इस क्षेत्र के विशेषज्ञों से बात करते हुए यह भाव आता है कि मिथोस के लॉन्च के साथ हम साइबर सुरक्षा के क्षेत्र में एक निर्णायक मोड़ पर पहुंच गए हैं। मुझे नहीं लगता कि निवेशक उन साइबर जोखिमों से पूरी तरह अवगत हैं जो अब हमारे सामने आ खड़े हुए हैं। हाल में हम सभी ने ऐसी रिपोर्टें देखी हैं कि ओपन एआई और एंथ्रोपिक के मॉडल अपने सैंडबॉक्स या सुरक्षा उपायों को पार कर गए और हगिंग फेस जैसी थर्ड-पार्टी साइटों पर स्वायत्त रूप से हमला करने लगे। लेकिन जोखिम इससे कहीं अधिक गहरे और व्यापक हैं। जेपी मॉर्गन चेज ने इस विषय पर काफी महत्त्वपूर्ण काम किया है और इन मुद्दों को बेहतर ढंग से समझने के लिए मैंने उसके शोध का उपयोग किया है।
पहली बात तो यह कि मिथोस और जीपीएटी- 5.5 के आगमन ने साइबर खतरों का पता लगाने में आर्टिफिशल इंटेलिजेंस के उपयोग और प्रभाव पर क्रांतिकारी असर डाला है। अब हम सॉफ्टवेयर और हार्डवेयर दोनों में ऐसी हजारों अनदेखी कमजोरियों की बाढ़ देखने वाले हैं जिन्हें ये नए मिथोस जैसे मॉडल अब पहचान सकते हैं। एंथ्रोपिक और प्रोजेक्ट ग्लासविंग में शामिल प्रतिभागियों ने इसके इस्तेमाल के पहले ही महीने में 10,000 से अधिक नई, उच्च और अत्यंत गंभीर स्तर की साइबर कमजोरियों का पता लगाया।
इनमें से 95 फीसदी कमजोरियों के खुलासे के समय कोई सार्वजनिक परामर्श उपलब्ध नहीं था, यानी वे कमजोरियों के डेटाबेस में सूचीबद्ध नहीं थे और इस प्रकार व्यापक रूप से ज्ञात भी नहीं थे। ईपॉक एआई की एक रिपोर्ट में दिखाया गया कि 21 अग्रणी प्रौद्योगिकी कंपनियों द्वारा रिपोर्ट की गई गंभीर साइबर कमजोरियां मिथोस के जारी होने के बाद 10 से बढ़कर 400 तक पहुंच गईं।
एक और डरावना तथ्य है ब्रिटेन के एआई सिक्योरिटी इंस्टीट्यूट द्वारा तैयार किया गया अध्ययन। इसमें दिखाया गया कि मिथोस और जीपीटी 5.5 दोनों में स्वायत्त रूप से 32 स्टेप कॉरपोरेट नेटवर्क अटैक सिमुलेशन पूरा करने की क्षमता थी जिसमें पूरे नेटवर्क पर कब्जा शामिल था। इससे पहले एआई मॉडल इस परीक्षण का आधा भी पूरा नहीं कर पाते थे।
अब ये अग्रणी मॉडल कम और मध्यम स्तर की साइबर कमजोरियों को जोड़कर ऐसे साइबर हमले करने में सक्षम हो गए हैं जिनके तरीके पहले कभी नहीं देखे गए। इन अत्याधुनिक मॉडलों द्वारा स्वायत्त रूप से पूरी की जा सकने वाली कार्यों की लंबाई और जटिलता हर 3-4 महीने में दोगुनी हो रही है। इसलिए कमजोरी का पता लगाना और उसका दुरुपयोग और भी तेजी से बढ़ेगा। कमजोरी का दुरुपयोग करने का औसत समय 2021 के एक वर्ष से घटकर 2027 में अनुमानित एक मिनट रह जाएगा! यानी तैयारी का समय ही नहीं बचेगा।
ये क्षमताएं केवल अमेरिकी अग्रणी मॉडलों तक सीमित नहीं हैं। चीन के अग्रणी मॉडल केवल 6 से 9 महीने पीछे हैं। तथ्य यह है कि अपनी उल्लेखनीय साइबर हैकिंग क्षमताओं के बावजूद मिथोस को इस उद्देश्य के लिए डिजाइन नहीं किया गया था। इसकी साइबर क्षमताएं इसके प्रशिक्षण का उप-उत्पाद हैं और इसलिए चीनी मॉडल भी इन्हें समान प्रशिक्षण तकनीकों के माध्यम से दोहरा सकते हैं। वास्तविक जोखिम यह है कि ये चीनी मॉडल ओपन वेट हैं, डाउनलोड किए जा सकते हैं और आसानी से ‘जेलब्रेक’ किए जा सकते हैं।
अधिकांश विशेषज्ञों के अनुसार, डाउनलोड किए गए मॉडलों पर लगाए गए सुरक्षा नियंत्रणों को हेरेक्टिक जैसे सार्वजनिक रूप से उपलब्ध टूल्स द्वारा एक घंटे के भीतर हटाया जा सकता है।
एक बार संशोधित होने पर ये मॉडल उन विषयों पर भी प्रतिक्रिया देते हैं जिनसे जुड़ने से वे पहले इनकार करते थे। हेरेक्टिक जैसे टूल्स का उपयोग 3,500 से अधिक संशोधित मॉडल वेरिएंट बनाने के लिए किया गया है। जेडडॉटएआई के मॉडल जीएलएम 5.2 का जेलब्रेक किया हुआ संस्करण हगिंग फेस वेबसाइट पर उपलब्ध है और इसे 10,000 से अधिक बार डाउनलोड किया जा चुका है।
इस सबका अर्थ है कि वे साइबर क्षमताएं जो कभी केवल सरकार के संस्थानों तक सीमित थीं, जल्द ही रैनसमवेयर गिरोहों, आतंकवादी संगठनों या यहां तक कि व्यक्तिगत हैकरों के लिए भी उपलब्ध होंगी। साइबर हमले जिन स्रोतों से उत्पन्न हो सकते हैं उनकी संख्या कई गुना बढ़ गई है और इसलिए इन हमलों से बचाव की जटिलता भी उतनी ही बढ़ गई है।
एक कम आंकी गई कमजोरी ओपन सोर्स कोड का उपयोग है। यह लोगों की सोच से कहीं अधिक व्यापक है। सभी वाणिज्यिक कोडबेस में से 95फीसदी में ओपन सोर्स घटक शामिल होते हैं। लिनक्स फाउंडेशन के 2022 के अध्ययन में पाया गया कि किसी भी सॉफ्टवेयर कोडबेस का 70 से 90 फीसदी हिस्सा ओपन सोर्स घटकों से बना होता है।
ओपन सोर्स इकोसिस्टम गहराई और परिपक्वता में भिन्न होता है। कुछ ओपन सोर्स परियोजनाएं अच्छी तरह से वित्तपोषित फाउंडेशनों द्वारा समर्थित होती हैं जिनके पास पर्याप्त इंजीनियरिंग संसाधन होते हैं जबकि अन्य छोटे स्वयंसेवी समूह होते हैं जो शौक के रूप में सॉफ्टवेयर का समर्थन करते हैं। लगभग 94 फीसदी ओपन सोर्स परियोजनाओं में 10 से कम डेवलपर होते हैं, जो 90 फीसदी से अधिक कोड के लिए जिम्मेदार होते हैं।
इन घटकों में आमतौर पर बहुत कम ऐसे मेंटेनर होते हैं जो कोड को सुरक्षित रखते हैं और कमजोरियों को दूर करते हैं। यही खतरा है। चिंताजनक बात यह है कि ओपन सोर्स सिस्टम के कुछ हिस्से दुर्भावनापूर्ण इरादे वाले बुरे तत्वों के नियंत्रण में आ सकते हैं। ये बुरे तत्व स्वयंसेवक होने का दिखावा कर सकते हैं और उस विश्वास की संस्कृति का दुरुपयोग कर सकते हैं जिस पर ओपन सोर्स इकोसिस्टम बना है।
गैर-क्लाउड भौतिक ढांचे का पूरा क्षेत्र भी है जिसे अतिरिक्त सुरक्षा की आवश्यकता है। इंटरनेट से जुड़ी औद्योगिक नियंत्रण प्रणालियां, जो पावर ग्रिड, जल प्रणालियों और पाइपलाइन को संचालित करती हैं विशेष रूप से व्यवधान के प्रति संवेदनशील हैं। केवल क्लाउड पर न होने से वे सुरक्षित नहीं हो जातीं।
मिथोस स्तर की क्षमता वाले एआई मॉडलों का आना साइबर सुरक्षा के लिए खेल को बदल चुका है। जब हमलावर किसी पैच को रिवर्स-इंजीनियर करके कुछ ही मिनटों में उसे हथियार की तरह इस्तेमाल कर सकते हैं, तो प्रतिक्रिया की गति बहुत महत्त्वपूर्ण हो गई है। वर्तमान में उद्यम पैच लागू करने में कुख्यात रूप से धीमे हैं क्योंकि वे सिस्टम अपटाइम को अनुकूलित करने और पैच संबंधी व्यवधानों से बचने की कोशिश करते हैं।
विशेषज्ञों से बातचीत करने पर यह आभास होता है कि भारत को तुरंत अपने सॉफ्टवेयर को उन्नत करना होगा। विशेषकर राज्यों और लघु एवं मध्यम उद्यम क्षेत्र में। इनमें से अधिकांश बहुत पुराने हैं।
भारत में हमें एक कैश-फॉर-क्लंकर्स कार्यक्रम लागू करने की आवश्यकता हो सकती है ताकि राज्य-स्तरीय अधोसंरचना प्रदाताओं को नवीनतम सॉफ्टवेयर में उन्नत करने के लिए प्रोत्साहित किया जा सके। इस कार्यक्रम में सरकार या संस्था लोगों को पुराने, अप्रचलित या असुरक्षित उपकरण/वाहन/सॉफ्टवेयर छोड़ने के बदले नकद प्रोत्साहन देती है ताकि वे नए और सुरक्षित संस्करण अपनाएं। जब पैच जारी किए जाते हैं तो वे केवल नवीनतम संस्करणों के लिए ही होंगे। हमारे कई सेवा प्रदाता चाहे वे राज्य विद्युत बोर्ड, नगरपालिकाएं या जल आपूर्ति संस्थान हों, ये सभी पुराने संस्करणों पर चलते हैं जिनमें काफी जोखिम हैं।
हमें एक केंद्र स्तरीय साइबर रक्षा एजेंसी भी स्थापित करनी पड़ सकती है, जिसे साइबर हमले के दौरान महत्त्वपूर्ण अधोसंरचना क्षेत्रों या प्रमुख उद्यमों की मदद करने का अधिकार हो। हमें स्वदेशी साइबर क्षमता और समन्वय की आवश्यकता है। आज के युद्धों में साइबर युद्ध भी टूलकिट का हिस्सा है। क्या हमारे पास साइबर व्यवधान से निपटने के लिए कोई मानक संचालन प्रक्रिया है?
हमें सभी प्रभावित पक्षों के बीच सूचना साझा करने का ढांचा बनाना होगा। एक क्लियरिंग हाउस जैसी व्यवस्था ताकि हमें पता हो कि किस पर हमला हुआ और किस तरीके से। यह संभव नहीं कि किसी बड़ी भारतीय कंपनी में कभी हैकिंग न हुई हो। क्या ऐसे किसी हमले से मिली सीख साझा की गई है? क्या हम अपनी बड़ी कंपनियों के बीच सर्वोत्तम प्रथाएं साझा कर रहे हैं?
साइबर जोखिम की बाढ़ हमारे दरवाजे पर है। हमलावर बिखरे हुए हैं और दिन-ब-दिन अधिक परिष्कृत हो रहे हैं। उनके खिलाफ बचाव करना कठिन होता जा रहा है। मैं उम्मीद करता हूं कि यह गलत हो, लेकिन ऐसा नहीं लगता कि कॉरपोरेट इंडिया या उसके बोर्ड इन मुद्दों को गंभीरता से ले रहे हैं। भारतीय बैलेंस शीट्स पढ़ने पर साइबर जोखिम का शायद ही उल्लेख मिलता है। अधिकांश बोर्डों के पास बहुत सीमित साइबर विशेषज्ञता है। दीवार पर लिखी इबारत साफ नजर आ रही है।
हमें आने वाले व्यवधान के लिए तैयार रहना होगा।
(लेखक अमांसा कैपिटल से जुड़े हैं। ये उनके निजी विचार है।)
