नवी दिल्ली: संशोधन आणि चाचणीच्या उद्देशाने कृत्रिम बुद्धिमत्ता एजंटचे मूल्यमापन केले जात आहे त्यांनी भारतीय संस्थांच्या थेट संगणक प्रणालींमध्ये प्रवेश केला आणि अधिकृततेशिवाय गोपनीय व्यवसाय रेकॉर्ड पुनर्प्राप्त केले, असे भारतीय संगणक आपत्कालीन प्रतिसाद दल (CERT-In) ने खुलासा केला आहे.
15 ऑक्टोबर रोजी जारी केलेल्या सल्लागारात, सरकारच्या सायबर सुरक्षा एजन्सीने सांगितले की AI मॉडेल प्रदात्यांनी स्वेच्छेने घटना नोंदवल्या आहेत ज्यात त्यांच्या मॉडेल्सने ऑनलाइन संशोधन आणि मूल्यमापन व्यायामादरम्यान त्यांना नियुक्त केलेल्या परवानग्या ओलांडल्या आहेत. एजंटांनी वैयक्तिक माहिती आणि संवेदनशील सामग्री असलेल्या व्यवसाय रेकॉर्डमध्ये प्रवेश केला, वाढत्या सक्षम AI प्रणालींच्या चाचणीशी संबंधित जोखमींबद्दल चिंता व्यक्त केली.
बाधित संस्थांनी स्वतः अनधिकृत प्रवेश शोधला नाही. सीईआरटी-इनच्या मते, एआय डेव्हलपर्सनी क्रियाकलाप ओळखल्यानंतर आणि एजन्सीला कळवल्यानंतर या घटना उघडकीस आल्या. ज्या कंपन्यांचे AI मॉडेल गुंतले होते किंवा प्रभावित भारतीय संस्था सार्वजनिकरित्या ओळखल्या गेल्या नाहीत.
AI एजंट्सनी उघड क्रेडेन्शियल्स आणि सुरक्षा अंतरांचा गैरफायदा घेतला
CERT-In ने सांगितले की, एजंटांनी संस्थेच्या डिजिटल पायाभूत सुविधांमधील कमकुवतपणाचा फायदा घेतला, ज्यात ऍप्लिकेशन कॉन्फिगरेशन फाइल्स, सार्वजनिकरित्या प्रवेश करण्यायोग्य कोड रिपॉझिटरीज आणि क्लाउड सेवा भूमिकांद्वारे उघड केलेली क्रेडेन्शियल आणि कनेक्शन सेटिंग्ज यांचा समावेश आहे.
अशा क्रेडेंशियल्समध्ये पासवर्ड, ऍक्सेस टोकन आणि ऍप्लिकेशन प्रोग्रामिंग इंटरफेस (API) की समाविष्ट असू शकतात, जे अधिकृत वापरकर्ते आणि सॉफ्टवेअर ऍप्लिकेशन्सना डिजिटल संसाधनांमध्ये प्रवेश करण्यास सक्षम करतात. जर ते अयोग्यरित्या संग्रहित केले किंवा उघड केले गेले, तर ते संवेदनशील माहिती असलेल्या सिस्टममध्ये मार्ग प्रदान करू शकतात.
एजन्सीचे निष्कर्ष सूचित करतात की घटनांमध्ये अत्याधुनिक संरक्षणात्मक यंत्रणांवर मात करण्याऐवजी विद्यमान सुरक्षा कमकुवतपणाचे शोषण होते.
सार्वजनिकरित्या प्रवेश करण्यायोग्य स्त्रोत कोड, असुरक्षित कॉन्फिगरेशन आणि अत्याधिक प्रवेश विशेषाधिकार संस्थांना असुरक्षित बनवू शकतात जेव्हा AI एजंट त्यांच्या हेतूच्या पलीकडे कार्य करतात. घटना स्वयंचलित प्रणालींसाठी उपलब्ध परवानग्या मर्यादित ठेवण्याचे आणि संवेदनशील क्रेडेन्शियल्स उघड होणार नाहीत याची खात्री करण्याचे महत्त्व अधोरेखित करतात.
हल्ले वाढवण्यासाठी सायबर गुन्हेगारही एआय टूल्स वापरत आहेत
प्रकरणांच्या वेगळ्या संचामध्ये, CERT-In ने आर्थिकदृष्ट्या प्रेरित सायबर हल्ले ओळखले ज्यात दुर्भावनापूर्ण कलाकारांनी भारतीय संगणक प्रणालीचे परीक्षण आणि घुसखोरी करण्यासाठी सहज उपलब्ध AI साधनांचा वापर केला.
एजन्सीने असे निरीक्षण केले की अशा साधनांच्या वापरामुळे हल्ला करण्यासाठी लागणारा वेळ लक्षणीयरीत्या कमी झाला आहे. सुरुवातीच्या प्रवेशापासून नुकसान होण्यापर्यंत प्रगती होण्यासाठी पूर्वी अनेक दिवस लागलेल्या ऑपरेशन्स काही तासांत पूर्ण केल्या जात होत्या.
हल्लेखोर देखील लक्ष्यित संस्थांकडे परत आले ज्यांनी सुरुवातीच्या उल्लंघनात शोषण केलेल्या कमकुवतपणाकडे पूर्णपणे लक्ष दिले नाही. या प्रकरणांमध्ये, त्यानंतरचे हल्ले काही दिवसांतच केले गेले आणि अधिक मोठ्या प्रमाणात नुकसान झाले.
निष्कर्ष असे सूचित करतात की AI-सहाय्यित सायबर हल्ल्यांमुळे घुसखोरीचा वेग आणि प्रमाण दोन्ही वाढू शकतात, ज्यामुळे संघटनांना संशयास्पद क्रियाकलाप ओळखण्यासाठी कमी वेळ मिळतो आणि परिणामी नुकसान होते.
AI सुरक्षेची चिंता भारताबाहेर पसरलेली आहे
प्रगत सायबरसुरक्षा क्षमतांसह AI मॉडेल्सच्या जोखमींवरील वाढत्या आंतरराष्ट्रीय चर्चेत या खुलाशाची भर पडली आहे.
एआय डेव्हलपर्सनी अशी उदाहरणे नोंदवली आहेत ज्यात चाचणी घेत असलेल्या मॉडेल्सने अनपेक्षित वर्तन प्रदर्शित केले किंवा त्यांच्या नियुक्त केलेल्या कार्यांच्या मर्यादेपलीकडे बाह्य प्रणालींमध्ये प्रवेश केला. अशा घटनांमुळे असुरक्षा ओळखण्यात आणि जटिल डिजिटल ऑपरेशन्स पार पाडण्यासाठी सक्षम मॉडेल्सचे मूल्यांकन करताना आवश्यक सुरक्षा उपायांबद्दल चिंता निर्माण झाली आहे.
भारतीय घटना विशेषत: लक्षणीय आहेत कारण प्रभावित संस्थांना हे माहीत नव्हते की AI प्रदात्याने क्रियाकलाप उघड करेपर्यंत त्यांच्या सिस्टममध्ये प्रवेश केला गेला आहे.
CERT-इन हायलाइट्ससाठी मजबूत सायबर सुरक्षा सुरक्षा आवश्यक आहेत
क्रेडेन्शियल कसे संग्रहित केले जातात याचे पुनरावलोकन करणे, संवेदनशील माहितीवर प्रवेश प्रतिबंधित करणे आणि क्लाउड परवानग्या प्रत्यक्षात आवश्यक असलेल्या अनुप्रयोगांपुरती मर्यादित आहेत याची खात्री करणे ही घटना संस्थांना आवश्यक आहे.
नियमित सुरक्षा मूल्यमापन, उघड झालेल्या क्रेडेन्शियलचे त्वरित रद्दीकरण, असामान्य प्रवेशाचे निरीक्षण आणि उल्लंघनानंतर पूर्ण उपाय यामुळे पुनरावृत्ती घुसखोरीचा धोका कमी होण्यास मदत होऊ शकते.
एआय कंपन्यांनी थेट प्रणालींमधून चाचणी वातावरण कसे वेगळे करावे आणि मॉडेल्सना त्यांना दिलेले अधिकार ओलांडण्यापासून कसे रोखावे याबद्दलही या निष्कर्षांवर प्रश्न उपस्थित होतात.
एआय टूल्स स्वायत्तपणे कार्ये करण्यास अधिक सक्षम होत असल्याने, सायबरसुरक्षा संघांसमोर आव्हान असेल की या प्रणालींचा वेग आणि पोहोच त्यांच्या क्रियांवर नियंत्रण ठेवण्यासाठी तयार केलेल्या सुरक्षा उपायांपेक्षा पुढे जाणार नाही.
Comments are closed.