एआई-जनित सुरक्षा रिपोर्टों ने बग बाउंटी प्रणाली पर दबाव डाला

Wednesday 07 - 09:30

गूगल ने कृत्रिम बुद्धिमत्ता की मदद से उत्पन्न सुरक्षा रिपोर्टों में तेज वृद्धि के बाद अपने प्रमुख बग बाउंटी पहलों में से एक को अस्थायी रूप से निलंबित कर दिया है, जिससे कार्यक्रम को प्रबंधित करना increasingly कठिन हो गया है।

निलंबित पहल का ध्यान ओपन-सोर्स सॉफ़्टवेयर में गंभीर कमजोरियों की पहचान पर है। बग बाउंटी कार्यक्रम लंबे समय से साइबर सुरक्षा पारिस्थितिकी तंत्र का एक महत्वपूर्ण हिस्सा रहे हैं, जो कंपनियों और सॉफ़्टवेयर डेवलपर्स को स्वतंत्र शोधकर्ताओं को सुरक्षा खामियों की पहचान और जिम्मेदारी से खुलासा करने के लिए पुरस्कृत करने की अनुमति देते हैं।

ये कार्यक्रम संगठनों को उन कमजोरियों की खोज में मदद करने के लिए डिज़ाइन किए गए हैं, जिन्हें दुर्भावनापूर्ण अभिनेता भुनाने से पहले पहचान सकते हैं। विस्तृत और विश्वसनीय रिपोर्टों के बदले, सुरक्षा शोधकर्ताओं को वित्तीय पुरस्कार मिल सकते हैं, जो कमजोरियों की रिपोर्ट करने के लिए प्रोत्साहन बनाते हैं न कि उन्हें हानिकारक उद्देश्यों के लिए उपयोग करने के लिए।

हालांकि, एआई उपकरणों की बढ़ती उपलब्धता इन कार्यक्रमों के संचालन के तरीके को बदल रही है। शोधकर्ता और स्वचालित प्रणाली अब अपेक्षाकृत छोटे समय में बड़ी संख्या में कमजोरियों की रिपोर्ट उत्पन्न कर सकते हैं, लेकिन उन प्रस्तुतियों में से कई वास्तविक सुरक्षा समस्याओं से मेल नहीं खा सकती हैं।

गूगल ने कहा कि कार्यक्रम को रोकने का निर्णय स्वचालित रूप से उत्पन्न रिपोर्टों में महत्वपूर्ण वृद्धि के बाद लिया गया, जिसमें अधिकांश ने मान्य कमजोरियों की पहचान नहीं की। कंपनी का अनुभव सुरक्षा टीमों के लिए एक बढ़ती चुनौती को उजागर करता है, जिन्हें बड़ी मात्रा में गलत प्रस्तुतियों से अर्थपूर्ण निष्कर्षों को अलग करने की आवश्यकता होती है।

समस्या केवल रिपोर्टों की संख्या नहीं है। प्रत्येक प्रस्तुति को इंजीनियरों को तकनीकी दावों की समीक्षा करने, कथित कमजोरी को पुन: उत्पन्न करने और यह निर्धारित करने में समय बिताने की आवश्यकता हो सकती है कि क्या वास्तव में कोई सुरक्षा जोखिम है। निम्न गुणवत्ता की रिपोर्टों की बाढ़ इसलिए संसाधनों का उपभोग कर सकती है, जो अन्यथा वैध खतरों की जांच के लिए उपयोग की जाती।

यह विकास कृत्रिम बुद्धिमत्ता से संबंधित एक कम स्पष्ट साइबर सुरक्षा जोखिम को भी दर्शाता है। एआई और साइबर अपराध के चारों ओर हाल की चर्चा का अधिकांश हिस्सा इस पर केंद्रित रहा है कि उन्नत मॉडल हमलावरों को कमजोरियों की पहचान करने या साइबर हमलों के कुछ हिस्सों को स्वचालित करने में कैसे मदद कर सकते हैं। बग बाउंटी कार्यक्रमों का अनुभव यह सुझाव देता है कि एआई भी सुरक्षा संचालन को बाधित कर सकता है, जो कमजोरियों की पहचान और सुधार के लिए डिज़ाइन किए गए सिस्टम को अभिभूत करता है।

गूगल इस चुनौती का सामना करने में अकेला नहीं है। तकनीकी उद्योग में सुरक्षा टीमों को सीमित मानव सत्यापन या प्रयास के साथ निर्मित प्रस्तुतियों का सामना करना पड़ा है। जब संदिग्ध रिपोर्टों की बड़ी संख्या एक साथ आती है, तो यह निर्धारित करना कि कौन से निष्कर्षों को तुरंत ध्यान देने की आवश्यकता है, और भी कठिन हो जाता है।

यह मुद्दा ओपन-सोर्स समुदाय के भीतर भी उठाया गया है। लिनक्स के निर्माता लिनस टॉर्वाल्ड्स ने पहले एआई-जनित सुरक्षा रिपोर्टों की बढ़ती मात्रा और वे रखरखाव करने वालों और इंजीनियरों पर जो बोझ डाल सकती हैं, के बारे में चिंता व्यक्त की है।

इंटेल ने भी एक समान कमजोरियों के पुरस्कार पहलों को समाप्त कर दिया है, हालाँकि कंपनी ने स्पष्ट रूप से यह नहीं कहा कि एआई-जनित प्रस्तुतियाँ निर्णय के लिए जिम्मेदार थीं। कार्यक्रम ने शोधकर्ताओं को पात्र सुरक्षा कमजोरियों की पहचान करने के लिए वित्तीय पुरस्कार दिए थे, जिनमें से कुछ संभावित भुगतान महत्वपूर्ण राशि तक पहुँच सकते थे।

जैसे-जैसे जनरेटिव एआई अधिक सक्षम होता जा रहा है, साइबर सुरक्षा संगठनों को यह पुनर्विचार करने की आवश्यकता हो सकती है कि कमजोरियों के खुलासे के कार्यक्रम प्रस्तुतियों को कैसे सत्यापित करते हैं। स्वचालित स्क्रीनिंग, मजबूत प्रमाण आवश्यकताएँ और पुन: उत्पन्न निष्कर्षों पर अधिक जोर देना यह सुनिश्चित करने में महत्वपूर्ण हो सकता है कि सुरक्षा टीमें अपनी सीमित संसाधनों को वास्तविक खतरों पर ध्यान केंद्रित कर सकें।

यह स्थिति एआई द्वारा उत्पन्न एक व्यापक तनाव को उजागर करती है: उत्पादकता बढ़ाने के लिए डिज़ाइन किए गए उपकरण नई परिचालन चुनौतियाँ उत्पन्न कर सकते हैं जब वे उस पैमाने पर जानकारी उत्पन्न करते हैं जिसे मानव टीमें कुशलता से सत्यापित नहीं कर सकतीं। साइबर सुरक्षा उद्योग के लिए, बग बाउंटी कार्यक्रमों के मूल्य को बनाए रखना इस असंतुलन को प्रबंधित करने के तरीकों को खोजने पर निर्भर हो सकता है।