Integrirana provjera dokaza temeljena na nultoj spoznaji za sigurnu automatizaciju upitnika

TL;DR: Ugradnjom nultoznanosti (ZKP) u AI‑generirane dokaze, organizacije mogu automatski potvrditi usklađenost artefakata, zaštititi osjetljive podatke i skratiti vrijeme obrade upitnika za čak 65 %.

Zašto je provjera dokaza nedostajući dijeljak u automatizaciji upitnika

Sigurnosni i usklađeni upitnici evoluirali su iz jednostavnih da/ne obrazaca u složene dosijeke koji zahtijevaju tehničke dokaze (arhitektonske dijagrame, konfiguracijske datoteke, revizijske zapise).
Tradicionalni automatizacijski pipelinei izvrsni su u generiranju odgovora — spajaju fragmente politika, povlače podatke iz SaaS nadzornih ploča i čak sastavljaju narativna objašnjenja pomoću velikih jezičnih modela.
Ono što ne rade dobro je dokaz autentičnosti:

Kad revizori pitaju „Možete li dokazati da zapisi pristupa zaista odražavaju aktivnosti zadnjih 30 dana?“ odgovor mora biti provjerljiv, a ne samo „evo snimka zaslona“. Nultoznanost (ZKP) pruža elegantan odgovor: dokazati da je izjava istinita bez otkrivanja temeljnih zapisa.

Osnovni pojmovi: Nulta znanje u prečemu

Nultoznanost (Zero Knowledge Proof) je interaktivni (ili ne‑interaktivni) protokol u kojem dokazivač uvjerava verifikatora da je izjava S istinita, a da ne otkriva nič​e osim valjanosti S.
Ključna svojstva:

1. Potpunost – Ako je S istinita, pošteni dokazivač uvijek može uvjeriti verificera.
2. Čvrstoća – Ako je S netočna, nijedan prevarantski dokazivač ne može uvjeriti verificera osim s zanemarivom vjerojatnošću.
3. Nultoznanost – Verifikator ne saznaje ništa o svjedoku (privatnim podacima).

Moderni ZKP konstruktci (npr. Groth16, Plonk, Halo2) omogućuju kratke, ne‑interaktivne dokaze koji se mogu generirati i provjeriti u milisekundama, čineći ih praktičnim za radne tokove usklađenosti u stvarnom vremenu.

Arhitektonski plan

Ispod je prikaz visokog nivoa ZKP‑om omogućenog pipelinea dokaza integriranog s tipičnom platformom za upitnike poput Procurize.

  graph LR
    A["Sigurnosni tim"] -->|Učitaj dokaze| B["Pohrana dokaza (Šifrirana)"]
    B --> C["Generator dokaza (AI + ZKP motor)"]
    C --> D["Artikl dokaza (zkSNARK)"]
    D --> E["Usluga verifikacije (Javni ključ)"]
    E --> F["Platforma upitnika (Procurize)"]
    F --> G["Revizor / Preglednik"]
    style A fill:#f9f,stroke:#333,stroke-width:2px
    style G fill:#9f9,stroke:#333,stroke-width:2px

Razlaganje komponenti

Vodič za implementaciju korak po korak

1. Identificirajte zahtjevne tvrdnje

Nisu sve stavke upitnika pogodne za ZKP. Prioritet dajte onima koje uključuju osjetljive sirove podatke:

• “Pružite dokaz o enkripciji podataka u mirovanju.”
• “Pokažite da je privilegirani pristup povučen unutar 24 sata od otpisivanja zaposlenika.”
• “Potvrdite da u zadnjem izdanju ne postoje ranjivosti visokog stupnja.”

Definirajte shemu tvrdnje:

{
  "claim_id": "encryption-at-rest",
  "description": "All stored blobs are encrypted with AES‑256‑GCM",
  "witness_selector": "SELECT blob_id FROM storage_metadata WHERE encrypted = true"
}

2. Izgradite AI ekstraktor tvrdnji

Koristite Retrieval‑Augmented Generation (RAG) pipeline:

from langchain import LLMChain, PromptTemplate
prompt = PromptTemplate.from_template(
    "Given the following policy document, extract the logical claim that satisfies: {question}"
)
chain = LLMChain(llm=OpenAI(gpt-4), prompt=prompt)
claim = chain.run(question="Does the system encrypt data at rest?")

Izlaz je stručnata tvrdnja koja se prosljeđuje ZKP krugu.

3. Kodirajte tvrdnju u ZKP krug

Krug definira matematičku relaciju koja se dokazuje. Za tvrdnju o enkripciji‑u‑miru, krug provjerava da svaki red u tablici metapodataka ima encrypted == true.

pragma circom 2.0.0;

template AllEncrypted(n) {
    signal input encrypted[n];
    signal output all_true;

    component and_gate = AND(n);
    for (var i = 0; i < n; i++) {
        and_gate.in[i] <== encrypted[i];
    }
    all_true <== and_gate.out;
}

component main = AllEncrypted(1024);

Kompilirajte krug, generirajte trusted setup (ili koristite univerzalni SNARK) i dobijte ključeve za dokaz i verifikaciju.

4. Generirajte dokaz

Dokazivač učita šifrirane dokaze iz pohrane, izračuna svjedoka (npr. niz Booleova) i pokrene algoritam dokazivača.

snarkjs groth16 prove verification_key.json witness.wtns proof.json public.json

Datoteka dokaza (proof.json) pohranjuje se uz referencu u Procurize.

5. Verificirajte po potrebi

Kad revizor klikne „Verificiraj” unutar UI‑ja upitnika, platforma poziva mikroservis verifikacije:

POST /verify
Content-Type: application/json

{
  "proof": "...base64...",
  "public_inputs": "...base64...",
  "verification_key_id": "encryption-at-rest-vk"
}

Usluga vraća true/false i kratak zapis verifikacije koji se može arhivirati.

6. Revizijsko zapisivanje

Svaki događaj generiranja i verifikacije dokaza zapisuje se u append‑only ledger (npr. Merkle‑stablo) kako bi se garantirala neizmjenjivost.

{
  "event_id": "2025-11-09-001",
  "timestamp": "2025-11-09T14:23:12Z",
  "type": "proof_generated",
  "claim_id": "encryption-at-rest",
  "proof_hash": "0xabc123..."
}

Kvantificirane prednosti

Pilot projekt s fintech tvrtkom srednje veličine smanjio je vrijeme obrade upitnika s prosječnih 8 dana na 12 sati uz održavanje kriptografskog revizijskog zapisa.

Primjeri iz stvarnog svijeta

1. Pružatelj usluga u oblaku (CSP) – [SOC 2] Tip II Dokazi

CSP je trebao dokazati kontinuiranu enkripciju objekt pohrane bez otkrivanja imena bucket‑a. Generiranjem ZKP‑a nad metapodacima pohrane, priložili su dokaz SOC 2 upitniku. Revizori su potvrdili dokaz u sekundi, eliminirajući potrebu za izvozom podataka.

2. Health‑Tech SaaS – [HIPAA] Usklađenost

HIPAA zahtijeva dokaz da PHI nikada nije pohranjen u plaintextu. SaaS je izgradio krug koji verificira da je svaki zapis zapisa hasha podataka pohranjen prije enkripcije. ZKP demonstrira da su svi zapisi prošli hash‑provjeru, zadovoljavajući revizore a zadržavajući PHI povjerljivim.

3. Prodavač poslovnog softvera – [ISO 27001] Aneks A.12.1.3 / [ISO/IEC 27001 Upravljanje informacijskom sigurnošću]

ISO 27001 traži dokaz upravljanja promjenama. Prodavač je koristio ZKP da dokaže da je svaki zahtjev za promjenom u njihovom Git‑repo‑ju imao potpis odobrenja, a da ne otkriva sam kod.

Integracija s Procurize: Minimalna otpora, maksimalni učinak

Procurize već podržava prilagođene dodatke za obogaćivanje odgovora. Dodavanje ZKP modula sastoji se od tri koraka:

1. Registrirajte provajdera dokaza – učitajte javne ključeve i definirajte šablone tvrdnji u admin sučelju.
2. Mapirajte polja upitnika – za svako pitanje odaberite odgovarajući tip dokaza (npr. „ZKP‑Enkripcija”).
3. Prikaz statusa verifikacije – UI prikazuje zelenu kvačicu ako je verifikacija uspješna, crvenu ako nije, uz poveznicu „prikaz računa”.

Auditor ne mora mijenjati radni tok; jednostavno klikne kvačicu i vidi kriptografski račun.

Mogući problemi i strategije ublažavanja

Budući smjerovi

1. Hibridna nultoznanost i diferencijalna privatnost – kombinirati ZKP s DP‑om za dokaz statističkih svojstava (npr. „< 5 % korisnika ima neuspjele prijave”) uz očuvanje privatnosti.
2. Komponabilni dokazi – lančati više dokaza u jedan sažeti dokaz, omogućujući revizorima da jednim klikom verificiraju cijele pakete usklađenosti.
3. AI‑generirani adaptivni krugovi – koristiti LLM‑ove za automatsku sintezu ZKP krugova iz prirodnog jezika politika, još više skraćujući razvojni ciklus.

Zaključak

Nultoznanost (ZKP) više nije niška kriptografska curiosita; ona je praktični omogućivač za pouzdanu, visokobrzinsku automatizaciju upitnika. Kombiniranjem ZKP‑a s AI‑vođenim ekstrakcijom tvrdnji i integracijom u platforme poput Procurize, organizacije mogu:

• Zaštititi osjetljive podatke uz dokazivanje usklađenosti.
• Ubrzati vrijeme odgovora s tjedana na sate.
• Poveći povjerenje revizora kriptografski provjerljivim dokazima.
• Smanjiti operativne troškove zahvaljujući automatiziranoj, neizmjenjivoj generaciji dokaza.

Usvajanje ZKP‑integriranog pipelinea za dokaze strateški je korak koji budućim zahtjevima sigurnosnih upitnika i regulatorne kontrole pruža buduću otpornost.

Vidi također

• [Zero Knowledge Proofs Explained for Engineers – Cryptography.io]
• [Integrating AI with ZKP for Compliance – IEEE Security & Privacy]
• [Procurize Documentation: Custom Plugin Development]
• [Zero‑Knowledge Proofs in Cloud Audits – Cloud Security Alliance]