টেকক্রাঞ্চ একটি নিবন্ধে বলেছে যে জেনারেটিভ এআই ব্যবসায়িক নিরাপত্তা সমস্যাগুলিকে আরও প্রাথমিক স্থানে নিয়ে আসছে। গুগল ক্লাউডের প্রধান অপারেশন অফিসার ফ্রানসিস দি সোজা একটি ইভেন্টে বলেছেন যে, ব্যবসাগুলি এআই বাস্তবায়নের সময় নিরাপত্তা পিছনে রেখে দিতে পারবে না এবং কর্মচারীদের দ্বারা ব্যক্তিগতভাবে পরিচালিতও করা যাবে না। তাঁর মতে, এআই কৌশলকে ডেটা কৌশল এবং নিরাপত্তা কৌশলের সাথে একসাথে এগিয়ে নিতে হবে।
লেখাটি বলে যে, এই বিচার নিজেই নতুন নয়, কিন্তু এআই টুলগুলি দ্রুত কর্পোরেট প্রক্রিয়াগুলিতে প্রবেশ করার পরে ঝুঁকি দ্রুত প্রকাশিত হচ্ছে। ডি সোউজা “ছায়া এআই” সমস্যাটির উল্লেখ করেন, যা কর্মচারীদের কর্পোরেট গভর্ন্যান্সকে এড়িয়ে ব্যক্তিগত এআই টুলগুলি ব্যবহার করার কথা বোঝায়। এটি কর্পোরেশনগুলিকে অডিট, অ্যাক্সেস নিয়ন্ত্রণ এবং ডেটা পরিচালনা একত্রিত করতে কঠিন করে তোলে।
আক্রমণের ক্ষেত্র এখন শুধু পারম্পরিক নেটওয়ার্কেই সীমাবদ্ধ নয়
দ্য সোজা মনে করেন যে পুরনো প্রতিরক্ষা মডেলগুলি বর্তমান গতির সাথে পাল্লা দিতে পারছে না। নিবন্ধটি তাঁর বক্তব্য উদ্ধৃত করে বলছে যে, সিস্টেমটি প্রথমবারের মতো হ্যাক করা থেকে আক্রমণের পরবর্তী পর্যায়ে যাওয়ার মধ্যে গড় সময় ৮ ঘন্টার পরিবর্তে ২২ সেকেন্ডে কমে গেছে। একইসাথে, প্রতিষ্ঠানগুলির যা সুরক্ষিত রাখার প্রয়োজন তা শুধুমাত্র নেটওয়ার্ক এবং এন্ডপয়েন্ট নয়।
বর্তমান ঝুঁকির মধ্যে রয়েছে মডেল, ট্রেনিং ডেটা পাইপলাইন, এজেন্ট এবং প্রম্পট সহ নতুন ধাপগুলি। বিশেষ করে কোম্পানির অভ্যন্তরে চলমান AI এজেন্টগুলি বছরের পর বছর অবহেলিত ডেটা ওয়্যারহাউসগুলি স্বয়ংক্রিয়ভাবে আবিষ্কার করতে পারে এবং আগের গোপনীয় তথ্যগুলিকে আবার প্রকাশ করতে পারে।
গুগল প্ল্যাটফর্ম-ভিত্তিক সুরক্ষা দাবি করে
দ্য সোজা দ্বারা প্রস্তাবিত প্রতিক্রিয়া হল প্রতিরক্ষাকেও "মেশিন টু মেশিন" এর দিকে ঘুরিয়ে দেওয়া। তিনি বলেন, ব্যবসাগুলি ব্যবসায়িক চালুর পরে একে একে ফাঁকগুলি পূরণ করার পরিবর্তে বিভিন্ন ক্লাউড পরিবেশ এবং বিভিন্ন মডেলের মধ্যে সামঞ্জস্যপূর্ণ সুরক্ষা নীতি বজায় রাখতে প্ল্যাটফর্ম-ভিত্তিক পদ্ধতি গ্রহণ করতে হবে।
তিনি আরও বলেন, এটি শুধুমাত্র সুরক্ষা দলের কাজ নয়, বরং বোর্ড এবং পরিচালনা কর্মকর্তাদের সরাসরি অংশগ্রহণের প্রয়োজন। কারণ, এআই প্রতিষ্ঠানের অভ্যন্তরীণ সিস্টেমের অ্যাক্সেসের পদ্ধতিকে পরিবর্তন করছে, এবং পারমাণবিক প্রতিক্রিয়ার উপর নির্ভরশীল �伝統적인 সুরক্ষা প্রক্রিয়াগুলি এখন সময়মতো প্রতিক্রিয়া দেওয়ার জন্য ক্রমাগতভাবে অক্ষম হয়ে পড়ছে।
তবে, নিবন্ধটি উল্লেখ করে যে বর্তমানে এই ধরনের সিস্টেমগুলি পর্যবেক্ষণ করার জন্য যথেষ্ট পরিমাণে দক্ষ মানুষের অভাব রয়েছে। লিঙ্কডইনের প্রধান সিকিউরিটি অফিসার লিয়া কিসনার এই সপ্তাহে নিউইয়র্ক টাইমসকে বলেছেন যে, AI-এর কারণে ভাঙনের বৃদ্ধির গতি এখনও সিকিউরিটি দলের প্রতিক্রিয়ার গতির চেয়ে দ্রুত, এবং শিল্পটির আরও কয়েক বছর লাগতে পারে একটি স্থিতিশীল AI সিকিউরিটি বোধের জন্য।
জেমিনি ঘটনাটি প্ল্যাটফর্মের কার্যক্রমের ব্যবধান প্রকাশ করে
নিবন্ধটি মনে করে যে, গুগল ক্লাউড দ্বারা বাইরের জন্য প্রস্তাবিত নিরাপত্তা পরামর্শগুলি যদিও যুক্তিসঙ্গত, তবুও প্ল্যাটফর্মটি নিজেই বাস্তবায়নের স্তরে স্পষ্ট ফাঁক রাখে। দ্য রেজিস্টার সম্প্রতি কয়েকটি প্রতিবেদনে জানিয়েছে যে, অনুমতিহীন জেমিনি API কলের কারণে কয়েকজন গুগল ক্লাউড ডেভেলপারকে দুই-তিন হাজার ডলারের বিল পাঠানো হয়েছে, এবং এই ডেভেলপারদের মধ্যে কিছুজন আগে থেকেই সংশ্লিষ্ট সেবা সক্রিয় করেননি।
প্রতিবেদনটি উল্লেখ করে যে, এই কেসগুলির বেশিরভাগই পাবলিকলি এক্সপোজড API কীগুলির সাথে সম্পর্কিত। সংশ্লিষ্ট কীগুলি মূলত Google Maps-এর জন্য ব্যবহার করা হচ্ছিল এবং Google-এর পূর্ববর্তী নির্দেশনা অনুযায়ী এগুলি পাবলিকলি রাখা হয়েছিল। পরে, Google এই কীগুলির কলযোগ্য সীমা বাড়িয়েছিল, কিন্তু ডেভেলপারদের এই পরিবর্তনের সম্পূর্ণভাবে জানা ছিল না, ফলে আক্রমণকারীরা Gemini সার্ভিসে অ্যাক্সেস পেয়ে উচ্চ খরচ তৈরি করতে সক্ষম হয়।
- প্রেনটাস দাবি করেছেন যে ৩০ মিনিটের মধ্যে ১০১৩৮ ডলার ব্রাশ করা হয়েছে
- অন্য একজন ডেভেলপার প্রায় ১৭,০০০ অস্ট্রেলিয়ান ডলারের বিল পেয়েছেন
- অটো-আপগ্রেডের পরে বাস্তব লিমিট সর্বোচ্চ 100,000 ডলার পর্যন্ত হতে পারে।
মিডিয়া প্রতিবেদনের পর, গুগল সংশ্লিষ্ট ডেভেলপারদের পরিশোধ করেছে, তবে স্বয়ংক্রিয় আপগ্রেড চার্জিং স্তরের নীতি পরিবর্তনের পরিকল্পনা করছে না। কোম্পানির যুক্তি হলো, প্ল্যাটফর্মটি ব্যবহারকারীর বাজেট সীমা কঠোরভাবে মেনে চলার চেয়ে সেবা বিঘ্নতা এড়ানোকে বেশি গুরুত্ব দেয়।
কী মুছে ফেলার পরও একটি ব্যবহারযোগ্য উইন্ডো বাকি রয়ে গেছে
লেখাটি Aikido নামক একটি সিকিউরিটি কোম্পানির একটি গবেষণাও উল্লেখ করে। গবেষণাটি বলে যে, ডেভেলপাররা যদি কী প্রকাশের পরে তা তাত্ক্ষণিকভাবে মুছে ফেলেন, তবুও আক্রমণকারীরা গুগলের বাতিলকরণ অপারেশনটি ইনফ্রাস্ট্রাকচারে ধীরে ধীরে ছড়িয়ে পড়ার কারণে সর্বোচ্চ 23 মিনিট পর্যন্ত সেই কীটি ব্যবহার করতে পারবে।
অ্যাইকিদো গবেষক জোসেফ লিওন বলেছেন, এই সময়ের মধ্যে অনুরোধগুলি সফলভাবে সত্যায়িত হওয়ার সম্ভাবনা অস্থিতিশীল ছিল, তবে কিছু সময়ে সফলতার হার 90% এরও বেশি ছিল। আক্রমণকারীরা এই জানালাটির ব্যবহার করে ফাইলগুলি রপ্তানি করতে বা জেমিনির ক্যাশেড ডায়ালগ ডেটা পড়তে পারে।
লিওন এও উল্লেখ করেন যে, গুগলের কিছু নতুন ক্রেডেনশিয়াল ফরম্যাটে এই সমস্যাটি নেই। উদাহরণস্বরূপ, সার্ভিস অ্যাকাউন্ট API ক্রেডেনশিয়ালগুলি প্রায় ৫ সেকেন্ডের মধ্যে বাতিল করা যায়, এবং জেমিনির নতুন AQ প্রিফিক্স কীগুলি প্রায় ১ মিনিটের মধ্যে অকার্যকর হয়ে যায়। এর অর্থ হল, পুরনো কীগুলির ২৩ মিনিটের উইন্ডোটি প্রযুক্তিগতভাবে অসম্ভব নয়, বরং এটি মনে হয় প্ল্যাটফর্মের অগ্রাধিকারের ফলাফল।
অতিরিক্ত তথ্য: এই নিবন্ধটি একটি বিদেশি মাধ্যমের মতামত প্রবন্ধ, যার মূল বিষয় হল Google-এর নিরাপত্তা সুপারিশকে অস্বীকার করা নয়, বরং এটি উল্লেখ করে যে প্ল্যাটফর্মটি প্রতিষ্ঠানগুলিকে প্রাক-সুরক্ষা অনুমোদন করার সময়ও নিজেদের পণ্য, বিলিং এবং কী ব্যবস্থাপনার প্রতিক্রিয়ার গতির মধ্যে একটি ব্যবধান বিদ্যমান।