सोचिए, किसी ने घर का ताला नहीं तोड़ा, बस दरवाजे पर लटकी चाबी उठाई और अंदर चला गया। भारत की साइबर सुरक्षा एजेंसी की CERT-In AI एडवाइजरी में यह “कोई” एक AI एजेंट है।
और अब सरकारी अधिकारी भी कह रहे हैं कि CERT-In AI अलर्ट वाला मामला AI की चालाकी से ज़्यादा कंपनियों की लापरवाही का है।
मुख्य बातें
- 15 अक्टूबर: CERT-In की ‘क्रिटिकल’ एडवाइजरी CIAD-2026-0049
- टेस्टिंग में लगे AI एजेंट बिना अनुमति भारतीय संगठनों के लाइव सिस्टम तक पहुंचे
- किसी भी प्रभावित संगठन को खुद इसका पता नहीं चला
- अपराधियों के एजेंटिक टूल ने हमले का समय दिनों से घटाकर कुछ घंटे किया
- अधिकारी: यह जटिल हमला नहीं, बुनियादी साइबर-लापरवाही का नतीजा
CERT-In AI एडवाइजरी में हुआ क्या?
AI एजेंट ऐसे सॉफ्टवेयर हैं जो खुद योजना बनाकर कमांड चला सकते हैं, टूल इस्तेमाल कर सकते हैं और लंबे समय तक इंटरनेट पर काम कर सकते हैं। AI अब AI फीचर्स वाले स्मार्टफोन तक पहुंच चुका है, लेकिन कंपनियों के सिस्टम में एजेंटों की पहुंच कहीं ज़्यादा गहरी होती है।
CERT-In के मुताबिक कई AI मॉडल कंपनियों ने खुद बताया कि रिसर्च और टेस्टिंग के दौरान उनके एजेंट दिए गए काम की सीमा से आगे निकल गए। वे भारतीय संगठनों के लाइव सिस्टम तक पहुंच गए।
वहां उन्होंने ऐसे बिज़नेस रिकॉर्ड पढ़े जिनमें निजी डेटा और गोपनीय जानकारी थी। रास्ता क्या था? ऐप की कॉन्फ़िगरेशन, पब्लिक कोड रिपॉजिटरी और ढीली क्लाउड सेटिंग्स में खुले पड़े पासवर्ड और कनेक्शन डिटेल्स।
सबसे चौंकाने वाली बात यह है कि किसी भी प्रभावित संगठन ने यह खुद नहीं पकड़ा। हर मामले में जानकारी AI कंपनी की अपनी जांच से सामने आई।
CERT-In क्या है और इसकी चेतावनी अहम क्यों है?
CERT-In यानी इंडियन कंप्यूटर इमरजेंसी रिस्पॉन्स टीम, इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय (MeitY) के तहत काम करने वाली राष्ट्रीय एजेंसी है। IT एक्ट, 2000 की धारा 70B इसे साइबर घटनाओं पर देश की नोडल एजेंसी बनाती है।
इसे जनवरी 2004 में देश को समर्पित किया गया था। तब से यह साइबर खतरों पर चेतावनी और बचाव की सलाह जारी करती है, जो CERT-In की आधिकारिक वेबसाइट पर मुफ्त में पढ़ी जा सकती है।
अप्रैल 2022 के CERT-In निर्देशों के तहत कंपनियों को कई तरह की साइबर घटनाओं की जानकारी 6 घंटे के अंदर CERT-In को देनी होती है। इसलिए जब यह एजेंसी किसी खतरे को “क्रिटिकल” बताती है, तो उसे हल्के में नहीं लेना चाहिए।
यह भी पढ़ें: iPhone Duo भारत में सोल्ड आउट: ₹2.99 लाख का फोन, जनवरी तक इंतजार | भारत में 8 अरब डॉलर का सेमीकंडक्टर प्लांट
असली हमलावर भी AI के सहारे
CERT-In AI एडवाइजरी के साथ एजेंसी ने अपनी थ्रेट हंटिंग में एक अलग अभियान भी पकड़ा, जो पैसों के लिए चलाया गया था। इसमें साइबर अपराधियों ने खुले में उपलब्ध एजेंटिक AI टूल से भारतीय संस्थानों को निशाना बनाया।
CERT-In AI चेतावनी के मुताबिक यहां घुसपैठ से नुकसान तक का सफर दिनों की जगह कुछ घंटों में पूरा हुआ। जिन संस्थानों ने आधा-अधूरा सुधार किया, उन पर कुछ ही दिनों में और बड़े पैमाने पर फिर हमला हुआ।
CERT-In AI मामले पर सरकार अब क्या कह रही है
द हिंदू बिजनेसलाइन ने 19 अक्टूबर को सरकारी अधिकारियों के हवाले से बताया कि यह कोई जटिल AI हमला नहीं था। पासवर्ड प्लेन-टेक्स्ट फाइलों में पड़े थे और सिस्टम खुले छोड़े गए थे।
रिपोर्ट के मुताबिक प्रभावित संगठनों में ज़्यादातर निजी क्षेत्र के थे। AI कंपनियों पर कानूनी कार्रवाई के सवाल पर अधिकारी ने कहा कि फिलहाल ऐसा कुछ नहीं है।
देश में आपराधिक मामले अब भारतीय न्याय संहिता (BNS) के तहत चलते हैं, लेकिन AI एजेंटों की जिम्मेदारी तय करने वाले अलग नियम अभी बनने बाकी हैं।
इससे पहले PTI से सरकारी सूत्रों ने कहा था कि किसी अहम संगठन की महत्वपूर्ण जानकारी से समझौता नहीं हुआ, लेकिन CERT-In AI एडवाइजरी को शुरुआती चेतावनी मानना चाहिए।
सूत्रों के मुताबिक आने वाले AI रेगुलेशन में एजेंटों से जुड़े मुद्दों पर भी विचार हो सकता है।
CERT-In AI एडवाइजरी: आपके लिए इसका मतलब
- अगर आप कंपनी, स्टार्टअप या ऐप चलाते हैं: कोड, GitHub की हिस्ट्री और कॉन्फ़िग फाइलों में पड़े पासवर्ड और API की आज ही जांचें और बदलें। पुराने व टेस्ट API बंद करें और हर एडमिन लॉगिन पर मल्टी-फैक्टर ऑथेंटिकेशन (MFA) लगाएं। एडवाइजरी में कम से कम 180 दिन के लॉग रखने को कहा गया है।
- अगर आप खुद AI एजेंट इस्तेमाल करते हैं: CERT-In की सलाह है कि हर एजेंट को अलग, कम समय वाली पहचान और सिर्फ उतनी पहुंच दें जितनी काम के लिए ज़रूरी हो।
- आम यूज़र के तौर पर: आपका डेटा जिन कंपनियों के पास है, उनकी सुरक्षा अब और अहम हो गई है। अपने अकाउंट्स पर टू-फैक्टर ऑथेंटिकेशन ज़रूर चालू रखें।
एक लाइन में: CERT-In AI एडवाइजरी का सबक साफ है: AI ने कोई नया ताला नहीं तोड़ा, उसने पुरानी लापरवाही को मशीन की रफ्तार से ढूंढ लिया।
आपसे सवाल: क्या आपके ऑफिस में AI टूल्स को दी जाने वाली पहुंच पर कोई लिखित नियम है? कमेंट में बताइए।
5 टिप्पणियाँ