
# Kejuruteraan Prompt untuk Respons Soalan Selidik Keselamatan AI yang Boleh Dipercayai

## Pengenalan  

Soalan selidik keselamatan menjadi halangan bagi banyak syarikat SaaS. Penilaian vendor tunggal boleh melibatkan puluhan soalan terperinci tentang perlindungan data, tindak balas insiden, kawalan capaian, dan banyak lagi. Penjanaan jawapan secara manual memerlukan masa, mudah tersilap, dan sering menyebabkan kerja berulang di kalangan pasukan.  

Model bahasa besar (LLM) seperti GPT‑4, Claude, atau Llama 2 mempunyai kebolehan untuk menyiapkan jawapan naratif berkualiti tinggi dalam beberapa saat. Namun, melepaskan kuasa itu terus ke atas soalan selidik jarang menghasilkan keputusan yang boleh dipercayai. Output mentah boleh menyimpang daripada bahasa dasar, terlepas klausa kritikal, atau menghasilkan bukti yang tidak wujud.  

**Kejuruteraan prompt**—amalan berdisiplin dalam merangka teks yang membimbing LLM—menjembatani jurang antara kebolehan generatif mentah dan piawaian pematuhan yang ketat yang diperlukan oleh pasukan keselamatan. Dalam artikel ini kami memecah rangka kerja kejuruteraan prompt yang boleh diulang yang menjadikan LLM pembantu yang boleh dipercayai untuk automasi soalan selidik keselamatan.  

Kami akan membincangkan:

* Cara menyisipkan pengetahuan dasar secara langsung ke dalam prompt  
* Teknik mengawal tona, panjang, dan struktur  
* Gelung pengesahan automatik yang menangkap ketidaksesuaian sebelum sampai kepada juruaudit  
* Corak integrasi untuk platform seperti Procurize, termasuk diagram aliran kerja Mermaid  

Pada akhir panduan, praktisioner akan mempunyai kotak alat konkrit yang boleh diaplikasikan serta-merta untuk mengurangkan masa pemprosesan soalan selidik sebanyak 50 % – 70 % sambil meningkatkan ketepatan jawapan.

---

## 1. Memahami Lanskap Prompt  

### 1.1 Jenis Prompt  

| Jenis Prompt | Matlamat | Contoh |
|--------------|----------|--------|
| **Prompt Kontekstual** | Memberi LLM petikan dasar, standard, dan definisi yang relevan | “Berikut ialah petikan daripada dasar [SOC 2](https://secureframe.com/hub/soc-2/what-is-soc-2) kami mengenai penyulitan ketika tidak aktif…” |
| **Prompt Arahan** | Memberitahu model secara tepat bagaimana jawapan harus diformat | “Tulis respons dalam tiga perenggan pendek, setiap satu bermula dengan tajuk tebal.” |
| **Prompt Kekangan** | Menetapkan batas keras seperti jumlah perkataan atau istilah yang dilarang | “Jangan melebihi 250 perkataan dan elakkan menggunakan perkataan ‘mungkin’.” |
| **Prompt Pengesahan** | Menjana senarai semak yang mesti dipenuhi jawapan | “Selepas menyiapkan jawapan, senaraikan sebarang bahagian dasar yang tidak dirujuk.” |

Saluran jawapan soalan selidik yang kukuh biasanya mengaitkan beberapa jenis prompt ini dalam satu permintaan atau menggunakan pendekatan berbilang langkah (prompt–jawapan–prompt semula).

### 1.2 Mengapa Prompt Satu‑Shot Gagal  

Prompt satu‑shot naif seperti *“Jawab soalan keselamatan berikut”* sering menghasilkan:

* **Pengabaian** – rujukan dasar penting terlepas.  
* **Halusinasi** – model mencipta kawalan yang tidak wujud.  
* **Bahasa tidak konsisten** – respons menggunakan frasa tidak formal yang tidak sepadan dengan suara pematuhan syarikat.  

Kejuruteraan prompt mengurangkan risiko tersebut dengan menyampaikan LLM maklumat tepat yang diperlukan dan memintanya mengaudit hasilnya sendiri.

---

## 2. Membina Rangka Kerja Kejuruteraan Prompt  

Berikut ialah rangka kerja langkah demi langkah yang boleh dijadikan fungsi boleh guna semula dalam mana‑mana platform pematuhan.

### 2.1 Langkah 1 – Dapatkan Fragmen Dasar Berkaitan  

Gunakan pangkalan pengetahuan yang boleh dicari (vector store, graph DB, atau indeks kata kunci mudah) untuk menarik bahagian dasar yang paling relevan.  
*Contoh pertanyaan*: “penyulitan ketika tidak aktif” + “[ISO 27001](https://www.iso.org/standard/27001)” atau “SOC 2 CC6.1”.

Hasilnya mungkin:

```
Fragmen Dasar A:
“Semua data produksi mesti disulitkan ketika tidak aktif menggunakan AES‑256 atau algoritma setara. Kunci penyulitan diputar setiap 90 hari dan disimpan dalam modul keselamatan perkakasan (HSM).”
```

### 2.2 Langkah 2 – Susun Templat Prompt  

Templat yang menggabungkan semua jenis prompt:

```
[CONTEXT] 
{Fragmen Dasar}

[INSTRUCTION] 
Anda adalah pakar pematuhan yang menyiapkan jawapan untuk soalan selidik keselamatan. Penonton sasaran ialah juruaudit keselamatan senior. Ikuti peraturan berikut:
- Gunakan bahasa tepat daripada fragmen dasar apabila berkenaan.
- Struktur jawapan dengan pengenalan ringkas, badan terperinci, dan kesimpulan padat.
- Rujuk setiap fragmen dasar dengan tag rujukan (contoh: [Fragment A]).

[QUESTION] 
{Teks Soalan Keselamatan}

[CONSTRAINT] 
- Maksimum 250 perkataan.
- Jangan perkenalkan kawalan yang tidak disebut dalam fragmen.
- Akhiri dengan kenyataan yang mengesahkan bukti boleh disediakan atas permintaan.

[VERIFICATION] 
Selepas menjawab, senaraikan sebarang fragmen dasar yang tidak digunakan dan sebarang istilah baharu yang diperkenalkan.
```

### 2.3 Langkah 3 – Hantar kepada LLM  

Serahkan prompt yang telah disusun kepada LLM terpilih melalui API‑nya. Untuk kebolehulangan, tetapkan temperature = 0.2 (kecerunan rendah) dan max_tokens mengikut had perkataan.

### 2.4 Langkah 4 – Kaji dan Sahkan Respons  

LLM mengembalikan dua bahagian: **jawapan** dan **senarai semak pengesahan**. Skrip automatik memeriksa:

* Semua tag fragmen yang diperlukan hadir.  
* Tiada nama kawalan baharu muncul (bandingkan dengan senarai putih).  
* Bilangan perkataan mematuhi kekangan.

Jika mana‑mana peraturan gagal, skrip memicu **prompt semula** dengan maklum balas pengesahan:

```
[FEEDBACK]
Anda terlepas merujuk Fragmen B dan memperkenalkan istilah “putaran kunci dinamik” yang tidak terdapat dalam dasar kami. Sila perbaiki mengikut arahan.
```

### 2.5 Langkah 5 – Lampirkan Pautan Bukti  

Setelah pengesahan berjaya, sistem secara automatik menambah pautan ke bukti sokongan (contoh: log putaran kunci, sijil HSM). Output akhir disimpan dalam hab bukti Procurize dan dipaparkan kepada penilai.

---

## 3. Diagram Aliran Kerja Dunia Nyata  

Diagram Mermaid berikut memvisualisasikan aliran hujan‑hujan dalam platform SaaS pematuhan tipikal.

```mermaid
graph TD
    A["Pengguna memilih soal selidik"] --> B["Sistem mengambil fragmen dasar yang relevan"]
    B --> C["Pembina Prompt menyusun prompt berbilang bahagian"]
    C --> D["LLM menghasilkan jawapan + senarai semak pengesahan"]
    D --> E["Pengesah automatik mengurai senarai semak"]
    E -->|Lulus| F["Jawapan disimpan, pautan bukti dilampirkan"]
    E -->|Gagal| G["Prompt semula dengan maklum balas"]
    G --> C
    F --> H["Penilai melihat jawapan dalam papan pemuka Procurize"]
    H --> I["Audit selesai, respons diekspor"]
```

Semua label nod dibalut dalam tanda petikan berganda seperti yang diperlukan.

---

## 4. Teknik Prompt Lanjutan  

### 4.1 Demonstrasi Few‑Shot  

Memberi satu atau dua pasangan **soalan‑jawapan contoh** dalam prompt boleh meningkatkan konsistensi secara drastik. Contoh:

```
Contoh 1:
S: Bagaimana anda melindungi data semasa penghantaran?
J: Semua data semasa penghantaran disulitkan menggunakan TLS 1.2 atau lebih tinggi, dengan cipher forward‑secrecy. [Fragmen C]

Contoh 2:
S: Huraikan proses tindak balas insiden anda.
J: Pelan IR kami mengikuti rangka kerja [NIST CSF](https://www.nist.gov/cyberframework) (NIST 800‑61), termasuk tetingkap eskalasi 24 jam, dan disemak dua‑tahunan. [Fragmen D]
```

LLM kini mempunyai gaya konkrit untuk ditiru.

### 4.2 Prompt Rantaian Pemikiran  

Galakkan model berfikir langkah demi langkah sebelum menjawab:

```
Fikirkan fragmen dasar mana yang berkenaan, senaraikannya, kemudian susun jawapan.
```

Ini mengurangkan halusinasi dan menghasilkan jejak pemikiran yang telus untuk dicatat.

### 4.3 Penjanaan Tambahan Pengambilan (RAG)  

Daripada menarik fragmen sebelum prompt, biarkan LLM membuat pertanyaan ke vector store semasa penjanaan. Pendekatan ini sesuai apabila korpus dasar sangat besar dan sentiasa berubah.

---

## 5. Integrasi dengan Procurize  

Procurize sudah menyediakan:

* **Repositori dasar** (pusat, terkawal versi)  
* **Penjejak soal selidik** (tugas, komen, jejak audit)  
* **Hab bukti** (penyimpanan fail, pautan automatik)  

Menyelitkan aliran kerja kejuruteraan prompt memerlukan tiga panggilan API utama:

1. `GET /policies/search` – dapatkan fragmen berdasarkan kata kunci yang diekstrak daripada soalan selidik.  
2. `POST /llm/generate` – hantar prompt yang telah disusun dan terima jawapan + senarai semak pengesahan.  
3. `POST /questionnaire/{id}/answer` – serahkan jawapan yang telah disahkan, lampirkan URL bukti, dan tanda tugas sebagai selesai.

Pembungkus Node.js ringkas boleh kelihatan seperti ini:

```javascript
async function answerQuestion(questionId) {
  const q = await api.getQuestion(questionId);
  const fragments = await api.searchPolicies(q.keywords);
  const prompt = buildPrompt(q.text, fragments);
  const { answer, verification } = await api.llmGenerate(prompt);
  if (verify(verification)) {
    await api.submitAnswer(questionId, answer, fragments.evidenceLinks);
  } else {
    const revisedPrompt = addFeedback(prompt, verification);
    // ulangi sehingga lulus
  }
}
```

Apabila dipautkan ke UI Procurize, penganalisis keselamatan boleh klik *“Jana Jawapan Automatik”* dan menyaksikan bar kemajuan bergerak melalui langkah‑langkah yang digambarkan dalam diagram Mermaid.

---

## 6. Mengukur Kejayaan  

| Metrik | Asas | Sasaran selepas Kejuruteraan Prompt |
|--------|------|--------------------------------------|
| Purata masa penyiapan jawapan | 45 min | ≤ 15 min |
| Kadar pembetulan semasa semakan manusia | 22 % | ≤ 5 % |
| Kepatuhan rujukan dasar (tag digunakan) | 78 % | ≥ 98 % |
| Skor kepuasan juruaudit | 3.2/5 | ≥ 4.5/5 |

Kumpul KPI ini melalui papan pemuka analitik Procurize. Pemantauan berterusan membolehkan penalaan templat prompt dan pemilihan fragmen dasar.

---

## 7. Kekangan dan Cara Menghindarinya  

| Kekangan | Simptom | Penyelesaian |
|----------|----------|--------------|
| Memuatkan terlalu banyak fragmen yang tidak relevan | Jawapan melenceng, latensi LLM meningkat | Terapkan ambang relevansi (contoh: kesamaan kosinus > 0.78) sebelum penambahan |
| Mengabaikan suhu model | Kadang‑kala output kreatif tetapi tidak tepat | Tetapkan suhu pada nilai rendah (0.1‑0.2) untuk beban kerja pematuhan |
| Tidak memversionkan fragmen dasar | Jawapan merujuk klausa usang | Simpan fragmen dengan ID versi dan paksa “versi terkini” melainkan versi sejarah diminta secara eksplisit |
| Bergantung pada satu kitaran pengesahan | Kesalahan tepi terlepas | Jalankan semakan enjin peraturan sekunder (contoh: regex untuk istilah yang dilarang) selepas langkah LLM |

---

## 8. Arah Masa Depan  

* **Pengoptimuman Prompt Dinamik** – gunakan pembelajaran penguatan untuk menyesuaikan frasa prompt secara automatik berdasarkan kadar kejayaan sejarah.  
* **Ensemble Berbilang LLM** – tanya beberapa model secara selari dan pilih jawapan dengan skor pengesahan tertinggi.  
* **Lapisan AI Boleh Dijelaskan** – lampirkan bahagian “mengapa jawapan ini” yang memetik nombor ayat dasar tepat, menjadikan audit sepenuhnya dapat dijejaki.  

Kemajuan ini akan memindahkan automasi daripada *“draf cepat”* kepada *“sedia audit tanpa sentuhan manusia.”*

---

## Kesimpulan  

Kejuruteraan prompt bukan sekadar helah sekali sahaja; ia ialah disiplin sistematik yang menukar LLM berkuasa menjadi pembantu pematuhan yang boleh dipercayai. Dengan:

1. Mengambil fragmen dasar yang tepat,  
2. Merangka prompt berbilang bahagian yang menggabungkan konteks, arahan, kekangan, dan pengesahan,  
3. Mengautomasi gelung maklum balas yang memaksa model mengaudit dirinya, serta  
4. Mengintegrasikan aliran kerja keseluruhan ke dalam platform seperti Procurize,

organisasi dapat memotong masa pemprosesan soalan selidik secara drastik, mengurangkan ralat manual, dan mengekalkan jejak audit yang ketat seperti yang dituntut regulator dan pelanggan.  

Mulakan dengan percubaan rangka kerja pada soal selidik berisiko rendah, catat peningkatan KPI, dan iterasi templat prompt. Dalam beberapa minggu, anda akan mencapai tahap ketepatan yang setara dengan juruaudit senior—tetapi dengan usaha yang jauh lebih kecil.

---  

## Lihat Juga  

- Amalan terbaik Kejuruteraan Prompt untuk LLM  
- Penjanaan Tambahan Pengambilan: corak reka bentuk dan perangkap  
- Tren automasi pematuhan dan ramalan 2025  
- Gambaran keseluruhan API Procurize serta panduan integrasi