Gizli Satıcı Anket Yanıtları İçin Güvenli Çok Taraflı Hesaplama Destekli AI

Giriş

Güvenlik anketleri, B2B SaaS sözleşmelerinin kapı bekçileri gibidir. Altyapı, veri işleme, olay müdahalesi ve uyumluluk kontrolleri hakkında ayrıntılı bilgi talep ederler. Satıcılar, çeyrek başına onlarca anket yanıtlamalıdır; bu anketler genellikle hassas iç veri içerir—mimari diyagramlar, ayrıcalıklı kimlik bilgileri veya tescilli süreç tanımları.

Geleneksel AI‑driven otomasyon, örneğin Procurize AI Engine, yanıt üretimini büyük ölçüde hızlandırsa da genellikle ham kaynak materyale merkezi erişim gerektirir. Bu merkeziyetçilik iki büyük riski beraberinde getirir:

1. Veri Sızıntısı – AI modeli ya da altında yatan depolama ele geçirildiğinde gizli şirket bilgileri açığa çıkabilir.
2. Regülasyon Uyumsuzluğu – GDPR, CCPA ve yeni veri‑egemenlik yasaları, kişisel ya da tescilli verilerin nerede ve nasıl işleneceğine sınırlamalar getirir.

İşte Secure Multiparty Computation (SMPC) devreye giriyor—girdi verilerini gizli tutarken bir fonksiyonu ortak olarak hesaplamayı sağlayan kriptografik bir protokol. SMPC’yi üretken AI ile birleştirerek ham veri AI modeline ya da tek bir işlem düğümüne asla ifşa edilmeden doğru ve denetlenebilir anket yanıtları üretebiliriz.

Bu makale, Secure‑SMPC‑AI boru hattının teknik temellerini, pratik uygulama adımlarını ve iş faydalarını, Procurize platformuna özel olarak ele alıyor.

Temel çıkarım: SMPC‑güçlendirilmiş AI, otomasyon hızı ve sıfır‑bilgi gizliliği garantisi sunarak SaaS firmalarının güvenlik anketlerine yanıt verme şeklini yeniden tanımlıyor.

1. Güvenli Çok Taraflı Hesaplamanın Temelleri

Secure Multiparty Computation, her biri özel bir girdi tutan katılımcıların, bu girdileri gizli tutarak ortak bir f fonksiyonunu hesaplamasını sağlar:

• Doğruluk – Tüm taraflar doğru çıktıyı f(x₁, x₂, …, xₙ) alır.
• Gizlilik – Çıktıdan çıkarılabilecekler haricinde, hiçbir taraf diğerinin girdileri hakkında bir şey öğrenmez.

SMPC protokolleri iki ana ailede toplanır:

Bizim senaryomuz—metin çıkarımı, anlamsal benzerlik ve kanıt sentezi—için additive secret sharing en iyi ölçeklenebilirlik sağlar; çünkü yüksek‑boyutlu vektör işlemlerini modern MPC çerçeveleri (MP‑SPDZ, CrypTen, Scale‑MPC) ile verimli bir şekilde yürütür.

2. Mimari Genel Görünümü

Aşağıda, SMPC‑güçlendirilmiş AI’nın Procurize içinde uçtan uca akışını gösteren yüksek‑seviye bir Mermaid diyagramı yer alıyor.

  graph TD
    A["Veri Sahibi (Şirket)"] -->|Şifrele & Paylaş| B["SMPC Düğümü 1 (AI Hesaplama)"]
    A -->|Şifrele & Paylaş| C["SMPC Düğümü 2 (Politika Deposu)"]
    A -->|Şifrele & Paylaş| D["SMPC Düğümü 3 (Denetim Defteri)"]
    B -->|Güvenli Vektör İşlemleri| E["LLM Çıkarımı (Şifreli)"]
    C -->|Politika Getirimi| E
    D -->|Kanıt Oluşturma| F["Sıfır‑Bilgi Denetim Kanıtı"]
    E -->|Şifreli Yanıt| G["Yanıt Toplayıcı"]
    G -->|Açığa Çıkarılan Yanıt| H["Satıcı Anket UI"]
    F -->|Denetim İzleme| H

Bileşenlerin Açıklaması

• Veri Sahibi (Şirket) – Tescilli belgeler (ör. SOC 2 raporları, mimari diyagramlar) tutar. İşleme başlamadan önce bu belgeler gizli paylara bölünerek SMPC düğümlerine dağıtılır.
• SMPC Düğümleri – Paylar üzerinde bağımsız olarak hesaplama yapar. Düğüm 1 LLM çıkarım motorunu (ör. ince ayarlı Llama‑2) şifreli ortamda çalıştırır. Düğüm 2 politik bilgi grafiklerini (ISO 27001 kontrolleri gibi) aynı şekilde gizli paylaşır. Düğüm 3 değişmez denetim defteri (blokzincir ya da ek‑ekleme kaydı) tutar; bu kayıt isteğin meta verilerini saklar, ham veriyi ifşa etmez.
• LLM Çıkarımı (Şifreli) – Model, parçalanmış belgelerden elde edilen şifreli gömmeleri alır, şifreli yanıt vektörleri üretir ve yanıt toplayıcıya döner.
• Yanıt Toplayıcı – Tüm hesaplamalar bittiğinde yalnızca düz metin yanıtı yeniden birleştirir; ara aşamalarda hiçbir veri sızmaz.
• Sıfır‑Bilgi Denetim Kanıtı – Düğüm 3, yanıtın belirlenen politika kaynaklarından türetilmiş olduğunu, kaynakların kendisini ifşa etmeden kanıtlayan bir zk‑SNARK üretir.

3. Ayrıntılı İş Akışı

3.1 İçeri Aktarma & Gizli Paylaşım

1. Belge Normalizasyonu – PDF, Word ve kod dosyaları düz metne dönüştürülür, tokenleştirilir.
2. Gömme Üretimi – Hafif bir enkoder (ör. MiniLM) her paragraf için yoğun vektörler oluşturur.
3. Additive Gizli Bölme – Her vektör v için rastgele paylar v₁, v₂, v₃ oluşturulur; v = v₁ + v₂ + v₃ (mod p).
4. Dağıtım – Paylar TLS üzerinden üç SMPC düğümüne gönderilir.

3.2 Politika Bağlamının Güvenli Getirilmesi

• Politika bilgi grafı (kontroller, standart eşlemeleri) şifreli olarak düğümler arasında tutulur.
• Bir anket sorusu geldiğinde (ör. “Veri‑dinlenme şifrelemenizi açıklayın”), güvenli küme‑kesişim yöntemiyle ilgili politika maddeleri bulunur; bütün grafik açığa çıkarılmaz.

3.3 Şifreli LLM Çıkarımı

• Şifreli gömmeler ve alınan politika vektörleri, gizlilik‑optimize transformera gizli paylar halinde beslenir.
• FHE‑uyumlu attention ve MPC‑optimize softmax gibi teknikler, en olası yanıt token dizisini şifreli alanda hesaplar.

3.4 Yeniden Birleştirme & Denetlenebilir Kanıt

• Şifreli yanıt tokenları hazır olduğunda Yanıt Toplayıcı payları toplayarak düz metin yanıtı yeniden oluşturur.
• Aynı anda Düğüm 3, aşağıdaki şartları kanıtlayan bir Zero‑Knowledge Succinct Non‑interactive Argument of Knowledge (zk‑SNARK) üretir:
  • Doğru politika maddesi seçimi.
  • Ham belge içeriğinin hiçbir şekilde sızdırılmadığı.

3.5 Kullanıcıya Teslim

• Son yanıt, Procurize UI’de kriptografik kanıt rozetı ile birlikte gösterilir.
• Denetçiler, rozetı kamu doğrulama anahtarıyla doğrulayarak uyumluluğu kontrol eder; altta yatan belgeleri talep etmez.

4. Güvenlik Garantileri

5. Performans Değerlendirmeleri

SMPC ek bir maliyet getirirken modern iyileştirmeler, anket otomasyonu için kabul edilebilir gecikmeler sağlar:

Temel İyileştirmeler

• Toplu İşleme – Aynı paylar üzerinden birden çok anket sorusu paralel olarak işlenir.
• Hibrit Protokol – Yoğun lineer cebir için gizli paylaşım, doğrusal olmayan fonksiyonlar (karşılaştırma vb.) için garbled circuits kullanılır.
• Uç‑Uç Dağıtım – Bir SMPC düğümü şirket içi ağda (on‑prem) barındırılarak dış bulut güvenine bağımlılık azalır.

6. Procurize ile Entegrasyon

Procurize şu anda sunar:

• Belge Deposu – Uyumluluk belgeleri için merkezi saklama.
• Anket Oluşturucu – Anket tasarımı, atama ve izleme UI’ı.
• AI Motoru – Yanıt üretimi için ince ayarlı LLM.

SMPC‑AI’yı eklemek için:

1. SMPC Modunu Etkinleştir – Yönetim panelinde bir bayrak (flag) açılır.
2. SMPC Düğümlerini Sağla – Üç Docker konteyneri (Düğüm 1‑3) resmi procurize/smpc-node imajı ile dağıtılır; konteynerler platform orkestrasyon katmanına otomatik kaydolur.
3. Politika Grafını Tanımla – Mevcut politika eşlemeleri JSON‑LD formatına dışa aktarılır; platform şifreleyip düğümlere dağıtır.
4. Denetlenebilir Kanıtları Yapılandır – Bir kamu doğrulama anahtarı girilir; UI otomatik olarak kanıt rozetlerini gösterir.
5. Güvenli LLM’i Eğit – Standart AI motoruyla aynı veri seti kullanılır; ancak model ağırlıkları Düğüm 1’de seal edilmiş enclave (Intel SGX vb.) içinde yüklenir.

7. Gerçek Dünya Örneği: FinTech Satıcı Denetimi

Şirket: FinFlow – orta ölçekli bir FinTech SaaS sağlayıcısı.

Sorun: Banka ortakları çeyrek bazlı denetimlerde veri‑dinlenme şifrelemesi detaylarını talep ediyordu. Şirketin şifreleme anahtarları ve anahtar‑yönetim politikaları sınıflandı; üçüncü‑taraf bir AI servisine yüklenemezdi.

Çözüm:

1. FinFlow, SMPC‑AI düğümlerini şu şekilde dağıttı – Düğüm 1 Azure Confidential Compute VM’de, Düğüm 2 şirket veri merkezinde, Düğüm 3 Hyperledger Fabric katılımcısı olarak.
2. Şifreleme‑politika belgesi (5 MB) gizli paylara bölünerek düğümlere aktarıldı.
3. “Anahtar yenileme takvimini açıklayın” sorusu 4.2 saniye içinde cevaplandı; yanıtın doğruluğu bir zk‑SNARK kanıtıyla birlikte sunuldu.
4. Banka denetçileri, kanıtı kamu anahtarıyla doğrulayarak yanıtın FinFlow’un iç politikalarına dayandığını, politikaların kendisini görmediğini kanıtladı.

Sonuç: Denetim süresi 7 günden 2 saate düştü; uyumsuzluk raporu hiç alınmadı.

8. Gelecek Yönelimler

Sonuç

Secure Multiparty Computation’ı üretken AI ile birleştirmek, gizlilik‑ilkeli, denetlenebilir ve ölçeklenebilir bir güvenlik anketi otomasyonu sunar. Bu yaklaşım, modern SaaS firmalarının üç kritik ihtiyacını karşılar:

1. Hız – Gerçek‑zamanlı yanıtlar, sözleşme sürecini hızlandırır.
2. Güvenlik – Tescilli veriler hiçbir zaman tek bir sahibiyle paylaşılmaz; veri sızıntısı ve regülasyon ihlalleri önlenir.
3. Güven – Kriptografik kanıtlar, müşterilere ve denetçilere yanıtların iç politika temelli üretildiğini gösterir.

SMPC‑AI’yı Procurize üzerine entegre ederek, kuruluşlar manuel bir darboğazı rekabet avantajına dönüştürebilir; sözleşme kapanışlarını hızlandırırken en yüksek gizlilik standartlarını koruyabilir.

İlgili Bağlantılar

• Procurize Blog: CI/CD İş Akışlarına AI‑Destekli Uyumluluk Entegrasyonu