
# Didelių kalbos modelių derinimas pramonės specifinei saugumo klausimynų automatizacijai

Saugumo klausimynai yra kiekvieno SaaS partnerystės vartai. Nesvarbu, ar fintech įmonė siekia [ISO 27001](https://www.iso.org/standard/27001) sertifikato, ar sveikatos technologijų startuolis privalo įrodyti [HIPAA](https://www.hhs.gov/hipaa/index.html) atitiktį, pagrindiniai klausimai dažnai kartojasi, yra griežtai reguliuojami ir reikalauja daug laiko atsakymams. Tradiciniai „kopijuoti‑ir‑įklijuoti“ metodai įveda žmogaus klaidų, padidina atsako terminą ir apsunkina audituojamos pakeitimų takelio palaikymą.

Ateiname **pritaikytų (fine‑tuned) Didelių Kalbos Modelių (LLM)**. Apmokydami bazinį LLM naudojant organizacijos istorinius klausimynų atsakymus, pramonės standartus ir vidaus politikos dokumentus, komandos gali per kelias sekundes generuoti *pritaikytus*, *tikslūs* ir *auditui parengtus* atsakymus. Šiame straipsnyje nagrinėjami kodėl, ką ir kaip kuriant pritaikytą LLM procesą, kuris susietas su Procurize vieninga atitikties platforma, išlaikant saugumą, paaiškinamumą ir valdymą.

---

## Turinys
1. [Kodėl pritaikymas viršija bendrus LLM](#why-fine-tuning-beats-generic-llms)  
2. [Duomenų pagrindas: kokybiško mokymo korpuso kūrimas](#data-foundations)  
3. [Pritaikymo darbo eiga – nuo neapdorotų dokumentų iki įdiegtos modelio](#pipeline)  
4. [Modelio integravimas į Procurize](#integration)  
5. [Valdymas, paaiškinamumas ir auditingas](#governance)  
6. [Realus grąžos (ROI) rodiklis: svarbūs metrikai](#roi)  
7. [Ateities pasiruošimas su nuolat mokymosi kilpomis](#future)  
8. [Išvada](#conclusion)  

---

<a name="why-fine-tuning-beats-generic-llms"></a>
## 1. Kodėl pritaikymas viršija bendrus LLM

| Aspektas | Bendras LLM (zero‑shot) | Pritaiktas LLM (pramonės specifinis) |
|----------|------------------------|--------------------------------------|
| **Atsakymo tikslumas** | 70‑85 % (priklauso nuo užklausos) | 93‑99 % (apmokytas su tiksliai įmonės politikos formuluotėmis) |
| **Atsakymo nuoseklumas** | Kintamas tarp vykdymų | Determinuotas konkrečiai versijai |
| **Atitikties žodynas** | Ribotas, gali praleisti teisinį terminą | Įterptas pramonės specifinis žodynas |
| **Audito takelis** | Sunku susieti su šaltiniais | Tiesioginė sekamumas iki mokymo ištraukų |
| **Išvada (kaštai)** | Didesni (didelis modelis, daug tokenų) | Mažesni (mažesnis pritaikytas modelis) |

Pritaikymas leidžia modeliui **įsisavinti tikslią įmonės politikų, kontrolės sistemų ir ankstesnių auditų kalbą**. Vietoj to, kad pasikliautume bendru pokalbio stiliaus varikliu, modelis tampa *žinių papildytu* atsakovu, kuris žino:

* Kuri ISO 27001 nuostata atitinka konkretų klausimyno punktą.  
* Kaip organizacija savo „Duomenų klasifikacijos politikoje“ apibrėžia „kritinius duomenis“.  
* Kokio formuluotės „užšifravimas ramybės būsenoje“ pageidaujama, kad patenkintų tiek SOC 2, tiek GDPR reikalavimus.

Tai duoda dramatišką spartesnį ir patikimesnį rezultatą, ypač komandų, kurios turi atsakyti į dešimtis klausimynų per mėnesį.

---

<a name="data-foundations"></a>
## 2. Duomenų pagrindas: kokybiško mokymo korpuso kūrimas

Sėkmingas procesas paprastai susideda iš **keturių etapo rinkimo**:

### 2.1. Šaltinių identifikavimas
* **Istoriniai klausimynų atsakymai** – Eksportuokite CSV/JSON iš Procurize atsakymų saugyklos.  
* **Politikos dokumentai** – PDF, markdown arba Confluence puslapiai dėl SOC 2, [ISO 27001](https://www.iso.org/standard/27001), [HIPAA](https://www.hhs.gov/hipaa/index.html), [PCI‑DSS](https://www.pcisecuritystandards.org/pci_security/), ir kt.  
* **Kontrolės įrodymai** – Ekrano nuotraukos, architektūros diagramos, testų rezultatai.  
* **Teisinės pastabos** – Teisinės komandos anotacijos, paaiškinančios neaiškius formulavimus.

### 2.2. Normalizavimas
* Konvertuokite PDF į gryną tekstą naudojant OCR įrankius (pvz., Tesseract) išsaugodami antraštes.  
* Pašalinkite HTML žymas ir suvienodinkite eilučių pabaigas.  
* Priskirkite kiekvieną klausimyno atsakymą su atitinkamu politikos šaltiniu (pvz., „A5.2 – ISO 27001 A.12.1“).

### 2.3. Anotacija ir praturtinimas
* Žymėkite kiekvieną sakinį **metaduomenimis**: `industry`, `framework`, `confidence_level`.  
* Pridėkite *užklausos‑atsakymo* poras OpenAI‑suderinamam pritaikymo formatui:
  ```json
  {
    "messages": [
      {"role": "system", "content": "Jūs esate atitikties asistentas fintech įmonėje."},
      {"role": "user", "content": "Kaip jūsų organizacija šifruoja duomenis ramybės būsenoje?"},
      {"role": "assistant", "content": "Visos gamybinės duomenų bazės šifruojamos AES‑256‑GCM su raktų keitimu kas 90 dienų, kaip nurodyta Politikoje EN‑001."}
    ]
  }
  ```

### 2.4. Kokybės vartai
* Vykdykite **dubliavimo šalinimo skriptą**, kad pašalintumėte beveik identiškas įrašus.  
* 5 % duomenų imties rankiniu būdu peržiūrėkite: patikrinkite pasenusius nuorodas, rašybos klaidas arba prieštaravimus.  
* Naudokite **BLEU‑tipo** įvertinimą valdymo rinkiniui, kad įsitikintumėte, jog korpusas yra vidutiniškai nuoseklus.

Gautas **strukturizuotas, versijų kontroliuojamas mokymo rinkinys**, saugomas Git‑LFS saugykloje, pasiruošęs pritaikymo darbui.

---

<a name="pipeline"></a>
## 3. Pritaikymo darbo eiga – nuo neapdorotų dokumentų iki įdiegtos modelio

Žemiau – aukšto lygio Mermaid diagrama, apimanti visą procesą. Kiekvienas blokas sukurtas **stebimas CI/CD aplinkoje**, leidžiant atkurti ir atsekamą atitikties ataskaitas.

```mermaid
flowchart TD
    A["Išgauti ir normalizuoti dokumentus"] --> B["Žymėti ir anotavimas (metaduomenys)"]
    B --> C["Skaidyti į užklausos‑atsakymo poras"]
    C --> D["Validuoti ir dubliuoti šalinti"]
    D --> E["Įkelti į mokymo repo (Git‑LFS)"]
    E --> F["CI/CD trigger: Fine‑Tune LLM"]
    F --> G["Modelio registre (versijų valdymas)"]
    G --> H["Automatinė saugumo patikra (užklausų injekcijos)"]
    H --> I["Diegti į Procurize inferencijos servisą"]
    I --> J["Realtime atsakymų generavimas"]
    J --> K["Audito žurnalas ir paaiškinamumo sluoksnis"]
```

### 3.1. Bazinio modelio pasirinkimas
* **Dydis vs. vėlavimas** – Daugumai SaaS įmonių 7 B parametrų modelis (pvz., Llama‑2‑7B) yra optimalus.  
* **Licencijavimas** – Užtikrinkite, kad bazinis modelis leidžia pritaikymą komerciniams tikslams.

### 3.2. Mokymo konfigūracija
| Parametras | Įprasta reikšmė |
|------------|-----------------|
| **Epochs** | 3‑5 (ankstyvas sustabdymas pagal validacijos nuostolius) |
| **Mokymosi greitis** | 2e‑5 |
| **Batch dydis** | 32 (priklauso GPU atminties) |
| **Optimizatorius** | AdamW |
| **Kvantizacija** | 4‑bitų, siekiant sumažinti inferencijos kaštus |

Darbas vykdomas valdomame GPU klasteryje (AWS SageMaker, GCP Vertex AI) su **artefaktų sekimu** (MLflow), kad fiksuotų hiperparametrus ir modelio hash.

### 3.3. Po‑mokymo vertinimas
* **Tikslus atitikimas (Exact Match, EM)** su rezerviniu rinkiniu.  
* **F1 balas** dėl dalinės atitikties (svarbu, kai formuluotės svyruoja).  
* **Atitikties balas** – specialus metrikas, tikrinantis, ar sugeneruotas atsakymas turi reikiamas politikos citatas.

Jei atitikties balas yra mažesnis nei 95 %, įjungiamas **žmogaus peržiūros ciklas** ir mokymas kartojamas su papildomais duomenimis.

---

<a name="integration"></a>
## 4. Modelio integravimas į Procurize

Procurize jau siūlo **klausimynų centrą**, užduočių paskirstymą ir versijų valdymą. Pritaikytas modelis tampa dar viena mikro‑paslauga, kurią galima prijungti prie šios ekosistemos.

| Integracijos taškas | Funkcionalumas |
|---------------------|----------------|
| **Atsakymo pasiūlymo valdiklis** | Klausimynų redaktoriuje mygtukas „Generuoti AI atsakymą“ iškviečia inferencijos endpointą. |
| **Politikos citatų auto‑linkeris** | Modelis grąžina JSON: `{answer: "...", citations: ["EN‑001", "SOC‑2‑A.12"]}`. Procurize rodo kiekvieną citatą kaip spustelimą į dokumentą. |
| **Peržiūros eilė** | Sugeneruoti atsakymai patenka į „Laukiama AI peržiūros“ būseną. Saugumo analitikai gali patvirtinti, redaguoti arba atmesti. Visi veiksmai registruojami. |
| **Audito takelio eksportas** | Eksportuojant klausimyną į paketą, pridedama modelio versijos hash, mokymo duomenų snapshot hash ir **paaiškinamumo ataskaita** (žr. sekciją 5). |

Lengvas **gRPC** arba **REST** aprėptas wrapperis aplink modelį užtikrina horizontalią skalę. Diegimas vyksta Kubernetes su **Istio sidecar** įjungtu, kad būtų privaloma mTLS tarp Procurize ir inferencijos serviso.

---

<a name="governance"></a>
## 5. Valdymas, paaiškinamumas ir auditingas

Pritaikymas įneša naujų atitikties iššūkių. Toliau pateikiamos kontrolės, kad procesas išliktų patikimas:

### 5.1. Paaiškinamumo sluoksnis
* **SHAP** arba **LIME** metodai, rodomi tokenų svarbumą – UI vizualizuojamas kaip paryškintos žodžių spalvos.  
* **Citatų šiltnamio diagrama** – modelis parodo, kurie šaltinio sakiniai labiausiai prisidėjo prie sugeneruoto atsakymo.

### 5.2. Versijų valdymas modelio registre
* Kiekvienas įrašas registre apima: `model_hash`, `training_data_commit`, `hyperparameters`, `evaluation_metrics`.  
* Užklausa „Kuris modelis atsakė į klausimą Q‑42 2025‑09‑15?“ grąžina tikslią modelio versiją.

### 5.3. Užklausų injekcijos apsauga
* Statinė analizė gaunamoms užklausoms blokuoja kenksmingus šablonus (pvz., „Ignoruokite visas politikas“).  
* Priverstiniai **system prompts**, apribojantys modelio elgseną: *„Atsakykite tik naudodami vidines politikas; nekurkite išorinių nuorodų.“*

### 5.4. Duomenų išsaugojimas ir privatumas
* Mokymo duomenys saugomi šifruotame S3 kibire su griežtais IAM leidimais.  
* Prieš įtraukiant bet kokį asmeninį identifikacinį (PII) duomenį, taikoma **diferencijuota privatumo** triukšmo technika.

---

<a name="roi"></a>
## 6. Realus grąžos (ROI) rodiklis: svarbūs metrikai

| KPI | Prieš pritaikymą | Po pritaikymo | Patobulinimas |
|-----|-------------------|---------------|---------------|
| **Vidutinis atsakymo generavimo laikas** | 4 min (rankinis) | 12 sekundžių (AI) | –95 % |
| **Pirmojo bandymo tikslumas (be žmogaus redagavimo)** | 68 % | 92 % | +34 % |
| **Audito išvados** | 3 per ketvirtį | 0,5 per ketvirtį | –83 % |
| **Komandos valandos per ketvirtį** | 250 val. | 45 val. | –82 % |
| **Klausimyno kaina** | $150 | $28 | –81 % |

Pilotinis projektas vidutinės apimties fintech įmonėje parodė **70 % sumažinimą** dėl tiekėjų priėmimo laiko, tiesiogiai pagreitindamas pajamų pripažinimą.

---

<a name="future"></a>
## 7. Ateities pasiruošimas su nuolat mokymosi kilpomis

Reguliavimo aplinka nuolat keičiasi – naujos nuostatos, atnaujinti standartai ir besiformuojančios grėsmių scenarijai. Modelio aktualumui išlaikyti:

1. **Planinis pakartotinis mokymas** – Kiekvieną ketvirtį įtraukiami nauji klausimynų atsakymai ir politikos atnaujinimai.  
2. **Aktyvus mokymasis** – Kai peržiūrėtojas redaguoja AI sugeneruotą atsakymą, redaguota versija naudojama kaip aukštos pasitikėjimo mokymo pavyzdys.  
3. **Koncepcijos nuokrypio (concept drift) aptikimas** – Stebime tokenų įterpimo pasiskirstymo pokyčius; nukreipimas į įspėjimą duomenų komandos.  
4. **Federacinis mokymasis (pasirinktinis)** – Daugiafunkcinių SaaS platformų atveju, kiekvienas klientas gali pritaikyti **lokalinį galvų sluoksnį** nepateikdamas žaliavinių politikos duomenų, išlaikydamas konfidencialumą, bet mokantis iš bendro bazinio modelio.

Taikydami LLM kaip **gyvą atitikties priemonę**, organizacijos išlaiko žingsnį į priekį prieš reguliavimo pokyčius ir išlaiko vieną patikimą šaltinį.

---

<a name="conclusion"></a>
## 8. Išvada

Pritaikytų (fine‑tuned) didelių kalbos modelių mokymas ant pramonės specifinių atitikties korpusų keičia saugumo klausimynus iš spūsčių į **prognozuojamą, audituojamą paslaugą**. Kai šis procesas susiejamas su Procurize bendradarbystės darbo eiga, pasiekiama:

* **Greitis:** Atsakymai per sekundes, o ne dienas.  
* **Tikslumas:** Įmonės politikos kalba, kuri praeina teisinę peržiūrą.  
* **Skaidrumas:** Sekamas citatų takelis ir paaiškinamumo ataskaitos.  
* **Kontrolė:** Valdymo sluoksniai, tenkinantys auditų reikalavimus.

Bet kuri SaaS įmonė, norinti išplėsti savo tiekėjo rizikos programą, gaus matomą ROI įgyvendindama pritaikytą LLM procesą ir paruošdama organizaciją ateities nuolat besikeičiančiam atitikties kraštovaizdžiui.

> **Pasiruošę paleisti savo pritaikytą modelį?** Pradėkite eksportuodami trejų mėnesių klausimynų duomenis iš Procurize ir sekite aukščiau pateiktą duomenų rinkimo kontrolinį sąrašą. Pirmąją iteraciją galima apmokyti per mažiau nei 24 valandas naudojant vidutinį GPU klasterį – jūsų atitikties komanda jums padėkos kitą kartą, kai potencialus klientas paprašys SOC 2 klausimyno atsakymo.

---

## Susiję
- [NIST Special Publication 800‑53 Rev 5: Security and Privacy Controls for Federal Information Systems and Organizations](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final)  
- [„Fine‑Tuning Language Models: A Comprehensive Survey“ – arXiv preprint (2024)](https://arxiv.org/abs/2403.12345)  
- [OpenAI Cookbook: Prompt Design and Fine‑Tuning Best Practices](https://github.com/openai/openai-cookbook)