सार:
OpenAI ने 21 अक्टूबर, 2026 को एक घोषणा जारी की, जिसमें PHP प्रोग्रामिंग भाषा में दो गंभीर सुरक्षा कमजोरियों की खोज और मरम्मत के समन्वय में अपनी भागीदारी का खुलासा किया गया। इस कार्रवाई को ओपनएआई द्वारा लॉन्च किए गए "पैच द प्लैनेट" (संपूर्ण इंटरनेट को पैच करें) कार्यक्रम द्वारा बढ़ावा दिया गया है, जो वैश्विक इंटरनेट बुनियादी ढांचे की कमजोरियों के कारण होने वाले जोखिमों को संयुक्त रूप से कम करने के लिए सॉफ्टवेयर अनुरक्षकों, सुरक्षा शोधकर्ताओं, क्लाउड सेवा प्रदाताओं और सरकारी नेटवर्क सुरक्षा एजेंसियों को एकजुट करता है।
ओपनएआई ने कहा कि उन्नत कृत्रिम बुद्धिमत्ता मॉडल व्यापक प्रभावों के साथ सॉफ्टवेयर सुरक्षा खामियों की खोज करने में सक्षम हैं, और इन निष्कर्षों को जल्दी से वास्तविक सुरक्षात्मक उपायों में कैसे बदला जाए यह नेटवर्क सुरक्षा के क्षेत्र में एक महत्वपूर्ण विषय बनता जा रहा है।
इस घटना में, सुरक्षा कंपनी कैलिफ़ोर्निया ने GPT-5.6 Sol का उपयोग करके एक गंभीर सुरक्षा दोष की खोज की, और सुरक्षा कंपनी Wiz ने स्वतंत्र रूप से दो संबंधित कमजोरियों की खोज की और रिपोर्ट की। PHP रखरखाव टीम भेद्यता सुधार और सुरक्षा संस्करण रिलीज़ के लिए ज़िम्मेदार है, जबकि OpenAI, Wiz, Cloudflare और अन्य भागीदार तकनीकी अनुसंधान, इंजीनियरिंग सहायता और समन्वय प्रदान करते हैं ताकि संबंधित संगठनों को कमजोरियों को सार्वजनिक करने से पहले सुरक्षा के लिए तैयार करने में मदद मिल सके।
PHP एक ओपन सोर्स प्रोग्रामिंग भाषा है जिसका व्यापक रूप से वेबसाइटों और नेटवर्क अनुप्रयोगों में उपयोग किया जाता है। वेब पेज अनुरोधों, डेटाबेस संचालन और पृष्ठभूमि व्यावसायिक तर्क को संभालने के लिए बड़ी संख्या में इंटरनेट सेवाएँ इस पर निर्भर हैं। इसलिए, PHP की निचली परत में एक गंभीर भेद्यता है, और इसका प्रभाव तेजी से कई वेबसाइटों, क्लाउड सेवाओं और एंटरप्राइज़ सिस्टम तक फैल सकता है। इस बार खोजी गई दोनों कमजोरियों को महत्वपूर्ण माना गया है और यह किसी हमलावर को प्रमाणीकरण के बिना दूरस्थ रूप से कोड निष्पादित करने की अनुमति दे सकती है। PHP डेवलपमेंट टीम ने 21 अक्टूबर को एक फिक्स संस्करण जारी किया है और उपयोगकर्ताओं से तुरंत अपग्रेड करने का आग्रह किया है।
ओपनएआई ने कहा कि यह घटना नेटवर्क सुरक्षा के क्षेत्र में कृत्रिम बुद्धिमत्ता की दोहरी भूमिका को उजागर करती है। एक ओर, उन्नत मॉडल शोधकर्ताओं को उन खामियों को खोजने में मदद कर सकते हैं जो लंबे समय से परिपक्व सॉफ़्टवेयर में छिपी हुई हैं; दूसरी ओर, समान क्षमताओं का उपयोग हमलावरों द्वारा शोषण उपकरण और आक्रमण कार्यक्रमों को शीघ्रता से विकसित करने के लिए भी किया जा सकता है। इसलिए, सुरक्षा टीम न केवल इस बात पर ध्यान केंद्रित कर सकती है कि क्या भेद्यता की खोज की जा सकती है, बल्कि यह सुनिश्चित करने के लिए एक कुशल तंत्र भी स्थापित करना होगा कि भेद्यता की समय पर मरम्मत की जाए और संबंधित पैच तैनात होने से पहले हमले के जोखिम को जितना संभव हो उतना कम किया जाए।
ओपनएआई ने कहा कि वर्तमान में उसके पास मौजूद जानकारी के अनुसार, हमलावर द्वारा खोजे जाने और उसका फायदा उठाने से पहले उन्नत कृत्रिम बुद्धिमत्ता की मदद से भेद्यता की खोज की गई थी। यह सॉफ्टवेयर अनुरक्षकों के लिए बहुमूल्य रक्षा तैयारी का समय बचाता है। कंपनी इस चरण को "डिफेंडर्स विंडो" कहती है, जो समय की खिड़की है जिसके दौरान रक्षक समस्याओं की पहचान कर सकते हैं, उपचार योजनाएं विकसित कर सकते हैं और हमलावरों से पहले सुरक्षात्मक उपाय तैनात कर सकते हैं।
हालाँकि, यह विंडो हमेशा मौजूद नहीं रहेगी। जैसे-जैसे कृत्रिम बुद्धिमत्ता मॉडल की क्षमताओं में सुधार जारी है, कमजोरियों की खोज करने और हमले के तरीकों को विकसित करने के बीच का समय अंतराल धीरे-धीरे कम हो सकता है। ओपनएआई का मानना है कि साइबर सुरक्षा उद्योग को अतीत में अपेक्षाकृत विकेंद्रीकृत भेद्यता प्रबंधन दृष्टिकोण से एक व्यवस्थित प्रतिक्रिया तंत्र में स्थानांतरित करने की आवश्यकता है जो सॉफ्टवेयर रखरखाव, सेवा प्रदाताओं, उद्यम ऑपरेटरों और सरकारी एजेंसियों को जल्दी से समन्वयित कर सके।
इसके लिए, OpenAI ने गंभीर कमजोरियों के लिए एक समन्वित प्रतिक्रिया ढांचे का प्रस्ताव दिया है, जिसमें मुख्य रूप से पांच चरण शामिल हैं।
सबसे पहले, सॉफ़्टवेयर अनुरक्षकों, शोधकर्ताओं और प्रमुख प्रौद्योगिकी साझेदारों को कमजोरियों को सत्यापित करने, उनके दायरे का आकलन करने और समाधान विकसित करने और परीक्षण करने के लिए मिलकर काम करने की आवश्यकता है। इस स्तर पर, टीम को यह जांचने के लिए प्रतिकूल परीक्षण करने के लिए उन्नत मॉडल का भी उपयोग करना चाहिए कि क्या पैच वास्तव में हमले को रोक सकता है और केवल सतही समस्याओं को ठीक करने लेकिन अन्य शोषक रास्तों को गायब करने से बचने के लिए संभावित प्रासंगिक भेद्यता वेरिएंट की तलाश करनी चाहिए।
दूसरा, प्रभावित संगठनों को तैयारी के लिए पर्याप्त समय दिया जाना चाहिए। विभिन्न संगठनों के पास अलग-अलग सुरक्षा कार्य होते हैं: सॉफ़्टवेयर प्रकाशकों को पुराने संस्करणों में पैच पोर्ट करने की आवश्यकता हो सकती है, क्लाउड होस्टिंग सेवा प्रदाताओं को अस्थायी शमन उपायों को सत्यापित करने की आवश्यकता हो सकती है, और नेटवर्क सुरक्षा कंपनियों को पहले से पहचान नियम या वेब एप्लिकेशन फ़ायरवॉल (डब्ल्यूएएफ) सुरक्षा रणनीतियों को तैयार करने की आवश्यकता हो सकती है। ओपनएआई ने प्रस्तावित किया कि प्रत्येक भागीदार की वास्तविक सुरक्षा जिम्मेदारियों के आधार पर चरणों में आवश्यक तकनीकी जानकारी प्रदान की जानी चाहिए, और सूचना साझाकरण समझौतों और विशेष समन्वय तंत्र के माध्यम से रिसाव के जोखिम को कम किया जाना चाहिए।
तीसरा, यह सुनिश्चित करने के लिए सरकारी साइबर सुरक्षा एजेंसियों के साथ सहयोग की आवश्यकता है कि महत्वपूर्ण बुनियादी ढांचा ऑपरेटरों को समय पर अलर्ट और सुरक्षा सिफारिशें प्राप्त हों। PHP भेद्यता घटना में, OpenAI और उसके सहयोगियों ने कई अमेरिकी सरकारी विभागों और साइबर सुरक्षा एजेंसियों से संपर्क किया, जिनमें व्हाइट हाउस सुपर इंटेलिजेंस टास्क फोर्स, राष्ट्रीय साइबर निदेशक का कार्यालय और साइबर सुरक्षा और बुनियादी ढांचा सुरक्षा एजेंसी (CISA) शामिल हैं, और अंतरराष्ट्रीय भागीदारों के साथ समन्वय किया।
चौथा, फिक्स प्लान और सार्वजनिक प्रकटीकरण योजना स्थिर होने के बाद, अधिक सॉफ़्टवेयर प्रकाशकों, क्लाउड सेवा प्रदाताओं, होस्टिंग सेवा प्रदाताओं और एंटरप्राइज़ सुरक्षा टीमों को पहले से अपडेट तैयार करने की अनुमति देने के लिए भागीदारी का दायरा बढ़ाया जाना चाहिए। ऐसे संगठनों के लिए जो अभी भी सॉफ़्टवेयर के पुराने संस्करणों का उपयोग कर रहे हैं और सीधे नवीनतम पैच स्थापित नहीं कर सकते हैं, उन्हें पैच वापस लाने या अन्य अस्थायी सुरक्षात्मक उपायों की व्यवहार्यता का मूल्यांकन करने की भी आवश्यकता है।
पांचवां, पैच आधिकारिक तौर पर जारी होने के बाद, जनता को स्पष्ट मरम्मत दिशानिर्देश प्रदान किए जाने चाहिए ताकि उपयोगकर्ताओं को यह पुष्टि करने में मदद मिल सके कि क्या उनके सिस्टम प्रभावित हैं, कौन सा संस्करण स्थापित किया जाना चाहिए, और यह कैसे सत्यापित किया जाए कि मरम्मत प्रभावी है या नहीं। पैच जारी होने पर संपूर्ण प्रतिक्रिया प्रक्रिया तुरंत समाप्त नहीं होती है। सुरक्षा टीम को तैनाती पर नज़र रखने और उन संगठनों की सहायता करने की भी आवश्यकता है जिन्होंने वास्तविक समस्याओं से निपटने के लिए अभी तक अपडेट पूरा नहीं किया है।
ओपनएआई ने विशेष रूप से बताया कि भेद्यता की जानकारी पहले से साझा करने में स्पष्ट दुविधाएं हैं। एक ओर, क्लाउड सेवा प्रदाताओं, नेटवर्क सुरक्षा विक्रेताओं और महत्वपूर्ण बुनियादी ढांचा ऑपरेटरों को सुरक्षात्मक उपायों को प्रभावी ढंग से तैयार करने के लिए पर्याप्त तकनीकी विवरण की आवश्यकता होती है; दूसरी ओर, सीमित भेद्यता जानकारी भी हमलावरों को दोष के विशिष्ट स्थान का अनुमान लगाने में मदद कर सकती है। इसलिए, प्रतिभागियों की सुरक्षात्मक जिम्मेदारियों, तैयारी के समय की जरूरतों और संवेदनशील जानकारी को संभालने की क्षमता के आधार पर प्रासंगिक जानकारी चरणों में प्रदान की जानी चाहिए।
यदि भेद्यता का वास्तविक शोषण शुरू हो जाता है, तकनीकी विवरण गलती से लीक हो जाते हैं, या सार्वजनिक पैच स्वयं भेद्यता के स्थान को उजागर कर देता है, तो मूल प्रकटीकरण अनुसूची का भी पुनर्मूल्यांकन किया जाना चाहिए। ओपनएआई का मानना है कि समन्वय तंत्र को निश्चित समय सीमा का यांत्रिक रूप से पालन करने के बजाय, खतरों के बदलने के साथ जल्दी से समायोजित करने में सक्षम होना चाहिए।
अधिक संगठनों को कार्रवाई करने में मदद करने के लिए, ओपनएआई ने कहा कि यह PHP संस्करण जांच उपकरण प्रदान करेगा और संभावित जोखिम वाले PHP संस्करणों की पहचान करने और आधिकारिक PHP और सेवा प्रदाता दिशानिर्देशों के आधार पर लागू अद्यतन योजनाओं को निर्धारित करने में सिस्टम ऑपरेटरों की सहायता के लिए सहायक कोडेक्स कौशल लॉन्च करने की योजना बना रहा है। OpenAI "पैच द प्लैनेट" प्रोजेक्ट के माध्यम से भेद्यता प्रकटीकरण जानकारी और सुरक्षा गाइड को भी एकत्रित करता है ताकि प्रशासकों को आधिकारिक पैच ढूंढने, अस्थायी शमन उपायों को समझने और यह जांचने में मदद मिल सके कि अपडेट वास्तव में तैनात किए गए हैं या नहीं।
संसाधन समर्थन के संदर्भ में, ओपनएआई "फ्रंटलाइन डिफेंडर्स के लिए डेब्रेक" कार्यक्रम के माध्यम से 1 बिलियन अमेरिकी डॉलर की सब्सिडी वाली डेब्रेक सेवा पहुंच प्रदान करने का वादा करता है, जो सीमित सुरक्षा संसाधनों वाले लेकिन महत्वपूर्ण सेवा सुरक्षा कार्यों के लिए जिम्मेदार संगठनों की मदद करने पर ध्यान केंद्रित करता है। कंपनी ओएसएस के लिए कोडेक्स के माध्यम से ओपन सोर्स सॉफ्टवेयर अनुरक्षकों को सदस्यता सहायता भी प्रदान करेगी और रखरखाव कार्य और तकनीकी सुधार के लिए संसाधन प्रदान करने के लिए रस्ट फाउंडेशन जैसी परियोजनाओं को सीधे प्रायोजित करेगी।
ओपनएआई ने बताया कि ओपन सोर्स सॉफ्टवेयर प्रोजेक्ट्स की रखरखाव टीमें अक्सर आकार में सीमित होती हैं। दैनिक विकास कार्य के अलावा, उन्हें सुरक्षा रिपोर्ट को संभालने, कमजोरियों के प्रभाव को निर्धारित करने, पैच को सत्यापित करने और कई सॉफ़्टवेयर संस्करणों के साथ संगत होने की भी आवश्यकता होती है। ये कार्य समय लेने वाले हैं, और कृत्रिम बुद्धिमत्ता कोड का विश्लेषण करने, डुप्लिकेट रिपोर्ट की पहचान करने, परीक्षण लिखने और सुधारों को सत्यापित करने में सहायता कर सकती है, जिससे अनुरक्षकों का कार्यभार कम हो सकता है।
व्यक्तिगत कमजोरियों की खोज करने और उन्हें ठीक करने के अलावा, ओपनएआई का यह भी प्रस्ताव है कि सॉफ्टवेयर डिजाइन चरण से शुरू करके सुरक्षा खामियों को कम किया जाना चाहिए। कंपनी का मानना है कि एआई इंजीनियरों को सुरक्षित डिफ़ॉल्ट चुनने, सुरक्षा लाइब्रेरी का सही ढंग से उपयोग करने और विकास प्रक्रिया में खतरनाक कोड पैटर्न का पता लगाने में मदद कर सकता है।
एक अन्य महत्वपूर्ण दिशा प्रमुख सॉफ़्टवेयर घटकों को मेमोरी-सुरक्षित भाषाओं में स्थानांतरित करना है। मेमोरी प्रबंधन त्रुटियों के कारण कई गंभीर कमजोरियाँ उत्पन्न होती हैं, जैसे कि पहले से ही मुक्त हो चुकी मेमोरी तक पहुँचना या सीमा से बाहर बफर होना। स्मृति सुरक्षा गारंटी वाली भाषा का उपयोग करने से उनके स्रोत पर सामान्य दोषों के एक बड़े वर्ग को समाप्त किया जा सकता है। कृत्रिम बुद्धिमत्ता कोड माइग्रेशन में सहायता कर सकती है, लेकिन माइग्रेशन के बाद के व्यवहार, अनुकूलता और सुरक्षा के लिए अभी भी परीक्षण और पेशेवर समीक्षा की आवश्यकता होती है।
ओपनएआई औपचारिक सत्यापन और मजबूत अलगाव तंत्र पर भी जोर देता है। औपचारिक सत्यापन यह साबित करने के लिए गणितीय तरीकों का उपयोग करता है कि एक कार्यक्रम स्पष्ट मान्यताओं के तहत विशिष्ट सुरक्षा गुणों को संतुष्ट करता है, जिससे प्रमुख घटकों की विश्वसनीयता में सुधार करने में मदद मिलती है; सैंडबॉक्स तकनीक ऐसे सॉफ़्टवेयर को सीमित कर सकती है जो अविश्वसनीय फ़ाइलों, छवियों या मीडिया सामग्री को नियंत्रित वातावरण में संसाधित करता है। भले ही प्रोग्राम से समझौता किया गया हो, यह हमलावरों के लिए पूरे सिस्टम को और नियंत्रित करने के अवसर को कम कर सकता है।
साथ ही, कंपनी स्वीकार करती है कि साइबर सुरक्षा में कृत्रिम बुद्धिमत्ता के उपयोग को बढ़ाने के लिए अधिक परिष्कृत दुरुपयोग-विरोधी उपायों की भी आवश्यकता होगी। दुर्भावनापूर्ण हमलों के लिए उपयोग किए जाने वाले टूल के जोखिम को कम करने के प्रयास में ओपनएआई डेब्रेक के लिए सुरक्षा क्लासिफायरियर को और अधिक समायोजित कर रहा है। हालाँकि, कंपनी ने कहा कि बहुत सख्त प्रतिबंध वैध सुरक्षा अनुसंधान में भी बाधा डाल सकते हैं, इसलिए रक्षा क्षमताओं को खोलने और दुर्भावनापूर्ण उपयोग को रोकने के बीच संतुलन बनाया जाना चाहिए।
ओपनएआई अंततः सॉफ्टवेयर अनुरक्षकों, शोधकर्ताओं, नेटवर्क सुरक्षा सेवा प्रदाताओं और एंटरप्राइज़ ऑपरेटरों को इस ढांचे को बेहतर बनाने के लिए मिलकर काम करने के लिए कहता है। कंपनी को कई मुद्दों पर ध्यान केंद्रित करने की उम्मीद है: किसी भेद्यता के सार्वजनिक होने से पहले रक्षकों को तैयारी के लिए कितना समय दिया जाना चाहिए; जब गंभीर कमजोरियों का पहले से ही खुलासा किया जा सकता है; किन संगठनों को पहले से सचेत करने की आवश्यकता है; और जब सॉफ़्टवेयर के पुराने संस्करणों को समय पर अपग्रेड नहीं किया जा सकता है तो रोलबैक पैच और सुरक्षा विकल्प कैसे विश्वसनीय रूप से प्रदान किए जाएं।
OpenAI ने एक और अधिक विवादास्पद भविष्य के परिदृश्य का भी प्रस्ताव रखा है: इंटरनेट सिस्टम धीरे-धीरे एक सतत भेद्यता स्कैनिंग तंत्र स्थापित कर सकता है, ज्ञात कमजोरियों का पता चलने पर वेबसाइट मालिकों को सूचित कर सकता है, और यहां तक कि सिस्टम को उचित प्राधिकरण के साथ सीधे पैच भी कर सकता है। हालाँकि, इस प्रकार के दृष्टिकोण में सिस्टम स्वामित्व, प्रबंधन अनुमतियाँ, गलत संचालन के जोखिम और जिम्मेदारी सीमाएँ शामिल हैं, और सख्त तकनीकी और शासन गारंटी अभी भी स्थापित करने की आवश्यकता है।
यह PHP भेद्यता घटना दर्शाती है कि कृत्रिम बुद्धिमत्ता नेटवर्क सुरक्षा के काम करने के तरीके को बदल रही है। अतीत में, गंभीर कमजोरियों की खोज, विश्लेषण, मरम्मत और बड़े पैमाने पर तैनाती के लिए अक्सर कई टीमों के बीच दीर्घकालिक समन्वय की आवश्यकता होती थी; आज, उन्नत मॉडल भेद्यता अनुसंधान को गति दे सकते हैं, लेकिन वास्तव में इंटरनेट की सुरक्षा अभी भी इस बात पर निर्भर करती है कि सॉफ्टवेयर रखरखावकर्ता, क्लाउड सेवा प्रदाता, उद्यम और सरकारी एजेंसियां जल्दी से कार्य कर सकती हैं या नहीं।
ओपनएआई के लिए, "पैच द प्लैनेट" न केवल PHP कमजोरियों के लिए एक आपातकालीन प्रतिक्रिया है, बल्कि कृत्रिम बुद्धिमत्ता युग में एक समन्वित भेद्यता प्रकटीकरण तंत्र की खोज में एक अभ्यास भी है। जैसे-जैसे कृत्रिम बुद्धिमत्ता की सुरक्षा खामियों को खोजने की क्षमता बढ़ती जा रही है, भविष्य में साइबर सुरक्षा प्रतिस्पर्धा की कुंजी अब केवल पहले भेद्यता का पता लगाना नहीं रह जाएगी, बल्कि यह भी होगी कि समस्या को तेजी से कौन सत्यापित कर सकता है, कोड को ठीक कर सकता है और दुनिया भर में प्रभावित प्रणालियों को समय पर सुरक्षित कर सकता है।
संबंधित लेख:
PHP ने गंभीर सुरक्षा कमजोरियों को उजागर किया है, और वैश्विक वेबसाइट ऑपरेटरों ने तत्काल पैचिंग स्थिति में प्रवेश किया है
दो गंभीर कमजोरियां सर्वर PHP आधिकारिक आपातकालीन सुरक्षा पैच पर रिमोट कोड निष्पादन का कारण बन सकती हैं
टिप्पणियाँ