जब एआई एजेंट बनता है सुरक्षा घटना, तो पहचान रिकॉर्ड बनती है सबसे बड़ा सबूत

साइबर सुरक्षा विशेषज्ञों के अनुसार, किसी भी सुरक्षा घटना की जांच में सबसे पहला सवाल यही होता है कि इसके लिए किस क्रेडेंशियल का इस्तेमाल किया गया था। जैसे-जैसे तकनीक आगे बढ़ रही है और एआई (कृत्रिम बुद्धिमत्ता) एजेंट अधिक स्वायत्त होते जा रहे हैं, संगठनों के सामने सुरक्षा और पहचान प्रबंधन की एक नई चुनौती खड़ी हो गई है।

एआई एजेंट सुरक्षा और नई गाइडलाइंस

हाल ही में, राष्ट्रीय मानक और प्रौद्योगिकी संस्थान (NIST), साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA), और राष्ट्रीय सुरक्षा एजेंसी (NSA) ने संयुक्त रूप से एक गाइड जारी की है। इसका शीर्षक 'Key Practices for Incident Readiness and Response in Super Intelligence Training and Evaluation' है। यह 14 पृष्ठों का दस्तावेज़ उन संगठनों के लिए है जो उच्च क्षमता वाले एआई एजेंटों को प्रशिक्षित या मूल्यांकित करते हैं।

यह गाइड मुख्य रूप से पांच चरणों पर आधारित है: तैयारी, पहचान, प्रतिक्रिया, रिकवरी और रिपोर्टिंग। इसमें 'कंट्रोल इंसिडेंट' को ऐसी घटना के रूप में परिभाषित किया गया है जहां एजेंट ऐसे महत्वपूर्ण कार्य करते हैं जिन्हें ऑपरेटर या किसी विरोधी द्वारा निर्देशित नहीं किया गया था।

पहचान (Identity) और क्रेडेंशियल प्रबंधन की चुनौती

विशेषज्ञों का मानना है कि एआई एजेंट सुरक्षा की शुरुआत किसी की मंशा तय करने से नहीं, बल्कि उसकी पहचान (Identity) से होनी चाहिए। जब कोई एआई एजेंट अनपेक्षित तरीके से काम करता है, तो जांचकर्ताओं के पास केवल एक पहचान, अनुमतियों का एक सेट और कार्रवाइयों का एक ट्रेल होता है।

समस्या तब और बढ़ जाती है जब एआई एजेंट उन क्रेडेंशियल्स और एपीआई (API) कुंजियों तक पहुंच जाते हैं जो संगठन के नियंत्रण से बाहर के प्रदाताओं द्वारा जारी की जाती हैं। उदाहरण के लिए, ओपनकोड (OpenCode) जैसी ओपन-सोर्स कोडिंग एजेंट सेवाओं से जुड़ी हालिया घटनाओं में यह देखा गया है कि बाहरी प्रदाताओं जैसे कि एंथ्रोपिक, ओपनएआई और गूगल की कुंजियां उजागर हुईं, जिससे अनधिकृत उपयोग और लागत की समस्याएं सामने आईं।

व्यावहारिक निहितार्थ और आगे की राह

व्यवहार में, संगठनों के लिए यह सुनिश्चित करना आवश्यक है कि प्रत्येक एआई एजेंट के पास अपनी एक अलग पहचान और सीमित विशेषाधिकार हों।

• पुष्टि की गई बातें: NIST, CISA और NSA ने एआई एजेंटों की निगरानी और घटना प्रतिक्रिया के लिए स्वैच्छिक अभ्यास जारी किए हैं।
• अनसुलझे पहलू: कई पुरानी और विरासत प्रणालियों (legacy applications) में प्रति-एजेंट गतिविधि को अलग से लॉग करने की क्षमता नहीं होती है, जिससे वास्तविक दुनिया में इसे लागू करना जटिल हो जाता है।
• रीडर्स क्या सत्यापित कर सकते हैं: पाठक आधिकारिक घोषणाओं और दिशा-निर्देशों के लिए Bleeping Corporation Report पर जा सकते हैं।