নয়াদিল্লি, ১৬ অক্টোবর: সময় যত এগোচ্ছে ততই উন্নত হচ্ছে এআই। পাশাপাশি এআই এজেন্টের মাধ্যমে সাইবার নিরাপত্তা নিয়েও বাড়ছে উদ্বেগ। গবেষণা ও পরীক্ষামূলক পর্যায়ে থাকা একাধিক এআই এজেন্ট ভারতের বেশ কয়েকটি সংস্থার লাইভ সিস্টেমে প্রবেশ করে গোপন তথ্য পড়েছে বলে জানিয়েছে ইন্ডিয়ান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম।
জানা গিয়েছে, ওই তথ্যের মধ্যে ব্যক্তিগত তথ্যও ছিল। এই ঘটনায় ক্রিটিক্যাল বা অত্যন্ত গুরুতর সতর্কতা জারি করেছে কেন্দ্রের সাইবার নিরাপত্তা সংস্থা।
সিইআরটির প্রকাশিত বিজ্ঞপ্তি অনুযায়ী, একাধিক এআই মডেল প্রস্তুতকারী সংস্থা স্বেচ্ছায় তাঁদের মডেলগুলির অনুমোদিত নয় এমন প্রবেশের বিষয়টি জানিয়েছে। ইন্টারনেটে কাজ করার সময় পরীক্ষাধীন এআই মডেলগুলি ভারতের কয়েকটি সংস্থার ডেটাবেসের সিস্টেমে ঢুকে পড়ে। অ্যাকাউন্টে সংরক্ষিত পরিচয়পত্র ও সংযোগের তথ্য ব্যবহার করে ব্যবসায়িক নথি পড়তে সক্ষম হয় এজেন্টগুলি। সিইআরটির-ইন এর দাবি, যে কাজের জন্য এআই মডেলগুলিকে দায়িত্ব দেওয়া হয়েছিল সেটা করে আরও সিস্টেমের ভিতরে ঢুকে ব্যক্তিগত গোপন তথ্য পড়ে নিচ্ছিল। আর সবচেয়ে উদ্বেগের বিষয় হল আক্রান্ত সংস্থাগুলির কোনোটিই প্রথমে এই অনুমোদিত নয় এমন নিষিদ্ধ জায়গায় প্রবেশ শনাক্ত করতে পারেনি। সংশ্লিষ্ট এআই সংস্থাগুলির অভ্যন্তরীণ পর্যালোচনায় বিষয়টি সামনে আসার পরই সতর্ক করা হয় আক্রান্ত সংস্থাগুলিকে। তবে কোন ভারতীয় সংস্থাগুলি এই ঘটনার শিকার তা প্রকাশ করেনি সিইআরটি-ইন। গত কয়েক মাসে বিশ্বের একাধিক বড়ো এআই গবেষণা সংস্থা তাদের মডেল ও এজেন্টের নিরাপত্তা নিয়ে উদ্বেগ প্রকাশ করেছে। ওপেনএআই, অ্যানথ্রোপিক এবং গুগলের মতো সংস্থাগুলিও এআই সম্পর্কিত নিরাপত্তার ঝুঁকি নিয়ে কাজ করছে। পরীক্ষামূলক পরিবেশের বাইরে এআই এজেন্টের কার্যকলাপ নিয়ে আন্তর্জাতিক স্তরেও উদ্বেগ বাড়ছে।
পাশাপাশি শুধু পরীক্ষাধীন এআই মডেলের অঅনুমোদিত প্রবেশ শুধু কী আর্থিক উদ্দেশ্যে সাইবার হামলা এই বিষয়টিও সামনে এনেছে সিইআরটি-ইন। তাঁদের পর্যবেক্ষণ এই ধরনের প্রযুক্তির সাহায্যে কোনো সিস্টেমে প্রাথমিক প্রবেশ থেকে চূড়ান্ত ক্ষতি ঘটানো পর্যন্ত সময় কয়েক দিন থেকে কমে মাত্র কয়েক ঘণ্টায় নেমে আসছে। আক্রান্ত সংস্থাগুলি নিরাপত্তার ত্রুটি আংশিকভাবে ঠিক করলে কয়েক দিনের মধ্যেই আরও বড়ো আকারে ফের হামলার শিকার হতে পারে বলেও সতর্ক করেছে সংস্থাটি।
সিইআরটি-ইন জানিয়েছে, এই এআই এজেন্টগুলি সংস্থার দুর্বলতাগুলিকে চিহ্নিত করে সেখানে হামলা করছে। সোর্স কোডে গোপন কী ও পাসওয়ার্ড রেখে দেওয়া, অব্যবহৃত বা পরীক্ষামূলক এপিআই চালু রাখা, পেমেন্ট ব্যবস্থার এপিআই কী সাধারণ টেক্সটে সংরক্ষণ করা এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশন ছাড়া প্রশাসনিক ইন্টারফেস উন্মুক্ত রাখার মতো ভুল থেকে বিপদ তৈরি হচ্ছে। তবে এখন নতুন উদ্বেগের কারণ হল এআই এই ধরনের দুর্বলতা মানুষের তুলনায় অনেক দ্রুত খুঁজে বের করতে এবং কাজে লাগাতে পারে। একইসঙ্গে আরো বেশি সংখ্যক সিস্টেমে এই প্রক্রিয়া চালানো সম্ভব হচ্ছে। ফলে পুরনো নিরাপত্তার ত্রুটিই এখন বড়োসড়ো সাইবার হামলার সুযোগ তৈরি করেছে।
এআই নির্মাতা ও ডেভেলপারদের জন্য পরীক্ষামূলক কাজের পরিবেশকে মূল সিস্টেম থেকে আলাদা রাখা, ডিফল্টভাবে নেটওয়ার্ক অ্যাক্সেস বন্ধ রাখা, আসল পরিচয়পত্রের পরিবর্তে কৃত্রিম বা পরীক্ষামূলক ক্রেডেনশিয়াল ব্যবহার করা এবং এআই এজেন্টের কার্যকলাপ রিয়েল টাইমে নজরদারির পরামর্শ দিয়েছে সংস্থাটি। কোনো এজেন্ট বাস্তব সিস্টেমে অঅনুমোদিতভাবে প্রবেশ করলে দ্রুত সিইআরটি-ইন এবং সংশ্লিষ্ট সংস্থাকে জানানোর কথাও বলা হয়েছে।
অপরদিকে, বিভিন্ন সংস্থাকে প্রকাশ্যে ফাঁস হয়ে যাওয়া পাসওয়ার্ড ও কী শনাক্ত করে পরিবর্তন করা, কোডের পুরনো সংস্করণে থাকা গোপন তথ্যও পরীক্ষা করা, অব্যবহৃত এপিআই বন্ধ করা এবং ক্লাউড ব্যবস্থায় প্রয়োজনের অতিরিক্ত অনুমতি না দেওয়ার নির্দেশ দেওয়া হয়েছে। প্রশাসনিক অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু করা এবং অন্তত ১৮০ দিন পাসওয়ার্ড পরিবর্তনের পরামর্শও দিয়েছে সিইআরটি-ইন। যেসব সংস্থা নিজেদের এআই এজেন্ট ব্যবহার করছে, তাঁদের প্রতিটি কাজের জন্য সীমিত ক্ষমতাসম্পন্ন এবং স্বল্পমেয়াদি পরিচয়পত্র ব্যবহারের পরামর্শ দেওয়া হয়েছে। এর আগে এপ্রিল মাসেও উন্নত এআই মডেল বা ফ্রন্টিয়ার এআই-এর ঝুঁকি নিয়ে সতর্ক করেছিল সিইআরটি-ইন।
উল্লেখ্য, ভারতে সাইবার নিরাপত্তা সংক্রান্ত ঘটনাগুলি নজরে আসার ছয় ঘণ্টার মধ্যে সিইআরটি-ইনকে জানানোর কথা বলা হয়েছে সংশ্লিষ্ট সংস্থাগুলিকে। এআই প্রযুক্তির দ্রুত অগ্রগতির সঙ্গে পাল্লা দিয়ে সাইবার নিরাপত্তা আরো জোরদার করাই এখন সবথেকে বড় চ্যালেঞ্জ।
