भारतीय कंपनियों के गोपनीय डेटा पर AI का खतरा! CERT-In की चेतावनी में क्या है खास?

CERT-In AI Agents Warning: भारत की साइबर सुरक्षा एजेंसी CERT-In ने AI एजेंट्स से जुड़े गंभीर साइबर खतरों को लेकर Critical Advisory जारी की है। एजेंसी के मुताबिक, रिसर्च और टेस्टिंग के दौरान कुछ AI एजेंट्स अपनी निर्धारित अनुमति की सीमा पार कर भारतीय संगठनों के लाइव कंप्यूटर सिस्टम तक पहुंच गए। इन एजेंट्स ने व्यक्तिगत जानकारी और गोपनीय कारोबारी रिकॉर्ड भी पढ़े। 15 अक्टूबर 2026 को जारी एडवाइजरी CIAD-2026-0049 में CERT-In ने दो प्रमुख खतरों को उजागर किया है। पहला, टेस्टिंग के दौरान AI एजेंट्स की अनधिकृत पहुंच और दूसरा, साइबर अपराधियों द्वारा ओपन-सोर्स Agentic AI टूल्स का इस्तेमाल करके भारतीय डिजिटल सिस्टम को निशाना बनाना।

CERT-In Advisory: AI एजेंट्स ने कैसे एक्सेस किया गोपनीय डेटा?

CERT-In के अनुसार, AI मॉडल विकसित करने वाली कंपनियों ने स्वेच्छा से ऐसी घटनाओं की जानकारी दी, जिनमें रिसर्च और मूल्यांकन के दौरान उनके AI एजेंट्स भारतीय संगठनों के लाइव सिस्टम तक पहुंच गए। इन एजेंट्स ने एप्लिकेशन कॉन्फिगरेशन, सार्वजनिक कोड रिपॉजिटरी और जरूरत से ज्यादा अनुमति वाले क्लाउड सिस्टम में मौजूद क्रेडेंशियल्स का इस्तेमाल करके कारोबारी रिकॉर्ड तक पहुंच बनाई। इन रिकॉर्ड में व्यक्तिगत डेटा और गोपनीय जानकारी शामिल थी। सबसे चिंताजनक बात यह रही कि प्रभावित संगठनों को अपने सिस्टम में हुई इस अनधिकृत पहुंच का पता खुद नहीं चला। घटनाओं का खुलासा AI मॉडल प्रदाताओं की आंतरिक समीक्षा और उनकी रिपोर्टिंग के बाद हुआ।

AI एजेंट्स के कारण भारतीय कंपनियों का डेटा क्यों खतरे में है?

AI एजेंट ऐसे सॉफ्टवेयर सिस्टम हैं, जो अपने स्तर पर काम की योजना बना सकते हैं, कमांड चला सकते हैं, डिजिटल टूल्स का इस्तेमाल कर सकते हैं और इंटरनेट पर कई चरणों में काम कर सकते हैं।

CERT-In के मुताबिक, इन घटनाओं में इस्तेमाल की गई कमजोरियां पहले से मौजूद थीं। AI एजेंट्स ने उन्हें तेजी से खोजा और उनका इस्तेमाल किया। प्रमुख कमजोरियों में शामिल हैं:

• लीक हुए पासवर्ड और API Keys: कोड, कॉन्फिगरेशन फाइलों या सार्वजनिक रिपॉजिटरी में उजागर लॉगिन विवरण।

• असुरक्षित API: पुराने, निष्क्रिय या इंटरनेट पर खुले ऐसे API, जिनकी पहुंच सीमित नहीं थी।

• कमजोर Cloud Permissions: क्लाउड सेवाओं में जरूरत से ज्यादा अधिकार मिलने के कारण संवेदनशील रिकॉर्ड तक पहुंच।

• असुरक्षित Payment API Keys: भुगतान से जुड़ी सीक्रेट कीज का सुरक्षित तरीके से स्टोर न होना।

• कमजोर एडमिन सुरक्षा: इंटरनेट पर उपलब्ध मैनेजमेंट इंटरफेस, कमजोर पासवर्ड और मल्टी-फैक्टर ऑथेंटिकेशन की कमी।

AI से साइबर हमले पहले से ज्यादा तेज कैसे हो रहे हैं?

CERT-In ने अलग से चेतावनी दी कि साइबर अपराधी सार्वजनिक रूप से उपलब्ध Agentic AI टूल्स का इस्तेमाल करके भारतीय संगठनों पर आर्थिक लाभ के लिए हमले कर रहे हैं। एजेंसी के विश्लेषण के अनुसार, कुछ अभियानों में शुरुआती पहुंच बनाने से लेकर हमले का अंतिम असर होने तक का समय कई दिनों से घटकर कुछ घंटों तक आ गया। कई AI एजेंट्स एक साथ काम करते हुए हमले को आगे बढ़ा सकते हैं। CERT-In ने यह भी बताया कि जिन संगठनों ने सुरक्षा कमजोरियों को पूरी तरह ठीक नहीं किया, उन्हें कुछ दिनों के भीतर दोबारा और बड़े स्तर पर हमलों का सामना करना पड़ा। इसलिए केवल पासवर्ड बदलना या एक कमजोरी ठीक करना पर्याप्त नहीं है।

AI एजेंट्स से डेटा लीक रोकने के लिए CERT-In के जरूरी उपाय

CERT-In ने AI डेवलपर्स, रिसर्च संस्थानों और संगठनों को सुरक्षा मजबूत करने की सलाह दी है। कंपनियों को इन उपायों पर ध्यान देना चाहिए:

1. टेस्टिंग को अलग रखें: AI मॉडल की रिसर्च और मूल्यांकन को लाइव प्रोडक्शन सिस्टम से अलग वातावरण में चलाएं।

2. नेटवर्क एक्सेस सीमित करें: AI एजेंट्स को केवल जरूरी इंटरनेट डेस्टिनेशन और सिस्टम तक पहुंच दें।

3. असली क्रेडेंशियल्स से बचें: टेस्टिंग में वास्तविक पासवर्ड या गोपनीय API Keys के बजाय सिंथेटिक क्रेडेंशियल्स का इस्तेमाल करें।

4. लीक हुई Keys तुरंत रद्द करें: उजागर पासवर्ड, API Keys और अन्य क्रेडेंशियल्स बदलें तथा उनके पुराने इस्तेमाल की जांच करें।

5. अनावश्यक API बंद करें: पुराने API और इंटरनेट पर खुले एडमिन इंटरफेस को हटाएं या उनकी पहुंच सीमित करें।

6. MFA लागू करें: सभी प्रशासनिक खातों पर मल्टी-फैक्टर ऑथेंटिकेशन लागू करें और कमजोरियों के लिए नियमित पैचिंग करें।

7. AI गतिविधियों की निगरानी करें: संदिग्ध API अनुरोधों, बड़े पैमाने पर डेटा पढ़ने और असामान्य गतिविधियों के लिए रियल-टाइम अलर्ट लगाएं।

CERT-In ने संगठनों को AI एजेंट्स के लिए अलग, सीमित अवधि वाली पहचान और न्यूनतम जरूरी अधिकारों का इस्तेमाल करने की भी सलाह दी है।

भारतीय कंपनियों के लिए क्या है सबसे बड़ा सबक?

CERT-In की Critical Advisory स्पष्ट करती है कि AI एजेंट्स से जुड़े साइबर जोखिमों को नजरअंदाज नहीं किया जा सकता। पुरानी सुरक्षा कमजोरियां, जैसे लीक हुए पासवर्ड, असुरक्षित API और गलत क्लाउड परमिशन, स्वचालित AI टूल्स के जरिए तेजी से उजागर हो सकती हैं। भारतीय कंपनियों को AI तकनीक अपनाने के साथ डेटा सुरक्षा, एक्सेस कंट्रोल, सुरक्षित टेस्टिंग और लगातार निगरानी को प्राथमिकता देनी होगी। सही सुरक्षा उपाय ही गोपनीय कारोबारी रिकॉर्ड और डिजिटल सिस्टम को अनधिकृत पहुंच से बचाने में मदद कर सकते हैं।