‘एआई से एआई से लड़ने की जरूरत’: साइबर सुरक्षा के भविष्य पर आईबीएम इंडिया के उपाध्यक्ष | प्रौद्योगिकी समाचार

अग्रवाल ने बताया, “अब, एप्लिकेशन क्लाउड पर जा रहे हैं, लोग कहीं भी और हर जगह से इन तक पहुंच रहे हैं, परिधि सुरक्षा संरक्षण अब सच नहीं है।” इस बदलाव का मतलब है कि पारंपरिक फ़ायरवॉल और नेटवर्क सीमाएँ अब पर्याप्त नहीं हैं। इसके बजाय, एक नई सुरक्षा सीमा उभरी है, जो स्वयं पहचान है।

नया आक्रमण वेक्टर

जब कर्मचारी और सिस्टम किसी भी डिवाइस का उपयोग करके कहीं से भी एप्लिकेशन तक पहुंचते हैं, तो हमलावरों को क्रेडेंशियल चुराने के लिए घुसपैठ करने का एक आसान तरीका मिल जाता है। एक बार जब उनके पास वैध लॉगिन क्रेडेंशियल हो जाते हैं, तो वे सिस्टम के वैध अंदरूनी सूत्रों की तरह दिखते हैं। आईबीएम की थ्रेट इंटेलिजेंस रिपोर्ट का हवाला देते हुए अग्रवाल कहते हैं, “सार्वजनिक-सामना वाले एप्लिकेशन और वैध क्रेडेंशियल्स का उपयोग शीर्ष दो एक्सेस वैक्टर थे जो इस समस्या का कारण बने।”

उनके अनुसार, यह अब सिस्टम में हैकिंग के बारे में नहीं है; बल्कि, यह किसी और की चाबियों के साथ सामने के दरवाजे से चलने के बारे में है।

एआई एजेंटों के अब तस्वीर में आने से चुनौती और भी जटिल हो गई है। एआई एजेंट सॉफ़्टवेयर के टुकड़े हैं जो कार्यों को स्वायत्त रूप से पूरा करने के लिए डिज़ाइन किए गए हैं, कभी-कभी एक साथ कई अनुप्रयोगों पर काम करते हैं। पारंपरिक सॉफ़्टवेयर के विपरीत, जो वही करता है जिसके लिए इसे स्पष्ट रूप से प्रोग्राम किया गया है, एआई एजेंट अधिक लचीले और अक्सर कम पूर्वानुमानित हो सकते हैं।

अग्रवाल ने कहा, “चूंकि वे कई अनुप्रयोगों में एक साथ काम कर सकते हैं, इसलिए यह महत्वपूर्ण है कि हम स्पष्ट रूप से पता लगाएं कि उन्हें क्या करना है, वे कौन से एलएलएम मॉडल का उपयोग कर सकते हैं, और किस डेटा सेट तक उनकी पहुंच हो सकती है।”

इन रेलिंगों के बिना, एक एआई एजेंट अनजाने में संवेदनशील डेटा को उजागर कर सकता है या जिसे ‘रॉग प्रॉम्प्ट’ कहा जाता है, उसके माध्यम से हेरफेर किया जा सकता है, जिसका अर्थ है सिस्टम को अनपेक्षित तरीकों से व्यवहार करने के लिए डिज़ाइन किया गया निर्देश।

एआई एजेंटों के लिए सुरक्षा ढांचा

अगर एआई एजेंटों को व्यापक रूप से तैनात किया जाना है, तो अग्रवाल ने तर्क दिया कि सुरक्षा के दृष्टिकोण से उनके साथ कर्मचारियों की तरह व्यवहार किया जाना चाहिए। इसका मतलब है कि उन्हें केवल वही पहुँच प्रदान करना जिसकी उन्हें नितांत आवश्यकता है, एक सिद्धांत जिसे ‘न्यूनतम विशेषाधिकार’ के रूप में जाना जाता है।

“आप नहीं चाहते कि वे उस चीज़ तक पहुँचें जो उन्हें नहीं मिलनी चाहिए,” उन्होंने समझाया। पहुंच नियंत्रण से परे, कार्यकारी ने रेखांकित किया कि एक मजबूत सुरक्षा ढांचे में क्या शामिल होना चाहिए – एजेंटों को कैसे व्यवहार करना चाहिए, इस पर स्पष्ट शासन नीतियां, वे क्या कर रहे हैं, इस पर नज़र रखने के लिए निरंतर निगरानी प्रणाली, संभावित क्षति को रोकने के लिए सैंडबॉक्सिंग और इनपुट सत्यापन, और ऑडिटिंग उद्देश्यों के लिए विस्तृत लॉगिंग।

लक्ष्य यह सुनिश्चित करना है कि यदि किसी एआई एजेंट के साथ दुर्भावनापूर्ण इरादे से समझौता किया जाता है या उसका अपहरण कर लिया जाता है, तो यह पूरे संगठन को नुकसान नहीं पहुंचा सकता है। उन्होंने कहा, “क्या हुआ, ऑडिटेबिलिटी कारणों से क्या हुआ या किसने क्या किया और उन निर्णयों का आधार क्या था, इसका पता लगाने के लिए आपके पास निरंतर ट्रैकिंग और निगरानी प्रणाली होनी चाहिए।”

ऐसे समय में जब कई भारतीय संगठन जोखिमों को पूरी तरह से समझे बिना एआई परिनियोजन की ओर बढ़ रहे हैं, अग्रवाल ने कई अंध स्थानों की पहचान की है जिन्हें उन्होंने देखा है।

सबसे पहले, व्यक्तिगत एआई टूल का उपयोग। उन्होंने कहा, जिस तरह एक दशक पहले ‘शैडो क्लाउड’ एक समस्या थी, जहां कर्मचारी अनधिकृत क्लाउड सेवाओं का इस्तेमाल करते थे, उसी तरह अब कंपनियों को संवेदनशील कंपनी डेटा को संसाधित करने के लिए सार्वजनिक एआई टूल का उपयोग करने वाले कर्मचारियों का सामना करना पड़ता है। एक वरिष्ठ अधिकारी मालिकाना जानकारी के साथ एक प्रेजेंटेशन तैयार करने के लिए एक मुफ्त, उपभोक्ता-ग्रेड एआई टूल का उपयोग कर सकता है, जो अनजाने में इसे अनधिकृत प्रशिक्षण या डेटा संग्रह के संपर्क में ला सकता है।

उन्होंने बताया कि दूसरा आपूर्ति श्रृंखला की कमजोरी है। ओपन-सोर्स सॉफ़्टवेयर और तृतीय-पक्ष घटक जो कई प्रणालियों को शक्ति प्रदान करते हैं, उनमें छिपी हुई कमज़ोरियाँ हो सकती हैं। आईबीएम इसे संबोधित करने के लिए भारी निवेश कर रहा है, जिसमें ग्राहकों को कमजोरियों के बिना स्वच्छ सॉफ्टवेयर छवियां प्राप्त करने में मदद करने के लिए $ 5 बिलियन का निवेश जैसी पहल शामिल है।

कमजोरियों की पहचान करने के लिए एआई का उपयोग करें

शायद अग्रवाल की सबसे महत्वपूर्ण अंतर्दृष्टि उनका जवाब है कि संगठनों को एआई-संचालित हमलों से बचाव के लिए एआई का उपयोग कैसे करना चाहिए। तर्क सम्मोहक है. यदि हमलावर कमजोरियों का पता लगाने, कारनामे लिखने और मशीन की गति से हमले शुरू करने के लिए एआई को तैनात कर सकते हैं, तो मानव सुरक्षा टीमें मैन्युअल रूप से पर्याप्त तेजी से प्रतिक्रिया करने की उम्मीद नहीं कर सकती हैं। इसका मतलब है कि कंपनियों को अपने नेटवर्क को स्कैन करने, अपनी सुरक्षा का परीक्षण करने और हमलावरों से पहले कमजोर बिंदुओं की पहचान करने के लिए एआई टूल का उपयोग करके सक्रिय होना चाहिए।

अग्रवाल ने सलाह दी, “इससे पहले कि कोई और आपको इसे साफ करने के लिए मजबूर करे, अपना घर साफ करें।”

जैसे-जैसे एआई अधिक सक्षम होता जा रहा है, एक महत्वपूर्ण प्रश्न उभर कर सामने आता है: हमें निर्णय लेने की कितनी क्षमता एआई को संभालने देनी चाहिए? अग्रवाल इस पर स्पष्ट हैं. उन्होंने कहा, “किसी भी महत्वपूर्ण कार्य के लिए जहां निर्णय लेने की आवश्यकता होती है, लूप में एक मानव को शामिल करने की आवश्यकता होती है, खासकर जब महत्वपूर्ण व्यावसायिक प्रक्रियाओं की बात आती है। आप महत्वपूर्ण निर्णयों को आउटसोर्स नहीं कर सकते।”

वह जो अंतर करता है वह एआई के काम करने और एआई द्वारा निर्णय लेने के बीच है। उनका कहना है कि एआई परिभाषित रेलिंग के भीतर कार्यों को निष्पादित करने में उत्कृष्ट है जैसे दस्तावेजों को संसाधित करना, डेटा का विश्लेषण करना और दिनचर्या चलाना। लेकिन रणनीतिक व्यावसायिक निर्णय, विशेष रूप से महत्वपूर्ण परिणाम वाले, दृढ़तापूर्वक मानवीय हाथों में रहने चाहिए।

उन्होंने कहा, “एआई डेटा बिंदु दे सकता है जो निर्णय को प्रभावित कर सकता है या निर्णय लेने में मदद कर सकता है, लेकिन दिन के अंत में, अधिकांश उद्यम-महत्वपूर्ण निर्णयों के लिए निर्णय लेना अभी भी एक मानवीय विशेषाधिकार है।”

एआई को अपनाने की शुरुआत करने वाले संगठनों के लिए सलाह मांगने पर, अग्रवाल ने तीन आवश्यक प्रथाओं की पेशकश की – हाइब्रिड तैनाती को अपनाना, डिजिटल संप्रभुता को प्राथमिकता देना, और पहले दिन से शासन स्थापित करना।