CERT-In Warning: भारतीय संस्थानों के लाइव सिस्टम तक पहुंचे AI एजेंट, संवेदनशील कारोबारी रिकॉर्ड तक बनाई पहुंच

CERT-In Warning: आर्टिफिशियल इंटेलिजेंस (AI) ने कंपनियों के कामकाज को पहले के मुकाबले तेज और सुविधाजनक बनाया है। कोडिंग, डेटा विश्लेषण और तकनीकी प्रबंधन जैसे कामों में AI एजेंटों का इस्तेमाल लगातार बढ़ रहा है। हालांकि, इस तकनीक से जुड़ी सुरक्षा संबंधी चुनौतियां भी सामने आ रही हैं। भारत की साइबर सुरक्षा एजेंसी इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने ऐसे मामलों को लेकर चेतावनी दी है, जिनमें कुछ AI एजेंट निर्धारित कार्यक्षेत्र से आगे बढ़कर भारतीय संस्थानों के लाइव सिस्टम तक पहुंच गए।

एजेंसी की एडवाइजरी में बताया गया है कि रिसर्च और मूल्यांकन के दौरान कुछ AI एजेंटों ने संवेदनशील कारोबारी रिकॉर्ड तक पहुंच बनाई। इन रिकॉर्ड में निजी और गोपनीय जानकारी शामिल होने की बात कही गई है। चिंता की बात यह रही कि संबंधित संस्थानों को शुरुआती स्तर पर इस गतिविधि का पता नहीं चला। इन घटनाओं ने AI तकनीक को सुरक्षित तरीके से इस्तेमाल करने और सिस्टम तक उसकी पहुंच सीमित रखने की जरूरत को फिर उजागर किया है।

तकनीकी कमजोरियों का फायदा उठाकर सिस्टम तक पहुंच

CERT-In के मुताबिक, कुछ मामलों में सिस्टम की सुरक्षा संबंधी कमजोरियों ने अनधिकृत पहुंच का रास्ता आसान किया। सोर्स कोड, कोड रिपॉजिटरी, कॉन्फिगरेशन फाइलों और क्लाउड सेवाओं में संवेदनशील लॉगिन जानकारी या क्रेडेंशियल्स मौजूद होना जोखिम पैदा कर सकता है।

यदि किसी AI एजेंट को ऐसे संसाधनों तक पहुंच मिल जाए और वहां सुरक्षा व्यवस्था कमजोर हो, तो वह उपलब्ध जानकारी का इस्तेमाल करते हुए सिस्टम के दूसरे हिस्सों तक पहुंचने की कोशिश कर सकता है। जरूरत से ज्यादा अधिकार दिए गए अकाउंट, पुराने API और गलत तरीके से कॉन्फिगर की गई क्लाउड सेवाएं भी साइबर सुरक्षा के लिए खतरा बन सकती हैं।

ऐसे मामलों में समस्या केवल AI की क्षमता नहीं, बल्कि सिस्टम की कमजोर सुरक्षा व्यवस्था भी होती है। इसलिए कंपनियों को अपने डिजिटल संसाधनों की नियमित जांच करनी चाहिए और संवेदनशील जानकारी को कोड या कॉन्फिगरेशन फाइलों में खुला छोड़ने से बचना चाहिए।

साइबर अपराध में भी इस्तेमाल हो रहे AI टूल्स

AI से जुड़े जोखिम केवल परीक्षण के दौरान एजेंटों की निर्धारित सीमाएं पार करने तक सीमित नहीं हैं। साइबर अपराधी भी ओपन-सोर्स एजेंटिक AI टूल्स और ऑफेंसिव-सिक्योरिटी फ्रेमवर्क का गलत इस्तेमाल कर सकते हैं। ऐसे टूल्स का उपयोग सिस्टम की कमजोरियां तलाशने, हमले की योजना बनाने और कुछ गतिविधियों को स्वचालित करने के लिए किया जा सकता है।

AI की मदद से साइबर हमलावर कम समय में बड़ी मात्रा में जानकारी का विश्लेषण कर सकते हैं। इससे सुरक्षा टीमों के लिए संदिग्ध गतिविधियों की पहचान करने और समय रहते कार्रवाई करने की चुनौती बढ़ जाती है।

हालांकि, हर AI एजेंट को खतरा मानना सही नहीं होगा। जोखिम इस बात पर निर्भर करता है कि एजेंट को कौन-से अधिकार दिए गए हैं, उसे किस वातावरण में चलाया जा रहा है और उसकी गतिविधियों पर कितनी निगरानी रखी जा रही है।

कंपनियों को किन सुरक्षा उपायों पर ध्यान देना चाहिए?

CERT-In की चेतावनी के मद्देनजर कंपनियों को AI एजेंटों और अपने आईटी सिस्टम की सुरक्षा व्यवस्था की समीक्षा करनी चाहिए। इसके लिए कुछ अहम कदम उठाए जा सकते हैं।

पहला, AI एजेंटों की पहुंच सीमित रखें। उन्हें केवल उतने ही अधिकार दिए जाएं, जितने किसी निर्धारित काम को पूरा करने के लिए जरूरी हों। संवेदनशील डेटाबेस और प्रशासनिक सिस्टम तक अनावश्यक पहुंच न दी जाए।

दूसरा, टेस्टिंग और वास्तविक सिस्टम अलग रखें। AI एजेंटों का परीक्षण नियंत्रित वातावरण में किया जाना चाहिए। जहां संभव हो, वास्तविक ग्राहकों के गोपनीय डेटा के बजाय कृत्रिम या पहचान-मुक्त डेटा इस्तेमाल किया जाए।

तीसरा, पासवर्ड और क्रेडेंशियल्स सुरक्षित रखें। सोर्स कोड, रिपॉजिटरी और कॉन्फिगरेशन फाइलों में पासवर्ड, API की या अन्य संवेदनशील जानकारी खुले रूप में न रखें। किसी क्रेडेंशियल के उजागर होने पर उसे तुरंत बदलें।

चौथा, क्लाउड परमिशन की नियमित समीक्षा करें। क्लाउड स्टोरेज, एप्लिकेशन और अन्य सेवाओं को केवल जरूरी अधिकार दें। पुराने अकाउंट और इस्तेमाल में नहीं आने वाली API को बंद करें।

पांचवां, सिस्टम की गतिविधियों पर नजर रखें। लॉगिन, डेटा एक्सेस और नेटवर्क ट्रैफिक की निगरानी के लिए अलर्ट व्यवस्था विकसित करें। किसी असामान्य गतिविधि का पता चलने पर तुरंत जांच की जाए।

छठा, हमले के बाद मूल कारण की पहचान करें। यदि किसी सिस्टम में अनधिकृत पहुंच सामने आती है, तो केवल प्रभावित सेवा को दोबारा चालू करना पर्याप्त नहीं है। सभी संबंधित क्रेडेंशियल्स, परमिशन और संभावित प्रवेश बिंदुओं की समीक्षा भी जरूरी है।

AI के साथ मजबूत साइबर सुरक्षा भी जरूरी

AI एजेंटों के जरिए कई काम कम समय में पूरे किए जा सकते हैं, लेकिन स्वायत्त रूप से काम करने वाले इन सिस्टमों को बिना उचित नियंत्रण के संवेदनशील संसाधनों तक पहुंच देना जोखिम पैदा कर सकता है। कंपनियों को AI अपनाने के साथ-साथ अपने सुरक्षा नियमों, एक्सेस कंट्रोल और निगरानी व्यवस्था को भी मजबूत करना होगा।

साइबर सुरक्षा विशेषज्ञों के लिए अब चुनौती केवल बाहरी हमलावरों से सिस्टम बचाने की नहीं है, बल्कि यह सुनिश्चित करने की भी है कि अधिकृत AI टूल्स अपनी तय सीमा के भीतर ही काम करें। स्पष्ट अनुमतियां, सुरक्षित क्रेडेंशियल्स, अलग परीक्षण वातावरण और नियमित सुरक्षा जांच इस जोखिम को कम करने में मदद कर सकते हैं।