
# Dirbtinio Intelekto varomas realaus laiko tiekėjo įgaliojimų patikrinimo variklis saugiam klausimynų automatizavimui  

## Įvadas  

Saugumo klausimynai yra šiuolaikinių B2B SaaS sandorių vartai. Pirkėjai reikalauja įrodymų, kad tiekėjo infrastruktūra, personalas ir procesai atitinka vis didėjantį regulinių ir pramonės standartų rinkinį. Tradiciškai atsakyti į šiuos klausimynus yra rankinis, laiko reikalaujantis procesas: saugumo komandos renka sertifikatus, lygina juos su atitikties struktūromis ir tada kopijuoja bei įklijuoja rezultatus į formą.  

**Dirbtinio Intelekto varomas realaus laiko tiekėjo įgaliojimų patikrinimo variklis** (RCVVE) keičia šį paradigmą. Nuolat įsisavinant tiekėjo įgaliojimų duomenis, praturtinant juos federuotu identiteto grafu ir taikant generatyvų AI sluoksnį, kuris kuria atitinkančius atsakymus, variklis suteikia **momentinius, audituojamus ir patikimus** klausimynų atsakymus. Šiame straipsnyje aptarsime problematiką, RCVVE architektūrinį planą, saugumo priemones, integracijos kelią ir realų verslo poveikį.  

## Kodėl realaus laiko įgaliojimų patikrinimas svarbus  

| Problema | Tradicinis požiūris | Kaina | Realiojo laiko variklio privalumas |
|----------|----------------------|------|-----------------------------------|
| **Pasenę įrodymai** | Ketvirtinių įrodymų momentų saugojimas dokumentų saugyklose. | Praleisti atitikties laikotarpiai, audito išvados. | Nuolatinis rinkimas palaiko įrodymus šviežius iki sekundos. |
| **Rankų koreliacija** | Saugumo analitikai rankiniu būdu susieja sertifikatus su klausimyno elementais. | 10‑20 valandų per klausimyną. | AI varoma susiejimo priemonė sumažina darbo laiką iki mažiau nei 10 minučių. |
| **Audito takelio spragos** | Popieriniai žurnalai arba ad‑hoc skaičiuoklės. | Žemas pasitikėjimas, didelė audito rizika. | Nekintamas registras įrašo kiekvieną patikrinimo įvykį. |
| **Mastelio apribojimai** | Vienkartiniai skaičiuoklės vienam tiekėjui. | Nevaldomas daugiau nei 50 tiekėjų. | Variklis skleidžiamas horizontaliai iki tūkstančių tiekėjų. |

Greitai besikeičiančiose SaaS ekosistemose tiekėjai gali bet kuriuo metu atnaujinti debesų kredencialus, keisti trečiųjų šalių patvirtinimus arba įgyti naujus sertifikatus. Jei patikrinimo variklis gali šiuos pakeitimus iškviesti akimirksniu, saugumo klausimyno atsakymas visada atspindės **dabartinę tiekėjo būseną**, žymiai sumažindamas nesuderinamumo riziką.  

## Architektūrinė apžvalga  

RCVVE susideda iš penkių susijusių sluoksnių:  

1. **Įgaliojimų įsisavinimo sluoksnis** – Saugūs jungikliai atsiima sertifikatus, CSP patvirtinimo žurnalus, IAM politiką ir trečiųjų šalių audito ataskaitas iš tokių šaltinių kaip AWS Artifact, Azure Trust Center ir vidiniai PKI saugyklos.  
2. **Federuotas identiteto grafas** – Grafinė duomenų bazė (Neo4j arba JanusGraph) modeliuoja subjektus (tiekėjus, produktus, debesų paskyras) ir santykius (valdo, pasitiki, paveldi). Grafas yra **federuotas**, tai reiškia, kad kiekvienas partneris gali talpinti savo mazgų potinklius, o variklis užklausia vieningą vaizdą necentralizuodamas žaliavinių duomenų.  
3. **AI įvertinimo ir patikrinimo variklis** – Derinys LLM pagrįsto samprotavimo (pvz., Claude‑3.5) ir Grafinio neuronų tinklo (GNN) vertina kiekvieno įgaliojimo patikimumą, priskiria rizikos įvertinimus ir, kur įmanoma, vykdo nulinio žinių įrodymo (ZKP) patikrinimus.  
4. **Įrodymų registras** – Nekintamas „append‑only“ registras (paremtas Hyperledger Fabric) įrašo kiekvieną patikrinimo įvykį, kriptografinį įrodymą ir AI generuotą atsakymą.  
5. **RAG varomas atsakymų kūrėjas** – Retrieval‑Augmented Generation (RAG) ištrauka svarbiausius įrodymus iš registro ir formatuoja atsakymus, atitinkančius [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/) ir vidines politikos nuostatas.  

Žemiau – „Mermaid“ diagrama, iliustruojanti duomenų srautą.  

```mermaid
graph LR
    subgraph Ingestion
        A["\"Įgaliojimų jungikliai\""]
        B["\"Dokumento AI OCR\""]
    end
    subgraph IdentityGraph
        C["\"Federuotų grafo mazgų\""]
    end
    subgraph Scoring
        D["\"GNN rizikos įvertintojas\""]
        E["\"LLM sprendėjas\""]
        F["\"ZKP patikrinimo modulis\""]
    end
    subgraph Ledger
        G["\"Nekintamas įrodymų registras\""]
    end
    subgraph Composer
        H["\"RAG atsakymų variklis\""]
        I["\"Klausimynų formatuotojas\""]
    end

    A --> B --> C
    C --> D
    D --> E
    E --> F
    F --> G
    G --> H
    H --> I
```  

### Pagrindiniai dizaino principai  

* **Zero‑Trust duomenų prieiga** – Kiekvienas įgaliojimų šaltinis autentifikuojasi naudodamas mutuelinį TLS; variklis niekada nesaugo žaliavinių paslapčių, tik maišines reikšmes ir įrodymo artefaktus.  
* **Privatumo saugojimo skaičiavimas** – Ten, kur tiekėjo politika neleidžia tiesioginės matomumo, ZKP modulis įrodo galiojimą (pvz., „sertifikatas pasirašytas patikimu CA“) neatskleidžiant sertifikato turinio.  
* **Paaiškinamumas** – Kiekvienas atsakymas turi **pasitikėjimo įvertinimą** ir sekamą kilmės grandinę, kurią galima peržiūrėti skydelyje.  
* **Plėtinamumas** – Naujas atitikties standartas gali būti įtrauktas pridėjus **šabloną** RAG sluoksniui; pagrindiniai grafo ir įvertinimo logikos komponentai lieka nepakitę.  

## Pagrindinės komponentės detaliau  

### 1. Įgaliojimų įsisavinimo sluoksnis  

- **Jungikliai**: Paruošti adapteriai AWS Artifact, Azure Trust Center, Google Cloud Compliance Reports ir bendriems S3/Blob API.  
- **Dokumento AI**: Naudoja OCR + objektų išskyrimą, kad PDF, nuskenuotus sertifikatus ir ISO audito ataskaitas paverstų struktūrizuotu JSON.  
- **Įvykių valdymas**: Kafka temos publikuoja *credential‑updated* įvykį, užtikrinant, kad vėlesnie sluoksniai reaguoja per kelias sekundes.  

### 2. Federuotas identiteto grafas  

| Subjektas | Pavyzdys |
|-----------|----------|
| Tiekėjas | `"Acme Corp"` |
| Produktas | `"Acme SaaS Platform"` |
| Debesų paskyra | `"aws‑123456789012"` |
| Įgaliojimas | `"SOC‑2 Type II Atstovavimas"` |

Kraštinės atspindi **nuosavybės**, **paveldėjimo** ir **pasitikėjimo** santykius. Grafą galima užklausti Cypher kalba, kad gautų „Kurių tiekėjo produktų šiuo metu galioja galiojantis [ISO 27001](https://www.iso.org/standard/27001) sertifikatas?“ be dokumentų peržiūros.  

### 3. AI įvertinimo ir patikrinimo variklis  

- **GNN rizikos įvertintojas** analizuoja grafo topologiją: tiekėjas, turintis daug išeinančių pasitikėjimo kraštų, bet mažai įeinančių patvirtinimų, gauna didesnį rizikos įvertinimą.  
- **LLM sprendėjas** (Claude‑3.5 arba GPT‑4o) interpretuoja natūralaus kalbos politikų nuostatas, konvertuodamas jas į grafo apribojimus.  
- **ZKP Patikrinimo modulis** (Bulletproofs įgyvendinimas) patvirtina teiginius, pvz., *„sertifikato galiojimo data yra po šios dienos“*, neatskleidžiant sertifikato turinio.  

Kombinuotas įvertinimas (0‑100) priskiriamas kiekvienam įgaliojimo mazgui ir saugomas registre.  

### 4. Nekintamas įrodymų registras  

Kiekvienas patikrinimo įvykis sukuria registro įrašą:  

```json
{
  "event_id": "e7f9c4d2-9a3b-44e1-8c6f-9a5b8d9c3e01",
  "timestamp": "2026-03-13T14:23:45Z",
  "vendor_id": "vendor-1234",
  "credential_hash": "sha256:abcd1234...",
  "zkp_proof": "base64-encoded-proof",
  "risk_score": 12,
  "ai_explanation": "Certificate issued by NIST‑approved CA, within 30‑day renewal window."
}
```  

Hyperledger Fabric užtikrina, kad įrašai būtų nepakitūs, o kiekvienas įrašas gali būti **pririštas** prie viešo blokų grandinės, siekiant papildomos audito patikimumo.  

### 5. RAG varomas atsakymų kūrėjas  

Įvykiai gaunami klausimyno užklausa:  

1. Klausimas analizė (pvz., *„Ar turite SOC‑2 Type II ataskaitą, apimančią duomenų šifravimą poilsio metu?“*).  
2. Vektorinis panašumo paieškos užklausas registrui, kad būtų surasti naujausi susiję įrodymai.  
3. LLM iškviečiamas su surinktais įrodymais kontekstu, kad sukurtų glaustą, atitinkantį atsakymą.  
4. Pridedamas **provenance blokas** su registro įrašų ID, rizikos įvertinimais ir pasitikėjimo lygiu.  

Galutinis atsakymas pateikiamas JSON arba markdown formatu, paruoštas tiesioginiam įkėlimui arba API naudojimui.  

## Saugumo ir privatumo priemonės  

| Grėsmė | Atsparumas |
|--------|------------|
| Įgaliojimų nutekėjimas | Slaptažodžiai niekada nepalieka šaltinio; saugomi tik maišinės reikšmės ir ZKP teiginiai. |
| Įrodymų klastojimas | Nekintamas registras + skaitmeninis šaltinio sistemos parašas. |
| Modelio iliuzijos | Paieškos patobulintas generavimas priverčia LLM likti pagrįstam patikrintais įrodymais. |
| Tiekėjo duomenų izoliacija | Federuotas grafas leidžia kiekvienam tiekėjui valdyti savo mazgų potinklius, prieinamus per saugius API. |
| Reguliacinė atitiktis | Įmontuotos GDPR‑suderinamos duomenų saugojimo politikos; visi asmeniniai duomenys pseudonimizuojami prieš įsisavinimą. |
| Sertifikatų pasitikėjimo patikrinimas | Naudojamas NIST patvirtintas CA; atitinka plačiau naudojamą [NIST CSF](https://www.nist.gov/cyberframework) tiekimo grandinės saugos gaires. |

## Integracija su Procurize platforma  

Procurize jau siūlo **klausimynų centrą**, kuriame saugumo komandos įkelia ir tvarko šablonus. RCVVE integruoja per tris paprastus kontaktinius taškus:  

1. **Webhook klausytojas** – Procurize siunčia *question‑requested* įvykį į RCVVE galinį tašką.  
2. **Atsakymo grąžinimas** – Variklis atsako generuotu atsakymu ir jo provenancijos JSON.  
3. **Skydelio valdiklis** – Įterpiamas React komponentas, rodantis patikrinimo būseną, pasitikėjimo įvertinimą ir mygtuką „Rodyti registrą“.  

Integracijai reikia **OAuth 2.0 kliento kredencialų** ir bendro **viešo rakto**, skirtų registrų parašų tikrinimui.  

## Verslo poveikis ir ROI  

- **Greitis**: Vidinis atsakymo laikas krenta nuo 48 valandų (rankinis) iki **mažiau nei 5 sekundžių** per klausimą.  
- **Kaštų taupymas**: Analitiko darbo krūvis mažėja **80 %**, tai reiškia ~250 000 USD taupymo per 10 analitikų per metus.  
- **Rizikos sumažinimas**: Realiojo laiko įrodymų šviežumas sumažina audito išvadas apie **≈ 70 %** (pagal ankstyvus naudotojus).  
- **Konkureninis pranašumas**: Tiekėjai gali rodyti **gyvą atitikties balą** savo pasitikėjimo puslapiuose, didindami laimėjimo galimybę apie **12 %**.  

## Įgyvendinimo schema  

1. **Pilotinis etapas**  
   - Pasirinkti 3 dažniausiai naudojamus klausimynus (SOC 2, ISO 27001, GDPR).  
   - Diegti kredencialų jungiklius AWS ir vidiniams PKI.  
   - Patikrinti ZKP srautą su vienu tiekėju.  

2. **Mastelio etapas**  
   - Pridėti jungiklius Azure, GCP ir trečiųjų šalių auditų saugykloms.  
   - Išplėsti federuotą grafiką iki 200+ tiekėjų.  
   - Derinti GNN hiperparametrus naudojant istorinius audito duomenis.  

3. **Gamybos diegimas**  
   - Įjungti RCVVE webhook Procurize platformoje.  
   - Mokyti vidines atitikties komandas naudotis provenancijos skydeliu.  
   - Nustatyti įspėjimus kritiniams rizikos įvertinimams (pvz., > 30 – rankinis peržiūrėjimas).  

4. **Nuolatinis tobulinimas**  
   - Vykdyti **aktyvų mokymą**: pažymėti atsakymus, kurie iššaukia ginčų, ir naudoti juos LLM tobulinimui.  
   - Reguliariai audituoti ZKP įrodymus su išoriniais auditoriais.  
   - Pridėti **politikų kaip kodo** atnaujinimus, kad automatiškai keistų atsakymų šablonus.  

## Ateities kryptys  

- **Kryžinių reguliavimo žinių grafo sujungimas** – sujungti [ISO 27001](https://www.iso.org/standard/27001), [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/) ir [HIPAA](https://www.hhs.gov/hipaa/index.html) mazgus, leidžiant vieną atsakymą, kuris tenkina kelis standartus.  
- **AI generuoti kontrfaktiniai scenarijai** – simuliuoti „Kas būtų, jei“ kredencialų galiojimo pabaiga, kad proaktyviai įspėtų tiekėjus prieš klausimyno terminą.  
- **Kraštinis patikrinimas** – perkelti kredencialų patikrinimą į tiekėjo kraštinę, siekiant sub‑milisekundės atsako SaaS rinkų platformoms.  
- **Federuotas mokymas įvertinimo modeliams** – leisti tiekėjams prisidėti anoniminiais rizikos modelio duomenimis, gerinant GNN tikslumą be duomenų atskleidimo.  

## Išvada  

**Dirbtinio Intelekto varomas realaus laiko tiekėjo įgaliojimų patikrinimo variklis** paverčia saugumo klausimynų automatizavimą iš trukdančio butelio į strateginį pranašumą. Sujungiant federuotus identiteto grafus, nulinio žinių įrodymo patikrinimus ir paieškos patobulintą generavimą, variklis teikia **momentinius, patikimus ir audituojamus** atsakymus, išlaikant tiekėjų privatumą. Įdiegę šią technologiją organizacijos gali pagreitinti sandorių ciklą, sumažinti atitikties riziką ir išsiskirti rinkoje turėdamos gyvą, duomenimis pagrįstą pasitikėjimo poziciją.  

---  

## Susiję šaltiniai  

- [Zero Knowledge Proofs for Secure Data Validation (MIT Press)](https://mitpress.mit.edu/9780262042655/zero-knowledge-proofs/)  
- [Retrieval Augmented Generation: A Survey (arXiv)](https://arxiv.org/abs/2312.02176)  
- Graph Neural Networks for Risk Modeling (IEEE Transactions)  
- [Hyperledger Fabric Documentation](https://hyperledger-fabric.readthedocs.io/)