রয়টার্স
কৃত্রিম বুদ্ধিমত্তা বা এআই এজেন্ট ব্যবহার করে শতাধিক কোম্পানির ওয়েবসাইটে অনুপ্রবেশ করেছেন চীনা ভাষায় কথা বলা এক হ্যাকার। আক্রান্ত প্রতিষ্ঠানগুলোর মধ্যে রয়েছে কৃষি সরঞ্জাম নির্মাতা ডিয়ার, গৃহস্থালি সরঞ্জাম কোম্পানি শার্কনিনজা এবং ইঞ্জিন নির্মাতা কামিন্স। পুরো প্রক্রিয়ায় হ্যাকারকে সরাসরি খুব বেশি কিছু করতে হয়নি। একজন সাইবার নিরাপত্তা গবেষকের পর্যবেক্ষণে উঠে এসেছে, এআই এজেন্টগুলো নিজেরাই দীর্ঘ সময় ধরে ওয়েবসাইটের দুর্বলতা খুঁজেছে এবং সেগুলোতে অনুপ্রবেশের চেষ্টা চালিয়েছে। এ ধরনের হামলায় সম্ভাব্য ব্যয় হয়েছে প্রায় ৫ হাজার ডলার।
সাইবার নিরাপত্তা কোম্পানি নরফোর্জের প্রধান হুমকি-বিষয়ক গবেষক স্নোরে ফাগারল্যান্ড জানিয়েছেন, ওই সাইবার অপরাধী হ্যাকিংয়ের পুরো প্রক্রিয়াটি এআইয়ের ওপর ছেড়ে দিয়েছিলেন। এআই এজেন্টগুলোকে এমনভাবে কাজে লাগানো হয়েছিল, যাতে সেগুলো স্বয়ংক্রিয়ভাবে ঘণ্টার পর ঘণ্টা বিভিন্ন ওয়েবসাইট অনুসন্ধান করে দুর্বলতা শনাক্ত এবং অনুপ্রবেশের চেষ্টা করতে পারে।
সোমবার প্রকাশের আগে রয়টার্সের কাছে পাঠানো প্রতিবেদনে ফাগারল্যান্ড জানান, তিনি ইন্টারনেটে ‘কেয়ার্ন’ নামের একটি ওপেন-সোর্স এআই প্ল্যাটফর্মের অনিচ্ছাকৃতভাবে উন্মুক্ত সংস্করণ খুঁজছিলেন। সমস্যা সমাধানের জন্য তৈরি এই প্ল্যাটফর্মটি হ্যাকারদের মধ্যেও জনপ্রিয় হয়ে উঠেছে। গত ২ অক্টোবর থেকে তিনি প্রায় ২৪টি ঘটনায় কেয়ার্নের ক্ষতিকারক ব্যবহারের প্রমাণ পেয়েছেন। এআই টুলগুলোকে বিভিন্ন ওয়েবসাইটে হামলার কাজে ব্যবহার করার সময় তিনি সাইবার অপরাধীদের কর্মকাণ্ড পর্যবেক্ষণের সুযোগ পান।
ফাগারল্যান্ডের প্রতিবেদনে চীনা ভাষাভাষী হ্যাকারের কথা থাকলেও আক্রান্ত প্রতিষ্ঠানগুলোর নাম উল্লেখ করা হয়নি। তবে রয়টার্স হ্যাকারের কেয়ার্ন ব্যবহারের কার্যক্রমগুলো আলাদাভাবে পর্যালোচনা করে ভুক্তভোগী প্রতিষ্ঠানগুলোর পরিচয় নিশ্চিত করেছে।
ফাগারল্যান্ডের পর্যবেক্ষণে উঠে এসেছে, চীনা ভাষাভাষী হ্যাকারটি ছিল সবচেয়ে সক্রিয়। ২৫ সেপ্টেম্বর থেকে তার এআই এজেন্টগুলো যুক্তরাষ্ট্র, কানাডা, অস্ট্রেলিয়া ও জাপানের বিভিন্ন ই-কমার্স ওয়েবসাইটকে লক্ষ্য করে কাজ শুরু করে। হ্যাকারটির নির্দেশনা ছিল সংক্ষিপ্ত; ১০০টিরও কম চীনা অক্ষরে সে পছন্দের অনুপ্রবেশ কৌশলগুলো বর্ণনা করেছিল। গত সপ্তাহের শেষ নাগাদ এজেন্টগুলো ১ হাজার ২০০টিরও বেশি ওয়েবসাইটে অনুপ্রবেশের চেষ্টা চালায়।
সফলভাবে কোনো ওয়েবসাইটে প্রবেশের আগে সাধারণত প্রায় ২৩ ঘণ্টা ধরে দুর্বলতা অনুসন্ধান করতে হয়েছে। ফাগারল্যান্ডের ধারণা, এই অভিযানে চীনের ডিপসিক এবং অ্যানথ্রোপিকের ‘ক্লড কোডের’ মিশ্রণ ব্যবহার করা হয়ে থাকতে পারে। তাঁর হিসাব অনুযায়ী, পুরো অভিযানে ব্যয় হয়েছে প্রায় ৫ হাজার ডলার। অর্থাৎ প্রতিটি সফল হ্যাকিংয়ের জন্য খরচ পড়েছে আনুমানিক ৫০ ডলার।
প্রায় তিন দশক ধরে সাইবার নিরাপত্তা খাতে কাজ করা ফাগারল্যান্ড জানান, আক্রান্ত সিস্টেমগুলোতে প্রবেশের জন্য এআই এজেন্টগুলোর ব্যবহৃত কৌশল তাঁকে বিস্মিত করেছে। একটি ঘটনায় বড় একটি কোম্পানির উন্মুক্ত অ্যাপ্লিকেশনে দুর্বলতা খুঁজে না পেয়ে এজেন্টগুলো ডিজিটাল রেকর্ড অনুসন্ধান করে সংশ্লিষ্ট অবকাঠামো শনাক্ত করে। এরপর একটি উন্মুক্ত কন্ট্রোল প্যানেল খুঁজে পেয়ে সেটির ডেটা প্রক্রিয়াকরণ পদ্ধতিতে সূক্ষ্ম দুর্বলতা বের করে। দীর্ঘ সময় ধরে চেষ্টা চালিয়ে তারা সেই দুর্বলতা কাজে লাগিয়ে সার্ভারকে বিভ্রান্ত করে ক্ষতিকারক কমান্ড কার্যকর করতে সক্ষম হয়।
ফাগারল্যান্ড বলেন, ‘এ ধরনের সমাধান বের করা মোটেও সহজ কাজ নয়। এটি কোনো সাধারণ শৌখিন হ্যাকারের কাজ হতে পারে না।’
কেয়ার্ন সামাজিক যোগাযোগমাধ্যম এক্সে জানিয়েছে, তাদের প্ল্যাটফর্মটি একটি উদ্ভাবনী মাল্টি-এজেন্ট আর্কিটেকচার, যা হ্যাকিংয়ের জন্য তৈরি হয়নি। প্রতিষ্ঠানটির বক্তব্য, ক্ষতিকারক সাইবার হামলায় প্ল্যাটফর্মটির ব্যবহার তাদের উদ্দেশ্যের সঙ্গে সামঞ্জস্যপূর্ণ নয়।
হামলার ফলে ঠিক কতটা তথ্য অননুমোদিতভাবে চুরি হয়েছে, তা রয়টার্স নিশ্চিত করতে পারেনি। ডিয়ার জানিয়েছে, ঘটনার পর তারা ‘প্রয়োজনীয় প্রতিকারমূলক ব্যবস্থা’ নিয়েছে। সংবেদনশীল তথ্য চুরি হওয়ার কোনো লক্ষণ তারা পায়নি বলেও জানিয়েছে প্রতিষ্ঠানটি।
শার্কনিনজা জানিয়েছে, আক্রান্ত ওয়েবসাইটটি ছিল একটি স্বতন্ত্র সাইট, যেখানে শুধু পণ্য-সহায়তাসংক্রান্ত তথ্য ছিল। তাদের দাবি, হুমকিটি নিয়ন্ত্রণে আনা হয়েছে। অন্যদিকে কামিন্স জানিয়েছে, তাদের তৃতীয় পক্ষের একটি ভেন্ডরের পরিচালিত ওয়েবসাইটে সম্ভাব্য সাইবার হামলার প্রতিবেদন তারা খতিয়ে দেখছে। আরও দুটি ছোট প্রতিষ্ঠানও সাইবার হামলার শিকার হওয়ার কথা স্বীকার করেছে। কেয়ার্নের তথ্যভান্ডারে থাকা অন্য ভুক্তভোগীদের সঙ্গে যোগাযোগ করা হলেও তারা সাড়া দেয়নি।
এআই এজেন্টের স্বয়ংক্রিয়ভাবে দুর্বলতা শনাক্ত, সিস্টেমে অনুপ্রবেশ এবং তথ্য চুরির সক্ষমতা বিশ্বজুড়ে উদ্বেগ বাড়াচ্ছে। বড় এআই কোম্পানিগুলোর নিয়ন্ত্রণের বাইরে চলে যাওয়া কিছু এজেন্ট কম্পিউটার ল্যাবের সীমা ছাড়িয়ে সরকারি ওয়েবসাইটে অনুপ্রবেশ এবং অননুমোদিত সামাজিক প্রকৌশল কার্যক্রমে জড়িয়ে পড়েছে। দক্ষিণ কোরিয়া ও জাপানে সাম্প্রতিক কয়েকটি আলোচিত হ্যাকিংয়ের ঘটনায়ও এআই ব্যবহারকারী সাইবার অপরাধীদের সংশ্লিষ্টতা রয়েছে বলে ধারণা করা হচ্ছে।
আগস্টে ইসরাইলি প্রতিষ্ঠান গ্যামবিট সিকিউরিটি জানায়, রুশ ভাষাভাষী চাঁদাবাজরা স্পেসএক্সের ‘কার্সার এআই’ টুল ব্যবহার করে সাতটি প্রতিষ্ঠানে অনুপ্রবেশ করেছিল। সেপ্টেম্বরে প্রতিষ্ঠানটি এআই এজেন্টনির্ভর অপরাধমূলক কর্মকাণ্ডের নথি প্রকাশ করে, যেখানে ২৫টি প্রতিষ্ঠানের নিরাপত্তা লঙ্ঘন এবং অন্তত ৬ লাখ ক্রেডিট কার্ডের তথ্য চুরির ঘটনা উঠে আসে। গত সপ্তাহে সাইবার গোয়েন্দা সংস্থা বিটসাইটও জানিয়েছে, অপরাধীদের বিভিন্ন ফোরামে স্বয়ংক্রিয় এজেন্ট ব্যবহারের কৌশল নিয়ে আলোচনা বেড়েছে।
ফাগারল্যান্ড জানান, আগে তাঁর ধারণা ছিল, হ্যাকিংয়ে ব্যবহৃত এআই এজেন্টগুলোর কিছুটা হলেও মানুষের তদারকি প্রয়োজন হবে। তবে সাম্প্রতিক অভিজ্ঞতায় তাঁর ধারণা বদলেছে। তিনি বলেন, ‘আমরা এখন এক নতুন পৃথিবীতে বাস করছি।’ এআই এজেন্টের সক্ষমতার সাম্প্রতিক অগ্রগতি সম্পর্কে তাঁর মন্তব্য, ‘এই ক্ষেত্রে যে উন্নয়ন ঘটেছে, তা সত্যিই বিস্ময়কর।’