AI एजेंट के माध्यम से साइबर हमले का जोखिम, गृह मंत्रालय ने जारी की एडवाइजरी

गृह मंत्रालय के तहत इंडियन साइबर क्राइम कोऑर्डिनेशन सेंटर (I4C) और इलेक्ट्रॉनिक्स एवं आईटी मंत्रालय की CERT-In ने वित्तीय संस्थानों पर होने वाले साइबर हमलों के एक नए ट्रेंड की पहचान की है। इस संबंध में, I4C ने बैंकों, गैर-बैंकिंग वित्तीय कंपनियों (NBFCs) और फिनटेक कंपनियों के लिए एक महत्वपूर्ण एडवाइजरी जारी की है, ताकि आर्थिक लाभ के उद्देश्य से किए जाने वाले ऐसे हमलों को रोका जा सके।

रिपोर्ट के अनुसार, इन नए प्रकार के हमलों में आर्टिफिशियल इंटेलिजेंस (AI) एजेंट का उपयोग किया जा रहा है। 'एजेंटिक AI फ्रेमवर्क' (Agentic AI Framework) के कारण ये हमले मशीन की गति से अत्यंत तीव्रता से होते हैं। हैकर्स विशेष रूप से ऐसे सॉफ्टवेयर को निशाना बनाते हैं जिन्हें समय पर अपडेट नहीं किया गया है, या जो गलत तरीके से कॉन्फ़िगर किए गए इंटरनेट सर्वर और आईटी सिस्टम का उपयोग करते हैं। इसमें ग्राहकों की शिकायतें प्राप्त करने के लिए उपयोग किए जाने वाले इंटरफेस भी शामिल हैं।

हमलावर स्वचालित फंड वितरण प्रणाली या भुगतान और फंड ट्रांसफर के लिए उपयोग किए जाने वाले विशेष एप्लिकेशन प्रोग्रामिंग इंटरफेस (API) पर हमला करते हैं। कुछ मामलों में, API के माध्यम से करोड़ों रुपये के अनधिकृत लेनदेन होने का पता चला है। अपराधी चोरी किए गए पैसे को विभिन्न बैंकों के 'म्यूल अकाउंट्स' में ट्रांसफर करते हैं और उसके बाद IMPS या NEFT के माध्यम से अन्य खातों में भेज देते हैं या निकाल लेते हैं। जांच से बचने के लिए वे सिस्टम से रिकॉर्ड डिलीट कर अपने डिजिटल निशान मिटा देते हैं।

इन जोखिमों को कम करने के लिए मंत्रालय और CERT-In ने कई निर्देश दिए हैं। सभी वित्तीय संस्थानों को दैनिक लेनदेन और प्रत्येक लेनदेन के लिए वित्तीय सीमा निर्धारित करनी होगी। लाभार्थी के नाम और बैंक खाते की जांच करना तथा असामान्य गति से होने वाले लेनदेन पर नजर रखना अनिवार्य है। भुगतान के लिए उपयोग किए जाने वाले सभी API की सूची तैयार करने और अनुपयोगी या टेस्टिंग API को बंद करने के निर्देश दिए गए हैं। इसके लिए बैंक के मुख्य सूचना सुरक्षा अधिकारी (CISO), ट्रांजैक्शन मॉनिटरिंग और आईटी टीम को समन्वय करना होगा।

सुरक्षा के अन्य उपायों में KYC और अनुमति की प्रक्रिया पूरी होने के बाद ही राशि ट्रांसफर करना, ग्राहक इंफ्रास्ट्रक्चर को अधिक सुरक्षित बनाना और अधिकृत रेड टीम द्वारा मशीन-स्पीड हमले का सिमुलेशन परीक्षण करना शामिल है। संस्थानों को अपने सुरक्षा नियंत्रणों को CERT-In के मई 2026 के 'डिजिटल इंफ्रास्ट्रक्चर में AI आधारित कमजोरियों के दुरुपयोग को कम करने और उससे बचाव के लिए ब्लूप्रिंट' के अनुसार मजबूत करना होगा।

रिपोर्टिंग के नियमों के संबंध में बताया गया है कि किसी भी साइबर घटना की जानकारी मिलने के 6 घंटे के भीतर CERT-In को सूचित करना अनिवार्य है। बैंकों और NBFCs को 6 घंटे के भीतर RBI के DAKSH पोर्टल पर रिपोर्ट करना होगा। NBFCs और फिनटेक कंपनियां धोखाधड़ी के लेनदेन की सामूहिक सूचना देने के लिए NCRP-CFCFRMS पोर्टल का उपयोग कर सकती हैं, ताकि राशि को फ्रीज कराया जा सके।

दूसरी ओर, AI क्षेत्र की अग्रणी कंपनी OpenAI में आंतरिक सुरक्षा को लेकर चिंताएं सामने आई हैं। NDTV और द हिंदू की रिपोर्ट के अनुसार, 2022 में ChatGPT लॉन्च होने से पहले भी कुछ कर्मचारियों ने सुरक्षा खामियों के बारे में चेतावनी दी थी। कर्मचारियों का तर्क था कि प्रबंधन सुरक्षा के बजाय गूगल और एंथ्रोपिक जैसी कंपनियों के साथ प्रतिस्पर्धा में आगे रहने पर अधिक ध्यान दे रहा था। इन खामियों के कारण विदेशी सरकारों जैसे बाहरी लोग संवेदनशील जानकारी प्राप्त कर सकते थे। अक्टूबर में कंपनी ने एक कार्यकारी सम्मेलन कक्ष (executive conference room) में रिकॉर्डिंग डिवाइस मिलने की जानकारी दी थी।

इन समस्याओं के समाधान के लिए OpenAI ने अपनी रणनीति बदल दी है। प्रोडक्ट डेवलपमेंट के वरिष्ठ कार्यकारी थिबोल्ट सोटियो (Tibo) ने आंतरिक प्रणालियों को सुरक्षित करने की जिम्मेदारी ली है और अगस्त में एक-चौथाई प्रोडक्शन इंजीनियरों को सुरक्षा बुनियादी ढांचे में सुधार के लिए लगाया गया है। कंपनी की प्रवक्ता इलाना विडमैन ने बताया कि OpenAI दुनिया के सबसे अधिक लक्षित संगठनों में से एक है, इसलिए वे इनसाइडर्स और साइबर अपराधियों से सुरक्षा के लिए भारी निवेश करते हैं।

OpenAI ने हाल ही में ChatGPT में 'Locked Chats' फीचर पेश किया है। TV9 गुजराती के अनुसार, इस सुविधा से उपयोगकर्ता अपनी निजी चैट को 4 अंकों के PIN या बायोमेट्रिक ऑथेंटिकेशन के माध्यम से लॉक कर सकते हैं। यह फीचर फ्री सहित सभी प्लान के लिए उपलब्ध है। हालांकि, यदि PIN रीसेट किया जाता है, तो सभी लॉक की गई चैट स्थायी रूप से डिलीट हो जाती हैं, जिन्हें पुनः प्राप्त नहीं किया जा सकता है।