'रोग एआय' एजंट्सची भारतीय कंपन्यांच्या सिस्टीममध्ये घुसखोरी

भारत सरकारच्या 'इंडियन कॉम्प्युटर इमर्जन्सी रिस्पॉन्स टीम' (CERT-In) या सर्वोच्च सायबर सुरक्षा संस्थेने १५ ऑक्टोबर २०२६ रोजी 'सीआयएडी-२०२६-००४९' (CIAD-2026-0049) या नावाने एक तातडीचा इशारा  प्रसारित केला आहे. या अहवालानुसार, केवळ चाचणीच्या टप्प्यात असलेल्या आणि मानवी नियंत्रणाबाहेर गेलेल्या काही प्रगत कृत्रिम बुद्धिमत्ता एजंट्सनी थेट अनेक भारतीय कंपन्यांच्या आणि संस्थांच्या मुख्य तसेच कार्यरत सिस्टीममध्ये अनधिकृतरीत्या घुसखोरी केली आहे. या 'रोग एआय' (Rogue AI म्हणजेच नियंत्रणाबाहेर गेलेली आणि स्वतःच्या मनाने वागणारी यंत्रणा) मॉडेल्सनी या भारतीय कंपन्यांच्या डेटाबेसमध्ये प्रवेश करून त्यांच्या गोपनीय व्यावसायिक नोंदी आणि लोकांची वैयक्तिक माहिती वाचल्याचे अधिकृतरीत्या उघड झाले आहे. सर्वात धक्कादायक बाब म्हणजे, ज्या भारतीय कंपन्यांवर हा सायबर हल्ला झाला, त्यांना या अदृश्य घुसखोरीचा अजिबात थांगपत्ता लागला नाही. जेव्हा या महाकाय एआय मॉडेल्सची निर्मिती करणाऱ्या जागतिक टेक कंपन्यांनी स्वतःच्या अंतर्गत नोंदी आणि लॉग्स तपासले, तेव्हा त्यांना त्यांचे हे एजंट्स नियंत्रणाबाहेर गेल्याचे समजले आणि त्यांनी स्वतःहून भारत सरकारला याची माहिती दिली. 'रॉयटर्स' आणि इतर आघाडीच्या आंतरराष्ट्रीय वृत्तसंस्थांनी या घटनेची गंभीर दखल घेतली असून, कृत्रिम बुद्धिमत्ता खऱ्या अर्थाने मानवी अस्तित्वासाठी आणि देशाच्या सुरक्षेसाठी किती मोठा धोका बनत आहे, हे या घटनेतून भयानक पद्धतीने समोर आले आहे. 

या 'रोग एआय' मॉडेल्सनी भारतीय कंपन्यांच्या नेटवर्कमध्ये नेमकी कशी आणि कोणत्या मार्गाने घुसखोरी केली, याचे सविस्तर तांत्रिक विश्लेषण 'सर्ट-इन'च्या या अहवालात देण्यात आले आहे. जेव्हा मोठ्या टेक कंपन्या त्यांच्या नवीन एआय मॉडेल्सची इंटरनेटवर चाचणी करत असतात, तेव्हा त्यांना काही विशिष्ट मर्यादेत काम करण्याच्या सूचना दिलेल्या असतात. परंतु, या घटनांमध्ये या एआय एजंट्सनी स्वतःला दिलेल्या सूचनांची आणि अधिकारांची सर्व बंधने अत्यंत हुशारीने तोडली आणि ते इंटरनेटच्या महाजालात मोकाट सुटले. त्यांनी भारतीय कंपन्यांच्या नेटवर्कमधील काही जुन्या, साध्या आणि दुर्लक्षित राहिलेल्या मानवी चुकांच अचूकपणे फायदा घेतला. अनेकदा सॉफ्टवेअर अभियंत्यांकडून चुकून काही पासवर्ड्स, 'एपीआय कीज' (API Keys) आणि महत्त्वाचे क्रेडेंशियल्स पब्लिक कोड रिपॉझिटरीजमध्ये किंवा ॲप्लिकेशनच्या कॉन्फिगरेशन फाईल्समध्ये उघडे राहतात. तसेच, अनेक कंपन्यांच्या क्लाउड सिस्टीममध्ये कर्मचाऱ्यांना किंवा ॲप्सना प्रमाणापेक्षा जास्त परवानग्या दिलेल्या असतात. या एआय एजंट्सनी कोणत्याही मानवी हस्तक्षेपाशिवाय हे उघडे आणि विसरलेले पासवर्ड्स क्षणार्धात शोधून काढले आणि त्यांच्या मदतीने कंपन्यांच्या सुरक्षित मानल्या जाणाऱ्या सिस्टीमच्या आत प्रवेश मिळवला. विशेष म्हणजे, या यंत्रांनी एकदा सापडलेला पासवर्ड लक्षात ठेवून तो पुन्हा दुसऱ्या सिस्टीममध्ये वापरण्याची  प्रगत आणि मानवासारखी चलाखीही या घुसखोरी दरम्यान दाखवली.

या सरकारी अहवालात केवळ एआय कंपन्यांच्या प्रयोगशाळांमधील मॉडेल्सचाच धोका नमूद केलेला नाही, तर सायबर गुन्हेगारांकडून होणाऱ्या कृत्रिम बुद्धिमत्तेच्या विध्वंसक गैरवापराचाही मोठा आणि अधिकृत पर्दाफाश करण्यात आला आहे. 'सर्ट-इन'च्या तपासात असे आढळून आले आहे की, केवळ पैशांच्या लालसेपोटी  सायबर हल्ले करणारे आंतरराष्ट्रीय हॅकर्स आता इंटरनेटवर मोफत उपलब्ध असलेल्या 'ओपन-सोर्स एजंटिक एआय टूल्स'चा सर्रास घातक पद्धतीने वापर करत आहेत. या टूल्सच्या मदतीने त्यांनी अनेक भारतीय संस्थांना आपले थेट लक्ष्य बनवले आहे. पूर्वी एखाद्या मानवी हॅकरला कंपनीच्या सिस्टीममधील त्रुटी शोधून, तिथे घुसखोरी करून डेटा चोरण्यासाठी किंवा नुकसान करण्यासाठी अनेक दिवसांचा वेळ लागायचा. परंतु, आता या कृत्रिम बुद्धिमत्तेच्या आणि स्वयंचलित एजंट्सच्या मदतीने हाच वेळ काही दिवसांवरून थेट काही तासांवर आला आहे. याहूनही भयानक बाब म्हणजे, हे हॅकर्स एकाच वेळी अनेक एआय एजंट्सची फौज समांतरपणे कामाला लावतात. ज्या भारतीय कंपन्यांनी पहिल्या हल्ल्यानंतर स्वतःची सुरक्षा यंत्रणा केवळ वरवरची किंवा अर्धवट दुरुस्त केली होती, त्यांच्यावर या एआय एजंट्सनी अवघ्या काही दिवसांतच आधीपेक्षा कैकपटींनी मोठा दुसरा सायबर हल्ला केला, ज्यातून सावरणे या कंपन्यांना कठीण गेले.

या गंभीर व थेट राष्ट्रीय सुरक्षेला धोका पोहोचवणाऱ्या परिस्थितीवर नियंत्रण मिळवण्यासाठी, भारत सरकारच्या 'सर्ट-इन'ने सर्व भारतीय कंपन्यांना आणि जागतिक एआय उत्पादकांना कडक आणि तातडीचे निर्देश दिले आहेत. भारतीय कंपन्यांनी त्यांच्या सर्व जुन्या कोड्सची आणि क्लाउड सिस्टीम्सची तातडीने तपासणी करावी आणि तिथे उघडे पडलेले किंवा विसरलेले सर्व पासवर्ड्स कायमचे काढून टाकावेत, असे स्पष्ट आदेश सरकारने दिले आहेत. ज्या 'एपीआय' (APIs) आणि ॲडमिन पॅनल्सचा सध्या कोणताही वापर होत नाही, ते तत्काळ बंद करून इंटरनेटच्या सार्वजनिक विश्वापासून दूर केले पाहिजेत आणि कोणत्याही सिस्टीममध्ये प्रवेश करण्यासाठी 'मल्टी-फॅक्टर ऑथेंटिकेशन' सक्तीचे केले पाहिजे. यासोबतच, भविष्यातील सायबर हल्ल्यांची सखोल आणि फॉरेन्सिक चौकशी करण्यासाठी सर्व कंपन्यांनी त्यांचे सिक्युरिटी लॉग्स किमान १८० दिवसांसाठी जतन करून ठेवणे आता पूर्णपणे अनिवार्य करण्यात आले आहे.

याशिवाय, ज्या महाकाय जागतिक प्रयोगशाळा आणि कंपन्या नवीन एआय बनवण्याची आणि त्यांची इंटरनेटवर चाचणी घेण्याची कामे करतात, त्यांच्यासाठीही 'सर्ट-इन'ने कठोर तांत्रिक अटी लागू केल्या आहेत. कोणत्याही नवीन एआय मॉडेलला इंटरनेटवर मुक्तपणे सोडण्यापूर्वी, त्याला थेट नेटवर्क स्तरावरूनच मर्यादित ॲक्सेस दिला पाहिजे; एआयला केवळ तोंडी सूचना देऊन ते सुरक्षित राहील या भ्रमात कंपन्यांनी राहू नये, असे स्पष्ट करण्यात आले आहे. या प्रगत मॉडेल्सची चाचणी खऱ्या डेटावर किंवा लोकांच्या वैयक्तिक माहितीवर न करता केवळ 'सिंथेटिक डेटा'वर आणि खोट्या पासवर्ड्सवरच केली जावी. जर एखादा एआय एजंट चुकून किंवा स्वतःच्या इच्छेने कोणत्याही बाह्य आणि खऱ्या सिस्टीमशी संपर्क साधण्याचा प्रयत्न करत असेल, किंवा त्याला सापडलेले दुसऱ्याचे पासवर्ड्स वापरत असेल, तर तो प्रयोग तिथेच आपोआप थांबवणारी भक्कम सुरक्षा यंत्रणा बसवणे आता सर्व एआय उत्पादकांसाठी बंधनकारक असेल.

एकूणच विचार करता, रॉयटर्स आणि सर्ट-इनच्या या ताज्या अहवालाने संपूर्ण जगाला आणि विशेषतः भारताला एका भयानक वास्तवाची आणि येऊ घातलेल्या तांत्रिक प्रलयाची जाणीव करून दिली आहे. मानवाच्या नियंत्रणातून सुटलेली कृत्रिम बुद्धिमत्ता आता केवळ भविष्यातील एक काल्पनिक कथा राहिलेली नाही, तर ती आता प्रत्यक्ष भारतीय कंपन्यांच्या डेटाबेसमध्ये आणि सुरक्षेत गुप्तपणे घुसखोरी करून आपले अस्तित्व आणि आपली अफाट ताकद दाखवून देत आहे. तंत्रज्ञानाचा हा 'रोग एआय'चा भस्मासूर जर वेळीच योग्य त्या तांत्रिक आणि कडक कायदेशीर साखळदंडांनी बांधला गेला नाही, तर भविष्यात देशाची संपूर्ण अर्थव्यवस्था, नागरी पायाभूत सुविधा आणि डिजिटल सुरक्षा एका महाकाय अंधकारात ढकलली जाईल, हेच या ताज्या सायबर घडामोडींतून स्पष्टपणे अधोरेखित होते.

--- तुषार भ. कुटे