
# Daugi-modalinis DI įrodymų išgavimas saugumo klausimynams

Saugumo klausimynai yra vartų sargai kiekvienam B2B SaaS sandoriui. Tiekėjai prašomi pateikti įrodymus – politikos PDF dokumentus, architektūros diagramas, kodo fragmentus, audito žurnalus ir net skydelių ekrano nuotraukas. Tradiciškai saugumo ir atitikties komandos praleidžia **valandas** peržvelgdamos saugyklas, kopijuodamos failus ir rankiniu būdu priskirdamos juos klausimyno laukams. Rezultatas – spūstis, sulėtina pardavimų ciklus, padidina žmogaus klaidų riziką ir sukuria audito spragas.

**Procurize** jau sukūrė galingą vieningą platformą klausimynų valdymui, užduočių paskirstymui ir DI‑asistatuoto atsakymų generavimui. Kitas žingsnis – **automatizuoti pačios įrodymų rinkimo** procesą. Pasitelkus **daugi-modalinį generatyvinį DI** – modelius, kurie vienoje konvoje supranta tekstą, vaizdus, lenteles ir kodą – organizacijos gali akimirksniu rasti tinkamą artefaktą bet kuriam klausimyno elementui, nepriklausomai nuo formato.

Šiame straipsnyje:

1. Paaiškinsime, kodėl vienos modalumo požiūris (tik tekstiniai LLM) nepakankamas šiuolaikiniams atitikties darbams.  
2. Išsamiai aprašysime daugi-modalinio įrodymų išgavimo variklio architektūrą, sukurtą ant Procurize pagrindo.  
3. Parodysime, kaip mokyti, vertinti ir nuolat gerinti sistemą naudojant **Generatyvinio variklio optimizavimo (GEO)** metodus.  
4. Pateiksime konkretų nuo pradžios iki pabaigos pavyzdį, nuo saugumo klausimo iki automatiškai pridėto įrodymo.  
5. Aptarsime valdymo, saugumo ir audito rūpesčius.  

> **Svarbiausia išvada:** Daugi-modalinis DI paverčia įrodymų paiešką iš rankinio darbo į pakartotiną, audituojamą paslaugą, sumažindamas klausimyno atsakymo laiką iki 80 %, išlaikydamas griežtą atitiktį.

---

## 1. Vieno teksto LLM ribotumas klausimynų darbo srautų kontekste

Daugelis šiandien AI‑valdomos automatizacijos remiasi dideliais kalbos modeliais (LLM), kurie puikiai išlieka **teksto generavime** ir **semantiniame paieškoje**. Jie gali ištraukti politikos punktus, santraukoti audito ataskaitas ir net parengti naratyvinius atsakymus. Tačiau atitikties įrodymai retai būna tik tekstiniai:

| Įrodymo tipas | Įprastas formatas | Sunkumas tekstui‑tik kuriems LLM |
|---------------|--------------------|-----------------------------------|
| **Architektūros diagramos** | PNG, SVG, Visio | Reikalauja vizualinio supratimo |
| **Konfigūracijos failai** | YAML, JSON, Terraform | Struktūruota, bet dažnai lygiavietė |
| **Kodo fragmentai** | Java, Python, Bash | Reikia sintaksės supratimo išgavimo |
| **Skydelių ekrano nuotraukos** | JPEG, PNG | Reikia perskaityti UI elementus, laikų žymas |
| **Lentelės PDF auditų ataskaitose** | PDF, scanned images | Reikalingas OCR + lentelių analizė |

Kai klausimas skamba: *„Pateikite tinklo diagramą, kuri iliustruoja duomenų srautą tarp gamybos ir atsarginės aplinkų“*, teksto‑tik modelis gali tik suteikti aprašymą; jis negali rasti, patvirtinti ar įterpti tikrą vaizdą. Ši spraga verčia vartotojus įsikišti, iš naujo įvedant rankinį darbą, kurio siekiame išvengti.

---

## 2. Daugi-modalinio įrodymų išgavimo variklio architektūra

Žemiau – aukšto lygio diagrama siūlomo variklio, integruoto su Procurize pagrindiniu klausimynų centru.

```mermaid
graph TD
    A["User submits questionnaire item"] --> B["Question classification service"]
    B --> C["Multi‑modal retrieval orchestrator"]
    C --> D["Text vector store (FAISS)"]
    C --> E["Image embedding store (CLIP)"]
    C --> F["Code embedding store (CodeBERT)"]
    D --> G["Semantic match (LLM)"]
    E --> G
    F --> G
    G --> H["Evidence ranking engine"]
    H --> I["Compliance metadata enrichment"]
    I --> J["Auto‑attach to Procurize task"]
    J --> K["Human‑in‑the‑loop verification"]
    K --> L["Audit log entry"]
```

### 2.1 Pagrindinės komponentės

1. **Klausimų klasifikavimo paslauga** – Naudoja smarkiai patobulintą LLM, kad pažymėtų įeinančius klausimyno elementus **įrodymų tipais** (pvz., „tinklo diagrama“, „saugumo politikos PDF“, „Terraform planas“).  
2. **Daugi-modalinis ištraukimo orkestratorius** – Nukreipia užklausą į atitinkamas įterpimo saugyklas pagal klasifikaciją.  
3. **Įterpimo saugyklos**  
   * **Teksto saugykla** – FAISS indeksas sukurtas iš visų politikos dokumentų, audito ataskaitų ir markdown failų.  
   * **Vaizdų saugykla** – CLIP vektoriai sugeneruoti iš visų diagramų, ekrano nuotraukų ir SVG saugomų dokumentų saugykloje.  
   * **Kodo saugykla** – CodeBERT įterpimai visiems šaltinio failams, CI/CD konfigūracijoms ir IaC šablonams.  
4. **Semantinis atitikimo sluoksnis** – Kryžminis transformatorius sujungia užklausos įterpimą su kiekvieno modalumo vektoriais, grąžindamas reitinguojamą kandidatų sąrašą.  
5. **Įrodymų reitingavimo variklis** – Taiko **Generatyvinio variklio optimizavimo** heuristikas: šviežumas, versijų kontrolės būklė, atitikties žymų svarbumas ir LLM pasitikėjimo balas.  
6. **Atitikties metaduomenų praturtinimas** – Prideda SPDX licencijų identifikatorius, audito laiko žymas ir duomenų apsaugos žymas prie kiekvieno artefakto.  
7. **Žmogaus įkilimas (HITL) patikrinimas** – Procurize vartotojo sąsaja rodo top‑3 pasiūlymus; peržiūrėtojas gali patvirtinti, pakeisti arba atmesti.  
8. **Audito įrašo sukūrimas** – Kiekvienas automatinis priskyrimas įrašomas su kriptografine maiša, peržiūrėtojo parašu ir DI pasitikėjimo lygiu, atitinkančiu SOX ir [GDPR](https://gdpr.eu/) reikalavimus.

### 2.2 Duomenų įkrovimo kanalas

1. **Gražintuvas** skenuoja įmonės failų dalis, Git saugyklas, debesų saugyklų kibirus.  
2. **Išankstinis apdorojimas** vykdo OCR ant nuskaitytų PDF (Tesseract), išgauna lenteles (Camelot) ir konvertuoja Visio failus į SVG.  
3. **Įterpiklis** generuoja modalumui specifinius vektorius ir saugo juos kartu su metaduomenimis (failo kelias, versija, savininkas).  
4. **Inkrementinis atnaujinimas** – pakeitimų aptikimo mikroservisas (watchdog) iš naujo įterpia tik modifikuotus artefaktus, palaikydamas vektorinę saugyklą šviežią beveik realiu laiku.

---

## 3. Generatyvinio variklio optimizavimas (GEO) įrodymų paieškoms

**GEO** – tai sisteminis metodas, skirtas derinti visą DI grandinę – ne tik kalbos modelį – kad galutinis KPI (klausimyno atsakymo laikas) pagerėtų, išlaikant atitikties kokybę.

| GEO fazė | Tikslas | Svarbūs rodikliai |
|----------|---------|-------------------|
| **Duomenų kokybė** | Užtikrinti, kad įterpimai atspindėtų naujausią atitikties būseną | % artefaktų atnaujinta < 24 h |
| **Promptų kūrimas** | Formuoti užklausas, kurios nukreiptų modelį į tinkamą modalumą | Pasitikėjimo balas iš ištraukimo |
| **Modelio kalibravimas** | Suderinti pasitikėjimo slenksčius su peržiūrų priėmimo normomis | Klaidingų teigiamų rodiklis < 5 % |
| **Grįžtamojo ryšio ciklas** | Fiksuoti peržiūrų veiksmus, siekiant tobulinti klasifikaciją ir reitingavimą | Vidutinis patvirtinimo laikas (MTTA) |
| **Nuolatinė vertinimas** | Rengti naktinius A/B testus pagal istorinius klausimyno elementus | Atsakymo laiko sumažėjimas |

### 3.1 Promptų pavyzdys daugi-modaliniam ištraukimui

```
[QUESTION] Pateikite naujausią [SOC 2] Type II audito ataskaitą, apimančią duomenų šifravimą poilsio režime.

[CONTEXT] Gaukite PDF dokumentą, kuriame yra atitinkama audito dalis. Grąžinkite dokumento ID, puslapių diapazoną ir trumpą ištrauka.

[MODALITY] text
```

Orkestratorius perskaito `[MODALITY]` žymę ir užklausia tik **teksto saugyklą**, žymiai sumažindamas triukšmą iš vaizdų ar kodo vektorių.

### 3.2 Adaptaciniai slenksčiai

Naudojant **Bayesian Optimization**, sistema automatiškai reguliuoja pasitikėjimo slenkstį kiekvienam modalumui. Kai peržiūrėtojai nuolat patvirtina pasiūlymus, kurių pasitikėjimo balas yra virš 0,78 diagramoms, slenkstis pakyla, sumažindamas nereikalingus patikrinimus. Priešingai, kai kodo fragmentai gauna daug atmetimų, slenkstis sumažėja, kad būtų generuojama daugiau kandidatų.

---

## 4. Pavyzdys nuo pradžios iki pabaigos: nuo klausimo iki automatiškai pridėto įrodymo

### 4.1 Klausimas

> *„Prisegkite diagramą, kuri rodo klientų duomenų srautą nuo įkėlimo iki saugojimo, įskaitant šifravimo taškus.“*

### 4.2 Žingsnis po žingsnio srautas

| Žingsnis | Veiksmas | Rezultatas |
|---------|----------|------------|
| 1 | Vartotojas sukuria naują klausimyno elementą Procurize. | Elemento ID `Q‑2025‑1123`. |
| 2 | Klasifikavimo paslauga pažymi užklausą kaip `įrodymo tipas: tinklo diagrama`. | Modalumas = **vaizdas**. |
| 3 | Orkestratorius siunčia užklausą į CLIP vaizdų saugyklą. | Gauti 12 kandidatų vektorių. |
| 4 | Semantinis atitikimo sluoksnis apskaičiuoja kosinusinį panašumą tarp užklausos įterpimo ir kiekvieno vektoriaus. | Top‑3 balai: 0,92, 0,88, 0,85. |
| 5 | Reitingavimo variklis vertina šviežumą (paskutinį kartą modifikuota prieš 2 dienas) ir atitikties žymas (turi “šifravimas”). | Galutinis reitingas: diagrama `arch‑data‑flow‑v3.svg`. |
| 6 | HITL vartotojo sąsaja rodo diagramą su peržiūra, metaduomenimis (autorius, versija, maiša). | Peržiūrėtojas spusteli **Patvirtinti**. |
| 7 | Sistema automatiškai priskiria diagramą `Q‑2025‑1123` ir įrašo audito įrašą. | Audito logas rodo DI pasitikėjimą 0,91, peržiūrėtojo parašą, laiko žymą. |
| 8 | Atsakymo generavimo modulis sukuria naratyvą, nurodantį diagramą. | Baigtas atsakymas pasiruošęs eksportavimui. |

Bendra praleista trukmė nuo žingsnio 1 iki žingsnio 8 – **≈ 45 sekundės**, o tradicinis procesas paprastai trunka **15–20 minučių**.

---

## 5. Valdymas, saugumas ir audito takas

Automatizuojant įrodymų tvarkymą kyla teisėti rūpesčiai:

1. **Duomenų nutekėjimas** – Įterpimo paslaugos turi veikti **zero‑trust VPC** su griežtomis IAM rolėmis. Jokie įterpimai nepalieka korporacijos tinklo.  
2. **Versijų kontrolė** – Kiekvienas artefaktas saugomas su **Git commit maiša** (arba saugyklos objekto versija). Jei dokumentas atnaujinamas, variklis anuliuoja senus įterpimus.  
3. **Paaiškinamumas** – Reitingavimo variklis įrašo panašumo balus ir prompting grandinę, leidžiančią atitikties specialistams stebėti, *kodėl* pasirinktas konkretus failas.  
4. **Reguliavimo suderinamumas** – Pridedant SPDX licencijų identifikatorių ir [GDPR](https://gdpr.eu/) apdorojimo kategorijas prie kiekvieno artefakto, sprendimas tenkina įrodymų kilmės reikalavimus [ISO 27001](https://www.iso.org/standard/27001) priedui A.  
5. **Saugumo apribojimo politika** – Automatinės išvalymo užduotys valymo įterpimus dokumentams, senesniems nei įmonės duomenų laikymo langas, užtikrina, kad pasenę įrodymai nebus išsaugoti.

---

## 6. Ateities kryptys

### 6.1 Daugi-modalinis paieškos kaip paslauga (RaaS)

Pasiūlyti ištraukimo orkestratorių per **GraphQL API**, kad kitos vidinės įrankiai (pvz., CI/CD atitikties patikrinimai) galėtų užklausti įrodymų be pilnos klausimyno UI.

### 6.2 Real‑time reguliavimo radaro integracija

Sujungti daugi-modalinį variklį su Procurize **Reguliavimo radaru**. Kai aptinkama nauja reglamentinė nuostata, automatiškai perskirstomi paveikti klausimai ir iš naujo paleidžiamas įrodymų paieškos procesas, garantuojantis, kad įkelti artefaktai visada atitiktų naujausius reikalavimus.

### 6.3 Federacinis mokymasis tarp įmonių

Pasitelkiant **federacinį mokymą**, keli SaaS tiekėjai gali dalintis anonimizuotais įterpimo atnaujinimais, gerinant ištraukimo kokybę, neišskleidžiant konfidencialios informacijos.

---

## 7. Išvada

Saugumo klausimynai išliks esminiu tiekėjų rizikos valdymo elementu, tačiau rankinis įrodymų rinkimas tampa vis nepakolingu. Pasinaudojus **daugi-modaliniu DI** – teksto, vaizdų ir kodo deriniu – įrodymų išgavimas tampa automatizuota, audituojama paslauga. Naudojant **Generatyvinio variklio optimizavimą**, sistema nuolat tobulėja, suderinant DI pasitikėjimo lygį su auditorijų lūkesčiais ir reguliavimo reikalavimais.

Tai **žymiai pagreitina klausimynų atsakymo laiką**, sumažina žmogaus klaidų riziką ir sustiprina auditorijos taką – leidžiant saugumo, teisinių ir pardavimų komandų dėmesį skirti strateginiam rizikos valdymui, o ne rankiniam dokumentų ieškojimui.

---

## Žiūrėkite taip pat

- [Daugi-modalinis paieškos metodas su CLIP ir FAISS – Siekiant mastelio vertės įmonės paieškos](https://arxiv.org/abs/2103.00020)  
- [Generatyvinio variklio optimizavimas: Sistema nuolatiniam DI tobulinimui](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Zero‑Trust architektūra DI varomoms atitikties platformoms](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 priedas A – Įrodymų valdymo reikalavimai](https://www.iso.org/standard/73906.html)