AI-Developed 2FA Exploit
সাইবার নিরাপত্তা গবেষকরা পূর্বে অজ্ঞাত এক হুমকি সৃষ্টিকারীকে শনাক্ত করেছেন, যেটি কৃত্রিম বুদ্ধিমত্তার সহায়তায় তৈরি বলে ধারণা করা একটি জিরো-ডে এক্সপ্লয়েট ব্যবহার করছে। বাস্তব জগতের ক্ষতিকারক কার্যক্রমে দুর্বলতা শনাক্তকরণ এবং এক্সপ্লয়েট তৈরির জন্য কৃত্রিম বুদ্ধিমত্তার সক্রিয় ব্যবহারের এটিই প্রথম নথিভুক্ত ঘটনা।
তদন্তকারীরা এই অভিযানের জন্য সমন্বিত সাইবার অপরাধী গোষ্ঠীগুলোকে দায়ী করছেন, যারা একটি বড় আকারের দুর্বলতা কাজে লাগানোর উদ্যোগে সহযোগিতা করেছে বলে মনে হচ্ছে। সংশ্লিষ্ট আক্রমণ শৃঙ্খলের বিশ্লেষণে একটি পাইথন স্ক্রিপ্টের মধ্যে থাকা একটি জিরো-ডে দুর্বলতা প্রকাশ পেয়েছে, যা একটি বহুল ব্যবহৃত ওপেন-সোর্স, ওয়েব-ভিত্তিক সিস্টেম অ্যাডমিনিস্ট্রেশন প্ল্যাটফর্মের টু-ফ্যাক্টর অথেনটিকেশন (2FA) সুরক্ষা ব্যবস্থা এড়িয়ে যেতে সক্ষম।
যদিও এই অপারেশনের সাথে গুগলের জেমিনি এআই টুলের সরাসরি কোনো সংযোগের প্রমাণ নেই, গবেষকরা অত্যন্ত আত্মবিশ্বাসের সাথে এই সিদ্ধান্তে উপনীত হয়েছেন যে, ত্রুটিটি আবিষ্কার এবং সেটিকে অস্ত্র হিসেবে ব্যবহার করার ক্ষেত্রে একটি এআই মডেল গুরুত্বপূর্ণ ভূমিকা পালন করেছে। পাইথন কোডটিতে লার্জ ল্যাঙ্গুয়েজ মডেল (এলএলএম) দ্বারা উৎপাদিত আউটপুটের সাথে সাধারণত যুক্ত একাধিক বৈশিষ্ট্য দেখা গেছে, যার মধ্যে রয়েছে অত্যন্ত সুগঠিত ফরম্যাটিং, বিস্তৃত শিক্ষামূলক ডকস্ট্রিং, বিস্তারিত হেল্প মেনু এবং একটি নিখুঁত এএনএসআই (ANSI) কালার ইমপ্লিমেন্টেশন। স্ক্রিপ্টটিতে একটি মনগড়া সিভিএসএস (CVSS) স্কোরও ছিল, যা এআই হ্যালুসিনেশনের একটি সাধারণ উদাহরণ।
সুচিপত্র
2FA বাইপাস এক্সপ্লয়েটটি কীভাবে কাজ করত
শনাক্তকৃত দুর্বলতাটি সফলভাবে কাজ করার জন্য বৈধ ব্যবহারকারীর পরিচয়পত্রের প্রয়োজন ছিল। গবেষকরা নির্ধারণ করেছেন যে, অ্যাপ্লিকেশনটির প্রমাণীকরণ প্রক্রিয়ার মধ্যে একটি হার্ড-কোডেড বিশ্বাসের অনুমানের কারণে সৃষ্ট শব্দার্থগত যৌক্তিক দুর্বলতা থেকে এই ত্রুটিটির উদ্ভব হয়েছে। এই ধরনের উচ্চ-স্তরের যৌক্তিক ত্রুটিগুলো আধুনিক এলএলএম সিস্টেমগুলোর বিশ্লেষণাত্মক ক্ষমতার মধ্যে ক্রমশই বেশি দেখা যাচ্ছে।
নিরাপত্তা বিশেষজ্ঞরা সতর্ক করেছেন যে, কৃত্রিম বুদ্ধিমত্তা (এআই) সাইবার আক্রমণের জীবনচক্রের প্রতিটি পর্যায়কে নাটকীয়ভাবে ত্বরান্বিত করছে—দুর্বলতা আবিষ্কার থেকে শুরু করে এক্সপ্লয়েট যাচাইকরণ এবং কার্যকর প্রয়োগ পর্যন্ত। হুমকি সৃষ্টিকারীদের দ্বারা এআই-এর ক্রমবর্ধমান ব্যবহার দুর্বলতা শনাক্ত করতে এবং আক্রমণ শুরু করতে প্রয়োজনীয় সময় ও শ্রম কমিয়ে দিচ্ছে, যা প্রতিরোধকারীদের ওপর ক্রমবর্ধমান চাপ সৃষ্টি করছে।
এআই ম্যালওয়্যার এবং এক্সপ্লয়টেশনের ক্ষেত্রকে প্রসারিত করে
কৃত্রিম বুদ্ধিমত্তা এখন আর শুধু দুর্বলতা গবেষণায় সহায়তা করার মধ্যেই সীমাবদ্ধ নেই। হুমকি সৃষ্টিকারীরা এখন পলিমরফিক ম্যালওয়্যার তৈরি করতে, ক্ষতিকারক কার্যক্রম স্বয়ংক্রিয় করতে এবং আক্রমণের কার্যকারিতা গোপন করতে এআই ব্যবহার করছে। এর একটি উল্লেখযোগ্য উদাহরণ হলো প্রম্পটস্পাই (PromptSpy), যা অ্যান্ড্রয়েডের একটি ম্যালওয়্যার স্ট্রেইন। এটি জেমিনি (Gemini) ব্যবহার করে স্ক্রিনের কার্যকলাপ বিশ্লেষণ করে এবং এমন নির্দেশনা জারি করে যা ম্যালওয়্যারটিকে সাম্প্রতিক অ্যাপ্লিকেশনের তালিকায় আটকে থাকতে সাহায্য করে।
গবেষকরা জেমিনির সহায়তায় সংঘটিত বিদ্বেষপূর্ণ কার্যকলাপের সাথে জড়িত বেশ কয়েকটি বহুল আলোচিত ঘটনাও নথিভুক্ত করেছেন:
সন্দেহভাজন চীন-সংশ্লিষ্ট সাইবার গুপ্তচর গোষ্ঠী UNC2814, জেমিনিকে একজন নেটওয়ার্ক নিরাপত্তা বিশেষজ্ঞের ভূমিকা নিতে বাধ্য করার জন্য পার্সোনা-চালিত জেলব্রেকিং প্রম্পট ব্যবহার করেছিল বলে জানা গেছে। এর উদ্দেশ্য ছিল টিপি-লিঙ্ক ফার্মওয়্যার এবং ওডেট ফাইল ট্রান্সফার প্রোটোকল (OFTP) ইমপ্লিমেন্টেশনসহ এমবেডেড ডিভাইসগুলোর দুর্বলতা বিষয়ক গবেষণায় সহায়তা করা।
অভিযোগ উঠেছে যে, উত্তর কোরীয় হুমকি সৃষ্টিকারী গোষ্ঠী APT45, CVE বিশ্লেষণ এবং প্রুফ-অফ-কনসেপ্ট এক্সপ্লয়েট যাচাই করার উদ্দেশ্যে হাজার হাজার রিকার্সিভ প্রম্পট জারি করেছে।
প্রাপ্ত খবর অনুযায়ী, চীনা হ্যাকিং গ্রুপ APT27 একটি ফ্লিট ম্যানেজমেন্ট অ্যাপ্লিকেশনের উন্নয়ন ত্বরান্বিত করতে জেমিনিকে ব্যবহার করেছে, যা সম্ভবত একটি অপারেশনাল রিলে বক্স (ORB) পরিকাঠামো পরিচালনার উদ্দেশ্যে তৈরি।
ইউক্রেনীয় সংস্থাগুলোকে লক্ষ্য করে রাশিয়া-সমর্থিত অনুপ্রবেশ অভিযানে CANFAIL এবং LONGSTREAM নামে পরিচিত এআই-সহায়তাপ্রাপ্ত ম্যালওয়্যার পরিবার ব্যবহার করা হয়েছিল, যেগুলোর উভয়টিতেই ক্ষতিকর আচরণ গোপন করার জন্য LLM-উৎপাদিত ডিকয় কোড অন্তর্ভুক্ত ছিল।
অস্ত্রায়িত প্রশিক্ষণ ডেটা এবং স্বায়ত্তশাসিত এআই অপারেশন
এছাড়াও, হুমকি সৃষ্টিকারীদের 'wooyun-legacy' নামের একটি বিশেষায়িত গিটহাব রিপোজিটরি নিয়ে পরীক্ষা-নিরীক্ষা করতে দেখা গেছে, যা একটি ক্লড কোড স্কিল প্লাগইন হিসেবে ডিজাইন করা হয়েছে। এই রিপোজিটরিটিতে ৫,০০০-এরও বেশি বাস্তব দুর্বলতার কেস রয়েছে, যা মূলত ২০১০ থেকে ২০১৬ সালের মধ্যে চীনের দুর্বলতা প্রকাশকারী প্ল্যাটফর্ম WooYun দ্বারা সংগ্রহ করা হয়েছিল।
এই ডেটাসেটটি এআই সিস্টেমে ফিড করার মাধ্যমে, আক্রমণকারীরা ইন-কনটেক্সট লার্নিং সক্রিয় করতে পারে, যা মডেলগুলোকে অভিজ্ঞ নিরাপত্তা গবেষকদের মতো নির্ভুলতার সাথে সোর্স কোড বিশ্লেষণ করতে প্রশিক্ষণ দেয়। এটি এমন সূক্ষ্ম লজিক ত্রুটি শনাক্ত করার ক্ষেত্রে এআই-এর সক্ষমতাকে উল্লেখযোগ্যভাবে উন্নত করে, যা সাধারণ মডেলগুলো হয়তো এড়িয়ে যায়।
গবেষকরা আরও প্রকাশ করেছেন যে, চীন-সমর্থিত বলে সন্দেহভাজন এক হুমকিদাতা একটি জাপানি প্রযুক্তি সংস্থা এবং পূর্ব এশিয়ার একটি প্রধান সাইবার নিরাপত্তা প্ল্যাটফর্মের ওপর হামলার সময় হেক্সস্ট্রাইক এআই এবং স্ট্রিক্স-এর মতো এজেন্টিক এআই টুল ব্যবহার করেছিল। জানা গেছে, এই টুলগুলো ন্যূনতম মানবিক হস্তক্ষেপের মাধ্যমে স্বয়ংক্রিয়ভাবে তথ্য সংগ্রহ ও অনুসন্ধানের কাজ করতে সক্ষম করেছিল।
আক্রমণাত্মক এআই-এর ক্রমবর্ধমান নিরাপত্তাগত প্রভাব
এই গবেষণালব্ধ ফলাফলগুলো সাইবার হুমকির প্রেক্ষাপটে একটি বড় পরিবর্তনের ইঙ্গিত দেয়। কৃত্রিম বুদ্ধিমত্তা (এআই) দ্রুত উৎপাদনশীলতা বাড়ানোর একটি মাধ্যম থেকে আক্রমণাত্মক সাইবার অভিযানের জন্য একটি শক্তি গুণকে পরিণত হচ্ছে। জিরো-ডে দুর্বলতা আবিষ্কার করা থেকে শুরু করে ম্যালওয়্যার স্থাপন স্বয়ংক্রিয় করা এবং অভিযানের গোপনীয়তা বৃদ্ধি করা পর্যন্ত, কৃত্রিম বুদ্ধিমত্তা সাইবার আক্রমণের পরিকল্পনা ও বাস্তবায়নের পদ্ধতিকে মৌলিকভাবে পরিবর্তন করে দিচ্ছে।
কৃত্রিম বুদ্ধিমত্তা-চালিত সাইবার সক্ষমতা ক্রমাগত পরিপক্ক হওয়ার সাথে সাথে, সংস্থাগুলো এমন এক ভবিষ্যতের সম্মুখীন হচ্ছে যেখানে আক্রমণগুলো আরও দ্রুত, আরও অভিযোজনযোগ্য এবং ক্ষতি সংঘটিত হওয়ার আগে শনাক্ত করা ক্রমশ কঠিন হয়ে উঠবে।
