
# Dinaminis Pokalbinis AI Treneris Realioje Laiko Saugumo Klausimyno Užpildymui

Saugumo klausimynai — [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), ir daugybė tiekėjų‑specifinių formų — yra kiekvieno B2B SaaS sandorio sutikimo vartai. Vis dėlto procesas lieka skausmingai rankinis: komandos ieško politikų, kopijuoja‑ir‑įklijuoja atsakymus, ir praleidžia valandas svarstydamos formuluotes. Rezultatas? Vėluojantys sutarčių pasirašymai, nenuoseklus įrodymas ir paslėpta neatitikties rizika.  

Į šią situaciją atskrenda **Dinaminis Pokalbinis AI Treneris** (DC‑Coach), realiu laiku veikianti pokalbių asistentė, kuri veda respondentus per kiekvieną klausimą, pateikia svarbiausias politikos ištraukas ir tikrina atsakymus pagal audituojamą žinių bazę. Skirtingai nuo statinių atsakymų bibliotekų, DC‑Coach nuolat mokosi iš ankstesnių atsakymų, prisitaiko prie reguliacinių pakeitimų ir bendradarbiauja su esamomis priemonėmis (bilietų valdymo sistemos, dokumentų saugyklos, CI/CD kanalai).  

Šiame straipsnyje nagrinėjame, kodėl pokalbinio AI sluoksnis yra trūkstama grandis klausimynų automatizavimui, išskaidome jo architektūrą, žingsnis po žingsnio įgyvendiname prototipą ir aptariame, kaip mastelio didinti sprendimą visoje įmonėje.

---

## 1. Kodėl Pokalbinis Treneris Yra Svarbus

| Problema | Tradicinis požiūris | Poveikis | AI Trenerio privalumas |
|------------|----------------------|--------|------------------|
| **Konteksto perjungimas** | Atidaroma dokumentas, kopijuojama‑ir‑įklijuojama, grįžtama atgal į klausimyno sąsają | Prarandamas dėmesys, didesnė klaidų tikimybė | Integruotas pokalbis išlieka toje pačioje UI, įrodymas pateikiamas iš karto |
| **Įrodymų fragmentacija** | Įrodymus saugo įvairiuose kataloguose, SharePoint arba el. pašto dėžutėse | Auditoriui sunku rasti įrodymus | Treneris ima iš centralizuoto Žinių Grafo, suteikdamas vieną tikrą šaltinį |
| **Nenuosekli kalba** | Skirtingi autoriai rašo panašius atsakymus skirtingai | Prekinio ženklo ir atitikties sumaištis | Treneris laikosi stiliaus gairių ir reguliavimo terminijos |
| **Reguliacinis nuslydis** | Politikos atnaujinamos rankiniu būdu, retai atspindi atsakymuose | Pasenę arba neatitinkantys atsakymai | Realiojo laiko pakeitimų aptikimas atnaujina žinių bazę, treneris siūlo pataisas |
| **Trūksta audito takelio** | Nėra įrašo, kas ką nusprendė | Sunku įrodyti tinkamą dėmesį | Pokalbio transkripcija suteikia įrodomą sprendimų žurnalą |

Transformuojant statinį formų užpildymo procesą į interaktyvų dialogą, DC‑Coach sumažina vidutinį atsakymo laiką **40‑70 %**, remiantis ankstyvų „Procurize“ klientų pilotų duomenimis.

---

## 2. Pagrindiniai Architektūriniai Komponentai

Žemiau pateikiama aukšto lygio DC‑Coach ekosistemos schema. Diagrama naudoja **Mermaid** sintaksę; dvigubos kabutės mazgų etiketėse – kaip reikalauta.

```mermaid
flowchart TD
    User["User"] -->|Chat UI| Coach["Conversational AI Coach"]
    Coach -->|NLP & Intent Detection| IntentEngine["Intent Engine"]
    IntentEngine -->|Query| KG["Contextual Knowledge Graph"]
    KG -->|Relevant Policy / Evidence| Coach
    Coach -->|Prompt LLM| LLM["Generative LLM"]
    LLM -->|Draft Answer| Coach
    Coach -->|Validation Rules| Validator["Answer Validator"]
    Validator -->|Approve / Flag| Coach
    Coach -->|Persist Transcript| AuditLog["Auditable Log Service"]
    Coach -->|Push Updates| IntegrationHub["Tool Integration Hub"]
    IntegrationHub -->|Ticketing, DMS, CI/CD| ExistingTools["Existing Enterprise Tools"]
```

### 2.1 Pokalbinė UI

* **Web valdiklis** arba **Slack/Microsoft Teams bot** — vartotojo įvesties taškas.
* Palaiko **turtingą multimediją** (failų įkėlimus, įterptus fragmentus), kad vartotojai galėtų greitai dalintis įrodymų medžiaga.

### 2.2 Intencijos Variklis

* Naudoja **sakinių klasifikaciją** (pvz., „Rasti politiką duomenų išlaikymui“) ir **laukelio užpildymą** (atsižvelgia į „duomenų išlaikymo periodas“, „regionas“).
* Sukurtas ant smulkiai pritaikyto transformatoriaus (pvz., **DistilBERT‑Finetune**) siekiant mažo delsimo.

### 2.3 Kontekstualus Žinių Grafas (KG)

* Mazgai – **Politikos**, **Kontrolės**, **Įrodymų Artefaktai**, **Reguliaciniai Reikalavimai**.
* Briaunos – **„apima“**, **„reikalauja“**, **„atnaujino“**.
* Paremta **grafų duomenų baze** (Neo4j, Amazon Neptune) su **semantinėmis įterptinėmis** – ne tik tikslaus atitikimo, bet ir panašumo paieškai.

### 2.4 Generatyvus LLM

* **Retrieval‑augmented generation** (RAG) modelis, gaunantis KG fragmentus kaip kontekstą.
* Generuoja **juodrą atsakymą** pagal organizacijos toną ir stiliaus gairės.

### 2.5 Atsakymo Validavimas

* Taiko **taisyklių patikrinimus** (pvz., „privalo nurodyti politikos ID“) ir **LLM‑pagrindinį faktų tikrinimą**.
* Žymi trūkstamus įrodymus, prieštaravimus arba reguliavimo pažeidimus.

### 2.6 Audituojama Žurnalo Paslauga

* Įrašo visą **pokalbio transkriptą**, **gautų įrodymų ID**, **modelio užklausas** ir **validavimo rezultatus**.
* Leidžia **auditoriams** patikrinti sprendimo priežastis.

### 2.7 Integracijos Hub

* Susieja su **bilietų platformomis (Jira, ServiceNow)** užduočių paskyrimui.
* Sinchronizuoja su **dokumentų valdymo sistemomis (Confluence, SharePoint)** įrodymų versijų sekimui.
* Inicijuoja **CI/CD kanalus**, kai politikos atnaujinimai veikia atsakymų generavimą.

---

## 3. Kaip Sukurti Trenerį: Žingsnis po Žingsnio Vadovas

### 3.1 Duomenų Paruošimas

1. **Surinkite politikų korpusą** – eksportuokite visas saugumo politikas, kontrolės matricas ir auditų ataskaitas į markdown arba PDF.
2. **Išskirkite metaduomenis** – naudokite OCR‑stiprinamą analizatorių, kad kiekvieną dokumentą paženklintumėte `policy_id`, `regulation`, `effective_date`.
3. **Sukurkite KG mazgus** – importuokite metaduomenis į Neo4j, sukurdami mazgus politikoms, kontrolėms ir reguliavimams.
4. **Generuokite įterptines** – apskaičiuokite sakinių įterptines (pvz., **Sentence‑Transformers**) ir saugokite jas kaip vektorines savybes panašumo paieškai.

### 3.2 Intencijos Variklio Mokymas

* **Žymėkite 2 000 pavyzdinių vartotojo išsireiškimų** (pvz., „Koks mūsų slaptažodžių keitimo grafikas?“).
* Prikrautinate lengvą BERT modelį su **CrossEntropyLoss**. Pateikite per **FastAPI** su sub‑100 ms vėlavimu.

### 3.3 RAG Vamzdžio Sukūrimas

1. **Gaukite 5 geriausius KG mazgus** pagal intenciją ir įterptinių panašumą.
2. **Sukurkite Užklausos Šabloną**  

   ```
   Tu esi Acme Corp saugumo asistentas. Naudok pateiktus įrodymų fragmentus atsakymui.
   Klausimas: {user_question}
   Įrodymai:
   {snippet_1}
   {snippet_2}
   ...
   Pateik glaustą atsakymą ir nurodyk politikos ID.
   ```
3. **Generuokite** atsakymą su **OpenAI GPT‑4o** arba savarankiškai talpinamu Llama‑2‑70B su įterpimo įvedimu.

### 3.4 Validacijos Taisyklių Sistema

Apibrėžkite JSON‑pavidalo politiką, pvz.:

```json
{
  "requires_policy_id": true,
  "max_sentence_length": 45,
  "must_include": ["[Policy ID]"]
}
```

Įgyvendinkite **RuleEngine**, kad patikrintų LLM išvestį pagal šias ribas. Giluminėms patikrinimams naudokite **kritiškąmą LLM**, klausiantį „Ar šis atsakymas visiškai atitinka ISO 27001 skirsnį A.12.4?“ ir remkitės pasitikėjimo balais.

### 3.5 UI/UX Integracija

* Naudokite **React** kartu su **Botpress** arba **Microsoft Bot Framework**, kad atvaizduotumėte pokalbio langą.
* Pridėkite **įrodymo peržiūros korteles**, rodančias politikos ištraukas, kai jos yra cituojamos.

### 3.6 Auditas ir Žurnalas

* Įrašykite kiekvieną sąveiką į **pridėtą žurnalą** (pvz., **AWS QLDB**). Įtraukite:
  * `conversation_id`
  * `timestamp`
  * `user_id`
  * `question`
  * `retrieved_node_ids`
  * `generated_answer`
  * `validation_status`
* Pateikite **peržiūrą auditoriams** per paieškos skydelį.

### 3.7 Nuolatinio Mokymosi Ciklas

1. **Žmogaus peržiūra** – saugumo analitikai gali patvirtinti arba redaguoti sugeneruotus atsakymus.
2. **Grįžtamojo ryšio surinkimas** – išsaugokite pataisytą atsakymą kaip naują mokymo pavyzdį.
3. **Periodinis perkvalifikavimas** – kas 2 savaitės atnaujinkite Intencijos Variklį ir švelniai pritaikykite LLM pagal išaugintą duomenų rinkinį.

---

## 4. Geriausios Praktikos ir Dažni Kliūtys

| Sritis | Rekomendacija |
|------|----------------|
| **Užklausų Dizainas** | Laikykite šabloną trumpą, naudokite aiškias citatas ir apribokite ištraukas norint išvengti LLM hallucinacijų. |
| **Saugumas** | Vykdykite LLM inferenciją **VPC izoliuotoje aplinkoje**, neperduokite natūralių politikų tekstų išorės API be šifravimo. |
| **Versijavimas** | Žymėkite kiekvieną politikos mazgą **semantine versija**; validacija turi atmesti atsakymus, remiančius pasenusiomis versijomis. |
| **Vartotojų Įvedimas** | Suteikite interaktyvią mokymų sesiją, kurioje parodyta, kaip prašyti įrodymų ir kaip treneris cituoja politikas. |
| **Stebėsena** | Sekite **atsakymo vėlavimą**, **validavimo nesėkmės dažnį** ir **vartotojų pasitenkinimą (like/dislike)**, kad anksti pastebėtumėte regresijas. |
| **Reguliacinio Pokyčio Valdymas** | Prenumeruokite RSS iš **[NIST CSF](https://www.nist.gov/cyberframework)**, **EU Data Protection Board**, perkelkite įvykius į **pakeitimų aptikimo mikroservisą**, automatiškai žymėkite susijusius KG mazgus ir prašykite trenerio pasiūlyti pataisas. |
| **Paaiškinamumas** | Įdiekite „Kodėl šis atsakymas?“ mygtuką, kuris išplečia LLM loginę analizę ir konkrečius KG fragmentus. |

---

## 5. Realios Poveikio Studija: Mini‑Atvejis

**Įmonė:** SecureFlow (B2B SaaS, Serie C)  
**Problema:** 30+ saugumo klausimynų per mėnesį, vidutiniškai 6 valandos už kiekvieną.  
**Įgyvendinimas:** DC‑Coach diegimas ant Procurize esamos politikų saugyklos, susiejimas su Jira užduočių paskyrimui.  

**Rezultatai (3‑mėnesio pilotas):**

| Rodiklis | Prieš | Po |
|----------|-------|----|
| Vidutinis laikas vienam klausimynui | 6 val. | 1,8 val. |
| Atsakymo nuoseklumo balas (vidinis auditas) | 78 % | 96 % |
| „Trūksta įrodymo“ žymų skaičius | 12 per mėn. | 2 per mėn. |
| Audito takelio pilnumas | 60 % | 100 % |
| Vartotojų pasitenkinimas (NPS) | 28 | 73 |

Treneris taip pat atskleidė 4 politikos spragas, kurios buvo nepastebėtos metų metus, ir paskatino proaktyvų korekcinį veiksmų planą.

---

## 6. Ateities Kryptys

1. **Daugiomedis Įrodymų Paieškos** – teksto, PDF fragmentų ir **vaizdų OCR** (pvz., architektūros diagramos) įtraukti į KG, suteikiant turtingesnį kontekstą.  
2. **Nulinio Šoko Kalbos Plėtros** – leisti atsakymų generavimą keliomis kalbomis naudojant **multilingual LLM**, kad aptarnautų globalius tiekėjus.  
3. **Federaciniai Žinių Grafai** – dalintis anonimizuotais politikos fragmentais tarp partnerių, išlaikant konfidencialumą ir stiprinant kolektyvinį intelektą.  
4. **Prognozuojama Klausimyno Kūrimo** – pasitelkus istorinius duomenis, automatiškai užpildyti naujus klausimynus dar prieš juos gaunant, paverčiant trenerį **proaktyviu atitikties varikliu**.  

---

## 7. Pradžios Patikros Sąrašas

- [ ] Surinkti visas saugumo politikas į paiešką tinkamą saugyklą.  
- [ ] Sukurti kontekstualų KG su versijomis.  
- [ ] Priderinti intencijos detektorių prie klausimynų specifinių užklausų.  
- [ ] Nustatyti RAG vamzdį su atitinkamu LLM (talpinama arba API).  
- [ ] Įgyvendinti validacijos taisykles, suderintas su reguliacine struktūra.  
- [ ] Pasidiegti pokalbių UI ir susieti su Jira/SharePoint.  
- [ ] Įgalinti įrašymą į nemodifikuojamą audito saugyklą.  
- [ ] Paleisti pilotą su viena komanda, surinkti atsiliepimus, iteruoti.  

---

## <span class='highlight-content'>Žiūrėti</span> taip pat

- [NIST Cybersecurity Framework – Oficialus puslapis](https://www.nist.gov/cyberframework)  
- OpenAI Retrieval‑Augmented Generation Gidas (referencinis medžiaga)  
- Neo4j Dokumentacija – Grafinis Duomenų Modeliavimas (referencinis medžiaga)  
- [ISO 27001 Standarto Apžvalga (ISO.org)](https://www.iso.org/standard/54534.html)