नई दिल्ली : भारत की साइबर सुरक्षा एजेंसी सीईआरटी-इन ने ‘गंभीर’ चेतावनी जारी करते हुए कहा है कि कृत्रिम मेधा (एआइ) आधारित स्वायत्त एजेंट ने बिना अनुमति भारतीय संगठनों की सक्रिय प्रणाली और गोपनीय डेटा तक पहुंच बनाई है. साथ ही, साइबर हमलावर तेजी से साइबर हमले करने के लिए मुक्त स्रोत वाले एआइ एजेंट उपकरणों का इस्तेमाल कर रहे हैं. ‘एआइ एजेंट्स ऐज अटैक वेक्टर्स’ शीर्षक वाले अपने परामर्श (सीआइएडी-2026-0049) में भारतीय कंप्यूटर आपात प्रतिक्रिया दल (सीईआरटी-इन) ने भारतीय संस्थाओं के सूचना एवं संचार प्रौद्योगिकी (आइसीटी) बुनियादी ढांचे को निशाना बनाने वाली घटनाओं की दो अलग-अलग श्रेणियों का उल्लेख किया है. (नीचे भी पढ़ें)
पहली श्रेणी की घटनाओं में एआइ मॉडल बनाने वाली कंपनियों ने स्वेच्छा से खुलासा किया कि शोध एवं मूल्यांकन के दौर से गुजर रहे स्वायत्त एआइ मॉडल और एजेंट अपने निर्धारित कार्यों के लिए मिली अनुमति की सीमा से आगे निकल गए तथा भारतीय संगठनों की सक्रिय प्रणाली तक पहुंच गए. एजेंसी ने कहा कि इन गतिविधियों के दौरान एआइ एजेंट ने व्यक्तिगत जानकारी और गोपनीय सामग्री वाले कारोबारी रिकॉर्ड पढ़े. खास बात यह रही कि प्रभावित संगठनों में से कोई भी अपने स्तर पर इसका पता नहीं लगा पाया. हर मामले में घटना का खुलासा एआइ मॉडल बनाने वाली कंपनी की आंतरिक समीक्षा के बाद किया गया. (नीचे भी पढ़ें)
एजेंसी ने पाया कि साइबर अपराधी सार्वजनिक रूप से उपलब्ध एआइ आधारित आक्रामक सुरक्षा ढांचे का इस्तेमाल कर भारतीय संस्थाओं के खिलाफ वित्तीय लाभ के उद्देश्य से अभियान चला रहे थे. इन गतिविधियों में लक्ष्यों की जानकारी जुटाना, सुरक्षा कमजोरियों का फायदा उठाना और साइबर हमले करना शामिल था. एजेंसी ने कहा कि इन उपकरणों को लगातार नए रूप में तैयार कर दोबारा इस्तेमाल किया जा रहा है. ऐसे कई उपकरणों की तैनाती विभिन्न देशों के सर्वरों पर देखी गई है. सीईआरटी-इन के अनुसार, इस अभियान में एआइ एजेंट आधारित उपकरणों ने शुरुआती पहुंच हासिल करने और अंतिम नुकसान पहुंचाने के बीच का समय कई दिनों से घटाकर कुछ घंटों तक कर दिया. (नीचे भी पढ़ें)
सीईआरटी-इन ने कहा कि हाल में सामने आई एआइ एजेंट से जुड़ी सभी घटनाओं में मूल कमजोरियां पारंपरिक सुरक्षा चूकों से संबंधित थीं. इनमें सोर्स कोड, सार्वजनिक रिपॉजिटरी के पुराने रिकॉर्ड, कॉन्फिगरेशन फाइल, क्लाइंट एप्लिकेशन और सार्वजनिक वेब सामग्री में क्रेडेंशियल तथा सुरक्षा कुंजियों का उजागर होना शामिल था. इसके अलावा, निष्क्रिय, पुराने और परीक्षण के लिए इस्तेमाल किए जाने वाले एप्लिकेशन प्रोग्रामिंग इंटरफेस (एपीआइ) इंटरनेट के लिए खुले छोड़ दिए गए थे. भुगतान संबंधी एपीआइ की कुंजियां साधारण पाठ (टेक्स्ट) में रखी गई थीं, क्लाउड और बैकएंड सेवाओं में जरूरत से ज्यादा अधिकार दिए गए थे तथा इंटरनेट से पहुंच योग्य प्रबंधन इंटरफेस और ऐसे मिडलवेयर मौजूद थे, जिन्हें सुरक्षा अपडेट नहीं मिले थे तथा जिन पर कमजोर पासवर्ड थे या बहु-कारक प्रमाणीकरण की व्यवस्था नहीं थी. एआइ एजेंट ने इन कमजोरियों का पता लगाया और उनका फायदा मानव हमलावरों की तुलना में अधिक तेजी, व्यापकता और बड़े पैमाने पर उठाया. (नीचे भी पढ़ें)
इस खतरे को कम करने के लिए सीईआरटी-इन ने संगठनों और सेवा प्रदाताओं से अपने सोर्स कोड, रिपॉजिटरी और उनमें बदलाव के पुराने रिकॉर्ड, कॉन्फिगरेशन फाइल, क्लाइंट एप्लिकेशन तथा क्लाउड स्टोरेज की जांच करने को कहा है, ताकि उजागर क्रेडेंशियल का पता लगाया जा सके. संस्थाओं को उजागर क्रेडेंशियल बदलने और उन्हें कोड के पुराने रिकॉर्ड से हटाने, निष्क्रिय, पुराने और परीक्षण वाले एपीआइ बंद करने, क्लाउड सेवाओं और अपने एआइ एजेंटों को केवल जरूरी अधिकार देने, प्रशासनिक इंटरफेस को इंटरनेट से हटाने, बहु-कारक प्रमाणीकरण अनिवार्य करने तथा हमलों की निगरानी करने की सलाह दी गई है. साथ ही, कम से कम 180 दिन तक ‘लॉग’ सुरक्षित रखने को कहा गया है. (नीचे भी पढ़ें)
एजेंसी ने कहा कि क्रेडेंशियल उजागर होने या घुसपैठ की पुष्टि होने के बाद संगठनों को अपनी पूरी प्रणाली को तब तक प्रभावित मानना चाहिए, जब तक फॉरेंसिक जांच से उसके सुरक्षित होने की पुष्टि न हो जाए. उन्हें कुछ दिनों से लेकर कुछ सप्ताह के भीतर दोबारा हमले की कोशिशों के लिए भी तैयार रहना चाहिए. इस सलाह पर टिप्पणी करते हुए कैस्पर्स्की में भारत के महाप्रबंधक जयदीप सिंह ने कहा कि यह ‘‘सही समय पर दी गई और यह याद दिलाने वाली चेतावनी है कि एआइ एजेंट अब केवल उत्पादकता बढ़ाने वाले उपकरण नहीं रह गए हैं.’’ सिंह ने कहा, ‘‘हर एजेंट का रिकॉर्ड रखा जाना चाहिए, उसे सैंडबॉक्स वाले अलग परिवेश में रखा जाना चाहिए, उस पर डिफॉल्ट रूप से सभी पहुंच रोकने वाले नियम लागू होने चाहिएं और कोई भी ऐसा कदम उठाने से पहले मानव की मंजूरी लेना अनिवार्य होना चाहिए, जिसे बाद में बदला न जा सके.’’
