
# Pengekstrakan Bukti AI Berbilang Mod untuk Soalan Keselamatan

Soalan soal selidik keselamatan adalah pintu masuk bagi setiap urus niaga SaaS B2B.  Vendor diminta menyediakan bukti — PDF polisi, diagram seni bina, petikan kod, log audit, dan malah tangkapan skrin papan pemuka.  Secara tradisional, pasukan keselamatan dan pematuhan menghabiskan **jam‑jam** menelusuri repositori, menyalin fail, dan melampirkan secara manual ke medan soal selidik.  Akibatnya timbul bottleneck yang melambatkan kitaran jualan, meningkatkan ralat manusia, dan menimbulkan jurang audit.

**Procurize** telah membina platform bersepadu yang kuat untuk pengurusan soal selidik, penugasan tugas, dan penjanaan jawapan dibantu AI.  Sempadan seterusnya ialah **mengautomasikan pengumpulan bukti itu sendiri**.  Dengan memanfaatkan **AI generatif berbilang modal** — model yang memahami teks, imej, jadual, dan kod dalam satu saluran — organisasi boleh serta‑merta menampilkan artifak yang tepat untuk sebarang item soal selidik, tanpa mengira format.

Dalam artikel ini kami akan:

1. Menjelaskan mengapa pendekatan satu‑mod (LLM teks semata‑mata) tidak mencukupi untuk beban kerja pematuhan moden.  
2. Menghuraikan seni bina enjin pengekstrakan bukti berbilang modal yang dibina atas Procurize.  
3. Menunjukkan cara melatih, menilai, dan terus memperbaiki sistem dengan teknik **Generative Engine Optimization (GEO)**.  
4. Menyediakan contoh end‑to‑end yang konkrit, daripada soalan keselamatan hingga bukti yang dilampirkan secara automatik.  
5. Membincangkan kebimbangan tadbir urus, keselamatan, dan kebolehkesanan audit.  

> **Intipati utama:** AI berbilang modal mengubah pengambilan bukti daripada tugas manual menjadi perkhidmatan berulang, boleh diaudit, memendekkan masa penyelesaian soal selidik sehingga 80 % sambil mengekalkan ketelitian pematuhan.

---

## 1. Had LLM Hanya Teks dalam Aliran Kerja Soalan Selidik

Kebanyakan automasi berasaskan AI hari ini bergantung pada model bahasa besar (LLM) yang cemerlang dalam **penjanaan teks** dan **carian semantik**.  Mereka boleh mengambil klausa polisi, meringkaskan laporan audit, dan bahkan menulis jawapan naratif.  Walau bagaimanapun, bukti pematuhan jarang murni teks:

| Jenis Bukti                | Format Biasa                | Kesukaran untuk LLM Hanya Teks |
|----------------------------|----------------------------|--------------------------------|
| **Diagram seni bina**      | PNG, SVG, Visio            | Memerlukan pemahaman visual |
| **Fail konfigurasi**       | YAML, JSON, Terraform      | Berstruktur tetapi sering bersarang |
| **Petikan kod**            | Java, Python, Bash         | Perlu ekstraksi yang peka sintaks |
| **Tangkapan skrin papan pemuka** | JPEG, PNG                  | Perlu membaca elemen UI, cap masa |
| **Jadual dalam laporan audit PDF** | PDF, imej imbas            | OCR + penguraian jadual diperlukan |

Apabila satu soalan menanyakan *“Sediakan diagram rangkaian yang menunjukkan aliran data antara persekitaran produksi dan sandaran anda”*, model hanya teks boleh memberi deskripsi; ia tidak dapat mencari, mengesahkan, atau menyisipkan imej sebenar.  Jurang ini memaksa pengguna campur tangan, menghidupkan semula usaha manual yang ingin dihapuskan.

---

## 2. Seni Bina Enjin Pengekstrakan Bukti Berbilang Modal

Berikut ialah diagram aras tinggi enjin yang dicadangkan, terintegrasi dengan teras hub soal selidik Procurize.

```mermaid
graph TD
    A["Pengguna menghantar item soal selidik"] --> B["Perkhidmatan klasifikasi soalan"]
    B --> C["Orkestrator perolehan berbilang modal"]
    C --> D["Kedai vektor teks (FAISS)"]
    C --> E["Kedai vektor imej (CLIP)"]
    C --> F["Kedai vektor kod (CodeBERT)"]
    D --> G["Padanan semantik (LLM)"]
    E --> G
    F --> G
    G --> H["Enjin penarafan bukti"]
    H --> I["Pengayaan metadata pematuhan"]
    I --> J["Lipat automatik ke tugas Procurize"]
    J --> K["Pengesahan manusia dalam gelung (HITL)"]
    K --> L["Entri log audit"]
```

### 2.1 Komponen Teras

1. **Perkhidmatan Klasifikasi Soalan** – Menggunakan LLM yang diperkemas kini untuk menandai item soal selidik yang masuk dengan **jenis bukti** (contoh: “diagram rangkaian”, “PDF polisi keselamatan”, “pelan Terraform”).  
2. **Orkestrator Perolehan Berbilang Modal** – Mengarahkan permintaan ke kedai vektor yang sesuai berdasarkan klasifikasi.  
3. **Kedai Vektor**  
   * **Kedai Teks** – Indeks FAISS dibina daripada semua dokumen polisi, laporan audit, dan fail markdown.  
   * **Kedai Imej** – Vektor berasaskan CLIP dijana daripada setiap diagram, tangkapan skrin, dan SVG yang disimpan dalam repositori dokumen.  
   * **Kedai Kod** – Vektor CodeBERT untuk semua fail sumber, konfigurasi CI/CD, dan templat IaC.  
4. **Lapisan Padanan Semantik** – Transformer lintas‑modal menggabungkan embed pertanyaan dengan setiap vektor modality, mengembalikan senarai artifak calon yang teratur.  
5. **Enjin Penarafan Bukti** – Mengaplikasikan heuristik **Generative Engine Optimization**: kebaruan, status kawalan versi, tag pematuhan, dan skor keyakinan dari LLM.  
6. **Pengayaan Metadata Pematuhan** – Melampirkan lesen SPDX, cap masa audit, dan tag perlindungan data ke setiap artifak.  
7. **Pengesahan Manusia dalam Gelung (HITL)** – UI dalam Procurize memaparkan 3 cadangan teratas; penyemak boleh meluluskan, menukar, atau menolak.  
8. **Entri Log Audit** – Setiap lampiran automatik direkodkan dengan hash kriptografi, tandatangan penyemak, dan keyakinan AI, memenuhi keperluan SOX dan jejak audit [GDPR](https://gdpr.eu/).

### 2.2 Saluran Pengambilan Data

1. **Crawler** mengimbas perkongsian fail korporat, repositori Git, dan baldi penyimpanan awan.  
2. **Pra‑pemproses** menjalankan OCR pada PDF imbas (Tesseract), mengekstrak jadual (Camelot), dan menukar fail Visio ke SVG.  
3. **Pengembed** menghasilkan vektor khusus modality dan menyimpannya bersama metadata (laluan fail, versi, pemilik).  
4. **Kemaskini Inkremental** – Perkhidmatan perubahan mikro (watchdog) menyemak semula hanya aset yang diubah, mengekalkan kedai vektor segar dalam masa hampir‑real‑time.

---

## 3. Generative Engine Optimization (GEO) untuk Pengekstrakan Bukti

**GEO** ialah kaedah sistematik untuk menala seluruh saluran AI — bukan sekadar model bahasa — agar KPI akhir (masa penyelesaian soal selidik) meningkat sambil mengekalkan mutu pematuhan.

| Fasa GEO          | Objektif                                             | Metri Utama                                          |
|-------------------|------------------------------------------------------|------------------------------------------------------|
| **Kualiti Data**  | Pastikan embedding mencerminkan kedudukan pematuhan terkini | % aset disegarkan < 24 jam |
| **Kejuruteraan Prompt** | Rangka prompt perolehan yang memandu model ke modality yang tepat | Skor keyakinan perolehan |
| **Kalibrasi Model** | Selaraskan ambang keyakinan dengan kadar penerimaan penyemak manusia | Kadar positif palsu < 5 % |
| **Gelung Maklum Balas** | Tangkap tindakan penyemak untuk memperhalus klasifikasi dan penarafan | Masa purata untuk meluluskan (MTTA) |
| **Penilaian Berterusan** | Jalankan ujian A/B setiap malam ke atas set validasi soal selidik sejarah | Pengurangan purata masa jawapan |

### 3.1 Contoh Prompt untuk Pengekstrakan Berbilang Modal

```
[QUESTION] Sediakan laporan audit SOC 2 Type II terkini yang meliputi enkripsi data di persimpangan.

[CONTEXT] Dapatkan dokumen PDF yang mengandungi bahagian audit yang relevan. Kembalikan ID dokumen, julat halaman, dan petikan ringkas.

[MODALITY] text
```

Orkestrator memecah `[MODALITY]` dan menanya **kedai teks** sahaja, mengurangkan bunyi daripada vektor imej atau kod.

### 3.2 Ambang Adaptif

Dengan **Pengoptimuman Bayesian**, sistem menyesuaikan secara automatik ambang keyakinan bagi setiap modality.  Apabila penyemak secara berterusan meluluskan cadangan diagram di atas 0.78 keyakinan, ambang meningkat, mengurangkan tugas semakan yang tidak perlu.  Sebaliknya, jika petikan kod mendapat banyak penolakan, ambang menurun supaya lebih banyak calon dipertimbangkan.

---

## 4. Contoh End‑to‑End: Dari Soalan kepada Bukti Dilampirkan Automatik

### 4.1 Soalan

> *“Lampirkan diagram yang menunjukkan aliran data pelanggan daripada penyerapan hingga penyimpanan, termasuk titik enkripsi.”*

### 4.2 Langkah‑Langkah

| Langkah | Tindakan | Hasil |
|--------|----------|-------|
| 1 | Pengguna mencipta item soal selidik baru dalam Procurize. | ID item `Q‑2025‑1123`. |
| 2 | Perkhidmatan klasifikasi menandai pertanyaan sebagai `jenis_bukti: diagram rangkaian`. | Modality = **imej**. |
| 3 | Orkestrator menghantar pertanyaan ke kedai vektor CLIP. | Memperoleh 12 vektor calon. |
| 4 | Lapisan padanan semantik mengira kesamaan kosinus antara embed pertanyaan dan setiap vektor. | Skor teratas: 0.92, 0.88, 0.85. |
| 5 | Enjin penarafan menilai kebaruan (diubah suai 2 hari lalu) dan tag pematuhan (mengandungi “enkripsi”). | Penarafan akhir: Diagram `arch‑data‑flow‑v3.svg`. |
| 6| UI HITL memaparkan diagram bersama pratonton, metadata (penulis, versi, hash). | Penyemak mengklik **Luluskan**. |
| 7 | Sistem melampirkan diagram secara automatik ke `Q‑2025‑1123` dan merekod entri audit. | Log audit menunjukkan keyakinan AI 0.91, tandatangan penyemak, cap masa. |
| 8 | Modul penjanaan jawapan menulis naratif yang merujuk kepada diagram. | Jawapan lengkap sedia dieksport. |

Jumlah masa dari langkah 1 hingga 8 ialah **≈ 45 saat**, berbanding **15‑20 minit** secara manual.

---

## 5. Tadbir Urus, Keselamatan, dan Jejak Audit

Mengautomasikan pengendalian bukti menimbulkan kebimbangan sah:

1. **Bocoran Data** – Perkhidmatan embed mesti dijalankan dalam **VPC zero‑trust** dengan peranan IAM yang ketat.  Tiada vektor dihantar keluar jaringan korporat.  
2. **Kawalan Versi** – Setiap artifak disimpan dengan **hash komit Git** (atau versi objek penyimpanan).  Jika dokumen dikemas kini, embed lama dibatalkan.  
3. **Keterjelasan** – Enjin penarafan merekod skor kesamaan dan rangkaian prom yang digunakan, membolehkan pegawai pematuhan menjejak *mengapa* fail tertentu dipilih.  
4. **Pematuhan Peraturan** – Dengan melampirkan pengecam lesen SPDX dan kategori pemprosesan GDPR kepada setiap artifak, penyelesaian mematuhi keperluan bukti asal untuk [ISO 27001](https://www.iso.org/standard/73906.html) Annex A.  
5. **Polisi Penahanan** – Tugas auto‑pembersihan memadam embed bagi dokumen yang melampaui tempoh penahanan data organisasi, memastikan tiada bukti lapuk berterusan.

---

## 6. Arah Masa Depan

### 6.1 Pengekstrakan Berbilang Modal sebagai Perkhidmatan (RaaS)

Dedahkan orkestrator perolehan melalui **API GraphQL** supaya alat dalaman lain (contoh: pemeriksaan pematuhan CI/CD) dapat meminta bukti tanpa melalui UI soal selidik penuh.

### 6.2 Integrasi Radar Perubahan Peraturan Secara Real‑Time

Gabungkan enjin berbilang modal dengan **Radar Perubahan Peraturan** Procurize.  Bila peraturan baharu dikesan, secara automatik klasifikasikan semula soalan yang terkesan dan picu carian bukti baru, memastikan artifak yang dimuat naik sentiasa patuh.

### 6.3 Pembelajaran Teragregat Antara Perusahaan

Untuk penyedia SaaS yang melayani pelbagai pelanggan, lapisan **pembelajaran teragregat** boleh berkongsi kemas kini embed yang tidak dikenalpasti secara peribadi, meningkatkan kualiti perolehan tanpa mendedahkan dokumen proprietari.

---

## 7. Kesimpulan

Soalan soal selidik keselamatan akan terus menjadi tulang belakang pengurusan risiko vendor, tetapi usaha manual untuk mengumpul dan melampirkan bukti semakin tidak boleh dipertahankan.  Dengan mengadopsi **AI berbilang modal** — gabungan kefahaman teks, imej, dan kod — Procurize dapat menjadikan pengekstrakan bukti satu perkhidmatan automatik, boleh diaudit.  Menggunakan rangka kerja **Generative Engine Optimization** memastikan sistem sentiasa menambah baik, menyelaraskan keyakinan AI dengan jangkaan penyemak manusia dan keperluan peraturan.

Hasilnya ialah **penurunan drastik masa respons soal selidik**, pengurangan ralat manusia, dan jejak audit yang lebih kukuh — memberi kuasa kepada pasukan keselamatan, undang‑undang, dan jualan untuk memberi tumpuan kepada mitigasi risiko strategik berbanding memburu dokumen.

---

## Lihat Juga

- [Pencarian Berbilang Modal dengan CLIP dan FAISS – Menyasar Carian Perusahaan Skala Besar](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: Rangka Kerja untuk Penambahbaikan AI Berterusan](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Seni Bina Zero‑Trust untuk Platform Pematuhan Berkuasa AI](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 Annex A – Keperluan Pengurusan Bukti](https://www.iso.org/standard/73906.html)