi kasmet pagal **rakto rotacijos politiką**, kuri pati dokumentuojama ledgeryje, užtikrinant forward secrecy.

### 4.3 Audito API  

Auditoriai gali užklausti ledgerį:

```
GET /ledger/records/{record_id}
GET /ledger/proof/{record_id}
GET /ledger/root?date=2025-11-25
```

Atsakymai apima EAR, jo parašą bei Merkle įrodymą, kad įrašas priklauso nurodytam šakninio maišo datumui.

---  

## 5. Integracija su esamais procesais  

| Integracijos taškas | Kaip RTEAL padeda |
|---------------------|-------------------|
| **Ticketų sistemos (Jira, ServiceNow)** | Kai politika atnaujinama, webhook sukuria ticketą, susietą su paveiktais EAR. |
| **CI/CD (GitHub Actions, GitLab CI)** | Susijungus naujam politikos dokumentui, vamzdynas paleidžia išgavimą ir automatiškai atnaujina ledgerį. |
| **Dokumentų saugyklos (SharePoint, Confluence)** | Jungikliai stebi failų atnaujinimus ir siunčia jų naują maišo žymę į ledgerį. |
| **Saugumo peržiūros platformos** | Auditoriai gali įterpti mygtuką „Patikrinti įrodymą“, kuris kviečia tikrinimo API ir suteikia momentinį įrodymą. |

---  

## 6. Verslo poveikis  

Bandomasis projektas su vidutinio dydžio SaaS tiekėju (≈ 250 darbuotojų) per 6‑ mėnesius parodė šiuos rezultatus:

| Matas | Prieš RTEAL | Po RTEAL | Patobulėjimas |
|-------|--------------|----------|----------------|
| Vidutinis klausimyno įvykdymo laikas | 12 d. | 4 d. | **‑66 %** |
| Auditorų „įrodyti kilmę“ užklausų skaičius | 38 per ketvirtį | 5 per ketvirtį | **‑87 %** |
| Politikos nuokrypio įvykiai (senas įrodymas) | 9 per ketvirtį | 1 per ketvirtį | **‑89 %** |
| Atitikties komandos darbuotojų skaičius (FTE) | 5 | 3,5 (40 % sumažėjimas) | **‑30 %** |
| Audito trūkumų sunkumas (vidutinis) | Vidutinis | Žemas | **‑50 %** |

**Investicijų grąža (ROI)** pasiekta per 3 mėnesius, daugiausia dėl sumažinto rankinio darbo ir spartesnės sandorių užbaigimo.

---  

## 7. Įgyvendinimo žingsnių planas  

1. **1 fazė – Pagrindai**  
   * Įdiegti Kontrolės Žinių Grafą pagrindiniams standartams (ISO 27001, SOC 2, GDPR).  
   * Sukurti Merkle‑medžio ledgerio servisą ir raktų valdymą.  

2. **2 fazė – AI įgalinimas**  
   * Apmokyti multimodalinį LLM naudojant vidinę politikos duomenų bazę (≈ 2 TB).  
   * Fine‑tune GNN su žymėta susiejimo duomenų aibė (≈ 5 k porų).  

3. **3 fazė – Integracija**  
   * Sukurti jungiklius esamoms dokumentų saugykloms ir ticketų įrankiams.  
   * Eksponuoti auditorų tikrinimo API.  

4. **4 fazė – Valdymas**  
   * Įsteigti **Kilmės Valdymo Tarybą**, apibrėžiančią išsaugojimo, rotacijos ir prieigos politiką.  
   * Reguliariai atlikti nepriklausomus trečiųjų šalių saugumo auditą ledgerio serviso.  

5. **5 fazė – Nuolatinė tobulinimas**  
   * Įdiegti aktyvaus mokymosi kilpą, kur auditoriai žymi klaidingus teiginius; sistema perketina GNN kas ketvirtį.  
   * Plėsti įrankį naujoms reguliacinėms aplinkoms (pvz., AI Aktas, Duomenų Privatumo By Design).  

---  

## 8. Ateities kryptys  

* **Nulinės žinios įrodymai (ZKP)** – leisti auditoriams patvirtinti įrodymo autentiškumą be tiesioginio duomenų atskleidimo, išlaikant konfidencialumą.  
* **Federaciniai žinių grafai** – kelios įmonės galėtų dalintis anoniminiais politikos struktūros vaizdais, skatindamos pramonės standartų harmonizavimą.  
* **Prognozuojama nuokrypio detección** – laiko eigos modelis prognozuos, kada kontrolė gali pasensti, ir iniciuos preemptinius atnaujinimus dar prieš klausimyno terminą.  

---  

## 9. Išvada  

**AI‑Valdomas Realiojo Laiko Įrodymų Priskyrimo Ledgeris** uždaro kilmės spragą, kuri ilgą laiką trikdė saugumo klausimynų automatizavimą. Kombinuodamas pažangų LLM išgavimą, GNN kontekstinį susiejimą ir kriptografiškai nekintamus žurnalus, organizacijos gauna:

* **Greitį** – atsakymai gaminami ir patvirtinami per kelias minutes.  
* **Pasitikėjimą** – auditoriai gauna nepakitimo įrodymus be rankinių sekimo procesų.  
* **Atitiktį** – nuolat stebimas nuokrypis užtikrina, kad politikos atitiktų nuolat kintančius reglamentus.  

Įdiegus RTEAL, atitikties funkcija tampa ne tik nešliauža, bet ir strategine privalumu, pagreitinant partnerių įjungimą, mažinant veiklos kaštus ir sustiprinant klientų reikalaujamos saugumo postūmį.  

---  

## Susiję tinklaraščiai  

- [Grafiniai neuroniniai tinklai žinių grafų susiejimui – šiuolaikinės tendencijos](https://arxiv.org/abs/2305.01478)