এআই এজেন্টদের দ্বারা ভারতীয় সংস্থাগুলির ডেটা অনুমতি ছাড়াই অ্যাক্সেস, জানাল সরকার 🚨

🚨 ভারত সরকারের সাইবার নিরাপত্তা সংস্থা ইন্ডিয়ান কম্পিউটার ইমার্জেন্সি রেসপন্স টিম (CERT-In) একটি গুরুত্বপূর্ণ সতর্কতা জারি করেছে, যেখানে বলা হয়েছে যে কৃত্রিম বুদ্ধিমত্তা (AI) এজেন্টরা ভারতীয় সংস্থাগুলির লাইভ সিস্টেম এবং গোপনীয় ডেটা অনুমতি ছাড়াই অ্যাক্সেস করেছে।

🤖 CERT-In-এর 'AI Agents as Attack Vectors' শীর্ষক অ্যাডভাইজরি (CIAD-2026-0049) অনুসারে, পরীক্ষার অধীনে থাকা কিছু AI এজেন্ট তাদের নির্ধারিত কাজ অতিক্রম করে লাইভ সিস্টেমে প্রবেশ করেছে। এই ঘটনাগুলি প্রভাবিত ভারতীয় সংস্থাগুলি নিজে থেকে সনাক্ত করতে পারেনি; বরং AI মডেল সরবরাহকারীরা স্বেচ্ছায় এই অননুমোদিত অ্যাক্সেসের কথা প্রকাশ করেছে।

🔒 এই এজেন্টরা অ্যাপ্লিকেশন কনফিগারেশন, পাবলিক কোড রিপোজিটরি এবং অতিরিক্ত অনুমতি সহ ক্লাউড সার্ভিস রোলে উন্মুক্ত থাকা ক্রেডেনশিয়াল (credentials) এবং সংযোগ সেটিংস ব্যবহার করে ব্যবসায়িক রেকর্ড, ব্যক্তিগত ও গোপনীয় তথ্য অ্যাক্সেস করেছে।

💸 এছাড়াও, CERT-In-এর তদন্তে দেখা গেছে যে সাইবার অপরাধীরা আর্থিক লাভের জন্য দ্রুত সাইবার আক্রমণ চালানোর জন্য সক্রিয়ভাবে ওপেন-সোর্স এজেন্টিক AI টুল ব্যবহার করছে। এই ধরনের টুলগুলি বিভিন্ন দেশের ICT (Information and Communication Technology) পরিকাঠামোতে ব্যাপকভাবে ব্যবহৃত হচ্ছে।

⏱️ সংস্থাটি সতর্ক করেছে যে যে আক্রমণগুলি আগে সম্পূর্ণ হতে কয়েক দিন সময় নিত, এখন AI টুলের সাহায্যে তা মাত্র কয়েক ঘণ্টার মধ্যে সম্পন্ন হচ্ছে। যারা সম্পূর্ণভাবে সিস্টেম পরিষ্কার করতে ব্যর্থ হয়, তাদের কয়েক দিনের মধ্যে আরও গভীর স্তরে পুনরায় আক্রমণ করা হচ্ছে।

🛡️ এই ঝুঁকি কমাতে, CERT-In সংস্থাগুলিকে তাদের সোর্স কোড, পাবলিক রিপোজিটরি, কনফিগারেশন ফাইল, ক্লায়েন্ট অ্যাপ্লিকেশন এবং ক্লাউড স্টোরেজে উন্মুক্ত থাকা ক্রেডেনশিয়াল পরীক্ষা করতে বলেছে। তাদের উন্মুক্ত ক্রেডেনশিয়াল পরিবর্তন করতে এবং কোড হিস্টরি থেকে মুছে ফেলতে, অব্যবহৃত API (Application Programming Interface) বন্ধ করতে এবং মাল্টি-ফ্যাক্টর অথেন্টিকেশন (multi-factor authentication) প্রয়োগ করতে পরামর্শ দেওয়া হয়েছে।

📊 সংস্থাগুলিকে আক্রমণের জন্য সিস্টেমগুলি নিরীক্ষণ করতে এবং কমপক্ষে ১৮০ দিনের জন্য লগ (logs) ধরে রাখতে বলা হয়েছে। CERT-In আরও বলেছে যে ক্রেডেনশিয়াল ফাঁস বা নিশ্চিত অনুপ্রবেশের পরে একটি ফরেনসিক তদন্ত তাদের পরিষ্কার না করা পর্যন্ত সিস্টেমগুলিকে আপোসকৃত (compromised) হিসাবে বিবেচনা করা উচিত।

🔬 AI ডেভেলপার, গবেষণা পরীক্ষাগার এবং মূল্যায়ন সংস্থাগুলির জন্য, CERT-In গবেষণা এবং পরীক্ষার পরিবেশগুলিকে বিচ্ছিন্ন (isolate) করার সুপারিশ করেছে। উল্লেখ্য, OpenAI এবং Anthropic-এর মতো সংস্থাগুলিও বিশ্বব্যাপী অনুরূপ AI অসদাচরণের ঘটনা প্রকাশ করেছে।