एआई उन कमजोरियों का पता लगाता है जो वर्षों से इंटरनेट पर छिपी हुई हैं, और उन्हें ठीक करने वालों के पास समय समाप्त हो रहा है

सार:

न्यूयॉर्क टाइम्स के अनुसार, एआई अभूतपूर्व दर से सॉफ्टवेयर सुरक्षा कमजोरियों की खोज कर रहा है, और उन्हें ठीक करने के लिए जिम्मेदार इंजीनियरों को इसे बनाए रखना मुश्किल हो रहा है। टेक कंपनियां और ओपन-सोर्स सॉफ़्टवेयर अनुरक्षक कमजोरियों को दूर करने की कोशिश कर रहे हैं, इससे पहले कि हैकर्स वेबसाइटों और ऑनलाइन सेवाओं की एक विस्तृत श्रृंखला को शक्ति प्रदान करने वाले सॉफ़्टवेयर की सुरक्षा के लिए उनका फायदा उठा सकें।

21 अक्टूबर को, फौद मतिन, जो ओपनएआई नेटवर्क सुरक्षा तैयारी और सुरक्षा कार्य के लिए जिम्मेदार हैं, ने मूल रूप से शाम को दोस्तों के साथ अपना जन्मदिन मनाने की योजना बनाई थी।

लेकिन उस दिन, वह केवल लगभग दो घंटे सोया और एआई द्वारा खोजी गई दो गंभीर सुरक्षा कमजोरियों की मरम्मत के समन्वय में व्यस्त था। एक बार जब इन कमजोरियों का फायदा उठाया जाता है, तो उनका इंटरनेट सेवाओं की एक विस्तृत श्रृंखला पर प्रभाव पड़ सकता है। प्रसंस्करण में शामिल लोगों में स्टार्टअप और तकनीकी दिग्गजों के सुरक्षा शोधकर्ता, साथ ही संयुक्त राज्य अमेरिका और अन्य देशों के सरकारी अधिकारी शामिल हैं।

उनकी कार्य सूची में, एआई द्वारा खोजी गई और भी खामियां हैं जो ठीक होने की प्रतीक्षा कर रही हैं।

मतीन ने कहा कि ओपनएआई ने नेटवर्क सुरक्षा के लिए जिम्मेदार होने के लिए कई टीमों की व्यवस्था की है और समस्याओं को खोजने और ठीक करने के लिए बहुत सारी कंप्यूटिंग शक्ति का निवेश किया है। उनका मानना ​​है कि एआई कंपनियों की जिम्मेदारी है कि वे इस तकनीक से सामने आए जोखिमों का समाधान करें, जिसका अंतिम लक्ष्य दुनिया के सॉफ्टवेयर को यथासंभव स्कैन करना और पैच करना है।

कमजोरियों की खोज की गति काफी बढ़ गई है, जिससे कमजोरियों को ठीक करने वालों पर अभूतपूर्व दबाव पड़ रहा है।

ओपनएआई के अनुसार, कंपनी ने इस साल मई में ओपन सोर्स सॉफ़्टवेयर को स्कैन करने के लिए अपनी तकनीक का उपयोग करना शुरू किया। तब से, आंतरिक और बाहरी शोधकर्ताओं ने इसके मॉडल का उपयोग करके 1,300 से अधिक कमजोरियों की खोज की है। इस प्रकार का सॉफ़्टवेयर मुफ़्त में उपयोग किया जा सकता है, विभिन्न नेटवर्क सेवाओं में व्यापक रूप से तैनात किया जाता है, और इंटरनेट के बड़ी संख्या में कार्यों का समर्थन करता है।

Google ने इस साल जून में क्रोम ब्राउज़र में 1,072 कमजोरियों को खोजने और ठीक करने के लिए AI का उपयोग किया, जो पिछले दो वर्षों में तय की गई कुल संख्या से अधिक है। इस वर्ष की शुरुआत से, क्रोम ने पिछले आठ वर्षों की तुलना में अधिक गंभीर कमजोरियों को ठीक किया है।

माइक्रोसॉफ्ट ने अकेले इस साल अक्टूबर में 1,461 पैच जारी किए, जो पूरे 2025 के 1,247 पैच से अधिक है।

कुछ सॉफ़्टवेयर अनुरक्षकों की नज़र में, काम की यह तीव्रता अभी शुरू हुई होगी।

मैटेओ कोलिना स्टार्टअप प्लेटफ़ॉर्ममैटिक के मुख्य प्रौद्योगिकी अधिकारी हैं और ओपन सोर्स डेवलपमेंट टूल Node.js को बनाए रखने में शामिल हैं। उबर और नेटफ्लिक्स जैसी टेक कंपनियां इस टूल का इस्तेमाल कर रही हैं।

"अभी जो हो रहा है वह तो बस पहला कदम है, और स्थिति दस गुना बदतर होगी।" कॉलिना ने कहा।

Node.js का समर्थन करने वाले एक गैर-लाभकारी संगठन OpenJS फाउंडेशन के अनुसार, Node.js ने इस वर्ष 50 सुरक्षा कमजोरियों की पहचान की है और उन्हें ठीक किया है, जो इसके इतिहास में किसी भी वर्ष से अधिक है। इस साल फरवरी में, परियोजना को सामान्य से 4.6 गुना अधिक संख्या में भेद्यता रिपोर्ट प्राप्त हुईं।

इस महीने, OpenAI ने एक नई खोजी गई भेद्यता के बारे में सचेत करने के लिए कॉलिना से फिर से संपर्क किया। संभावित हमलावर इसका उपयोग इंटरनेट पर सिस्टम पर आक्रमण करने और डेटा चुराने के लिए कर सकते हैं।

रिपोर्टों की बढ़ती संख्या को संभालने के लिए, कॉलिना अब सप्ताह में सातों दिन काम करती है और एआई एजेंट को रात में उसके लिए कार्य संभालना जारी रखती है।

"कोई नहीं जानता कि भविष्य में यह पेशा क्या बनेगा।" उसने कहा।

अतीत में, सॉफ़्टवेयर कमजोरियों को ढूंढना एक ऐसा काम था जो व्यक्तिगत अनुभव पर बहुत अधिक निर्भर करता था। टेक कंपनियां कोड की समीक्षा करने के लिए सुरक्षा शोधकर्ताओं को नियुक्त करती हैं और "बग बाउंटी" कार्यक्रमों के माध्यम से समस्याओं को खोजने और रिपोर्ट करने के लिए व्हाइट हैट हैकर्स को भुगतान भी करती हैं।

एआई इस काम की गति और मूल्य बदल रहा है।

यह खोज जारी रख सकता है, वहां से खोज कर सकता है जहां मानव शोधकर्ताओं ने हार मान ली हो। यह विभिन्न कोडों में बिखरी छोटी-छोटी खामियों की भी जांच कर सकता है और उन्हें खतरनाक हमलों में जोड़ सकता है।

PHP फाउंडेशन के एक सुरक्षा इंजीनियर वोल्कर डश इसे स्पष्ट रूप से महसूस करते हैं। फाउंडेशन, जो प्रोग्रामिंग भाषा PHP का रखरखाव करता है, ने पिछले सप्ताह AI द्वारा खोजी गई एक गंभीर भेद्यता का खुलासा किया।

डश ने कहा कि दो साल पहले, सुरक्षा भेद्यता का पता लगाना एक बड़ी बात थी। अब इससे मिलने वाली सहकर्मी मान्यता कम हो रही है, और जिस तरह से पूरा उद्योग इस काम का मूल्यांकन करता है वह बदल रहा है।

हालाँकि, भेद्यता रिपोर्टिंग में वृद्धि एक महत्वपूर्ण अतिरिक्त बोझ के साथ भी आती है।

पिछले साल के अंत से, ओपन सोर्स सॉफ़्टवेयर अनुरक्षकों ने रिपोर्टों की संख्या में उल्लेखनीय वृद्धि देखी है। उनमें से कुछ गंभीर खतरों का खुलासा करते हैं, अन्य निम्न गुणवत्ता वाली एआई-जनरेटेड रिपोर्ट हैं जो भ्रमित करने वाली और अप्रयुक्त हैं।

इस साल जनवरी के अंत में, ओपन सोर्स प्रोजेक्ट कर्ल ने घोषणा की कि वह बग बाउंटी का भुगतान करना बंद कर देगा क्योंकि वह रिपोर्टों की आमद से निपटने में असमर्थ था।

साथ ही, एआई की आक्रामक क्षमताएं भी रक्षकों को अधिक परेशान करती हैं।

इस साल अप्रैल में, एंथ्रोपिक ने कहा कि उसके द्वारा विकसित माइथोस मॉडल में मजबूत हैकिंग क्षमताएं थीं और इसे जनता के लिए सुरक्षित रूप से नहीं खोला जा सकता था। इसके बाद कंपनी ने प्रोजेक्ट ग्लासविंग नामक कार्यक्रम के माध्यम से सिस्टम का निरीक्षण और पैच करने के लिए विश्वसनीय व्यवसायों और सरकारी एजेंसियों के एक समूह को मॉडल उपलब्ध कराया। OpenAI और Google रक्षकों को साइबर सुरक्षा-केंद्रित AI मॉडल भी प्रदान करते हैं।

लेकिन ऐसे मॉडल जो कमजोरियों को ढूंढ सकते हैं और उनका फायदा उठा सकते हैं, तेजी से उपलब्ध हो रहे हैं।

एआई मूल्यांकन कंपनी वाल्स एआई ने हाल ही में एक सिम्युलेटेड हमला कार्य स्थापित किया है, जिसके लिए मॉडल को एक काल्पनिक कंपनी पर आक्रमण करने की आवश्यकता है। परीक्षण के परिणामों से पता चला कि ओपनएआई का एक उन्नत मॉडल, जो केवल अनुमोदित रक्षकों के लिए खुला है, ने परीक्षण लक्ष्यों का 81% पूरा किया; इसके बाद चीनी कंपनी डीपसीक का एक स्वतंत्र रूप से उपलब्ध मॉडल है, जिसकी पूर्णता दर 73% है।

जैसे-जैसे ऐसी क्षमताएं बढ़ रही हैं, सिलिकॉन वैली में सुरक्षा टीमें जांच में तेजी ला रही हैं। उन्हें चिंता है कि जल्द ही हमलावरों द्वारा उसी भेद्यता का पता लगाया जा सकता है।

PHP मरम्मत प्रक्रिया से पता चलता है कि वास्तव में यह दबाव किस पर पड़ता है।

इस साल जुलाई में, साइबर सुरक्षा कंपनी कैलिफ़ोर्निया के शोधकर्ताओं ने एआई एजेंटों को PHP का निरीक्षण करना शुरू किया। रिपोर्ट्स के मुताबिक, लगभग 70% वेबसाइटें इस प्रोग्रामिंग लैंग्वेज का इस्तेमाल करती हैं। एक शोध दल ने पाया कि एक दशक से अधिक समय से कोड में छिपी एक भेद्यता हमलावरों को प्रभावित वेबसाइटों पर दुर्भावनापूर्ण कोड चलाने की अनुमति दे सकती है।

कैलिफ़ोर्निया ने फिर डश और Google के स्वामित्व वाली सुरक्षा कंपनी विज़ के शोधकर्ताओं से संपर्क किया, जिन्होंने इसी तरह की कमजोरियों की खोज की। OpenAI और PHP फाउंडेशन के इंजीनियर भी शामिल हैं।

टीम ने गोपनीय स्लैक चैनल में हफ्तों तक सहयोग किया, हर दिन फोन पर सुधारों का समन्वय किया। कैलिफ़ोर्निया के सीईओ थाई डुओंग ने कहा कि इस सुधार में लगभग 200 फ़ाइलें शामिल हैं और यह एक बड़ा पैच अपडेट है।

पैच तैयार करते समय, उन्होंने सरकारी एजेंसियों, इंटरनेट इंफ्रास्ट्रक्चर कंपनी क्लाउडफ्लेयर और अन्य संगठनों को भी सूचित किया, ताकि मरम्मत कवरेज को यथासंभव विस्तारित किया जा सके।

वह अवधि जब भेद्यता पाई गई है लेकिन बड़े पैमाने पर मरम्मत नहीं की गई है, प्रतिभागियों के लिए सबसे तनावपूर्ण चरण बन गई है।

क्लाउडफ्लेयर के सीईओ मैथ्यू प्रिंस ने कहा कि उन्होंने पिछले दो महीने बेहद डर की स्थिति में बिताए हैं कि कोई और जल्दी ही भेद्यता का पता लगा लेगा, या पैच तैयार होने से पहले ही जानकारी लीक हो जाएगी।

उनका अनुमान है कि अगले दो वर्षों में, औसतन, हर हफ्ते एक गंभीर भेद्यता सामने आएगी जो पूरे इंटरनेट को प्रभावित करेगी।

सुरक्षा उद्योग में, अगली स्थिति पर अलग-अलग निर्णय होते हैं।

एंथ्रोपिक उप मुख्य सूचना सुरक्षा अधिकारी जेसन क्लिंटन ने 22 अक्टूबर को सोशल मीडिया पर कहा कि हालांकि पिछले चार दिनों में स्थिति खराब रही है, लेकिन भविष्य में यह बेहतर होने से पहले और भी खराब हो जाएगी।

प्रिंस का मानना ​​है कि लंबे समय से चली आ रही इन समस्याओं को उजागर करने से अंततः इंटरनेट सुरक्षित हो जाएगा। उनका अनुमान है कि अगले दो साल बहुत बुरे होंगे, लेकिन मरम्मत का यह दौर पूरा होने के बाद लोग अधिक सुरक्षित इंटरनेट की उम्मीद कर सकते हैं।