द डिफ़ेंडर्स विंडो

OpenAI-Hugging Face की घटना⁠(एक नई विंडो में खुलेगा) साइबर सिक्योरिटी के लिए एक बड़ा मोड़ थी, क्योंकि इससे यह अंदाज़ा मिला कि आने वाले महीनों में आम साइबर हमलावरों की क्षमताएँ किस तरह बदल सकती हैं. पिछले कुछ हफ़्तों में मैंने कई ऑर्गेनाइज़ेशंस से बात की है और एक बात साफ़ है: वे समझते हैं कि उन्हें अपनी साइबर सिक्योरिटी को बहुत तेज़ी से और बड़े स्तर पर बेहतर बनाने की ज़रूरत है. इस पोस्ट में मैं बताऊँगा कि हम OpenAI की सुरक्षा के लिए क्या कर रहे हैं, दूसरे ऑर्गेनाइज़ेशंस आज कौन-से ठोस कदम उठा सकते हैं और अभी कार्रवाई करने का सही समय क्यों है.

दुनियाभर में बनाए जा रहे AI मॉडल्स अब असली साइबर हमलों के कुछ हिस्सों को खुद करने में पहले से ज़्यादा सक्षम हो रहे हैं. इससे लंबे समय से मौजूद सिक्योरिटी की कमियाँ—इंसानों के लिखे सॉफ़्टवेयर में गहराई से छिपी गड़बड़ियों से लेकर भूली हुई परमिशन तक—ढूँढना और उनका फ़ायदा उठाना आसान हो रहा है. यही AI क्षमताएँ डिफ़ेंडर्स को इन कमज़ोरियों को ढूँढने और ठीक करने के नए तरीके भी देती हैं, लेकिन उन्हें अभी कार्रवाई करनी होगी. अगर कंपनियाँ ठोस कदम उठाती हैं—जिसमें बुनियादी सुरक्षा को बेहतर करना और अपनी टीमों को AI की मदद से ज़्यादा सक्षम बनाना शामिल है—तो हम इंटरनेट को अब तक का सबसे सुरक्षित इंटरनेट बना सकते हैं.

OpenAI-Hugging Face की घटना में एक एजेंटिक समूह ने खुद ही सिर्फ़ OpenAI के रिसर्च इंफ़्रास्ट्रक्चर में ही सेंध नहीं लगाई, बल्कि एक दूसरी कंपनी के प्रोडक्शन इंफ़्रास्ट्रक्चर में भी घुस गया. इस दौरान उसने कई कमज़ोरियों को एक साथ इस्तेमाल किया—जिनमें पहले से सिक्योरिटी की अनजान कमियाँ और इंटरनेट पर लीक हुए यूज़र अकाउंट्स के क्रेडेंशियल्स का इस्तेमाल शामिल था. अब यह साफ़ होता जा रहा है कि हर कंपनी का टेक डेट⁠(एक नई विंडो में खुलेगा) अपने अंदर बड़ी सिक्योरिटी कमियाँ छिपाए हुए है और डिफ़ेंडर्स को हमलावरों से पहले इन्हें ढूँढकर ठीक करना होगा.

डिफ़ेंडर्स को हमलावरों के मुकाबले बढ़त देने के लिए, हमने इस साल की शुरुआत में अपनी साइबर क्षमताएँ सिर्फ़ भरोसेमंद डिफ़ेंडर्स के लिए जारी करना शुरू किया. इसके बाद कई कंपनियों ने ऐसे ओपन-वेट मॉडल्स जारी किए हैं जिनकी साइबर क्षमताएँ फ़्रंटियर मॉडल्स से सिर्फ़ कुछ महीने पीछे हैं. इनमें से सबसे नया मॉडल अगस्त के आखिर में जारी होने वाला है⁠(एक नई विंडो में खुलेगा) और इससे साइबर खतरे की स्थिति में तेज़ी से बदलाव आने की संभावना है.

AI से लैस हमलावर जल्द ही कई मौजूदा सिस्टम में लंबे समय से मौजूद कमज़ोरियाँ ढूँढ पाएँगे. लेकिन AI डिफ़ेंडर्स के लिए भी उन्हीं कमज़ोरियों को ढूँढना, उनकी प्राथमिकता तय करना और उन्हें ठीक करना कहीं आसान बना देगा. सिक्योरिटी की लड़ाई अभी भी बिल्ली और चूहे के खेल जैसी है, लेकिन AI इसकी इकोनॉमिक्स को इस तरह बदल सकता है⁠(एक नई विंडो में खुलेगा) कि डिफ़ेंडर्स को बुनियादी बढ़त मिल जाए. उदाहरण के लिए, हम अपने मॉडल्स को खास तौर पर ऐसा कोड लिखने के लिए ट्रेन करना शुरू कर रहे हैं जो इंसानों से कहीं ज़्यादा सुरक्षित हो. हमारे मॉडल्स मैथेमैटिकल प्रूफ़्स में भी बहुत अच्छे हैं. इनका इस्तेमाल सॉफ़्टवेयर की सिक्योरिटी को इस तरह वेरिफ़ाई करने में किया जा सकता है, जिस तरह करना इंसानों के लिए अब तक बेहद मुश्किल रहा है.

OpenAI-Hugging Face घटना के बाद, मैंने ChatGPT वर्क से (आम तौर पर मिलने वाले GPT‑5.6 Sol का इस्तेमाल करते हुए) gregbrockman.com⁠(एक नई विंडो में खुलेगा) की सिक्योरिटी का असेसमेंट करने के लिए कहा. यह एक साधारण स्टैटिक साइट है, जो AWS पर होस्ट की गई है और Cloudflare इसके फ़्रंटडोर के तौर पर काम करता है, इसलिए मुझे लगा कि इसमें वल्नरेबिलिटीज़ के लिए ज़्यादा जगह नहीं होगी.

करीब 15 मिनट में इसने 13 समस्याएँ ढूँढ लीं. इनमें से कई समस्याएँ शायद अकेले नुकसान नहीं पहुँचा सकती थीं, लेकिन मुझे लगा कि दूसरी कमज़ोरियों के साथ मिलकर इनका बड़ा असर हो सकता है. मैंने अपने DNS रिकॉर्ड्स इस तरह सेट नहीं किए थे कि हमलावर मेरे नाम से फ़र्ज़ी ईमेल भेज सकें; मेरी साइट jQuery के एक असुरक्षित वर्ज़न का इस्तेमाल कर रही थी; Cloudflare, AWS को बिना एन्क्रिप्शन वाले HTTP के ज़रिए रिक्वेस्ट भेज रहा था.

फिर मैंने ChatGPT वर्क से इन समस्याओं को ठीक करने को कहा और उसने करीब एक घंटे में इन्हें ठीक कर दिया. इसने मेरे ब्राउज़र में Cloudflare का कंट्रोल पैनल खोला और DNS, TLS और एडवांस्ड सिक्योरिटी सेटिंग्स को सही तरीके से कॉन्फ़िगर करने के लिए कई बटन दबाए. इसने साइट से jQuery पूरी तरह हटा दिया, मुझे AWS से Cloudflare Pages पर ले गया और DMARC⁠(एक नई विंडो में खुलेगा) को अलग-अलप फ़ेज़ में लागू करना शुरू किया.

और यह सिर्फ़ मेरी निजी वेबसाइट थी. यह एक छोटा उदाहरण है कि हमारे मौजूदा मॉडल्स साइबरगार्डियन की तरह कैसे काम कर सकते हैं—ऐसी बहुत-सी छोटी-छोटी समस्याएँ ढूँढकर जिन्हें ठीक करने के लिए इंसान के पास शायद समय या एक्सपर्टीज़ न हो. जिन सेटिंग्स को इसने ठीक किया, उनमें से कई के बारे में मैं जानता था, लेकिन मुझे तुरंत यह नहीं पता होता कि उन्हें सही तरीके से कैसे कॉन्फ़िगर करना है. मॉडल इन समस्याओं को ढूँढने के बाद सही तरीके से तय किए गए रोलआउट प्लान के साथ उन्हें ठीक भी कर सकता है.

Hugging Face की घटना से पता चला कि हमने अपने AI मॉडल्स की असली दुनिया में साइबर क्षमताओं को कम आँका था. इसी के मुताबिक हम अपनी सेफ़्टी ज़रूरतों को और मज़बूत कर रहे हैं. इससे हमारे पहले से चल रहे सेफ़्टी रिसर्च और इंटरनल सिक्योरिटी के काम को और तेज़ी से आगे बढ़ाना भी ज़रूरी हो गया है.

मैं इस समय OpenAI को सुरक्षित रखने के हमारे तरीके के बारे में थोड़ा शेयर कर रहा हूँ, इस उम्मीद में कि इससे दूसरे ऑर्गेनाइज़ेशंस को भी मदद मिलेगी. OpenAI की सुरक्षा के लिए हम बुनियादी कंट्रोल्स को सही तरीके से लागू करने और फ़्रंटियर इंटेलिजेंस की मदद से अपनी सुरक्षा को मज़बूत करने, दोनों में बड़े स्तर पर निवेश कर रहे हैं. इस स्ट्रैटेजी के चार बड़े हिस्से हैं.

सबसे पहले, हम अपने मॉडल्स का इस्तेमाल अपने कोड को सुरक्षित बनाने के लिए कर रहे हैं. सिक्योरिटी प्लगइन समेत Codex, कोड में किए गए बदलावों को वैलिडेट करता है, सुरक्षा से जुड़ी कमज़ोरियाँ ढूँढता है और डेवलपर्स को उन्हें डिप्लॉय करने से पहले ठीक करने में मदद करता है. हमारा मकसद बस सिक्योरिटी की ऐसी और समस्याएँ ढूँढना नहीं है, जिनको इंसानों को फिर से वैलिडेट करना पड़े. हमारा लक्ष्य असली कमज़ोरियों को कोड के इस्तेमाल में आने से पहले पकड़ना और समस्या मिलने से लेकर उसका सुरक्षित फ़िक्स डिप्लॉय करने तक का समय कम करना है. जैसे-जैसे हम अपने मॉडल्स को ज़्यादा सुरक्षित कोड बनाने के लिए ट्रेन करते रहेंगे, हमारा लक्ष्य है कि नए लिखे गए कोड में सॉफ़्टवेयर की कुछ तरह की सुरक्षा संबंधी कमियाँ पूरी तरह खत्म हो जाएँ.

दूसरा, हम अपने मॉडल्स का इस्तेमाल अपने इंफ़्रास्ट्रक्चर की लगातार सुरक्षा के लिए कर रहे हैं. आज हमारे शुरुआती सिक्योरिटी अलर्ट में से लगभग सभी का ट्राएज इंसानी टीम के शामिल होने से पहले ही इंटेलिजेंस सिस्टम करता है. इससे सिक्योरिटी टीम के लिए दोहराए जाने वाले काम कम होते हैं, जवाब देने में कम समय लगता है और लोग अपना समय उन कामों में लगा पाते हैं जहाँ उनकी स्किल सबसे ज़्यादा काम आती है—सही फ़ैसला लेने, स्थिति को समझने और अपनी एक्सपर्टीज़ का इस्तेमाल करने में. हम इन डिटेक्शन को सीमित दायरे में अपने आप होने वाले रिस्पॉन्स से भी जोड़ रहे हैं, लेकिन सबसे अहम फ़ैसलों की ज़िम्मेदारी इंसानों के पास ही रहेगी. हमारा लक्ष्य है कि सिक्योरिटी से जुड़ी समस्याओं का पता लगाकर उन पर मशीन की रफ़्तार से कार्रवाई की जा सके.

तीसरा, हम फ़्रंटियर इंटेलिजेंस का इस्तेमाल लगातार संभावित हमले के रास्तों को तलाशने, उनकी जाँच करने और उन्हें पहचानने के लिए कर रहे हैं. सुरक्षा से जुड़ी कमज़ोरियों, गलत कॉन्फ़िगरेशन, ज़रूरत से ज़्यादा अधिकार वाली पहचान या अनजाने में बनी भरोसे की सीमाओं का पता लगाकर हम इन कमियों को हमलावरों के फ़ायदा उठाने से पहले ही जल्दी पहचानकर दूर कर सकते हैं. इससे हम अपने प्रोडक्ट्स, इंफ़्रास्ट्रक्चर और सिस्टम में सिक्योरिटी से जुड़ी उन बुनियादी शर्तों की लगातार जाँच, निगरानी और टेस्टिंग कर सकते हैं, जिन्हें हम सही मानते हैं.

आखिर में, हम बड़े स्तर पर बुनियादी सुरक्षा को मज़बूत करने में काफ़ी निवेश कर रहे हैं. हम सुरक्षित आर्किटेक्चर और कंट्रोल्स में लगातार निवेश कर रहे हैं, डिफ़ेंस इन डेप्थ और कम-से-कम ज़रूरी अधिकार जैसी स्ट्रैटेजी अपना रहे हैं और ऐसे सिस्टम बना रहे हैं जिनमें किसी बड़ी समस्या के लिए कई अलग-अलग सुरक्षा उपायों का एक साथ नाकाम होना ज़रूरी हो. नेटवर्क आइसोलेशन, वर्कलोड को सुरक्षित बनाना, निगरानी और सुरक्षित पैचिंग व डिप्लॉयमेंट जैसे पुराने और आज़माए हुए सिक्योरिटी कंट्रोल्स AI के दौर में पहले से कहीं ज़्यादा अहम होंगे.

समय बहुत अहम है और डिफ़ेंडर्स को नीचे दिए गए कदम बहुत तेज़ी से उठाने होंगे. आगे मैं OpenAI की टेक्नोलॉजी का ज़िक्र करूँगा, लेकिन इस क्षेत्र में कई दूसरी कंपनियों के टूल्स भी हैं जिन्हें आप देख सकते हैं. किसी एक टूल का इस्तेमाल करना उतना अहम नहीं है, जितना यह कि आपके डिफ़ेंडर्स के पास काबिल AI पहुँचे.

• ऑर्गेनाइज़ेशन का पूरा सपोर्ट और सहमति हासिल करें. सिक्योरिटी का रिस्क बहुत तेज़ी से बदल रहा है—यह ध्यान रखें कि आपकी सिक्योरिटी और इंजीनियरिंग टीमों को इन रिस्क से जल्दी निपटने के लिए ज़रूरी सपोर्ट, पार्टनरशिप और रिसोर्स मिलें. अपनी टीमों के साथ टेबलटॉप एक्सरसाइज़ करें, ताकि यह समझने की तैयारी हो सके कि ऐसे हमले आपके ऑर्गेनाइज़ेशन पर कैसे असर डाल सकते हैं और आप उन पर किस तरह काम करेंगे.
• अपनी सिक्योरिटी टीम को एक एजेंट दें. Codex, Codex Security प्लगइन⁠(एक नई विंडो में खुलेगा) या किसी दूसरे काबिल एजेंटिक कोडिंग और सिक्योरिटी टूल का इस्तेमाल शुरू करें. उसे उन कोडबेस, इंफ़्रास्ट्रक्चर कॉन्फ़िगरेशन और टेक्निकल डॉक्यूमेंटेशन तक मंज़ूरशुदा एक्सेस दें, जिनकी आपकी सिक्योरिटी टीम को जाँच के लिए ज़रूरत है. पूरी कंपनी में रोलआउट होने का इंतज़ार न करें—सबसे ज़्यादा प्रायोरिटी वाले सिस्टम से शुरुआत करें.
• उस एजेंट को सिक्योरिटी की एक्सपर्टीज़ दें. कम्युनिटी की मदद से तैयार की गई स्किल्स⁠(एक नई विंडो में खुलेगा) से शुरुआत करें. इनमें स्टैटिक एनालिसिस, सिक्योरिटी पर फ़ोकस्ड कोड रिव्यू, सुरक्षा खामियों का अलग-अलग एनालिसिस, सॉफ़्टवेयर सप्लाई-चेन के रिस्क और दूसरी सिक्योरिटी वर्कफ़्लो शामिल हैं. इसके बाद अपने ऑर्गेनाइज़ेशन के आर्किटेक्चर, सिक्योरिटी स्टैंडर्ड्स, थ्रेट मॉडल्स और प्लेबुक के हिसाब से अपनी स्किल्स तैयार करें.
• अपने सिस्टम का सिक्योरिटी असेसमेंट तुरंत शुरू करें. सबसे पहले इंटरनेट से जुड़ी सर्विसेज़, ऑथेंटिकेशन फ़्लो, इंफ़्रास्ट्रक्चर ऐज़ कोड, डिप्लॉयमेंट पाइपलाइन और संवेदनशील जानकारी संभालने वाले सिस्टम की जाँच करें. जैसे-जैसे आपकी टीम का भरोसा बढ़े, अपनी स्कैनिंग का दायरा बढ़ाएँ.
• पहले से मौजूद वल्नरेबिलिटी बैकलॉग पर काम करें. अपने एजेंट को कोड स्कैनर की फ़ाइंडिंग्स, डिपेंडेंसी अलर्ट, सिक्योरिटी टिकट, बग बाउंटी रिपोर्ट और पिछली असेसमेंट की जानकारी दें. उससे इन फ़ाइंडिंग्स की प्राथमिकता तय करने, असली खतरे वाली समस्याओं को बेकार अलर्ट से अलग करने, कोडबेस में उनसे जुड़ी दूसरी वल्नरेबिलिटी ढूँढने और यह सुझाने को कहें कि पहले क्या ठीक किया जाना चाहिए.
• सिक्योरिटी रिव्यू को सीधे अपने डेवलपमेंट प्रोसेस का हिस्सा बनाएँ. कोड में बदलाव मर्ज होने से पहले उसकी जाँच के लिए एजेंट का इस्तेमाल करें और CI में सिक्योरिटी चेक चलाएँ. ऑथेंटिकेशन की गलतियाँ, एक्सेस कंट्रोल को बायपास करने के तरीके, लीक हो चुके क्रेडेंशियल्स, असुरक्षित डिपेंडेंसी, असुरक्षित डिफ़ॉल्ट सेटिंग्स, प्रोडक्शन सिस्टम तक एक्सेस बढ़ाने वाले बदलाव और दूसरी वल्नरेबिलिटीज़ पर ध्यान दें.
• एजेंट से मिली समस्याओं को ठीक करने में भी मदद लें. जिन समस्याओं को वैलिडेट किया जा चुका है, उनके लिए उससे एक सीमित दायरे वाला पैच तैयार और वेरिफ़ाई करने, रिग्रेशन टेस्ट लिखने और यह पक्का करने को कहें कि वल्नरेबिलिटी दोबारा सामने न आए. अहम बदलावों की इंसानी जाँच जारी रखें, लेकिन असली समस्या मिलने और इंजीनियर के सामने उसका सुरक्षित फ़िक्स रखने के बीच की बेवजह देरी को खत्म करें.
• डिटेक्शन की प्रायोरिटी तय करने का काम धीरे-धीरे ऑटोमेट करें. शुरुआत में पूरी तरह ऑटोनॉमस सिक्योरिटी ऑपरेशंस सेंटर बनाने की कोशिश न करें. पहले एक रिपॉज़िटरी पर रीड-ओनली सिक्योरिटी स्कैन चलाएँ या एजेंट से पहले हल किए जा चुके अलर्ट की जाँच करवाएँ, इसके लिए उसे आपके मौजूदा लॉग का रीड-ओनली एक्सेस दें. उससे सबूतों की समरी और आगे की कार्रवाई का सुझाव लेने दें, लेकिन हर फ़ैसला इंसान ही करे. भरोसा बढ़ने पर एडवाइज़री pull request स्कैनिंग, फिर लाइव अलर्ट ट्राएज और आखिर में सीमित दायरे वाले फ़ॉल्स पॉज़िटिव को अपने आप बंद करने तक आगे बढ़ें.
• ज़रूरत पड़ने से पहले AI की मदद से फ़ोरेंसिक जाँच की क्षमता तैयार रखें. Trusted Access for Cyber⁠(एक नई विंडो में खुलेगा) के लिए आवेदन करें और अपनी टीम को अप्रूव्ड डिफ़ेंसिव काम के लिए GPT‑Daybreak‑Blue इस्तेमाल करने की मंज़ूरी दिलाएँ. इसमें इंसिडेंट रिस्पॉन्स, डिटेक्शन इंजीनियरिंग और मैलवेयर एनालिसिस शामिल हैं. लॉग, टेलीमेट्री और सिक्योरिटी अलर्ट का एनालिसिस करने के लिए इस क्षमता का अभ्यास करें.
• एक्सपेरिमेंट करें, हैक वीक आयोजित करें और तेज़ी से बदलाव करते रहें. जिस दुनिया की ओर हम बढ़ रहे हैं, उसके लिए हमें कई तरह के नए टूल बनाने, काम करने के तरीकों में बदलाव करने और पूरी टीम की क्षमताएँ बढ़ाने की ज़रूरत होगी. अपनी टीम को एक्सपेरिमेंट करने के लिए कहें, नई क्षमताएँ बनाने के लिए हैक वीक रखें और ऐसे छोटे-छोटे कामों पर फ़ोकस करें जिन्हें ऑटोमेट किया जा सके. तेज़ी से होने वाले छोटे-छोटे प्रोग्रेस से डिफ़ेंस में लगातार बड़ा फ़ायदा मिलता है. जैसे-जैसे आपकी टीम का भरोसा बढ़े, ऑटोनॉमी का दायरा धीरे-धीरे बढ़ाएँ.

कोई भी कंपनी यह काम अकेले नहीं कर सकती. हमारी अपील है कि AI लैब्स, सिक्योरिटी वेंडर्स, एंटरप्राइज़ और मेंटेनर्स अपनी जाँची-परखी फ़ाइंडिंग्स, फ़िक्स और काम के प्लेबुक एक-दूसरे के साथ शेयर करें, ताकि किसी एक ऑर्गेनाइज़ेशन की खोज से पूरे इकोसिस्टम की सुरक्षा मज़बूत हो सके.

डिफ़ेंडर्स के पास अब बढ़त बनाने का मौका है. आने वाले महीनों में हर ऑर्गेनाइज़ेशन को सुरक्षित बने रहने के लिए अपने सिक्योरिटी प्रोग्राम के काम को बड़े स्तर पर ऑटोमेट करना शुरू करना होगा. AI लगातार आगे बढ़ रहा है, इसलिए सिक्योरिटी कम्युनिटी को भी तुरंत ऐसे टूल, तरीके और प्लेबुक तैयार करने होंगे जो हमलावरों के मुकाबले डिफ़ेंडर्स की क्षमता को तेज़ी से बढ़ा सके. इसके लिए बहुत बड़ी और नई कोशिशों की ज़रूरत होगी, लेकिन अगर हम साथ मिलकर काम करें, तो हम पहले से सोची जा सकने वाली दुनिया से भी ज़्यादा सुरक्षित दुनिया बना सकते हैं.