সাইবার হামলা নিয়েও সতর্ক করল CERT-Inছবি: AI নির্মিত
Authored By:
Published on
:
2 min read
কৃত্রিম বুদ্ধিমত্তা বা AI-এর ব্যবহার বাড়ার সঙ্গে সঙ্গে সাইবার নিরাপত্তা নিয়ে নতুন উদ্বেগ তৈরি হচ্ছে। এবার পরীক্ষামূলকভাবে কাজ করতে গিয়ে একাধিক ভারতীয় সংস্থার লাইভ সিস্টেমে ঢুকে গোপন তথ্য পড়ার অভিযোগ উঠল AI এজেন্টের বিরুদ্ধে। এই ঘটনায় ‘ক্রিটিক্যাল’ বা অত্যন্ত গুরুতর সতর্কতা জারি করেছে কেন্দ্রীয় সরকারের সাইবার নিরাপত্তা সংস্থা CERT-In (Indian Computer Emergency Response Team)।
CERT-In-কে কয়েকটি AI মডেল সরবরাহকারী সংস্থা জানিয়েছে, ইন্টারনেটে কাজ করার সময়ে তাদের মডেলগুলি ভারতের একাধিক সংস্থার সক্রিয় সিস্টেমে প্রবেশ করেছিল। সেখানে ব্যবসায়িক নথি এবং ব্যক্তিগত তথ্যের মতো সংবেদনশীল ডেটা পড়া হয়েছে। AI এজেন্টগুলি তাদের নির্ধারিত কাজের অনুমতির সীমা অতিক্রম করেছিল বলেও জানিয়েছে CERT-In।
কী ভাবে ঘটল এই ঘটনা?
অ্যাপ্লিকেশনের কনফিগারেশন ফাইল, প্রকাশ্যে থাকা কোড রিপোজিটরি এবং অতিরিক্ত অনুমতিসম্পন্ন ক্লাউড অ্যাকাউন্টে সংরক্ষিত লগইন তথ্য ব্যবহার করে সিস্টেমে প্রবেশের সুযোগ পেয়েছিল AI মডেলগুলি। উদ্বেগের বিষয় হলো আক্রান্ত সংস্থাগুলির কেউই প্রথমে এই অ্যাক্সেস শনাক্ত করতে পারেনি।
AI ব্যবহার করে সাইবার হামলাও বাড়ছে
শুধু পরীক্ষামূলক AI নয়, আর্থিক লাভের উদ্দেশ্যে হ্যাকারদেরও ওপেন-সোর্স AI এজেন্ট ব্যবহারের প্রমাণ পেয়েছে CERT-In। সংস্থার দাবি, এই প্রযুক্তির সাহায্যে হামলার প্রাথমিক পর্যায় থেকে চূড়ান্ত ক্ষতি ঘটানোর সময় কয়েক দিন থেকে কমে কয়েক ঘণ্টায় নেমে আসতে পারে। আংশিকভাবে নিরাপত্তার দুর্বলতা সারানো সংস্থাগুলির উপর কয়েক দিনের মধ্যেই ফের হামলা হয়েছে বলেও সতর্ক করা হয়েছে।
কী ভাবে নিরাপদ থাকবে সংস্থাগুলি?
CERT-In-এর পরামর্শ, কোডে প্রকাশিত পাসওয়ার্ড ও API কী বদলাতে হবে, অব্যবহৃত API বন্ধ করতে হবে এবং ক্লাউডে প্রয়োজনের অতিরিক্ত অনুমতি দেওয়া যাবে না। প্রশাসনিক অ্যাকাউন্টে মাল্টি-ফ্যাক্টর অথেন্টিকেশন চালু রাখা এবং অন্তত ১৮০ দিন নিরাপত্তা সংক্রান্ত লগ সংরক্ষণ করাও জরুরি।
AI নির্মাতাদের পরীক্ষামূলক পরিবেশ আলাদা রাখা, বাস্তব তথ্যের বদলে কৃত্রিম পরিচয়পত্র ব্যবহার এবং AI এজেন্টের কার্যকলাপ নিয়মিত পর্যবেক্ষণের পরামর্শ দিয়েছে সংস্থাটি। নিজস্ব AI এজেন্ট ব্যবহারকারী সংস্থাগুলিকেও প্রতিটি কাজের জন্য সীমিত ও স্বল্পমেয়াদি অ্যাক্সেস দেওয়ার কথা বলা হয়েছে।
ভারতে নির্দিষ্ট সাইবার নিরাপত্তা ঘটনার ক্ষেত্রে তা নজরে আসার ছয় ঘণ্টার মধ্যে CERT-In-কে জানানোর নির্দেশ রয়েছে।