
# Çok Modlu KI Kanıt Çıkarma Güvenlik Anketleri İçin

Güvenlik anketleri, her B2B SaaS anlaşmasının kapı bekçileri gibidir. Satıcılar, politika PDF'leri, mimari diyagramlar, kod parçacıkları, denetim günlükleri ve hatta pano ekran görüntüleri gibi kanıtlar sunmak zorundadır. Geleneksel olarak, güvenlik ve uyumluluk ekipleri **saatler** boyunca depoları tarar, dosyaları kopyalar ve bunları anket alanlarına manuel olarak ekler. Sonuç, satış döngülerini yavaşlatan, insan hatasını artıran ve denetim boşlukları yaratan bir darboğazdır.

**Procurize**, anket yönetimi, görev atama ve KI‑destekli yanıt üretimi için güçlü bir birleşik platform oluşturdu. Bir sonraki sınır, **kanıt toplama sürecinin kendisini otomatikleştirmek**tir. **Çok‑modlu üretken KI**—metin, görsel, tablo ve kodu tek bir akışta anlayabilen modeller—kullanılarak, organizasyonlar herhangi bir anket öğesi için doğru belgeyi formatından bağımsız olarak anında ortaya çıkarabilir.

Bu makalede şunları yapacağız:

1. Tek‑modlu (saf metin LLM'leri) yaklaşımının modern uyumluluk iş yükleri için neden yetersiz olduğunu açıklamak.  
2. Procurize üzerine kurulu çok‑modlu kanıt çıkarma motorunun mimarisini detaylandırmak.  
3. **Üretken Motor Optimizasyonu (GEO)** teknikleriyle sistemi nasıl eğiteceğimizi, değerlendireceğimizi ve sürekli geliştireceğimizi göstermek.  
4. Güvenlik sorusundan otomatik ekli kanıta kadar somut uçtan‑uza bir örnek sağlamak.  
5. Yönetişim, güvenlik ve denetlenebilirlik endişelerini tartışmak.  

> **Ana mesaj:** Çok‑modlu KI, kanıt alımını manuel bir işten tekrarlanabilir, denetlenebilir bir hizmete dönüştürerek anket dönüş süresini %80’e kadar azaltırken uyumluluk katılığını korur.

---

## 1. Metin‑Only LLM'lerin Anket İş Akışlarındaki Sınırlamaları

Bugün AI‑destekli otomasyonun çoğu, **metin üretimi** ve **semantik arama** konusunda üstün performans gösteren büyük dil modellerine (LLM) dayanır. Politika maddelerini çekebilir, denetim raporlarını özetleyebilir ve hatta anlatı yanıtlar taslaklayabilirler. Ancak uyumluluk kanıtları nadiren sadece metindir:

| Kanıt Türü | Tipik Format | Metin‑Only LLM İçin Zorluk |
|-----------|--------------|----------------------------|
| **Mimari diyagramlar** | PNG, SVG, Visio | Görsel anlama gerektirir |
| **Yapılandırma dosyaları** | YAML, JSON, Terraform | Yapısal fakat çoğu zaman iç içe |
| **Kod parçacıkları** | Java, Python, Bash | Söz dizimi‑bilinen çıkarım gerekir |
| **Panoların ekran görüntüleri** | JPEG, PNG | UI öğeleri ve zaman damgalarını okuma zorunluluğu |
| **PDF denetim raporlarındaki tablolar** | PDF, taranmış görüntüler | OCR + tablo ayrıştırma gerekir |

Bir soru *“Üretim ve yedekleme ortamlarınız arasındaki veri akışını gösteren bir ağ diyagramı sağlayın”* dediğinde, yalnızca metin tabanlı bir model sadece açıklama verebilir; gerçek görseli bulamaz, doğrulayamaz veya ekleyemez. Bu eksik, kullanıcıların müdahale etmesine neden olarak elimizdeki manuel çabayı yeniden ortaya çıkarır.

---

## 2. Çok‑Modlu Kanıt Çıkarma Motorunun Mimarisi

Aşağıda, önerilen motorun Procurize'in temel anket hub'ı ile bütünleşmiş yüksek‑seviyeli diyagramı verilmiştir.

```mermaid
graph TD
    A["Kullanıcı anket öğesini gönderir"] --> B["Soru sınıflandırma hizmeti"]
    B --> C["Çok‑modlu alma düzenleyicisi"]
    C --> D["Metin vektör deposu (FAISS)"]
    C --> E["Görsel gömme deposu (CLIP)"]
    C --> F["Kod gömme deposu (CodeBERT)"]
    D --> G["Semantik eşleşme (LLM)"]
    E --> G
    F --> G
    G --> H["Kanıt sıralama motoru"]
    H --> I["Uyumluluk meta verisi zenginleştirmesi"]
    I --> J["Procureize görevine otomatik ekleme"]
    J --> K["İnsan‑düzleminde doğrulama"]
    K --> L["Denetim günlük girişi"]
```

### 2.1 Temel Bileşenler

1. **Soru Sınıflandırma Hizmeti** – Gelen anket öğesini **kanıt türleri** (ör. “ağ diyagramı”, “güvenlik politikası PDF”, “Terraform planı”) ile etiketlemek için ince ayarlı bir LLM kullanır.  
2. **Çok‑modlu Alma Düzenleyicisi** – Etikete göre ilgili gömme depolarına yönlendirme yapar.  
3. **Gömme Depoları**  
   * **Metin Deposu** – Politikalar, denetim raporları ve markdown dosyalarından oluşturulmuş FAISS indeksi.  
   * **Görsel Deposu** – Depodaki tüm diyagram, ekran görüntüsü ve SVG’lerden CLIP‑temelli vektörler.  
   * **Kod Deposu** – Tüm kaynak dosyaları, CI/CD konfigürasyonları ve IaC şablonları için CodeBERT gömmeleri.  
4. **Semantik Eşleşme Katmanı** – Çapraz‑modlu bir transformer, sorgu gömme ile her modanın vektörlerini birleştirerek aday belgelerin bir sıralamasını döndürür.  
5. **Kanıt Sıralama Motoru** – **Üretken Motor Optimizasyonu** (GEO) ölçütlerini uygular: güncellik, sürüm kontrol durumu, uyumluluk etiketi alaka düzeyi ve LLM’den alınan güven skoru.  
6. **Uyumluluk Meta Verisi Zenginleştirmesi** – SPDX lisansları, denetim zaman damgaları ve veri‑koruma etiketleri her belgeye eklenir.  
7. **İnsan‑düzleminde Doğrulama (HITL)** – Procurize arayüzü, en iyi 3 öneriyi gösterir; bir denetçi onaylayabilir, değiştirebilir ya da reddedebilir.  
8. **Denetim Günlüğü Girişi** – Her otomatik ekleme, kriptografik hash, denetçi imzası ve AI güven skoru ile kaydedilir; SOX ve [GDPR](https://gdpr.eu/) denetim izleri sağlanır.

### 2.2 Veri Alım Boru Hattı

1. **Tarayıcı** kurumsal dosya paylaşımları, Git depoları ve bulut depolarını tarar.  
2. **Ön‑işlemci** taranmış PDF’lerde OCR (Tesseract), tablo çıkarımı (Camelot) ve Visio dosyalarını SVG’ye dönüştürür.  
3. **Gömme Üreticisi** mod‑özel vektörleri oluşturur ve dosya yolu, sürüm, sahip gibi meta verilerle saklar.  
4. **Artımlı Güncelleme** – Değişiklik algılayıcı mikro‑servis (watchdog) yalnızca değişen varlıkları yeniden gömer; vektör depoları gerçek zamanlı olarak taze kalır.

---

## 3. Kanıt Erişimi için Üretken Motor Optimizasyonu (GEO)

**GEO**, tek bir yapay zeka modelini değil, bütün AI boru hattını, nihai KPI’yı (anket dönüş süresi) iyileştirmek ve uyumluluk kalitesini korumak için sistematik olarak ayarlamayı amaçlayan bir yöntemdir.

| GEO Aşaması | Amaç | Temel Ölçütler |
|------------|------|---------------|
| **Veri Kalitesi** | Gömme vektörlerinin en güncel uyumluluk durumu yansıtmasını sağlamak | %50'den az varlık 24 saat içinde güncellenir |
| **Prompt Mühendisliği** | Sorguları doğru modala yönlendiren istemleri oluşturmak | Alma güven skoru |
| **Model Kalibrasyonu** | Model güven skorlarını insan denetçi kabul oranlarıyla hizalamak | Yanlış‑pozitif oranı < %5 |
| **Geri Bildirim Döngüsü** | Denetçi eylemlerini sınıflandırma ve sıralamayı yeniden eğitmek | Ortalama onay süresi (MTTA) |
| **Sürekli Değerlendirme** | Geçmiş anket öğeleri üzerine gece‑gece A/B testleri yürütmek | Ortalama yanıt süresinde % azalma |

### 3.1 Çok‑Modlu Alma için Prompt Örneği

```
[QUESTION] En son [SOC 2] Tip II denetim raporunu, veri dinleme kısmını kapsayan belgeyi sağlayın.

[CONTEXT] PDF belgesini, ilgili denetim bölümüyle birlikte döndürün. Belge kimliği, sayfa aralığı ve kısa bir alıntıyı verin.

[MODALITY] text
```

Düzenleyici, `[MODALITY]` etiketini ayrıştırarak sadece **metin deposunu** sorgular; görsel ya da kod vektörlerinden gelen gürültüyü büyük ölçüde azaltır.

### 3.2 Uyarlamalı Eşikler

**Bayesian Optimization** kullanılarak sistem, her mod için güven eşiğini otomatik olarak ayarlar. Denetçiler, diyagram önerilerini %0.78 güven eşiğinin üzerindeyse genellikle onaylıyorsa, eşik yükseltilir ve gereksiz denetim ihtiyacı azalır. Kod parçacıkları için çok sayıda reddetme gerçekleşirse, eşik düşürülerek daha fazla aday ortaya çıkar.

---

## 4. Uçtan Uca Örnek: Sorudan Otomatik Eklenmiş Kanıta

### 4.1 Soru

> *“Müşteri verilerinin alımdan depolamaya akışını, şifreleme noktalarını gösteren bir diyagram ekleyin.”*

### 4.2 Adım‑Adım İş Akışı

| Adım | Eylem | Sonuç |
|------|-------|-------|
| 1 | Kullanıcı Procurize'de yeni bir anket öğesi oluşturur. | Öğe kimliği `Q‑2025‑1123`. |
| 2 | Sınıflandırma hizmeti öğeyi `kanıt_türü: ağ diyagramı` olarak etiketler. | Modality = **görsel**. |
| 3 | Düzenleyici sorguyu CLIP görsel deposuna gönderir. | 12 aday vektör getirildi. |
| 4 | Semantik eşleşme katmanı, sorgu gömme ile her vektör arasındaki kosinüs benzerliğini hesaplar. | En iyi 3 skor: 0.92, 0.88, 0.85. |
| 5 | Sıralama motoru, tazelik (son değiştirilme 2 gün önce) ve uyumluluk etiketlerini (“şifreleme içeriyor”) değerlendirir. | Son seçim: `arch‑data‑flow‑v3.svg`. |
| 6 | HITL UI, diyagramı ön izleme, yazar, sürüm ve hash gibi meta verilerle gösterir. | Denetçi **Onaylar**. |
| 7 | Sistem, diyagramı `Q‑2025‑1123` öğesine otomatik ekler ve bir denetim kaydı oluşturur. | Denetim günlüğünde AI güven 0.91, denetçi imzası, zaman damgası yer alır. |
| 8 | Yanıt üretim modülü, diyagrama referans veren bir anlatı yanıtı taslaklar. | Tamamlanmış yanıt dışa aktarılmaya hazır. |

Toplam geçen süre **≈ 45 saniye**, tipik **15–20 dakika** manuel süreç yerine.

---

## 5. Yönetişim, Güvenlik ve Denetlenebilir İz

Kanıt otomasyonunun getirdiği meşru endişeler:

1. **Veri Sızıntısı** – Gömme hizmetleri, **zero‑trust VPC** içinde çalışmalı ve sıkı IAM rolleriyle sınırlandırılmalıdır. Gömmeler asla dış ağa çıkmaz.  
2. **Sürüm Kontrolü** – Her varlık, **Git commit hash** (veya depolama nesnesi sürümü) ile saklanır. Belge güncellenirse eski gömmeler geçersiz kılınır.  
3. **Açıklanabilirlik** – Sıralama motoru, benzerlik skorlarını ve istem zincirini kaydeder; bu sayede uyumluluk görevlileri *neden* belirli bir dosyanın seçildiğini izleyebilir.  
4. **Regülasyon Uyumu** – Her kanıta **SPDX lisans tanımlayıcıları** ve [GDPR](https://gdpr.eu/) işlem sınıfları eklenir; bu da [ISO 27001](https://www.iso.org/standard/73906.html) Annex A gereksinimlerini karşılar.  
5. **Saklama Politikaları** – Otomatik temizleme görevleri, organizasyonun veri saklama penceresinin dışındaki gömmeleri siler; böylece eski kanıtlar kalmaz.

---

## 6. Gelecek Yönelimler

### 6.1 Çok‑Modlu Alma‑a‑Hizmet (RaaS)

Alma düzenleyiciyi **GraphQL API** olarak sunarak, diğer iç araçların (ör. CI/CD uyumluluk kontrolleri) doğrudan kanıt talep etmesini sağlamak.

### 6.2 Gerçek‑Zamanlı Regülasyon Radar Entegrasyonu

Procurize’in **Regülasyon Değişim Radar**ı ile çok‑modlu motoru birleştirerek, yeni bir düzenleme tespit edildiğinde ilgili soruları otomatik yeniden sınıflandırıp kanıt aramasını tetiklemek; böylece yüklenen belgelerin her zaman güncel olduğundan emin olmak.

### 6.3 Kuruluşlar Arası Federated Learning

SaaS sağlayıcıları, gizli belgeleri ifşa etmeden anonim gömme güncellemeleri paylaşarak, çok‑modlu alım kalitesini artırabilir.

---

## 7. Sonuç

Güvenlik anketleri, satıcı risk yönetiminin temel taşı olmaya devam edecektir, ancak kanıt toplama ve ekleme için harcanan manuel çaba giderek sürdürülemez hale gelmektedir. **Çok‑modlu KI**—metin, görsel ve kod anlayışını birleştiren bir yaklaşım—kanıt çıkarımını otomatik, denetlenebilir bir hizmete dönüştürür. **Üretken Motor Optimizasyonu** (GEO) sayesinde sistem, AI güvenini insan denetçi beklentileriyle hizalar ve uyumluluk zorunluluklarını karşılar.

Bu, anket yanıt sürelerinde **dramatik bir hızlanma**, insan hatasında azalma ve güçlü bir denetim izine yol açar; güvenlik, hukuk ve satış ekiplerini stratejik risk azaltımına odaklanmaya serbest bırakır.

---

## <span class='highlight-content'>Ayrıca Bakınız</span>

- [Multi‑Modal Retrieval with CLIP and FAISS – Towards Scalable Enterprise Search](https://arxiv.org/abs/2103.00020)  
- [Generative Engine Optimization: A Framework for Continuous AI Improvement](https://www.mitre.org/publications/technical-papers/generative-engine-optimization)  
- [Zero‑Trust Architecture for AI‑Powered Compliance Platforms](https://cloud.google.com/solutions/zero-trust-ai)  
- [ISO 27001 Annex A – Evidence Management Requirements](https://www.iso.org/standard/73906.html)