साइबर सुरक्षा पर AI का नया खतरा, भारत की पहली चेतावनी से क्यों बढ़ी चिंता?

इलेक्ट्रॉनिक्स और सूचना प्रौद्योगिकी मंत्रालय के तहत काम करने वाली भारतीय कंप्यूटर आपात प्रतिक्रिया टीम यानी CERT-In ने गुरुवार देर रात AI एजेंट से जुड़े साइबर हमलों को लेकर 'क्रिटिकल' चेतावनी जारी की। एजेंसी के मुताबिक, कुछ सरकारी संस्थाओं और भारतीय कंपनियों के आईटी सिस्टम में सेंध लगने की घटनाएं सामने आई हैं।

इनमें कुछ मामले AI कंपनियों की रिसर्च और टेस्टिंग गतिविधियों से जुड़े थे, जबकि कुछ हमले साइबर अपराधियों ने नुकसान पहुंचाने और डेटा चुराने के इरादे से किए। CERT-In ने अपनी एडवाइजरी CIAD-2026-0049 में प्रभावित संस्थाओं या AI कंपनियों के नाम सार्वजनिक नहीं किए हैं। हालांकि, इस चेतावनी से साफ है कि AI की मदद से होने वाले साइबर हमलों को अब गंभीरता से लेने की जरूरत है।

AI एजेंट ऐसे सॉफ्टवेयर सिस्टम होते हैं, जिन्हें किसी खास लक्ष्य को पूरा करने के लिए कई काम खुद से करने की क्षमता दी जाती है। सामान्य AI टूल से अलग, ये एजेंट किसी काम की योजना बना सकते हैं, अलग-अलग डिजिटल टूल का इस्तेमाल कर सकते हैं और तय लक्ष्य तक पहुंचने के लिए लगातार कदम उठा सकते हैं।

साइबर हमले के मामले में ऐसे एजेंट किसी सिस्टम की कमजोरियों का पता लगाने, नेटवर्क की जांच करने और सुरक्षा में मौजूद खामियों का फायदा उठाने की कोशिश कर सकते हैं। अगर इन्हें पर्याप्त अधिकार मिल जाएं या सुरक्षा व्यवस्था कमजोर हो, तो ये संवेदनशील डेटा तक पहुंचने का रास्ता भी खोज सकते हैं। यही वजह है कि AI एजेंट से जुड़ा खतरा पारंपरिक साइबर हमलों से अलग माना जा रहा है। यहां हमले की रफ्तार और काम को अपने आप पूरा करने की क्षमता सुरक्षा टीमों के लिए बड़ी चुनौती बन सकती है।

CERT-In के मुताबिक, कई घटनाएं AI कंपनियों की रिसर्च और मूल्यांकन गतिविधियों के दौरान हुईं। इसका मतलब यह नहीं है कि हर घटना के पीछे जानबूझकर हमला करने की मंशा थी। कुछ मामलों में AI सिस्टम की क्षमताओं को परखा जा रहा था। लेकिन चिंता की बात यह है कि इन गतिविधियों के दौरान वास्तविक और चालू आईटी सिस्टम प्रभावित हुए और डेटा तक अनधिकृत पहुंच की घटनाएं सामने आईं।

एजेंसी ने यह भी बताया कि कुछ मामलों का पता AI कंपनियों की ओर से जिम्मेदारी के साथ दी गई जानकारी और CERT-In की अपनी सक्रिय जांच के जरिए चला। हालांकि, डेटा कितना लीक हुआ, किन विभागों पर असर पड़ा और कौन-सी AI कंपनियां इन घटनाओं से जुड़ी थीं, इसकी विस्तृत जानकारी सार्वजनिक नहीं की गई।

AI एजेंट से जुड़े खतरे की सबसे बड़ी चिंता इसकी रफ्तार है। जिस काम को करने में पहले साइबर अपराधियों को कई दिन लग सकते थे, उसे स्वचालित AI सिस्टम बहुत कम समय में पूरा करने की कोशिश कर सकते हैं। इससे कंपनियों और सरकारी संस्थाओं को हमले का पता लगाने, उसे रोकने और नुकसान सीमित करने के लिए कम समय मिल सकता है।

मान लीजिए किसी कंपनी के नेटवर्क में सुरक्षा की कोई कमजोरी है। कोई AI एजेंट तेजी से उस कमजोरी को खोजने और उसका फायदा उठाने की कोशिश कर सकता है। यदि सुरक्षा व्यवस्था समय पर प्रतिक्रिया नहीं देती, तो संवेदनशील फाइलों या दूसरे सिस्टम तक पहुंचने का खतरा बढ़ सकता है। हालांकि, इसका मतलब यह नहीं है कि हर AI एजेंट ऐसा हमला कर सकता है या हर सिस्टम आसानी से हैक हो जाएगा। खतरा सिस्टम की सुरक्षा, एजेंट को मिले अधिकार और हमले की परिस्थितियों पर निर्भर करता है।

AI आधारित हमलों से निपटने के लिए सिर्फ एंटीवायरस या फायरवॉल लगाना पर्याप्त नहीं है। संस्थाओं को लगातार नेटवर्क की निगरानी करनी होगी, संदिग्ध गतिविधियों का तेजी से पता लगाना होगा और हमला होने पर तुरंत कार्रवाई करने की व्यवस्था बनानी होगी।

CERT-In ने 25 मई को प्रकाशित 38 पन्नों की एक हैंडबुक में AI से जुड़े खतरों से बचाव के लिए जरूरी उपाय बताए थे। इसमें सुरक्षा तैयारियों को मजबूत करने, संवेदनशील सिस्टम को अलग रखने के लिए एयर-गैप्ड व्यवस्था अपनाने और प्रशिक्षित इन्सिडेंट रिस्पॉन्स टीम तैयार रखने जैसे उपाय शामिल हैं।

भारत के लिए एक दूसरी चुनौती साइबर सुरक्षा विशेषज्ञों की कमी भी है। यदि संस्थाओं के पास प्रशिक्षित कर्मचारी और आधुनिक सुरक्षा तकनीक नहीं होगी, तो तेजी से होने वाले AI हमलों का समय पर जवाब देना मुश्किल हो सकता है। इसलिए तकनीकी निवेश के साथ-साथ विशेषज्ञों को प्रशिक्षित करना भी जरूरी है।

AI आधारित हमलों से बचने के लिए कंपनियों को अपनी साइबर सुरक्षा पर खर्च बढ़ाना पड़ सकता है। सलाहकार कंपनियों Bain & Company और Gartner की मार्च में प्रकाशित रिपोर्टों के मुताबिक, भारत के 3.4 अरब डॉलर के सालाना IT खर्च का लगभग 20 प्रतिशत साइबर सुरक्षा पर जाता है। यह आंकड़ा बताता है कि साइबर सुरक्षा पर निवेश महत्वपूर्ण है, लेकिन AI के दौर में जरूरतें और बढ़ सकती हैं।

CERT-In ने कंपनियों से मशीन की गति से हमलों का पता लगाने की क्षमता विकसित करने पर जोर दिया है। इसके लिए बेहतर निगरानी सिस्टम, पर्याप्त कंप्यूटिंग संसाधन, नियमित सुरक्षा जांच और तेजी से कार्रवाई करने वाली टीमें जरूरी हो सकती हैं।

भारत में साइबर सुरक्षा से जुड़े नियम मौजूद हैं, लेकिन AI एजेंट से होने वाले हमलों में जिम्मेदारी तय करना जटिल हो सकता है। CERT-In के 2022 के नियम एजेंसी को निर्देशों का पालन नहीं करने वाली संस्थाओं के खिलाफ कार्रवाई करने की शक्ति देते हैं। इसके बावजूद, AI एजेंट से जुड़े हर तरह के साइबर हमले के लिए एक ही व्यापक और स्पष्ट कानूनी ढांचा मौजूद होने की स्थिति अभी स्पष्ट नहीं है।

ऐसे मामलों में सवाल उठ सकता है कि जिम्मेदार किसे ठहराया जाए- AI एजेंट बनाने वाली कंपनी को, उसे चलाने वाली टीम को या दोनों को? यदि किसी कंपनी का रिसर्च सिस्टम वास्तविक नेटवर्क में सेंध लगा देता है, तो उसकी जिम्मेदारी तय करने के लिए घटना की परिस्थितियों, नियंत्रण और लागू कानूनों की जांच करनी होगी। AI कंपनियां कुछ परिस्थितियों में खुद को मध्यस्थ बताकर कानूनी संरक्षण का दावा कर सकती हैं, लेकिन ऐसे दावों का लागू होना मामले और कानून पर निर्भर करेगा।

AI एजेंट से जुड़े साइबर हमलों का असर केवल बड़ी कंपनियों या सरकारी विभागों तक सीमित नहीं रह सकता। यदि किसी संस्था का सिस्टम प्रभावित होता है, तो वहां मौजूद ग्राहकों की निजी जानकारी, वित्तीय रिकॉर्ड या दूसरी संवेदनशील जानकारियां भी जोखिम में पड़ सकती हैं। हालांकि, CERT-In की इस चेतावनी से यह साबित नहीं होता कि आम लोगों के बैंक खाते या निजी डेटा बड़े पैमाने पर प्रभावित हुए हैं।

आम यूजर को अपने अकाउंट पर मजबूत और अलग-अलग पासवर्ड इस्तेमाल करने, मल्टी-फैक्टर ऑथेंटिकेशन चालू रखने, संदिग्ध लिंक से बचने और मोबाइल व कंप्यूटर को अपडेट रखने जैसे बुनियादी सुरक्षा उपाय अपनाने चाहिए।

कुल मिलाकर, भारत की यह चेतावनी बताती है कि AI तकनीक जहां काम को तेज और आसान बना सकती है, वहीं गलत इस्तेमाल या कमजोर नियंत्रण की स्थिति में साइबर सुरक्षा के लिए नया खतरा भी बन सकती है। आने वाले समय में AI के विकास के साथ सुरक्षा तकनीक, प्रशिक्षित विशेषज्ञों और स्पष्ट जवाबदेही के नियमों को मजबूत करना पहले से ज्यादा जरूरी होगा।