Technology, एआई एजेंट्स ने पार की हदें: वर्चुअल मशीन के बीच बिना इंटरनेट सीक्रेट डेटा किया शेयर, सैम ऑल्टमैन क्यों हैरान? – Ai Agents Found Hidden Way Share Data Across Virtual Machines — INA
सार
एआई एजेंट्स को लेकर एक ऐसा मामला सामने आया है, जिसने बड़े-बड़े टेक दिग्गजों को भी चौंका दिया है। रेड-टीमिंग परीक्षणों के दौरान, अलग-अलग वर्चुअल मशीनों पर मौजूद इन एआई एजेंट्स ने कैश रीड स्पीड में अंतर का फायदा उठाकर आपस में सीक्रेट डेटा का आदान-प्रदान किया।
इस प्रक्रिया में एक एजेंट्स ने संदेशों को एन्कोड करने के लिए डेटा को बाहर निकाला, जबकि दूसरे एजेंट ने रीलोड समय के माध्यम से उसे डिकोड कर लिया। यह पूरा वाकया पुराने समय की स्पेक्ट्रे (Spectre) और मेल्टडाउन (Meltdown) जैसी हार्डवेयर कमजोरियों की याद दिलाता है।
क्या है पूरा मामला?
आर्टिफिशियल इंटेलिजेंस और साइबर सुरक्षा की दुनिया में एक बेहद चौंकाने वाला मामला सामने आया है। रेड-टीमिंग ट्रेनिंग के दौरान रिसचर्स को व्यापक रूप से इस्तेमाल होने वाली कम्प्रेशन लाइब्रेरी ब्रोटली (Brotli) में एक ऐसी गंभीर कमजोरी मिली है, जो बिना किसी ऑथेंटिकेशन (बिना यूजर अकाउंट बनाए) के रिमोट कोड एक्जीक्यूशन की अनुमति देती है।
- सर्वर पर खतरा:अगर कोई अनपैच्ड (गैर-अपडेटेड) सर्वर कम्प्रेस्ड इनपुट स्वीकार करता है, तो नुकसानदेह क्लाइंट उस पर पूरा कब्जा कर सकता है।
- क्लाइंट पर खतरा:इसी तरह अगर कोई अनपैच्ड क्लाइंट (जैसे curl –compressed) डेटा स्वीकार करता है, तो कोई नुकसानदेह सर्वर उस क्लाइंट को अपना शिकार बना सकता है।
- खास बात है कि यह इस समस्या की मुख्य जड़ को फरवरी में ही ब्रोटली के सोर्स कोड में ठीक कर दिया था, लेकिन उस समय यह अंदाजा नहीं था कि इससे कोई इतनी बड़ी सुरक्षा कमजोरी पैदा हो रही है, और तब तक ब्रोटली का कोई नया वर्जन भी रिलीज नहीं हुआ था।
- चूंकि ब्रोटली कई अन्य बड़े प्लेटफॉर्म्स के भीतर पहले से मौजूद रहती है, इसलिए इसे इस्तेमाल करने वाले सभी प्रोजेक्ट्स को अपने सॉफ्टवेयर अपडेट करने पड़े हैं। रिसर्च टीम की ओर से आगाह किए जाने के बाद अब ब्रोटली और नोड डॉट जेएस जैसे प्रोजेक्ट्स ने सुरक्षा अपडेट जारी कर दिए हैं या अभी कर रहे हैं। ब्रोटली ने आधिकारिक तौर पर नए वर्जन रिलीज करते हुए एक CVE (सुरक्षा कमजोरी की पहचान) भी जारी कर दिया है।
इसी रेड-टीमिंग परीक्षण के दौरान एक और हैरान करने वाली बात सामने आई। अलग-अलग वर्चुअल मशीनों पर मौजूद एआई एजेंट्स ने कैश रीड स्पीड में अंतर का फायदा उठाकर आपस में सीक्रेट डेटा का आदान-प्रदान किया।
सैम ऑल्टमैन क्यों हुए हैरान?
- मजबूत सुरक्षा उपाय लागू किए गए हैं।
- ओपन-सोर्स समाधानों को बढ़ावा दिया जा रहा है।
- हाई-कंप्यूट सिक्योरिटी चेक्स के लिए नए और सख्त मानक लागू किया गया है।
अभी क्या स्थिति है?
इन सभी सुरक्षा मानकों को पुख्ता करने के बाद ही एक अक्तूबर को फिर से एडवांस्ड ट्रेनिंग के काम को शुरू किया गया है।
