এআইকে কাজে লাগিয়ে শতাধিক প্রতিষ্ঠানের ওয়েবসাইটে হামলা

কৃত্রিম বুদ্ধিমত্তা (এআই) ব্যবহার করে যুক্তরাষ্ট্র, কানাডা, অস্ট্রেলিয়া ও জাপানের বিভিন্ন প্রতিষ্ঠানের ওয়েবসাইটে সাইবার হামলা চালিয়েছে এক হ্যাকার। কৃষি সরঞ্জাম নির্মাতা প্রতিষ্ঠান ‘ডিয়ার’, গৃহস্থালি পণ্য নির্মাতা ‘শার্কনিনজা’ এবং ইঞ্জিন নির্মাতা ‘কামিন্স’-এর ওয়েবসাইটও এই হামলার শিকার হয়েছে। পুরো অভিযানে প্রায় ৫ হাজার ডলার ব্যয় হয়েছে বলে ধারণা করা হচ্ছে। সে হিসাবে প্রতিটি সফল অনুপ্রবেশে খরচ পড়েছে গড়ে প্রায় ৫০ ডলার। খবর রয়টার্স’র।

সাইবার নিরাপত্তা গবেষক স্নোরে ফাগারল্যান্ড কয়েক সপ্তাহ ধরে এআই ব্যবহার করে চালানো এসব সাইবার হামলার কার্যক্রম পর্যবেক্ষণ করেন।

সাইবার নিরাপত্তা প্রতিষ্ঠান নরফোর্জের প্রধান হুমকি গবেষক ফাগারল্যান্ডের ভাষ্য, হ্যাকারটি পুরো প্রক্রিয়াটি এআই এজেন্টের ওপর ছেড়ে দিয়েছিল। এসব এজেন্ট ঘণ্টার পর ঘণ্টা স্বয়ংক্রিয়ভাবে বিভিন্ন ওয়েবসাইটের দুর্বলতা খুঁজে বের করে সেগুলোতে অনুপ্রবেশের চেষ্টা চালায়।

ফাগারল্যান্ড জানান, গত ২ অক্টোবর থেকে তিনি প্রায় ২৪টি ঘটনায় ‘কেয়ার্ন’ নামের একটি ওপেন সোর্স এআই প্ল্যাটফর্মের ক্ষতিকর ব্যবহার শনাক্ত করেছেন। সমস্যা সমাধানের জন্য তৈরি এই প্ল্যাটফর্মটি সাইবার অপরাধীদের মধ্যেও ব্যবহৃত হচ্ছে। এআই টুলগুলো বিভিন্ন ওয়েবসাইটের বিরুদ্ধে ব্যবহার করার সময় অপরাধীদের কর্মকাণ্ড পর্যবেক্ষণের সুযোগ পান তিনি।

প্রতিবেদনে চীনা ভাষায় কথা বলা এক হ্যাকারের কথা উল্লেখ করা হলেও ভুক্তভোগী প্রতিষ্ঠানগুলোর নাম প্রকাশ করা হয়নি। তবে রয়টার্স হ্যাকারের কেয়ার্ন ব্যবহারের কার্যক্রম পর্যালোচনা করে কয়েকটি প্রতিষ্ঠানের পরিচয় নিশ্চিত করেছে।

এআই এজেন্টের ক্রমবর্ধমান সক্ষমতা নিয়ে উদ্বেগের মধ্যে এই ঘটনা নতুন করে আলোচনার জন্ম দিয়েছে। এতে দেখা যাচ্ছে, বাণিজ্যিকভাবে সহজলভ্য এআই এজেন্ট মানুষের সরাসরি তদারকি ছাড়াই জটিল সাইবার কার্যক্রমের বিভিন্ন ধাপ সম্পন্ন করতে পারে। ফলে সাইবার অপরাধীদের সক্ষমতা উল্লেখযোগ্যভাবে বেড়ে যাওয়ার আশঙ্কা তৈরি হয়েছে।

ফাগারল্যান্ড বলেন, ‘আমরা এখন এক নতুন পৃথিবীতে বাস করছি।’

ফাগারল্যান্ড যেসব সাইবার অপরাধীর কার্যক্রম পর্যবেক্ষণ করেছেন, তাদের মধ্যে একজন বিপুল পরিমাণ ক্রেডিট কার্ডের তথ্য চুরি করেছে। আরেকজন এআই এজেন্ট ব্যবহার করে একটি ক্রিপ্টোকারেন্সি এক্সচেঞ্জ থেকে অর্থ হাতিয়ে নেওয়ার চেষ্টা করেছে।

তবে সবচেয়ে সক্রিয় ছিল চীনা ভাষায় কথা বলা হ্যাকারটি। গত ২৫ সেপ্টেম্বর থেকে যুক্তরাষ্ট্র, কানাডা, অস্ট্রেলিয়া ও জাপানের বিভিন্ন ই-কমার্স ওয়েবসাইট লক্ষ্য করে এআই এজেন্ট ব্যবহার শুরু করে সে।

হ্যাকারটির নির্দেশনা ছিল সংক্ষিপ্ত। ১০০টিরও কম চীনা অক্ষরে নিজের পছন্দের অনুপ্রবেশ কৌশলগুলো এআই এজেন্টকে জানিয়ে দিয়েছিল সে। গত সপ্তাহের শেষ নাগাদ এজেন্টগুলো ১ হাজার ২০০টিরও বেশি ওয়েবসাইটে অনুপ্রবেশের চেষ্টা চালায়।

সফলভাবে অনুপ্রবেশের জন্য দুর্বলতা খুঁজতে গড়ে প্রায় ২৩ ঘণ্টা সময় ব্যয় করতে হয়েছে। ফাগারল্যান্ডের ধারণা, এ অভিযানে চীনের ডিপসিক এবং অ্যানথ্রোপিকের ‘ক্লড কোড’ প্রযুক্তির সমন্বয় ব্যবহার করা হয়ে থাকতে পারে। এতে মোট ব্যয় হয়েছে প্রায় ৫ হাজার ডলার।

প্রায় তিন দশক ধরে সাইবার নিরাপত্তা খাতে কাজ করা ফাগারল্যান্ড জানান, ভুক্তভোগীদের সিস্টেমে প্রবেশের জন্য এআই এজেন্টগুলো যেসব কৌশল ব্যবহার করেছে, তা তাকে বিস্মিত করেছে।

একটি ঘটনায়, বড় একটি প্রতিষ্ঠানের ইন্টারনেট-সংযুক্ত অ্যাপ্লিকেশনে দুর্বলতা খুঁজে পেতে ব্যর্থ হওয়ার পর এআই এজেন্টগুলো ডিজিটাল রেকর্ড বিশ্লেষণ করে সংশ্লিষ্ট অবকাঠামো শনাক্ত করে। পরে একটি উন্মুক্ত কন্ট্রোল প্যানেল খুঁজে পেয়ে সেটির তথ্য প্রক্রিয়াকরণ পদ্ধতিতে সূক্ষ্ম দুর্বলতা শনাক্ত করে। দীর্ঘ প্রচেষ্টার পর সেই দুর্বলতা কাজে লাগিয়ে সার্ভারকে দিয়ে ক্ষতিকর নির্দেশনা কার্যকর করাতে সক্ষম হয় তারা।

ফাগারল্যান্ড বলেন, ‘এ ধরনের সমাধান বের করা মোটেও সহজ কাজ নয়। এটি কোনো সাধারণ শৌখিন হ্যাকারের কাজ হতে পারে না।’

সামাজিক যোগাযোগমাধ্যম এক্সে কেয়ার্ন জানিয়েছে, তাদের প্ল্যাটফর্মটি একটি উদ্ভাবনী মাল্টি-এজেন্ট কাঠামো, যা হ্যাকিংয়ের জন্য তৈরি করা হয়নি। প্ল্যাটফর্মটি ক্ষতিকর সাইবার হামলায় ব্যবহার করা হলে তা তাদের উদ্দেশ্যের পরিপন্থী।

এআই এজেন্টের কার্যক্রম নিয়ে উদ্বেগ

এআই এজেন্টের স্বয়ংক্রিয়ভাবে সিস্টেমের দুর্বলতা খুঁজে বের করা, অনুপ্রবেশ ঘটানো এবং তথ্য চুরির সক্ষমতা বিশ্বজুড়ে উদ্বেগ বাড়াচ্ছে। বিভিন্ন ঘটনায় এআই এজেন্টের মাধ্যমে সরকারি ওয়েবসাইটে অনুপ্রবেশ এবং অননুমোদিত সামাজিক প্রকৌশলভিত্তিক কর্মকাণ্ডের অভিযোগ উঠেছে।

সাইবার অপরাধীদের মধ্যেও এআই প্রযুক্তির ব্যবহার বাড়ছে। গত আগস্টে ইসরায়েলি প্রতিষ্ঠান ‘গ্যামবিট সিকিউরিটি’ জানায়, রুশ ভাষায় কথা বলা একদল চাঁদাবাজ স্পেসএক্সের ‘কার্সর এআই’ টুল ব্যবহার করে সাতটি প্রতিষ্ঠানে অনুপ্রবেশ করেছিল।

সেপ্টেম্বরে প্রতিষ্ঠানটি এআই এজেন্ট পরিচালিত অপরাধমূলক কর্মকাণ্ডের আরেকটি নথি প্রকাশ করে। সেখানে ২৫টি প্রতিষ্ঠানের নিরাপত্তা লঙ্ঘন এবং অন্তত ছয় লাখ ক্রেডিট কার্ডের তথ্য চুরির কথা উল্লেখ করা হয়।

গত সপ্তাহে সাইবার গোয়েন্দা সংস্থা ‘বিটসাইট’ জানিয়েছে, বিভিন্ন সাইবার অপরাধী ফোরামে স্বয়ংক্রিয় এআই এজেন্ট ব্যবহারের কৌশল নিয়ে আলোচনা উল্লেখযোগ্যভাবে বেড়েছে।

হামলার শিকার প্রতিষ্ঠানগুলোর প্রতিক্রিয়াও জানিয়েছে রয়টার্স। ডিয়ার বলেছে, ঘটনার পর প্রয়োজনীয় প্রতিকারমূলক ব্যবস্থা নেওয়া হয়েছে এবং সংবেদনশীল তথ্য চুরির কোনো ইঙ্গিত পাওয়া যায়নি। শার্কনিনজা জানিয়েছে, আক্রান্ত ওয়েবসাইটটি ছিল স্বতন্ত্র এবং সেখানে শুধু পণ্য-সহায়তাসংক্রান্ত তথ্য ছিল। প্রতিষ্ঠানটি বলেছে, হুমকি নিয়ন্ত্রণে আনা হয়েছে। অন্যদিকে, কামিন্স জানিয়েছে, তৃতীয় পক্ষের পরিচালিত একটি ওয়েবসাইটে সম্ভাব্য সাইবার হামলার প্রতিবেদন তারা খতিয়ে দেখছে।

(ঢাকাটাইমস/২০ অক্টোবর/আরজেড)