
# Kotak Pasir Pematuhan AI Interaktif untuk Soalan Keselamatan

> **TL;DR** – Platform kotak pasir membolehkan organisasi menjana cabaran soal selidik yang realistik, melatih model AI padanya, dan menilai kualiti jawapan serta-merta, menjadikan proses soal selidik keselamatan yang manual menjadi proses berulang, berasaskan data.

---

## Mengapa Kotak Pasir Adalah Pautan yang Hilang dalam Automasi Soalan

Soalan keselamatan adalah “penjaga kepercayaan” bagi vendor SaaS. Namun, kebanyakan pasukan masih bergantung pada hamparan kerja, rentetan e‑mel, dan salin‑tampal ad‑hoc daripada dokumen dasar. Walaupun dengan enjin AI yang berkuasa, kualiti jawapan bergantung pada tiga faktor tersembunyi:

| Faktor Tersembunyi | Titik Sakit Biasa | Bagaimana Kotak Pasir Menyelesaikannya |
|--------------------|-------------------|----------------------------------------|
| **Kualiti Data** | Dasar yang lapuk atau bukti yang hilang menghasilkan jawapan yang kabur. | Versi dasar sintetik membolehkan anda menguji AI terhadap setiap keadaan dokumen yang mungkin. |
| **Kesesuaian Konteks** | AI boleh menghasilkan jawapan yang teknikal betul tetapi tidak relevan dengan konteks. | Profil vendor simulasi memaksa model menyesuaikan nada, skop, dan selera risiko. |
| **Gelung Maklum Balas** | Kitar semakan manual lambat; ralat berulang dalam soal selidik masa depan. | Penilaian masa‑nyata, penjelasan, dan bimbingan gamifikasi menutup gelung serta-merta. |

Kotak pasir menangkap jurang ini dengan menyediakan **medan permainan gelung tertutup** di mana setiap elemen – daripada suapan perubahan peraturan hingga komen penyemak – boleh diprogram dan dipantau.

---

## Arkitektur Teras Kotak Pasir

Berikut ialah aliran aras tinggi. Diagram ini menggunakan sintaks **Mermaid**, yang akan dirender secara automatik oleh Hugo.

```mermaid
flowchart LR
    A["Synthetic Vendor Generator"] --> B["Dynamic Questionnaire Engine"]
    B --> C["AI Answer Generator"]
    C --> D["Real‑Time Evaluation Module"]
    D --> E["Explainable Feedback Dashboard"]
    E --> F["Knowledge‑Graph Sync"]
    F --> B
    D --> G["Policy Drift Detector"]
    G --> H["Regulatory Feed Ingestor"]
    H --> B
```

*Semua label nod diletakkan dalam petikan untuk memenuhi keperluan Mermaid.*

### 1. Synthetic Vendor Generator  
Mencipta persona vendor yang realistik (saiz, industri, kediaman data, selera risiko). Atribut dipilih secara rawak daripada taburan boleh konfigurasi, memastikan liputan senario yang luas.

### 2. Dynamic Questionnaire Engine  
Menarik templat soal selidik terkini (**[SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2)**, **[ISO 27001](https://www.iso.org/standard/27001)**, **[GDPR](https://gdpr.eu/)**, dll.) dan menyuntik pembolehubah khusus vendor, menghasilkan **instans soal selidik unik** setiap kali dijalankan.

### 3. AI Answer Generator  
Membungkus mana-mana LLM (OpenAI, Anthropic, atau model yang dihos sendiri) dengan **templat prompt** yang menyampaikan konteks vendor sintetik, soal selidik, dan repositori dasar semasa.

### 4. Real‑Time Evaluation Module  
Menilai jawapan pada tiga paksi:
* **Ketepatan Pematuhan** – padanan leksikal terhadap pengetahuan‑graf dasar.
* **Kesesuaian Konteks** – kesamaan dengan profil risiko vendor.
* **Konsistensi Naratif** – koheren antara jawapan berbilang soalan.

### 5. Explainable Feedback Dashboard  
Menunjukkan skor keyakinan, menyorot bukti yang tidak sepadan, dan menawarkan **suntingan cadangan**. Pengguna boleh meluluskan, menolak, atau meminta penjanaan semula, mewujudkan gelung penambahbaikan berterusan.

### 6. Knowledge‑Graph Sync  
Setiap jawapan yang diluluskan memperkaya pengetahuan‑graf pematuhan, menghubungkan bukti, klausa dasar, dan atribut vendor.

### 7. Policy Drift Detector & Regulatory Feed Ingestor  
Memantau suapan luar (contoh: **[NIST CSF](https://www.nist.gov/cyberframework)**, ENISA, dan **[DPAs](https://www.dpocentre.com/what-is-a-dpa-and-why-do-you-need-one/)**). Apabila peraturan baru muncul, ia memicu **kenaikan versi dasar**, secara automatik menjalankan semula senario kotak pasir yang terjejas.

---

## Membina Instans Kotak Pasir Pertama Anda

Berikut ialah panduan langkah‑demi‑langkah. Perintah mengandaikan deploy berasaskan Docker; anda boleh gantikan dengan manifes Kubernetes jika mahu.

```bash
# 1. Clone repo kotak pasir
git clone https://github.com/procurize/ai-compliance-sandbox.git
cd ai-compliance-sandbox

# 2. Hidupkan servis teras (proksi API LLM, Graph DB, Enjin Penilaian)
docker compose up -d

# 3. Muatkan dasar asas (SOC2, ISO27001, GDPR)
./scripts/load-policies.sh policies/soc2.yaml policies/iso27001.yaml policies/gdpr.yaml

# 4. Jana vendor sintetik (Retail SaaS, kediaman data EU)
curl -X POST http://localhost:8080/api/vendor \
     -H "Content-Type: application/json" \
     -d '{"industry":"Retail SaaS","region":"EU","risk_tier":"Medium"}' \
     -o vendor.json

# 5. Cipta instans soal selidik untuk vendor ini
curl -X POST http://localhost:8080/api/questionnaire \
     -H "Content-Type: application/json" \
     -d @vendor.json \
     -o questionnaire.json

# 6. Jalankan AI Answer Generator
curl -X POST http://localhost:8080/api/generate \
     -H "Content-Type: application/json" \
     -d @questionnaire.json \
     -o answers.json

# 7. Nilai dan terima maklum balas
curl -X POST http://localhost:8080/api/evaluate \
     -H "Content-Type: application/json" \
     -d @answers.json \
     -o evaluation.json
```

Apabila anda membuka `http://localhost:8080/dashboard`, anda akan melihat **peta panas masa‑nyata** risiko pematuhan, **gelangsar keyakinan**, dan **panel penjelasan** yang menyorot klausa dasar tepat yang menyebabkan skor rendah.

---

## Bimbingan Gamifikasi: Menjadikan Pembelajaran Sebagai Persaingan

Salah satu ciri paling disukai dalam kotak pasir ialah **Papan Pendahulu Bimbingan**. Pasukan memperoleh mata untuk:

* **Kelajuan** – menjawab keseluruhan soal selidik dalam masa piawai.
* **Ketepatan** – skor pematuhan tinggi (> 90 %).
* **Penambahbaikan** – pengurangan drift dalam larian berturutan.

Papan pendahulu menggalakkan persaingan sihat, mendorong pasukan menambah baik prompt, memperkaya bukti dasar, dan mengamalkan amalan terbaik. Tambahan pula, sistem boleh memaparkan **pola kegagalan umum** (contoh: “Tiada bukti enkripsi‑at‑rest”) dan mencadangkan modul latihan berfokus.

---

## Manfaat Dunia Nyata: Data Dari Pengguna Awal

| Metrik | Sebelum Kotak Pasir | Selepas 90 Hari Penggunaan Kotak Pasir |
|--------|---------------------|----------------------------------------|
| Masa selesai soal selidik purata | 7 hari | 2 hari |
| Usaha semakan manual (jam‑orang) | 18 jam per soal selidik | 4 jam per soal selidik |
| Ketepatan jawapan (skor semakan rakan) | 78 % | 94 % |
| Latensi pengesanan drift dasar | 2 minggu | < 24 jam |

Kotak pasir tidak hanya memendekkan masa respons tetapi juga membina **repositori bukti hidup** yang dapat diskala bersama organisasi.

---

## Memperluas Kotak Pasir: Seni Bina Plug‑In

Platform dibina atas **model mikro‑servis “plug‑in”**, memudahkan penambahan:

| Plug‑In | Contoh Kes Penggunaan |
|---------|-----------------------|
| **Pembalut LLM Kustom** | Menukar model default kepada LLM khusus domain yang telah ditala. |
| **Sambungan Suapan Peraturan** | Mengambil kemas kini DPA EU melalui RSS, memetakan secara automatik kepada klausa dasar. |
| **Bot Penjana Bukti** | Mengintegrasikan dengan Document AI untuk mengekstrak sijil enkripsi daripada PDF secara automatik. |
| **API Semakan Pihak Ketiga** | Hantar jawapan berkeyakinan rendah kepada auditor luar untuk lapisan pengesahan tambahan. |

Pembangun boleh menerbitkan plug‑in mereka ke **Marketplace** dalam kotak pasir, menumbuhkan komuniti jurutera pematuhan yang berkongsi komponen boleh guna semula.

---

## Pertimbangan Keselamatan & Privasi

Walaupun kotak pasir menggunakan data sintetik, pelaksanaan produksi selalunya melibatkan dokumen dasar sebenar dan kadang‑kadang bukti sulit. Berikut garis panduan pengerasan:

1. **Rangkaian Zero‑Trust** – Semua perkhidmatan berkomunikasi melalui mTLS; akses dikawal oleh skop OAuth 2.0.  
2. **Penyulitan Data** – Penyimpanan pada masa rehat menggunakan AES‑256; data dalam perjalanan dilindungi dengan TLS 1.3.  
3. **Log Boleh Diaudit** – Setiap peristiwa penjanaan dan penilaian direkodkan secara tidak dapat diubah dalam **ledger pokok Merkle**, membolehkan penjejakan forensik.  
4. **Dasar Privasi Terpelihara** – Apabila mengimport bukti sebenar, aktifkan **privasi diferensial** pada pengetahuan‑graf untuk mengelak pendedahan medan sensitif.

---

## Peta Jalan Masa Depan: Dari Kotak Pasir ke Enjin Autonomi Siap Produksi

| Suku Tahun | Tonggak |
|------------|---------|
| Q1 2026 | **Pengoptimum Prompt Pembelajaran Sendiri** – Gelung pembelajaran penguatan secara automatik menambah baik prompt berdasarkan skor penilaian. |
| Q2 2026 | **Pembelajaran Bersama Federated Antara Organisasi** – Beberapa syarikat berkongsi kemas kini model secara anonim untuk meningkatkan penjanaan jawapan tanpa mendedahkan data proprietari. |
| Q3 2026 | **Integrasi Radar Peraturan Langsung** – Amaran masa‑nyata disalurkan terus ke kotak pasir, memicu simulasi semula penilaian dasar. |
| Q4 2026 | **CI/CD Penuh untuk Pematuhan** – Menyematkan larian kotak pasir ke dalam paipline GitOps; versi soal selidik baru mesti lulus kotak pasir sebelum digabungkan. |

Penambahbaikan ini akan mengubah kotak pasir daripada *medan latihan* kepada *enjin pematuhan autonomi* yang sentiasa menyesuaikan diri dengan landskap peraturan yang sentiasa berubah.

---

## Mulakan Hari Ini

1. **Lawati repo sumber terbuka** – <https://github.com/procurize/ai-compliance-sandbox>.  
2. **Deploy contoh tempatan** menggunakan Docker Compose (lihat skrip cepat mula).  
3. **Ajak pasukan keselamatan dan produk** anda menjalankan cabaran “larian pertama”.  
4. **Iterasi** – perhalusi prompt, perkayakan bukti, saksikan papan pendahulu menanjak.

Dengan menjadikan proses soal selidik yang sukar menjadi pengalaman interaktif berasaskan data, **Kotak Pasir Pematuhan AI Interaktif** memperkasakan organisasi untuk *menjawab lebih cepat, menjawab lebih tepat, dan berada di hadapan perubahan peraturan*.