CERT-In Alert: AI एजेंट्स ने लगाई भारतीय कंपनियों के डेटा में सेंध, सरकार ने जारी की चेतावनी
भारत सरकार की प्रमुख साइबर सुरक्षा एजेंसी CERT-In (Indian Computer Emergency Response Team) ने एक गंभीर एडवाइजरी जारी करते हुए देश की कंपनियों को आगाह किया है। एजेंसी के मुताबिक, आर्टिफिशियल इंटेलिजेंस (AI) एजेंट्स ने कई भारतीय कंपनियों के गोपनीय डेटा और सिस्टम्स में बिना अनुमति के सेंध लगा दी है। इस सुरक्षा चूक के चलते AI एजेंट्स ने संवेदनशील बिजनेस रिकॉर्ड और पर्सनल डेटा तक पहुंच बना ली है, जिसका गलत इस्तेमाल साइबर क्रिमिनल्स (हैकर्स) द्वारा किए जाने की आशंका है।
तय दायरे से बाहर जाकर किया काम
CERT-In की रिपोर्ट के अनुसार, दो तरह की मुख्य सेंधमारियों का पता चला है:
- रिसर्च और इवैल्यूएशन वाले AI मॉडल्स: कुछ AI मॉडल्स को रिसर्च और मूल्यांकन के दौरान सिस्टम्स तक एक्सेस मिला था, लेकिन वे अपने निर्धारित और तय कामों के दायरे (Scope) से बाहर निकलकर भारतीय सूचना और संचार प्रौद्योगिकी (ICT) संपत्तियों तक पहुंच गए।
- ओपन-सोर्स AI टूल्स का दुरुपयोग: कई मामलों में साइबर हमलावरों ने जानबूझकर सार्वजनिक रूप से उपलब्ध ओपन-सोर्स एजेंटिक AI टूल्स का गलत इस्तेमाल किया और उन्हें नए रूप में ढालकर भारतीय इंफ्रास्ट्रक्चर पर हमले किए।
एजेंसी ने स्पष्ट किया कि प्रभावित कंपनियां खुद से इस अनधिकृत पहुंच (Unauthorized Access) का पता लगाने में असफल रहीं। हालांकि, अभी तक यह खुलासा नहीं किया गया है कि किन-किन कंपनियों या AI मॉडल प्रोवाइडर्स का इससे असर पड़ा है।
क्रेडेंशियल्स और एपीआई का हुआ दुरुपयोग
एजेंसी के खुलासे के मुताबिक, AI एजेंट्स ने साइबर सुरक्षा की कमियों का फायदा उठाकर लॉगिन क्रेडेंशियल्स और कनेक्शन सेटिंग्स हासिल कर लीं। जिन कंपनियों ने अधूरा सुधार कार्य (Incomplete Patchwork) किया, उन पर कुछ ही दिनों के भीतर दोबारा बड़े पैमाने पर हमले हुए।
हैकर्स इन टूल्स की मदद से हमलों के समय को कई दिनों से घटाकर महज कुछ घंटों पर ले आए हैं, जिससे वे एक साथ मिलकर लगातार वार कर रहे हैं।
सरकार और CERT-In की ओर से सख्त निर्देश
इस गंभीर खतरे से निपटने के लिए CERT-In ने कंपनियों, AI डेवलपर्स और रिसर्च संस्थानों के लिए निम्नलिखित कड़े कदम उठाने की सलाह दी है:
- सुरक्षित वातावरण (Sandboxed Environment): AI मॉडल्स का मूल्यांकन हमेशा ऐसी अलग-थलग जगहों पर होना चाहिए जहां केवल सिंथेटिक क्रेडेंशियल्स का इस्तेमाल हो, ताकि वे किसी थर्ड-पार्टी सिस्टम तक न पहुंच सकें।
- क्रेडेंशियल्स ऑडिट और रोटेशन: कंपनियां तुरंत अपने क्रेडेंशियल्स का ऑडिट करें और उन्हें रोटेट करें। साथ ही, फालतू एपीआई (APIs) को तुरंत हटा दें।
- फॉरेंसिक जांच: यदि किसी अनधिकृत पहुंच की पुष्टि होती है, तो पूरी फोरेंसिक जांच होने तक सिस्टम को असुरक्षित ही माना जाए।
- BFSI और फिनटेक के लिए विशेष निर्देश: बैंकिंग, वित्तीय सेवाओं और फिनटेक संस्थानों को पेमेंट और डिस्बर्समेंट एपीआई से जुड़े सुरक्षा उपायों को कड़ाई से लागू करने की सलाह दी गई है।
वैश्विक स्तर पर भी आ चुके हैं ऐसे मामले
यह पहली बार नहीं है जब AI एजेंट्स द्वारा इस तरह की सेंधमारी की गई हो। इससे पहले जुलाई में OpenAI के करीब 700 अनधिकृत एजेंट्स द्वारा ‘हगिंग फेस’ (Hugging Face) को हैक करने की कोशिश का मामला सामने आया था। इसके अलावा OpenAI एजेंट्स द्वारा अमेरिकी, ऑस्ट्रेलियाई सरकारों और संयुक्त राष्ट्र (UN) की वेबसाइटों तक पहुंचने के प्रयास भी देखे जा चुके हैं। मेटा, एंथ्रोपिक और गूगल जैसी दिग्गज टेक कंपनियां भी इस तरह के सुरक्षा जोखिमों पर चिंता जता चुकी हैं।
About The Author
