
# Jurulatih AI Perbualan untuk Penyelesaian Soalan Selidik Keselamatan Masa‑Nyata

*Dalam dunia SaaS yang bergerak pantas, soalan selidik keselamatan boleh menghalang perjanjian selama minggu-minggu. Bayangkan seorang rakan sekerja menanyakan soalan ringkas—“Adakah kami menyulitkan data ketika rehat?”—dan menerima jawapan tepat yang disokong polisi secara serta‑merta, terus dalam antara muka UI soal selidik. Inilah janji **Jurulatih AI Perbualan** yang dibina di atas Procurize.*

---  

## Mengapa Jurulatih Perbualan Penting  

| Isu Kesakitan | Pendekatan Tradisional | Kesan Jurulatih AI |
|---------------|------------------------|--------------------|
| **Silos pengetahuan** | Jawapan bergantung pada ingatan beberapa pakar keselamatan. | Pengetahuan polisi yang berpusat dipanggil mengikut permintaan. |
| **Kelewatan respons** | Pasukan menghabiskan jam mencari bukti, menyiapkan balasan. | Cadangan hampir serta‑merta mengurangkan masa tindak balas dari hari ke minit. |
| **Bahasa tidak konsisten** | Pengarang yang berbeza menulis jawapan dengan nada yang berubah‑ubah. | Templat bahasa berpanduan memastikan nada yang konsisten dengan jenama. |
| **Penurunan pematuhan** | Polisi berubah, tetapi jawapan soal selidik menjadi ketinggalan. | Pencarian polisi masa‑nyata memastikan jawapan sentiasa mencerminkan piawaian terkini. |

Jurulatih tidak hanya memaparkan dokumen; ia *berbual* dengan pengguna, menjelaskan niat, dan menyesuaikan jawapan mengikut kerangka peraturan spesifik ([SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2), [ISO 27001](https://www.iso.org/standard/27001), [GDPR](https://gdpr.eu/), dll.).

---  

## Senibina Teras  

Berikut ialah pandangan aras‑tinggi tentang tumpukan Jurulatih AI Perbualan. Diagram ini menggunakan sintaks **Mermaid**, yang dipaparkan bersih dalam Hugo.

```mermaid
flowchart TD
    A["User Interface (Questionnaire Form)"] --> B["Conversation Layer (WebSocket / REST)"]
    B --> C["Prompt Orchestrator"]
    C --> D["Retrieval‑Augmented Generation Engine"]
    D --> E["Policy Knowledge Base"]
    D --> F["Evidence Store (Document AI Index)"]
    C --> G["Contextual Validation Module"]
    G --> H["Audit Log & Explainability Dashboard"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style B fill:#bbf,stroke:#333,stroke-width:2px
    style C fill:#bfb,stroke:#333,stroke-width:2px
    style D fill:#ff9,stroke:#333,stroke-width:2px
    style E fill:#9ff,stroke:#333,stroke-width:2px
    style F fill:#9f9,stroke:#333,stroke-width:2px
    style G fill:#f99,stroke:#333,stroke-width:2px
    style H fill:#ccc,stroke:#333,stroke-width:2px
```

**Komponen Utama**

1. **Lapisan Perbualan** – Menubuhkan saluran latensi rendah (WebSocket) supaya jurulatih dapat memberi respons serta‑merta semasa pengguna menaip.  
2. **Orkestrator Prompt** – Menjana rantaian prompt yang menggabungkan pertanyaan pengguna, klausa peraturan yang relevan, serta konteks soal selidik terdahulu.  
3. **Enjin RAG** – Menggunakan Retrieval‑Augmented Generation (RAG) untuk mengambil serpihan polisi dan bukti yang paling relevan, kemudian menyuntiknya ke dalam konteks LLM.  
4. **Pangkalan Pengetahuan Polisi** – Kedai data berstruktur graf yang menyimpan polisi‑as‑code, setiap nod mewakili kawalan, versinya, dan pemetaan ke kerangka kerja.  
5. **Stor Bukti** – Dikuasakan oleh Document AI, ia menandakan PDF, tangkapan skrin, dan fail konfigurasi dengan embedding untuk carian kemiripan pantas.  
6. **Modul Pengesahan Kontekstual** – Menjalankan pemeriksaan berasaskan peraturan (contoh, “Adakah jawapan menyebut algoritma penyulitan?”) dan menandakan kekurangan sebelum pengguna menghantar.  
7. **Log Audit & Papan Pemuka Kebolehjelasan** – Merekod setiap cadangan, dokumen sumber, dan skor keyakinan untuk auditor pematuhan.

---  

## Prompt Chaining dalam Tindakan  

Interaksi tipikal mengikuti tiga langkah logik:

1. **Pengekstrakan Niat** – *“Do we encrypt data at rest for our PostgreSQL clusters?”*  
   Prompt:  
   ```
   Kenal pasti kawalan keselamatan yang ditanya serta teknologi sasaran.
   ```

2. **Pengambilan Polisi** – Orkestrator mengambil klausa “Encryption in Transit and at Rest” SOC 2 dan sebarang polisi dalaman yang berlaku kepada PostgreSQL.  
   Prompt:  
   ```
   Ringkaskan polisi terkini untuk enkripsi data ketika rehat bagi PostgreSQL, dengan menyertakan ID polisi tepat dan versi.
   ```

3. **Penjanaan Jawapan** – LLM menggabungkan ringkasan polisi dengan bukti (contoh fail konfigurasi enkripsi‑at‑rest) dan menghasilkan jawapan ringkas.  
   Prompt:  
   ```
   Sediakan jawapan 2 ayat yang mengesahkan enkripsi ketika rehat, merujuk ID polisi POL‑DB‑001 (v3.2), dan melampirkan bukti #E1234.
   ```

Rantaian ini memastikan **kesan jejak** (ID polisi, ID bukti) dan **konsistensi** (frasa yang sama di semua soalan).

---  

## Membina Graf Pengetahuan  

Cara praktikal untuk menyusun polisi ialah dengan **Graf Harta**. Di bawah ialah representasi Mermaid ringkas skema graf.

```mermaid
graph LR
    P[Policy Node] -->|covers| C[Control Node]
    C -->|maps to| F[Framework Node]
    P -->|has version| V[Version Node]
    P -->|requires| E[Evidence Type Node]
    style P fill:#ffcc00,stroke:#333,stroke-width:2px
    style C fill:#66ccff,stroke:#333,stroke-width:2px
    style F fill:#99ff99,stroke:#333,stroke-width:2px
    style V fill:#ff9999,stroke:#333,stroke-width:2px
    style E fill:#ff66cc,stroke:#333,stroke-width:2px
```

* **Polisi Node** – Menyimpan polisi dalam teks, pengarang, dan tarikh semakan terakhir.  
* **Kawalan Node** – Mewakili kawalan peraturan (contoh, “Enkripsi Data ketika Rehat”).  
* **Rangka Kerja Node** – Menghubungkan kawalan kepada SOC 2, ISO 27001, dll.  
* **Versi Node** – Menjamin jurulatih selalu menggunakan revisi terkini.  
* **Jenis Bukti Node** – Menentukan kategori artifak yang diperlukan (konfigurasi, sijil, laporan ujian).

Mengisi graf ini memerlukan usaha sekali sahaja. Kemaskini seterusnya dikendalikan melalui **pipline CI polisi‑as‑code** yang mengesahkan integriti graf sebelum digabungkan.

---  

## Peraturan Pengesahan Masa‑Nyata  

Walaupun LLM berkuasa, pasukan pematuhan memerlukan jaminan tegas. **Modul Pengesahan Kontekstual** menjalankan set peraturan berikut pada setiap jawapan yang dihasilkan:

| Peraturan | Deskripsi | Kegagalan Contoh |
|-----------|-----------|-------------------|
| **Kehadiran Bukti** | Setiap dakwaan mesti merujuk sekurang‑kurangnya satu ID bukti. | “Kami enkripsi data” → *Rujukan bukti tidak ada* |
| **Penyelarasan Rangka Kerja** | Jawapan mesti menyebut rangka kerja yang dibincangkan. | Jawapan untuk ISO 27001 tidak mengandungi tag “ISO 27001” |
| **Konsistensi Versi** | Versi polisi yang dirujuk mesti sepadan dengan versi yang diluluskan terkini. | Menyebut POL‑DB‑001 v3.0 padahal v3.2 adalah yang aktif |
| **Penghad Panjang** | Pastikan ringkas (≤ 250 aksara) untuk kebolehbacaan. | Jawapan terlalu panjang ditandakan untuk disunting |

Jika mana‑mana peraturan gagal, jurulatih memaparkan amaran dalam talian dan mencadangkan langkah pembetulan, menjadikan interaksi **sunting kolaboratif** bukannya penjanaan sekali sahaja.

---  

## Langkah Pelaksanaan untuk Pasukan Perolehan  

1. **Sediakan Graf Pengetahuan**  
   * Eksport polisi sedia ada dari repositori polisi anda (contoh, Git‑Ops).  
   * Jalankan skrip `policy-graph-loader` yang disediakan untuk memuatnya ke dalam Neo4j atau Amazon Neptune.  

2. **Indeks Bukti dengan Document AI**  
   * Gunakan pipeline Document AI (Google Cloud, Azure Form Recognizer).  
   * Simpan embeddings dalam pangkalan vektor (Pinecone, Weaviate).  

3. **Terapkan Enjin RAG**  
   * Gunakan perkhidmatan hosting LLM (OpenAI, Anthropic) dengan perpustakaan prompt tersuai.  
   * Balut dengan orkestrator gaya LangChain yang memanggil lapisan pengambilan.  

4. **Integrasikan UI Perbualan**  
   * Tambah widget sembang pada halaman soal selidik Procurize.  
   * Sambungkan melalui WebSocket selamat ke Orkestrator Prompt.  

5. **Konfigurasikan Peraturan Pengesahan**  
   * Tulis polisi JSON‑logic dan sambungkannya ke Modul Pengesahan.  

6. **Dayakan Pengauditan**  
   * Hantar setiap cadangan ke log audit tidak boleh diubah (bucket S3 yang append‑only + CloudTrail).  
   * Sediakan papan pemuka untuk pegawai pematuhan melihat skor keyakinan dan dokumen sumber.  

7. **Uji Pilot dan Ulangi**  
   * Mulakan dengan satu soal selidik berkelajuan tinggi (contoh, SOC 2 Type II).  
   * Kumpul maklum balas pengguna, perbaiki penulisan prompt, dan sesuaikan ambang peraturan.  

---  

## Mengukur Kejayaan  

| KPI | Asas | Sasaran (6 bulan) |
|-----|------|-------------------|
| **Masa purata menjawab** | 15 min per soalan | ≤ 45 s |
| **Kadar ralat (pembetulan manual)** | 22 % | ≤ 5 % |
| **Insiden penurunan versi polisi** | 8 per suku | 0 |
| **Kepuasan pengguna (NPS)** | 42 | ≥ 70 |

Mencapai angka-angka ini menunjukkan jurulatih memberikan nilai operasi sebenar, bukan sekadar chatbot percubaan.

---  

## Penambahbaikan Masa Depan  

1. **Jurulatih Berbilang Bahasa** – Mengembangkan prompt untuk menyokong Bahasa Jepun, Jerman, dan Sepanyol, menggunakan LLM berlatih multibahasa.  
2. **Pembelajaran Teragregat** – Membenarkan berbilang penyewa SaaS meningkatkan jurulatih secara kolektif tanpa berkongsi data mentah, mengekalkan privasi.  
3. **Integrasi Bukti Tanpa Pengetahuan** – Apabila bukti sangat rahsia, jurulatih boleh menghasilkan ZKP yang mengesahkan pematuhan tanpa mendedahkan fail sumber.  
4. **Amaran Proaktif** – Gabungkan jurulatih dengan **Radar Perubahan Peraturan** untuk menolak kemas kini polisi secara proaktif apabila peraturan baru muncul.  

---  

## Kesimpulan  

Jurulatih AI Perbualan mengubah tugas berat menjawab soalan selidik keselamatan menjadi dialog interaktif berasaskan pengetahuan. Dengan menyatukan graf pengetahuan polisi, retrieval‑augmented generation, dan pengesahan masa‑nyata, Procurize dapat memberikan:

* **Kelajuan** – Jawapan dalam saat, bukan hari.  
* **Ketepatan** – Setiap respons disokong polisi terkini dan bukti konkrit.  
* **Kebolehjejak** – Jejak penuh untuk regulator dan auditor dalaman.  

Syarikat yang mengadopsi lapisan jurulatih ini bukan sahaja mempercepat penilaian risiko vendor, malah memupuk budaya pematuhan berterusan, di mana setiap pekerja dapat menjawab soalan keselamatan dengan yakin.

---  

## Lihat Juga  

- [Membina Saluran RAG untuk Pematuhan (Medium)](https://medium.com/@example/building-a-rag-pipeline-for-compliance)