తెలియకుండానే తిష్ట !
- ఏఐతో డేటాకు ముప్పు
- అనుమతి లేకుండానే వ్యవస్థల్లోకి ప్రవేశం
- వ్యక్తిగత, వ్యాపార రహస్యాల తస్కరణ
- పరిధిని దాటి గోప్య రికార్డుల పరిశీలన
- సంస్థల సైబర్ భద్రతపై సీఈఆర్టీ హెచ్చరిక
అక్టోబర్ 17 (విజయక్రాంతి): సంస్థల పనితీరును వేగవంతం చేయడం.. సమాచార విశ్లేషణలో సమయాన్ని ఆదా చేయడం.. సంక్లిష్టమైన పనులను సులభంగా పూర్తి చేయడం.. కృత్రిమ మేధస్సు (ఏఐ) (Artificial Intelligence)అందిస్తున్న ప్రయోజనాలు. అయితే, ఇదే సాంకేతికత సైబర్ భద్రతకు(Technology and Cybersecurity) సవాల్‌గా మారుతోంది. మనం ఇచ్చిన పనులను స్వయంగా పూర్తి చేసే ఏఐ ఏజెంట్లు..
నిర్దేశించిన పరిధిని దాటి వ్యవహరిస్తున్నట్లు తాజాగా భారత జాతీయ సైబర్ భద్రతా సంస్థ హెచ్చరికలు చేయడం సైబర్ భద్రతపై ఆందోళన కలిగిస్తోంది. భారతీయ సంస్థల ప్రత్యక్షకంప్యూటర్ వ్యవస్థల్లోకి ఏఐ ఏజెంట్లు అనధికారికంగా ప్రవేశించి, ఆయా సంస్థలకు అనుమానం రాకుండా వ్యక్తిగత సమాచారం, రహస్య వ్యాపార రికార్డులను చదివినట్లు కేంద్ర ఎలక్ట్రానిక్స్, సమాచారం సాకేంతిక మంత్రిత్వ శాఖ పరిధిలో పని చేసే ఇండియన్ కంప్యూటర్ ఎమర్జెన్సీ రెస్పాన్స్ టీం (సీఈఆర్టీ వెల్లడించింది.
ఈ మేరకు గురువారం రాత్రి ‘ఏఐ ఏజంట్స్ యాజ్ అటాక్ వెక్టర్స్’ (దాడులకు మార్గాలుగా ఏఐ ఏజెంట్లు) శీర్షికతో కీలక సలహా పత్రాన్ని విడుదల చేసింది. పరిశోధన, మూల్యాంకన కార్యకలాపాల్లో భాగంగా బహిరంగ ఇంటర్నెట్లో పనిచేస్తున్న సమయంలో, తమ ఏఐ వ్యవస్థలు భారతీయ సంస్థల ప్రత్యక్ష కంప్యూటర్ వ్యవస్థల్లోకి ప్రవేశించినట్లు పలు ఏఐ మోడళ్ల అభివృద్ధి సంస్థలు స్వచ్ఛందంగా సమాచారం అందించాయని సీఈఆర్టీ పేర్కొంది.
అప్లికేషన్ కాన్ఫిగరేషన్ ఫైళ్లు, బహిరంగ కోడ్ రిపాజిటరీలు, క్లౌడ్ సేవల పాత్రల్లో మిగిలిపోయిన యాక్సెస్ వివరాలను ఉపయోగించుకుని వ్యవస్థల్లోకి ప్రవేశించాయని, కొన్ని సందర్భాల్లో ఒకే బహిర్గతమైన యాక్సెస్ వివరాలను తిరిగి సేకరించి, వేర్వేరు కార్యకలాపాల్లోనూ ఉపయోగించినట్లు గుర్తించింది. అయితే వ్యవస్థల్లోకి ప్రవేశించిన ఏఐ ఏజెంట్లు, నిర్దిష్ట ఏఐ మోడళ్లు, ప్రభావితమైన భారతీయ సంస్థల పేర్లను మాత్రం సీఈఆర్టీ వెల్లడించలేదు. ఎంతమేర సమాచారం సంగ్రహించారు, వ్యవస్థల్లో ఏవైనా మార్పులు చోటు చేసుకున్నాయా? అనే వివరాలూ స్పష్టం చేయలేదు. ఏఐ ఏజెంట్ల అనధికారిక ప్రవేశాన్ని సంబంధిత భారతీయ సంస్థలు గుర్తించలేకపోవడం గమనార్హం.
భారత్‌లో తొలిసారి అధికారిక వెల్లడి
స్వయంప్రతిపత్తి కలిగిన ఏఐ వ్యవస్థల చొరబాట్లపై భారత్‌లో అధికారికంగా వెలువడటం ఇదే తొలిసారి. ఇలాంటి ఘటనలు గతంలో ఇతర దేశాల్లో చోటుచేసుకున్నాయి. ఆస్ట్రేలియా ప్రభుత్వ వెబ్‌సైట్‌లోకి తన ఏజెంట్ హ్యాకింగ్ ద్వారా ప్రవేశించిన ఘటనపై ఓపెన్ ఏఐ క్షమాపణలు తెలిపింది. హగ్గింగ్ ఫేస్ వంటి సంస్థల వ్యవస్థలను ప్రముఖ ఏఐ పరిశోధనా సంస్థలకు చెందిన ఏజెంట్లు పరిశీలించడం లేదా వాటిలోని లోపాలను వినియోగించుకోవడం గురించి కూడా గతంలో నివేదికలు వెలువడ్డాయి.
సీఈఆర్టీ చేసిన హెచ్చరికలో మరో తీవ్రమైన అంశం కూడా ఉంది. ఇందులో పరిశోధన సందర్భంగా అనుకోకుండా జరిగిన ప్రవేశాలే కాకుండా, ఉద్దేశపూర్వకంగా సైబర్ దాడులకు పాల్పడిన ఘటనలూ ఉన్నాయి. సీఈఆర్టీ స్వయంగా జరిపిన దర్యాప్తు, ముందస్తు ముప్పుల గుర్తింపు చర్యల్లో భాగంగా, సైబర్ నేరగాళ్లు ఉచితంగా అందుబాటులో ఉన్న ఓపెన్ సోర్స్ ఏజెంటిక్ ఏఐ సాధనాలను ఉపయోగించి భారతీయ సమాచార,
కమ్యూనికేషన్ సాంకేతిక వ్యవస్థలపై నిఘా, బలహీనతల దోపిడీ, ఆర్థిక ప్రయోజనాల కోసం చొరబాట్లు సాగించినట్లు గుర్తించారు. ఇలాంటి సాధనాలను పలు దేశాల్లోని మౌలిక సదుపాయాలపై దాడులకూ వినియోగిస్తున్నట్లు తెలిపింది.
ఆర్థిక ప్రయోజనాలే లక్ష్యంగా..
ఆర్థిక లాభమే లక్ష్యంగా సాగిన దాడుల్లో ఏఐ ఆధారిత సాధనాలు దాడుల వేగాన్ని గణనీయంగా పెంచాయి. గతంలో వ్యవస్థలోకి తొలిసారి ప్రవేశించినప్పటి నుంచి దాడి లక్ష్యాన్ని సాధించే వరకు రోజులు పట్టే ప్రక్రియ, ఇప్పుడు కొన్ని గంటల్లోనే పూర్తవుతోంది. అనేక ఏఐ ఏజెంట్లు సమాంతరంగా పనిచేస్తూ, గంటల తరబడి లేదా రోజుల తరబడి దాడులను కొనసాగించగలుగుతున్నాయి. భద్రతా లోపాలను పూర్తిస్థాయిలో సరిచేయని సంస్థలు కొద్ది రోజుల వ్యవధిలోనే మరింత తీవ్రమైన దాడులకు మళ్లీ గురవుతున్నాయి.
ఈ ఘటనల్లో ఉపయోగించిన బలహీనతలు కొత్తవేమీ కావు. కోడ్ లేదా కాన్ఫిగరేషన్ ఫైళ్లలో బహిర్గతంగా మిగిలిపోయిన యాక్సెస్ వివరాలు, రహస్య కీలు, ఎవరూ పట్టించుకోని ఇంటర్నెట్ ఆధారిత ఏపీఐలు, సాధారణ పాఠ్యరూపంలో నిల్వ చేసిన చెల్లింపుల కీలు, క్లౌడ్ సేవలకు అవసరానికి మించిన అనుమతులు, బహుళ-అంచెల ధృవీకరణ లేని అడ్మినిస్ట్రేటివ్ ఇంటర్‌ఫేస్‌లు ప్రధాన కారణాలుగా గుర్తించారు. సాంకేతిక పరిజ్ఞానం అభివృద్ధి చెందుతున్న కొద్దీ, చిన్నపాటి నిర్లక్ష్యమే పెద్ద సైబర్ సంక్షోభానికి దారితీసే పరిస్థితి ఏర్పడుతోంది.
సైబర్ భద్రతకు కొత్త సవాళ్లు
అత్యాధునిక ఏఐ మోడళ్ల స్వయంప్రతిపత్తి సామర్థ్యాలపై ప్రపంచవ్యాప్తంగా ఆందోళనలు పెరుగుతున్న తరుణంలో ఈ సంఘటన వివరాలు బయటకు వచ్చాయి. పరిశోధన, పరీక్షల సందర్భంగా వెల్లడైన భారతీయ ఘటనల్లో వ్యవస్థలను మార్చడం కంటే సమాచారాన్ని చదవడానికే అనధికారిక ప్రవేశం పరిమితమైనట్లు కనిపిస్తున్నప్పటికీ, గోప్యమైన రికార్డులను ఎవరూ గుర్తించకుండా చేరుకోవడం,
ఏఐ ఆధారిత నేర కార్యకలాపాలు వేగంగా విస్తరించడం వంటి పరిణామాలు ప్రభుత్వ, ప్రైవేటు రంగాల సన్నద్ధతపై కీలక ప్రశ్నలను లేవనెత్తుతున్నాయి. ఏఐ ఏజెంట్ల సామర్థ్యాలు పెరుగుతున్న కొద్దీ, సైబర్ భద్రతకు కొత్త తరహా సవాళ్లు ఎదురవుతున్నాయి. బహిరంగ ఇంటర్నెట్లో స్వయంగా సంచరిస్తూ, వ్యవస్థల్లోని బలహీనతలను గుర్తించి, తమకు నిర్దేశించిన పరిధిని దాటి చర్యలు తీసుకోగల వ్యవస్థలు ఇప్పుడు వాస్తవంగా మారుతున్నాయి.
రక్షణ వ్యవస్థలు స్పందించేలోపే దాడులను పూర్తి చేయగల ఈ సాంకేతిక పరిజ్ఞానం, సైబర్ భద్రతలో సంప్రదాయ విధానాలను పునఃసమీక్షించాల్సిన అవసరాన్ని గుర్తుచేస్తోంది. సాంకేతిక అభివృద్ధి ఎంత వేగంగా సాగుతున్నా, భద్రతా వ్యవస్థల్లో మానవ నిర్లక్ష్యానికి తావుండకూడదు. ఏఐని స్వీకరించడం ఎంత ముఖ్యమో, దానికి ఇచ్చే అధికారాలను నియంత్రించడం, దాని కార్యకలాపాలను నిరంతరం పర్యవేక్షించడం కూడా అంతేముఖ్యం. లేకపోతే ఏఐ ఏజెంట్లే ఆ సంస్థల రహస్య సమాచారానికి ముప్పుగా మారే ప్రమాదం ఉంది.
సంప్రదాయ భద్రతా చర్యలకు చిక్కని ఏఐ ఏజెంట్లు
భారతీయ కంపెనీలు తమ సైబర్ భద్రతా ప్రమాణాలను మెరుగుపరుచుకోవాల్సిన అవసరాన్ని సీఈఆరీ హెచ్చరిక స్పష్టం చేస్తోంది. సాధారణ వినియోగదారుల మాదిరిగా కాకుండా, చట్టబద్ధమైన యాక్సెస్ వివరాలతో పనిచేస్తున్నట్లు కనిపించే స్వయంప్రతిపత్తి వ్యవస్థలను సంప్రదాయ భద్రతా చర్యలతో గుర్తించడం కష్టమవుతోంది. ఏఐ ఏజెంట్లు నిరంతరాయంగా పనిచేయగలవు.
తక్కువ మానవ పర్యవేక్షణతో సంక్లిష్టమైన పనులను నిర్వహించగలవు. ఈ క్రమంలో ఈ-మెయిళ్లు, కోడ్ రిపాజిటరీలు, క్లౌడ్ వ్యవస్థలకు అనుసంధానమై, సాధారణ వినియోగదారుల కంటే విస్తృతమైన సమాచారాన్ని చేరుకోగలవు. అందువల్ల, కేవలం సాంకేతిక సాధనాలను ఏర్పాటు చేసుకోవడమే సరిపోదు. ఎవరు, ఏ వ్యవస్థను, ఏ ప్రయోజనం కోసం ఉపయోగించవచ్చనే విషయంలో కఠినమైన నియంత్రణలు, భద్రతా చర్యలు అవసరం.
రహస్య యాక్సెస్ వివరాలను సురక్షితంగా నిర్వహించడం, అసాధారణ కార్యకలాపాలను నిరంతరం పర్యవేక్షించడం, సైబర్ ఘటనలు చోటుచేసుకున్నప్పుడు వేగంగా స్పందించడం వంటి చర్యలు అత్యవసరమని ప్రభుత్వ వర్గాలు సూచిస్తున్నాయి. సంస్థల రోజువారీ కార్యకలాపాల్లో ఏఐ ఏజెంట్ల వినియోగం పెరుగుతున్న కొద్దీ, అనుమతించిన పరిశోధనకు, అనుకోకుండా జరిగే అనధికారిక చొరబాటుకు మధ్య ఉన్న సరిహద్దును గుర్తించడం మరింత క్లిష్టంగా మారుతోంది.
బహిర్గతమైన యాక్సెస్ వివరాలను తక్షణమే భద్రపరచడం, క్లౌడ్ అనుమతులను అవసరమైన కనీస స్థాయికే పరిమితం చేయడం, ఉపయోగంలో లేని ఏపీఐలను తొలగించడం, బహుళ-అంచెల ధృవీకరణను తప్పనిసరి చేయడం, అసాధారణ యాక్సెస్ విధానాలను పర్యవేక్షించడం వంటి చర్యలు చేపట్టాలని సీఈఆర్టీ మరోసారి సూచించింది. ఈ ఘటనలకు మూలకారణాలు మానవ, కార్యాచరణపరమైన వైఫల్యాలేనని, ఏఐ వ్యవస్థలు వాటిని గుర్తించి వినియోగించుకోవడంలో మాత్రమే మరింత సమర్థంగా వ్యవహరిస్తున్నాయని సంస్థ స్పష్టం చేసింది.
