রুটে পৌঁছানোর পথ কমল এক হাজার

নিরাপত্তা গবেষণায় একসময় প্রতিটি সম্ভাব্য দুর্বলতার জন্য আলাদা ও দীর্ঘ অনুসন্ধান দরকার হতো. এখন সেই কাজ ক্রমেই একটি সুশৃঙ্খল প্রক্রিয়ায় চালানো সম্ভব হচ্ছে. এই লেখায় আমরা এ ক্ষেত্রে আমাদের একটি প্রচেষ্টা তুলে ধরেছি.

বড় পরিসরে দুর্বলতা অনুসন্ধান সহজ হচ্ছে, কিন্তু অগ্রাধিকার নির্ধারণ ও যাচাই এখনো কাজের গতি আটকে দিচ্ছে. নিয়ন্ত্রিত গবেষণা পরিবেশে লিনাক্স কার্নেলের নিরাপত্তা ত্রুটি খুঁজতে আমরা একটি পরীক্ষামূলক ব্যবস্থা তৈরি করেছি. আমাদের পরীক্ষামূলক ব্যবস্থা লিনাক্স কার্নেলের ২,৩০৮টি সম্ভাব্য দুর্বলতা শনাক্ত ও বিশ্লেষণ করেছে, কোড চালিয়ে ১,৭২৪টি দুর্বলতা পুনরুৎপাদন করেছে এবং স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ৯৪৮টি এক্সপ্লয়েট (এলপিই) তৈরি করেছে. এগুলো বিশেষ অনুমতিহীন স্থানীয় ব্যবহারকারীকে রুট প্রবেশাধিকার পেতে সাহায্য করতে পারে.

এই প্রমাণের ভিত্তিতে আমরা প্রতিবেদন দেওয়ার জন্য দুর্বলতাগুলোর অগ্রাধিকার নির্ধারণ করেছি এবং রক্ষণাবেক্ষণকারীদের পর্যালোচনার জন্য প্রস্তাবিত প্যাচ তৈরি করেছি. লিনাক্স কার্নেল কমিউনিটির নির্দেশনা মেনে আমরা গুরুতর দুর্বলতাগুলো দিয়ে শুরু করেছি. আরও প্রতিবেদন ও প্যাচ নিয়ে প্যাচ দ্য প্ল্যানেটের অংশীদারদের সঙ্গে কাজ করছি.

জুনে আমাদের প্যাচ দ্য প্ল্যানেট উদ্যোগের অংশ হিসেবে আমরা জানিয়েছিলাম, GPT‑5.5 Cyber লিনাক্স কার্নেলে দুর্বলতা শনাক্ত করেছে এবং সেগুলো যাচাই ও প্রতিবেদন দিতে স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ২৪টি এক্সপ্লয়েট তৈরি করেছে. আমরা সেই কাজকে আসন্ন একটি সাইবার মডেলচালিত প্রক্রিয়াধারায় সম্প্রসারিত করেছি. এতে রয়েছে দুর্বলতা অনুসন্ধান, কোড চালিয়ে যাচাই, আক্রমণে ব্যবহারের সম্ভাবনা মূল্যায়ন এবং প্যাচ তৈরি. প্রক্রিয়া শেষ হলে মানব গবেষকেরা ফলাফল পর্যালোচনা করেছেন এবং পাওয়া দুর্বলতাগুলোর প্রতিবেদন প্যাচসহ জমা দিয়েছেন.

কোটি কোটি মানুষের ব্যবহৃত অ্যান্ড্রয়েড ডিভাইস, ক্লাউড অবকাঠামো, সুপারকম্পিউটার ও অন্যান্য সিস্টেমের ভিত্তি হলো লিনাক্স কার্নেল. চার কোটিরও বেশি লাইন কোডের এই কার্নেলে সিস্টেম কল, নেটওয়ার্কিং, ফাইলসিস্টেম ও ডিভাইস ড্রাইভারের মাধ্যমে আক্রমণের বিস্তৃত সুযোগ রয়েছে. এত বড় ও গুরুত্বপূর্ণ কোডভান্ডারে অত্যাধুনিক মডেল কতটা কার্যকরভাবে দুর্বলতা খুঁজে পায় এবং নিরাপত্তায় তার প্রভাব দেখাতে পারে, তা গবেষণা করতেই আমরা লিনাক্স বেছে নিয়েছি.

দুর্বলতা অনুসন্ধানের প্রাথমিক ধাপে হাজার হাজার সম্ভাব্য দুর্বলতা পাওয়া গেছে. নিরাপত্তা গবেষকদের পক্ষে সেগুলো হাতে ধরে পর্যালোচনা ও বাছাই করা সম্ভব ছিল না. আমাদের দুর্বলতা অনুসন্ধানের প্রক্রিয়াধারায় বাস্তব চ্যালেঞ্জ ছিল দুর্বলতা খোঁজা নয়. বরং কোনগুলো পুনরুৎপাদন করা যায়, সেগুলো কোন নিরাপত্তা সীমানা অতিক্রম করে এবং কোনগুলোর দিকে রক্ষণাবেক্ষণকারীদের আগে মনোযোগ দেওয়া দরকার—তা নির্ধারণ করা.

বিশ্ব যে সফটওয়্যারের ওপর নির্ভর করে, তা সুরক্ষিত করতে সহায়তা করাই OpenAI-এর সাইবার দলের লক্ষ্য. এই কাজ পুনরায় করা ও সম্প্রসারণের জন্য কী পরিমাণ সম্পদ দরকার, তা গবেষকদের মূল্যায়নে সাহায্য করতে আমরা প্রতিটি ধাপের এপিআই খরচ জানিয়েছি. এই খরচ এই মূল্যায়নে ব্যবহৃত মডেল, লক্ষ্য সিস্টেমের কনফিগারেশন ও কর্মপ্রবাহের ভিত্তিতে হিসাব করা. আমাদের বৃহত্তর লক্ষ্য হলো দুর্বলতা খুঁজে সংশোধনে প্রতিরক্ষাকারীদের সাহায্য করা, যাতে আক্রমণকারীদের সুযোগ কমে এবং সফটওয়্যারের দুর্বলতা কাজে লাগাতে তাদের খরচ বাড়ে.

সবশেষে মনে রাখা দরকার, এই গবেষণায় আমরা খরচ নয়, পদ্ধতি ও মডেলের সক্ষমতা পরিমাপে মনোযোগ দিয়েছি. আমরা আশা করি, কার্যপরিধির পর্যাপ্ত প্রকৌশলগত উন্নতি প্রতিটি ধাপের খরচ উল্লেখযোগ্যভাবে কমাতে পারে. তাই এখানে দেওয়া খরচকে অনেকটা ঊর্ধ্বসীমা হিসেবে ধরা যায়.

আমাদের পরীক্ষামূলক দুর্বলতা গবেষণা ব্যবস্থায় পাঁচ ধাপের প্রক্রিয়াধারা রয়েছে. এর কেন্দ্রে ব্যবহৃত হচ্ছে আসন্ন একটি সাইবার মডেল:

• দুর্বলতা অনুসন্ধান: এজেন্টগুলো কোডভান্ডারের নিরাপত্তাসংশ্লিষ্ট অংশ চিহ্নিত করে এবং সম্ভাব্য দুর্বলতা খুঁজতে সেগুলো স্ক্যান করে.

• কোড চালিয়ে যাচাই: এজেন্টগুলো বিচ্ছিন্ন পরিবেশে প্রতিটি সম্ভাব্য দুর্বলতা পুনরুৎপাদনের চেষ্টা করে এবং চালানোর সময়কার প্রমাণ সংরক্ষণ করে. এই ধাপ থেকে পুনরুৎপাদিত ও যাচাইকৃত দুর্বলতাগুলো পাওয়া যায়.

• আক্রমণে ব্যবহারের সম্ভাবনা মূল্যায়ন: যাচাইকৃত দুর্বলতা দিয়ে তথ্য ফাঁস বা স্থানীয়ভাবে অনুমতির স্তর বাড়ানো যায় কি না, এজেন্টগুলো তা পরীক্ষা করে.

• প্যাচ তৈরি: এজেন্টগুলো প্রতিটি শনাক্ত দুর্বলতা সংশোধনের প্যাচ তৈরি করে.

• মানব পর্যালোচনা: রক্ষণাবেক্ষণকারীদের জানানোর আগে নিরাপত্তা গবেষকেরা এক্সপ্লয়েট, প্যাচ ও তীব্রতার প্রস্তাবিত মাত্রা পর্যালোচনা করেন.

প্রক্রিয়াধারার শেষে সিস্টেমটি মূল কারণের বিশ্লেষণ, ক্র্যাশ ঘটানোর ন্যূনতম ধারণার প্রমাণ, একটি প্রস্তাবিত প্যাচ ও একটি পূর্ণাঙ্গ এক্সপ্লয়েট একত্র করে. এগুলো মানব গবেষকদের দুর্বলতার তীব্রতা মূল্যায়ন ও মূল প্রকল্পে সংশোধন অন্তর্ভুক্ত করতে সাহায্য করে.

লিনাক্স কার্নেলের কোডের প্রতিটি লাইন নিরাপত্তাসংশ্লিষ্ট নয়. আমাদের প্রক্রিয়াধারায় অনুসন্ধানী এজেন্টের একটি দল গুরুত্বপূর্ণ নিরীক্ষাযোগ্য অংশ চিহ্নিত করেছে. এরপর দুর্বলতা স্ক্যানের জন্য সেগুলো বিশ্লেষক এজেন্টদের দেওয়া হয়েছে.

অনুসন্ধানী এজেন্ট প্রতিটি ফোল্ডার ও ফাইল পড়ে দেখে. সীমিত অনুমতির ব্যবহারকারীরা কোন অংশে পৌঁছাতে পারেন এবং নিরাপত্তার সঙ্গে কোন অংশের সম্পর্ক রয়েছে, তার ভিত্তিতে নিরীক্ষার লক্ষ্য ঠিক করে.

এই ধাপে ৫,০৩৪টি নিরীক্ষাযোগ্য অংশ চিহ্নিত হয়েছে, যাতে প্রায় ২৮ লাখ লাইন কোড রয়েছে. এটি সম্পূর্ণ লিনাক্স কার্নেলের কোডভান্ডারের প্রায় ৭%. পুরো কোডভান্ডার বিশ্লেষণের তুলনায় এতে নিরাপত্তা নিরীক্ষার খরচ উল্লেখযোগ্যভাবে কমেছে. এই ধাপে এপিআই ক্রেডিটে $৩,৪২৬ খরচ হয়েছে.

এরপর বিশ্লেষক এজেন্টগুলো প্রতিটি নিরীক্ষাযোগ্য অংশ বিশ্লেষণ করে সম্ভাব্য দুর্বলতা চিহ্নিত করেছে. এ জন্য Codex Security প্লাগইন⁠(একটি নতুন উইন্ডোতে খোলে)-এর মতো একটি কর্মপ্রবাহ ব্যবহার করা হয়েছে. মোটামুটিভাবে, বিশ্লেষক এজেন্ট নির্ধারিত অংশের কোড পড়ে সেটি কীভাবে কাজ করে তা বোঝে, এর হুমকি মডেল চিহ্নিত করে এবং দুর্বলতা খোঁজে.

১২ ঘণ্টার মধ্যে বিশ্লেষক এজেন্টগুলো একই ফলাফলের পুনরাবৃত্তি বাদ দিয়ে ২,৩০৮টি সম্ভাব্য দুর্বলতা চিহ্নিত করেছে. এই ধাপে এপিআই ক্রেডিটে $৩১৬,৫৪৯ খরচ হয়েছে.

সম্ভাব্য দুর্বলতা চিহ্নিত হওয়া আর যাচাইকৃত দুর্বলতা পাওয়া এক নয়. এত বিপুলসংখ্যক প্রতিবেদন আমাদের গবেষণা দলের পক্ষে হাতে ধরে তদন্ত করা বাস্তবসম্মত নয়.

তাই আমরা এমন ফলাফল যাচাইয়ে মনোযোগ দিয়েছি, যেগুলো ক) সীমিত অনুমতির ব্যবহারকারীর নাগালে ছিল, খ) বিশেষ সক্ষমতার প্রয়োজন ছিল না এবং গ) মেমোরি বিকৃতির পরিমাপযোগ্য প্রমাণ দিয়েছিল.

প্রতিটি সম্ভাব্য দুর্বলতার জন্য একটি বাছাইকারী এজেন্ট ধারণার প্রমাণ তৈরি করেছে এবং Kernel Address Sanitizer (KASAN)-সহ লিনাক্স কার্নেল চালিত একটি বিচ্ছিন্ন ভার্চুয়াল মেশিনে তা চালিয়েছে. এজেন্টটি প্রোগ্রামের আউটপুট ও সিস্টেম কনসোল—দুটিই পর্যবেক্ষণ করেছে. এরপর প্রতিবেদনে বর্ণিত আচরণ পুনরুৎপাদিত হওয়া বা তা ঘটানোর সম্ভাব্য সব উপায় শেষ হওয়া পর্যন্ত ধারণার প্রমাণটি বারবার পরিমার্জন করেছে.

৩০ ঘণ্টার মধ্যে আমাদের সিস্টেম ১,৭২৪টি দুর্বলতা পুনরুৎপাদন করেছে, যা ২,৩০৮টি সম্ভাব্য দুর্বলতার প্রায় ৭৪.৭%. শুধু কোড না চালিয়ে পর্যালোচনা করলে ভুল করে দুর্বলতা শনাক্ত হওয়ার প্রবণতা থাকতে পারে. তাই বিশ্লেষক এজেন্টের নির্ভুলতা এবং প্রায় তিন-চতুর্থাংশ সম্ভাব্য দুর্বলতার কার্যকর ধারণার প্রমাণ স্বয়ংক্রিয়ভাবে তৈরিতে বাছাইকারী এজেন্টের সাফল্য আমাদের মুগ্ধ করেছে.

বাকি ফলাফলগুলোর বেশির ভাগের জন্য হয় উচ্চতর অনুমতির প্রয়োজন ছিল, নয়তো নির্ধারিত সময়ে সেগুলো পুনরুৎপাদন করা যায়নি. এর কারণ ছিল জটিল রেস কন্ডিশন, নির্দিষ্ট সক্রিয়করণ শর্ত (যেমন নির্দিষ্ট লাইনে মেমোরি বরাদ্দ ব্যর্থ হওয়া), বা সময়সাপেক্ষ যাচাই (যেমন রেফারেন্স গণক সীমা ছাড়িয়ে আবার শুরুতে ফিরে আসা). মাত্র ৩.১% ক্ষেত্রে মডেলের বিশ্লেষণ ভুল ছিল; সেসব প্রতিবেদনে এমন শর্ত ধরে নেওয়া হয়েছিল যা ঘটাই সম্ভব নয়.

যাচাই ধাপে এপিআই ক্রেডিটে মোট $৭৩,৩৩০ খরচ হয়েছে. আমাদের যাচাই প্রক্রিয়াধারায় সম্ভাব্য দুর্বলতা সত্যি কি না নিশ্চিত করতে ধারণার প্রমাণ তৈরি করতে হয়েছে. আমরা দেখেছি, শুধু কোড না চালিয়ে বিশ্লেষণের ভিত্তিতে সুপারিশ দেওয়ার চেয়ে এতে খরচ বেশি হয়েছে. সত্যিকারের দুর্বলতা ও ভুলভাবে চিহ্নিত দুর্বলতা যাচাইয়ের চেষ্টা করতে প্রায় একই খরচ হয়েছে. তাই প্রক্রিয়ার আগের দিকে ভুলভাবে চিহ্নিত দুর্বলতা বাদ দিতে পারলে খরচ উল্লেখযোগ্যভাবে কমে.

যাচাইয়ের মাধ্যমে দুর্বলতা সত্যি কি না বোঝা যায়, কিন্তু কতটা জরুরিভাবে তা সংশোধন করা দরকার তা বোঝা যায় না. যেমন, যে দুর্বলতা স্থানীয়ভাবে অনুমতির স্তর বাড়াতে পারে, সেটি শুধু স্থানীয়ভাবে সেবা বন্ধ করে দিতে পারে এমন দুর্বলতার চেয়ে বেশি অগ্রাধিকার পাওয়া উচিত. ১,৭২৪টি দুর্বলতা যাচাই হওয়ার পর পরবর্তী কাজ ছিল নিরাপত্তায় সবচেয়ে বেশি সম্ভাব্য প্রভাব ফেলতে পারে এমনগুলো চিহ্নিত করা.

প্রাথমিক বাছাইকারী একটি এজেন্ট কোড না চালিয়েই প্রতিটি প্রতিবেদন, ক্র্যাশ লগ ও প্রাসঙ্গিক সোর্স কোড পর্যালোচনা করেছে. সম্ভাব্য গুরুতর দুর্বলতা যেন বাদ না পড়ে, সে জন্য বাছাইয়ের শর্ত ইচ্ছাকৃতভাবে শিথিল রাখা হয়েছিল. তবে যেগুলো কাজে লাগানোর বিশ্বাসযোগ্য পথ ছিল না, সেগুলো বাদ দেওয়া হয়েছে. এতে ফলাফল সীমিত হয়ে দাঁড়ায় তথ্য ফাঁসের ৩১৩টি এবং স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ১,২৩৮টি সম্ভাব্য দুর্বলতায়.

এরপর এক্সপ্লয়েট তৈরির (ExploitDev) এজেন্টগুলো বিচ্ছিন্ন ভার্চুয়াল মেশিনে সেগুলো পরীক্ষা করে. মেশিনগুলোতে সাধারণ লিনাক্স ডিস্ট্রিবিউশনের সুরক্ষাগুলো সক্রিয় ছিল, যার মধ্যে রয়েছে Supervisor Mode Execution Prevention (SMEP), Supervisor Mode Access Prevention (SMAP), Kernel Address Space Layout Randomization (KASLR) এবং HARDENED_USERCOPY. এতে সুরক্ষা বন্ধ রাখার ওপর নির্ভরশীল অবাস্তব মূল্যায়ন এড়ানো গেছে.

এজেন্টগুলো তথ্য ফাঁসের ২৯১টি ধারণার প্রমাণ এবং স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ১,১৬৯টি কার্যকর এক্সপ্লয়েট তৈরি করেছে. এগুলো বিশেষ অনুমতিহীন স্থানীয় ব্যবহারকারীকে রুট প্রবেশাধিকার দিতে পারে.

আমরা দুর্বলতার ভিন্ন রূপ বিশ্লেষণ করেছি এবং ওই এক্সপ্লয়েটগুলোর পেছনের দুর্বলতাগুলোর জন্য ৯৪৮টি স্বতন্ত্র প্যাচ তৈরি করেছি. মোট স্বতন্ত্র এলপিইর সংখ্যা নির্ধারণে আমরা এই সংখ্যাই ব্যবহার করি. সফল এক্সপ্লয়েট তৈরি করতে গড়ে $৩৫৯ ক্রেডিট খরচ হয়েছে. ফলে পাওয়া দুর্বলতা আক্রমণে ব্যবহার করা যায় কি না, তা প্রতিরক্ষাকারীরা তুলনামূলক কম খরচে পরীক্ষা করতে পারেন.

প্রাথমিক দুর্বলতা বাছাইকারী এজেন্টে এপিআই ক্রেডিটে $৪৪,১৯৪ খরচ হয়েছে. দুর্বলতা কাজে লাগানোর ধাপে এপিআই ক্রেডিটে মোট $৭৭৫,৯২৯ খরচ হয়েছে. এর মধ্যে তথ্য ফাঁসের সম্ভাব্য দুর্বলতা নিয়ে কাজ করতে $৮৪,৯২৯ এবং স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর সম্ভাব্য দুর্বলতা নিয়ে কাজ করতে $৬৯১,০০০ লেগেছে.

স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর একটি সম্ভাব্য দুর্বলতা নিয়ে কাজের গড় খরচ ($৫৫৮), তথ্য ফাঁসের একটি সম্ভাব্য দুর্বলতার খরচের ($২৭১) প্রায় দ্বিগুণ ছিল. কারণ, তথ্য ফাঁসের পিওসিগুলো যাচাই ধাপ থেকেই নেওয়া হয়েছিল এবং এক্সপ্লয়েটে ব্যবহারযোগ্য করতে তুলনামূলক কম পরিবর্তন দরকার হয়েছিল. অন্যদিকে, সম্ভাব্য এলপিই দুর্বলতা থেকে এক্সপ্লয়েট তৈরি করতে অনেক বাড়তি ধাপ দরকার হয়েছে. যেমন, কাজে লাগানোর কৌশল পরিকল্পনা, ব্যবহারের জন্য দুর্বল অবজেক্ট শনাক্ত করা, সুরক্ষা এড়িয়ে যাওয়া ইত্যাদি. আমরা আরও দেখেছি, ব্যর্থ প্রচেষ্টাগুলোর খরচ (৬৯টি ক্ষেত্রে $৩,৯২২) সফল প্রচেষ্টাগুলোর খরচের (১,১৬৯টি ক্ষেত্রে $৩৬০) চেয়ে অনেক বেশি ছিল. কাজে লাগানো কঠিন এমন কয়েকটি দুর্বলতা (যেমন রেস কন্ডিশন) এর কারণ ছিল. কখন চেষ্টা ছেড়ে দিতে হবে তার যুক্তিসংগত শর্ত ঠিক করলে ExploitDev-এর খরচ অনেক কমত. যেমন, এক ঘণ্টা কোনো অগ্রগতি না হলে চেষ্টা বন্ধ করা.

সিস্টেমটি প্রতিটি যাচাইকৃত দুর্বলতার জন্য একটি প্যাচও তৈরি করে. আমরা মডেলকে প্রাসঙ্গিক সোর্স কোড দিই এবং প্যাচ লেখার উত্তম চর্চাগুলো অনুসরণ করতে নির্দেশ দিই. যেমন, প্যাচ না চালিয়ে পরীক্ষা করা, আশপাশের কোডে ব্যবহৃত সফটওয়্যার উন্নয়ন রীতি অনুসরণ করা এবং প্যাচ সম্পূর্ণ কি না নিশ্চিত করতে দুর্বলতার ভিন্ন রূপ বিশ্লেষণ করা.

লিনাক্স কার্নেল কমিউনিটির পরামর্শ অনুযায়ী, আমরা ইতিমধ্যে গুরুতর দুর্বলতার শত শত প্রতিবেদন ও প্যাচ পাঠিয়েছি. বাকিগুলোর প্যাচ ধীরে ধীরে পাঠাতে প্যাচ দ্য প্ল্যানেট-এর অংশীদারদের সঙ্গে কাজ করছি. এই কাজ উন্মুক্ত সোর্স প্রকল্পগুলোকে সহায়তা করার বৃহত্তর ডেব্রেক অঙ্গীকারের অংশ.

এই অংশে আমরা গবেষণা থেকে পাওয়া শিক্ষা, পর্যবেক্ষণ ও অতিরিক্ত বিশ্লেষণ তুলে ধরেছি.

এই গবেষণার সময় আমরা দেখেছি, দুর্বলতা সংশোধন ও ব্যবহারকারীদের সুরক্ষায় লিনাক্সের রক্ষণাবেক্ষণকারীরা দ্রুত কাজ করছেন. ২০২৬ সালের অক্টোবরের মাঝামাঝি সর্বশেষ লিনাক্স কার্নেলে স্ক্যান করা হয়. ১০ দিন পর স্বয়ংচালিত স্ক্যান ও মানব বিশ্লেষণ শেষ হতে হতে মূল প্রকল্পে ৬১টি এলপিইর প্যাচ প্রয়োগ হয়ে গিয়েছিল, ৪৩টির প্যাচ প্রস্তুতির পর্যায়ে ছিল এবং ২৯৯টির প্রতিবেদন ও আলোচনা প্রকাশ্যে চলছিল.

শনাক্ত সমস্যাগুলো দ্রুত সংশোধনে কাজ করা লিনাক্সের রক্ষণাবেক্ষণকারী এবং নিজেদের অনুসন্ধানের ফল জানিয়ে অবদান রাখা বৃহত্তর নিরাপত্তা কমিউনিটির প্রতি আমরা গভীরভাবে কৃতজ্ঞ. বিশ্বের সফটওয়্যার সুরক্ষিত করতে এমন সম্মিলিত উদ্যোগই দরকার. দুর্বলতা প্রকাশ ও প্যাচ প্রয়োগের দ্রুত গতি এটিও স্পষ্ট করে যে ব্যবহারকারী ও প্রতিষ্ঠানের জন্য সফটওয়্যার হালনাগাদ রাখা কতটা জরুরি.

মূল শিক্ষা: স্বয়ংক্রিয় বাছাইয়ে দ্রুত প্যাচ প্রয়োগের চক্র বিবেচনায় রাখা উচিত. মূল স্ক্যানের পরে যুক্ত নতুন কোডসহ সর্বশেষ কোডে ফলাফল আবার যাচাই করলে পুনরাবৃত্ত বা অচল প্রতিবেদন এড়ানো যায়. এতে অমীমাংসিত দুর্বলতার দিকে মনোযোগ দেওয়া যায়. রক্ষণাবেক্ষণকারীরাও অপ্রয়োজনীয় পর্যালোচনার বোঝা ছাড়াই ব্যবস্থা নেওয়ার উপযোগী প্রমাণ পান.

প্রক্রিয়াধারা তৈরির সময়, ২০২৬ সালের জুলাইয়ের শেষদিকে GPT‑5.6 Sol ১৬৬টি স্বতন্ত্র এলপিই দুর্বলতা খুঁজে কাজে লাগায়. শুরু থেকে শেষ পর্যন্ত এপিআই ক্রেডিটে খরচ হয় $৫১৩,৬৯০.

দ্বিতীয় স্ক্যানে, ২০২৬ সালের অক্টোবরের মাঝামাঝি, নতুন সাইবার মডেল ৯৪৮টি স্বতন্ত্র এলপিই দুর্বলতা খুঁজে কাজে লাগায়. শুরু থেকে শেষ পর্যন্ত এপিআই ক্রেডিটে খরচ হয় $১,২১৩,৪৩০. উভয় কার্যক্রমেই আমরা তৎকালীন সর্বশেষ লিনাক্স কার্নেলের মাস্টার শাখা স্ক্যান করেছি.

মূল শিক্ষা: মডেলের সক্ষমতা বাড়লে আগে নিরীক্ষা করা কোড আবার স্ক্যান করুন. একই গবেষণা কার্যপরিধি ব্যবহার করলেও বেশি সক্ষম মডেল এমন দুর্বলতা খুঁজে পেতে পারে, যা আগের মডেলগুলোর চোখ এড়িয়েছে.

আমরা এজেন্টগুলোর তৈরি ১৬৬টি এক্সপ্লয়েট নমুনা হিসেবে নিয়ে সেগুলোতে ব্যবহৃত কৌশল বিশ্লেষণ করেছি. আমাদের জানা মতে, নমুনার এক্সপ্লয়েটগুলোতে এজেন্টগুলো দুর্বলতা কাজে লাগানোর ১০টি নতুন কৌশল ব্যবহার করেছে. কৌশলগুলো আমরা বাইরের কার্নেল এক্সপ্লয়েট বিশেষজ্ঞদের জানিয়েছি. তাঁদের কাছেও এগুলো নতুন ছিল.

১০টি কৌশলের মধ্যে দুটি হলো নতুন স্থায়ী স্থিতিস্থাপক অবজেক্ট, যেগুলো দিয়ে মডেল লক্ষ্য কার্নেল ক্যাশে বহু অবজেক্ট ছড়িয়ে দিয়েছে; দুটি এক্সপ্লয়েটের নির্ভরযোগ্যতা বাড়ানোর নতুন মেমোরি পৃষ্ঠা বিন্যাসকৌশল; পাঁচটি শুধু ডেটা ব্যবহার করে সরাসরি বা ইচ্ছামতো লেখার মাধ্যমে অনুমতির স্তর বাড়ানোর নতুন কৌশল; আরেকটিতে ইচ্ছামতো টাইপ বিভ্রান্তি ঘটানো হয়েছে. নিরাপত্তার কারণে এই লেখায় নতুন কৌশলগুলোর পূর্ণ কারিগরি বিবরণ প্রকাশ করছি না.

মূল শিক্ষা: অত্যাধুনিক মডেল শুধু পরিচিত দুর্বল কোডের ধরন মেলায় না বা শুধু জানা কৌশল ব্যবহার করে না; এগুলো সৃজনশীলতা ও নতুন পদ্ধতিও দেখায়.

দুর্বলতা খোঁজা ও কাজে লাগানোর খরচ পরিমাপ করা এবং সেই প্রমাণ দিয়ে প্রতিরক্ষায় বিনিয়োগের দিকনির্দেশনা দেওয়া আমাদের দলের লক্ষ্যের গুরুত্বপূর্ণ অংশ. আমাদের লক্ষ্য হলো আক্রমণকারীরা ব্যবহার করার আগেই দুর্বলতা সংশোধনে প্রতিরক্ষাকারীদের সাহায্য করা এবং সফটওয়্যারের দুর্বলতা কাজে লাগানো আক্রমণকারীদের জন্য অতিরিক্ত ব্যয়বহুল করে তোলা. দুর্বলতা কাজে লাগানোর খরচ মাপলে মডেলের সক্ষমতা বাড়ার সঙ্গে এই চ্যালেঞ্জ কীভাবে বদলায়, তা মূল্যায়ন করা যায়. এই অংশে আমরা প্রক্রিয়াধারা চালানোর খরচের সঙ্গে শনাক্ত দুর্বলতাগুলোর জন্য ত্রুটি সন্ধান কর্মসূচির পুরস্কারের তুলনা করেছি.

পরীক্ষার লক্ষ্য ভার্চুয়াল মেশিনগুলোতে প্রচলিত ডেস্কটপ অপারেটিং সিস্টেম চলছিল; ইচ্ছাকৃতভাবে সুরক্ষা দুর্বল করা হয়নি. সাইবার নিরাপত্তা প্রতিযোগিতায় (যেমন Pwn2Own⁠(একটি নতুন উইন্ডোতে খোলে), TyphoonPWN⁠(একটি নতুন উইন্ডোতে খোলে)) ব্যবহৃত একই হুমকি মডেল ব্যবহার করা হয়েছিল. আগে লিনাক্স কার্নেলে স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর এক্সপ্লয়েটের জন্য Pwn2Own ও TyphoonPWN যথাক্রমে $২০,০০০ ও $৭০,০০০ ত্রুটি সন্ধানের পুরস্কার দিত. সেই পুরস্কারের অঙ্ক ৯৪৮টি এক্সপ্লয়েটের ক্ষেত্রে প্রয়োগ করলে কাল্পনিক মূল্য দাঁড়ায় $১৮.৯ মিলিয়ন–$৬৬.৩ মিলিয়ন, যা আমাদের প্রক্রিয়াধারার খরচের প্রায় ১৬ থেকে ৫৫ গুণ.

আমরা গুগলের kernelCTF⁠(একটি নতুন উইন্ডোতে খোলে) দুর্বলতা সন্ধান পুরস্কার কর্মসূচির পরিবেশেও প্রক্রিয়াধারা পরীক্ষা করেছি. এর লক্ষ্য হলো আক্রমণের সুযোগ কমানো, জোরদার সুরক্ষাসম্পন্ন লিনাক্স কার্নেল. kernelCTF পরিবেশে লিনাক্স কার্নেলের সর্বশেষ সংস্করণে প্রক্রিয়াধারা চালিয়ে আমরা তথ্য ফাঁসের ২৫টি ধারণার প্রমাণ ও স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ২১টি এক্সপ্লয়েট পেয়েছি. সংস্করণটি kernelCTF-এর SLAB_VIRTUAL সুরক্ষার সঙ্গে অসামঞ্জস্যপূর্ণ হওয়ায় সেটি কনফিগারেশন থেকে বাদ দিয়েছি. তুলনা হিসেবে, এই লেখা পর্যন্ত ২০২৬ সালে kernelCTF-এ ২৬টি নিশ্চিত শূন্য-দিনের এলপিই এক্সপ্লয়েট গৃহীত হয়েছে. পুরো কার্যক্রমে মোট ১১২ ঘণ্টা লেগেছে. এপিআই ক্রেডিটে খরচ হয়েছে প্রায় $৩২,৯৩৬, যার ৮৩.৭% ব্যয় হয়েছে দুর্বলতা অনুসন্ধানে. কর্মসূচিটি ২১টি দুর্বলতা গ্রহণ করলে পুরস্কার হতো প্রায় $১.৫ মিলিয়ন, যা খরচের প্রায় ৪৫ গুণ.

মূল শিক্ষা: প্রকাশিত পুরস্কারের অঙ্কের ভিত্তিতে, গবেষণার সময়কার সাইবার-সক্ষম মডেল ব্যবহার করে আমাদের দুর্বলতা গবেষণার প্রক্রিয়াধারা খরচ বাদ দিয়েও লাভজনক ছিল. প্রতিরক্ষাকারীদের আগেভাগেই নিজেদের সফটওয়্যার বিশ্লেষণ করা উচিত, যাতে এর দুর্বলতা কাজে লাগানো আক্রমণকারীদের জন্য অতিরিক্ত ব্যয়বহুল হয়ে ওঠে.

আক্রমণে ব্যবহারের সম্ভাবনা মূল্যায়নের সময় ExploitDev এজেন্টগুলোকে একটি দুর্বলতার প্রতিবেদন দিয়ে সম্পূর্ণ কার্যকর এক্সপ্লয়েট তৈরির দায়িত্ব দেওয়া হয়েছিল. রুট শেল পাওয়া গেলে আমাদের প্রক্রিয়াধারা দুর্বলতাটিকে সফলভাবে কাজে লাগানো হয়েছে বলে চিহ্নিত করত. শুরুর দিকের একবার চালনায়, দুর্বলতা কাজে লাগানোর ধাপ থেকে স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর ২০০টি সফল এক্সপ্লয়েটের কথা জানানো হয়. তবে মানব পর্যালোচনার পর আমরা দেখি, এগুলোর ২০টি নির্ধারিত দুর্বলতার বদলে ভিন্ন একটি শূন্য-দিনের দুর্বলতার মাধ্যমে রুট অনুমতি পেয়েছে. এটি বোঝায়, এজেন্ট সফলভাবে দুর্বলতা কাজে লাগালেও তা যথাযথভাবে যাচাই করা দরকার.

পরে আমরা কাজের শর্ত আরও কঠোর করি এবং প্রতিটি চূড়ান্ত এক্সপ্লয়েট নির্ধারিত দুর্বলতাই ব্যবহার করেছে কি না নিশ্চিত করতে একটি স্বতন্ত্র যাচাই যোগ করি.

মূল শিক্ষা: স্বয়ংচালিত নিরাপত্তা গবেষণায় ফলাফল যাচাইয়ের পাশাপাশি সেখানে পৌঁছানোর পথও যাচাই করুন. বিচ্ছিন্নকরণ, পর্যবেক্ষণ ও স্বতন্ত্র যাচাই অপরিহার্য নিয়ন্ত্রণব্যবস্থা.

গবেষণার শুরুতে আমরা ভেবেছি, এজেন্টের সাইবার সক্ষমতা বাড়াতে তার চারপাশে বিস্তৃত সমন্বয়ব্যবস্থা তৈরি করা উচিত কি না. আমাদের ফলাফল ইঙ্গিত দিয়েছে, বেশি সক্ষম মডেলের জন্য কম সমন্বয় ও ধাপে ধাপে সহায়তা দরকার. আর সামান্য বাড়তি উন্নতির তুলনায় রক্ষণাবেক্ষণের খরচ যুক্তিসংগত নয়. তাই আমরা বিস্তৃত সমন্বয়ব্যবস্থা সরিয়ে ফেলার সিদ্ধান্ত নিই.

পরীক্ষায় GPT‑5.5 Cyber ও GPT‑5.6 Cyber-এর তুলনা করা হয়েছিল. আমাদের পর্যবেক্ষণে, লিনাক্স কার্নেলের দুর্বলতা কাজে লাগানোর বিদ্যমান কৌশল কখন ও কীভাবে প্রয়োগ করতে হবে, GPT‑5.5 Cyber তা ধারাবাহিকভাবে শনাক্ত করতে পারেনি. এরপর আমরা ১০৩টি কৌশল মডেলের উপযোগী বিন্যাসে সাজিয়ে এজেন্টের পরিবেশে উপলব্ধ করি এবং সেগুলো ব্যবহার করতে নির্দেশ দিই. এক্সপ্লয়েট তৈরির জন্য বাছাই করা ৬৩টি সম্ভাব্য দুর্বলতায় এতে সাফল্যের হার ৭৬.২% থেকে বেড়ে ৮৮.৯% হয়.

GPT‑5.6 Cyber দিয়ে একই পরীক্ষা করলে মডেলটি নিজে থেকেই প্রাসঙ্গিক কৌশল খোঁজা, বেছে নেওয়া ও প্রয়োগে বেশি দক্ষতা দেখায়. আমরা কৌশল ও দক্ষতার সমন্বয়ব্যবস্থা সরিয়ে দিই. সীমিত সমন্বয়ব্যবস্থার এই GPT‑5.6 Cyber কর্মপ্রবাহ, বেশি সহায়ক কাঠামোযুক্ত GPT‑5.5 Cyber কর্মপ্রবাহের চেয়ে ভালো ফল দেয়. GPT‑5.6 Cyber-এর জন্য অতিরিক্ত কৌশলের স্তরটি আবার যোগ করলে মাত্র ১.৫ শতাংশ পয়েন্ট উন্নতি হয়.

মূল শিক্ষা: ভিত্তি মডেলের সক্ষমতা বদলালে আপনার সমন্বয়ব্যবস্থা ও কার্যপরিধি পুনর্মূল্যায়ন করুন. যে সহায়ক কাঠামো এক প্রজন্মের মডেলে উল্লেখযোগ্য উন্নতি আনে, বেশি সক্ষম মডেলে তা সামান্যই কাজে আসতে পারে. তাই রক্ষণাবেক্ষণের খরচের তুলনায় এর সুবিধা মূল্যায়ন করা উচিত.

শুরুতে সরাসরি প্রস্তাবিত প্যাচ তৈরি করতে বললে মডেল কার্যগতভাবে সঠিক প্যাচ বানাত, যা ধারণার প্রমাণে দেখানো সমস্যা ঠেকাত. তবে কখনো অন্য সমস্যা তৈরি করত: প্রয়োজনের বেশি কোড, কর্মক্ষমতা কমার ঝুঁকি, কোড লেখার রীতি থেকে বিচ্যুতি, কিংবা একই দুর্বলতার ভিন্ন রূপ খুঁজতে সংশ্লিষ্ট কোড পরীক্ষা না করায় অসম্পূর্ণ প্যাচ.

প্যাচ তৈরির প্রক্রিয়ায় অতিরিক্ত নির্দেশনা ও বারবার পরিমার্জন যোগ করায় প্যাচের মান উন্নত হয়েছে. এটি ইঙ্গিত দেয়, যথাযথভাবে পরিচালনা করলে এআই-তৈরি নিরাপত্তা প্যাচ সঠিক, ন্যূনতম এবং বিদ্যমান কোড লেখার রীতির সঙ্গে সামঞ্জস্যপূর্ণ হতে পারে. এই ক্ষেত্রে গবেষণা চলছে. আমাদের বিশ্বাস, ভবিষ্যতের মডেল দিয়ে কাজটি আরও সহজ ও কার্যকর হবে. কয়েকটি ক্ষেত্রে আমাদের পরীক্ষামূলক গবেষণা ব্যবস্থা মানব বিশেষজ্ঞের লেখা প্যাচেও সমস্যা শনাক্ত করেছে. মূল কোডে যুক্ত করার আগেই সেগুলো সংশোধন করা হয়েছে.

মূল শিক্ষা: মডেল প্যাচ তৈরির গতি বাড়াতে পারে. তবে প্যাচ যেন কার্যগত ও অকার্যগত—উভয় ধরনের চাহিদা নির্ভরযোগ্যভাবে পূরণ করে, তা নিশ্চিত করতে প্যাচ তৈরির দক্ষতা ও কার্যপরিধি বারবার পরিমার্জনের প্রয়োজন হতে পারে. পাশাপাশি, মানুষ ও এআইয়ের তৈরি প্যাচ আক্রমণকারীর দৃষ্টিতে পর্যালোচনা করতে মডেল ব্যবহারের পরামর্শ দিই. এতে প্যাচ এড়িয়ে যাওয়া যায় কি না, আক্রমণের অন্য পথ বা ভিন্ন রূপ বাদ পড়েছে কি না—এমন সমস্যা ধরা পড়তে পারে.

kernelCTF-এ চালানোর সময় লিনাক্স কার্নেলের ২১টি শূন্য-দিনের এক্সপ্লয়েট ছাড়াও আমাদের পরীক্ষামূলক গবেষণা ব্যবস্থা QEMU TCG-এর একটি দুর্বলতা খুঁজে কাজে লাগায়. বিশ্লেষক এজেন্টকে সিস্টেম কলের প্রবেশপথের কোড বিশ্লেষণের দায়িত্ব দেওয়া হয়েছিল. অনুমতির স্তর পরিবর্তন নিয়ে পরীক্ষার প্রোগ্রাম লিখতে গিয়ে এটি অপ্রত্যাশিত কার্নেল ক্র্যাশের মুখোমুখি হয়. এটি ক্র্যাশ বিশ্লেষণ করে সমস্যার উৎস QEMU TCG-তে খুঁজে পায় এবং প্রতিবেদনে দুর্বলতাটি অন্তর্ভুক্ত করে, যদিও QEMU-এর সোর্স কোড এর কাছে ছিল না. পরে ExploitDev এজেন্ট এই দুর্বলতার জন্য স্থানীয়ভাবে অনুমতির স্তর বাড়ানোর এক্সপ্লয়েট সফলভাবে তৈরি করে. আমরা এক্সপ্লয়েটগুলো হাতে ধরে বিশ্লেষণ করার সময় QEMU-এর এই দুর্বলতা আবিষ্কার করি. নিশ্চিত হই যে মূল QEMU প্রকল্পে তা সংশোধিত হয়েছে, কিন্তু পরীক্ষায় ব্যবহৃত প্রকাশিত বিল্ডে হয়নি.

মূল শিক্ষা: অত্যাধুনিক সাইবার-সক্ষম মডেল পরীক্ষার অবকাঠামোতেও দুর্বলতা খুঁজে পেতে পারে. আক্রমণভিত্তিক দুর্বলতা গবেষণা শুরু করার আগে অবকাঠামোর প্রতিটি অংশ পরীক্ষা করার পরামর্শ দিই. আমরা নিজ উদ্যোগে আগেভাগেই আমাদের অবকাঠামো পরীক্ষা করেছি এবং Kata, Moby/Docker, gVisor ও অন্যান্য প্রকল্পের বহু দুর্বলতা প্রকাশ ও সংশোধন করেছি.

আমাদের লক্ষ্য হলো মডেলের ক্রমবর্ধমান সক্ষমতাকে ইন্টারনেট সুরক্ষায় নিয়োজিত মানুষের জন্য স্থায়ী সুবিধায় রূপ দেওয়া. এই গবেষণা দেখায়, অত্যাধুনিক মডেলের ক্রমবর্ধমান সাইবার সক্ষমতা কাজে লাগিয়ে লিনাক্স কার্নেলের মতো জটিল সফটওয়্যারে কার্যকরভাবে দুর্বলতা খোঁজা যায়. লিনাক্স ও অন্যান্য উন্মুক্ত সোর্স প্রকল্পের মতো গুরুত্বপূর্ণ সফটওয়্যারের সুরক্ষা জোরদার করলে সেগুলোর ওপর নির্ভরশীল বহু সিস্টেম ও ব্যবহারকারীকে সুরক্ষিত রাখা যায়.

ডেব্রেকের উদ্যোগ প্যাচ দ্য প্ল্যানেট-এর মাধ্যমে আমরা আরও গুরুত্বপূর্ণ সফটওয়্যার প্রকল্পে এই গবেষণা সম্প্রসারণ করতে চাই. পাশাপাশি রক্ষণাবেক্ষণকারী ও নিরাপত্তা অংশীদারদের সঙ্গে নির্ভরযোগ্য স্বয়ংক্রিয় প্যাচিং গড়ে তুলতে চাই. আমরা আক্রমণকারীদের সুযোগ ক্রমাগত কমাতে এবং দুর্বলতা খুঁজে তা কাজে লাগানোর খরচ বাড়াতে চাই—যতক্ষণ না সম্ভাব্য লাভের তুলনায় আক্রমণের খরচ বেশি হয়ে যায়.

মডেলের প্রতিটি প্রজন্ম যেন এমন সফটওয়্যার তৈরিতে আমাদের সাহায্য করে, যার সুরক্ষা ভাঙা পরবর্তী প্রজন্মের জন্য আরও কঠিন হয়. আমরা এমন একটি নিরাপদ ইন্টারনেট গড়ার কাজ চালিয়ে যাব, যেখানে যে কেউ আনন্দের সঙ্গে নতুন কিছু তৈরি করতে পারেন.