AI agent শুধু prompt দিয়ে সুরক্ষিত নয়—আক্রমণে ৮৬% পর্যন্ত পথ বদলেছে

ওয়েব পাতা, ইমেইল বা নথি পড়ে কাজ করা এআই এজেন্টকে শুধু শক্ত সিস্টেম প্রম্পট দিয়ে সুরক্ষিত রাখা যায় না। বাইরের বিষয়বস্তুকে নির্দেশের বদলে অবিশ্বস্ত তথ্য হিসেবে চিহ্নিত করতে হবে; এজেন্টের তথ্যপ্রাপ্তি, টুল চালানো ও অনুমোদনের সীমা আলাদা নিয়মে বেঁধে দিতে হবে। WASP-এর ওয়েব এজেন্ট পরীক্ষায় একটি মডেল ও টুল-কলিং বিন্যাসে ৮৫.৭%—প্রায় ৮৬%—ক্ষেত্রে এজেন্ট মূল কাজ থেকে সরে আক্রমণকারীর নির্দেশ অনুসরণ শুরু করে; একই বিন্যাসে চূড়ান্ত আক্রমণ লক্ষ্য পূরণ হয় ১৬.৭% ক্ষেত্রে।

এই দুই হার ভিন্ন ফল মাপে: প্রথমটি এজেন্টের আচরণ বদলানোর লক্ষণ, দ্বিতীয়টি ক্ষতিকর কাজ শেষ হওয়ার হিসাব। নিয়ন্ত্রিত ওয়েব পরিবেশের ফল ইমেইল বা নথি পড়া সব এজেন্টের গড় ঝুঁকি নয়; তবে প্রম্পটের ওপর একা ভরসা করা কেন দুর্বল সিদ্ধান্ত, তা দেখায়। তৈরি, পরিচালনা ও ঘটনার পর্যালোচনা—প্রতিটি পর্যায়ে আলাদা নিয়ন্ত্রণ দরকার।

নির্দেশ আর বাইরের তথ্যের সীমা কোথায়

সরাসরি প্রম্পট ইনজেকশনে আক্রমণকারী এজেন্টকে উদ্দেশ্য করে লেখা পাঠায়। পরোক্ষ আক্রমণে নির্দেশটি থাকে এমন ওয়েব পাতা, ইমেইল, নথি, সার্চ ফল বা টুলের উত্তরে, যা এজেন্ট বৈধ কাজ করতে গিয়ে পড়ে। এজেন্ট যখন উদ্ধৃত বা উদ্ধার করা লেখাকে ব্যবহারকারীর অনুমোদিত আদেশ মনে করে, তখন তথ্যের স্তর থেকে নির্দেশের স্তরে অনধিকার প্রবেশ ঘটে।

একটি অনুমোদিত সাইটের মন্তব্যও অন্য ব্যবহারকারী লিখতে পারে। ওই নিয়ন্ত্রিত পরীক্ষার GitLab-সদৃশ সাইটে আক্রমণকারী ইস্যু ও মন্তব্য যোগ করতে পারত, কিন্তু পুরো সাইটের বিন্যাস বদলাতে পারত না। তাই পরিচিত ডোমেইন থেকে তথ্য এলেই ওই পাতার প্রতিটি বাক্য নিরাপদ নির্দেশ হয়ে যায় না। এজেন্টের কাছে কোন অংশটি ব্যবহারকারীর কাজ আর কোনটি বাইরের দাবি, সেই পার্থক্য অক্ষত থাকা জরুরি।

ধরা যাক, ব্যবহারকারী একটি প্রকল্পের আলোচনার সারাংশ চান। ইস্যুর মন্তব্যে লেখা আছে, সারাংশ তৈরির আগে প্রকল্পের অনুমতি বদলাতে হবে। এটি একটি কাল্পনিক উদাহরণ: মন্তব্যটি আলোচনার তথ্য হতে পারে, কিন্তু অনুমতি বদলানোর কর্তৃত্ব দেয় না। এজেন্ট সেটিংসে ঢুকে পড়লেও পরিবর্তন শেষ না করলে আচরণগত বিচ্যুতি ঘটেছে; আবার সত্যিই অনুমতি বদলালে ক্ষতির স্তর বেড়েছে।

তৈরির সময় ইনপুট ও ক্ষমতা ভাগ করুন

বাইরের লেখা মডেলে পাঠানোর আগেই তার উৎস ও বিশ্বাসের স্তর সংরক্ষণ করুন। Microsoft-এর প্রম্পট ইনজেকশন নির্দেশনা ওয়েব, ইমেইল, নথি ও উদ্ধার করা বিষয়বস্তুকে সম্ভাব্য প্রতিকূল ইনপুট ধরে চিহ্নিতকরণ, স্ক্যানিং, ফিল্টারিং, সীমিত টুল অনুমতি এবং প্রম্পট ও আউটপুট পর্যবেক্ষণের পরামর্শ দেয়। উৎসের নামসহ স্পষ্ট সীমানায় লেখা পাঠানো মডেলকে তার ভূমিকা বুঝতে সাহায্য করে; কার্যক্রমের অনুমতি অবশ্য সফটওয়্যারের পৃথক নীতিতে স্থির করুন।

1. প্রবেশপথের তালিকা করুন: ওয়েব পাতা, ইমেইলের মূল লেখা ও সংযুক্তি, সার্চ ফল, নথির উদ্ধৃতি এবং টুলের উত্তর কোথা থেকে আসছে, তা ধরে রাখুন। লুকানো নির্দেশ, অপ্রত্যাশিত বিন্যাস বা অস্বাভাবিক গন্তব্য খুঁজতে স্ক্যানার বসান; ধরা পড়া অংশের সঙ্গে মূল উৎসের সম্পর্ক হারাবেন না।
2. কাজ অনুযায়ী পরিচয় দিন: শুধু সারাংশ লেখার এজেন্টের পরিচয়কে বার্তা পাঠানো, রেকর্ড মুছা বা প্রশাসনিক সেটিংস বদলানোর অনুমতি দেবেন না। পড়ার ও পরিবর্তনের ক্ষমতা পৃথক করুন; প্রয়োজন হলে নির্দিষ্ট কাজের মেয়াদে সীমিত পরিচয় ব্যবহার করুন।
3. তথ্য পাঠানোর গন্তব্য বেঁধে দিন: অনুমোদিত টুল কোন ঠিকানায় সংযোগ করতে পারবে, তা আগে নির্ধারণ করুন। এজেন্ট বিভ্রান্ত হয়ে কোনো লিংক অনুসরণ করলেও নেটওয়ার্কের সীমা গোপন তথ্য বাইরে যাওয়ার পথ সংকুচিত করে।
4. নীতিকে পর্যালোচনাযোগ্য রাখুন: কোন কাজ স্বয়ংক্রিয়, কোনটি নিষিদ্ধ এবং কোনটিতে মানুষের অনুমোদন লাগবে, তা সংস্করণসহ সংরক্ষণ করুন। প্রম্পট বা বাইরের পাতার দাবি দিয়ে এই নিয়ম বদলানো যাবে না।

ফিল্টার ও স্ক্যানার পরিচিত কৌশল আটকাতে পারে, কিন্তু প্রসঙ্গের সঙ্গে মিশে থাকা সব নির্দেশ ধরার নিশ্চয়তা নেই। একইভাবে মডেলকে সতর্ক করার প্রম্পট সহায়ক হলেও তার সিদ্ধান্ত ভুল হতে পারে। তাই পরিচয়, টুল এবং নেটওয়ার্কের সীমা এমনভাবে বসাতে হবে, যাতে বিভ্রান্ত এজেন্টের কাজের পরিসরও ছোট থাকে।

চলমান অবস্থায় টুল কলের ফটক রাখুন

এজেন্ট কোনো কাজের প্রস্তাব দিলে টুল তা চালানোর আগে নির্দিষ্ট নিয়মে অনুরোধটি যাচাই করবে। OWASP-এর এজেন্ট নিরাপত্তা নির্দেশিকা ন্যূনতম অনুমতি, উচ্চ প্রভাবের কাজে মানবীয় সম্মতি এবং টুল কল, ফাইল পরিবর্তন ও নেটওয়ার্ক অনুরোধের নিরীক্ষাযোগ্য লগ রাখতে বলে। বাস্তবে ফটকটি ব্যবহারকারী ও এজেন্টের পরিচয়, টুলের নাম, গন্তব্য এবং আর্গুমেন্ট মিলিয়ে অনুমতি দেবে, আটকে দেবে অথবা পর্যালোচনার জন্য থামাবে।

বার্তা পাঠানো, তথ্য মুছে ফেলা, অনুমতি বদলানো কিংবা নতুন ঠিকানায় সংযোগের মতো কাজে অনুমোদন চাইলে আসল টুল কল দেখান। কার কাছে বার্তা যাবে, কোন রেকর্ড বদলাবে এবং কোন তথ্য পাঠানো হবে, তা মানুষ যেন দেখতে পান। এজেন্টের নিজের লেখা সারাংশ বিভ্রান্তিকর হতে পারে; সেটি অনুমোদনের একমাত্র ভিত্তি করলে আক্রমণকারীর প্রভাব পর্যালোচনার ধাপেও পৌঁছে যায়। কম ঝুঁকির পুনরাবৃত্ত কাজ সীমিতভাবে আগেই অনুমোদিত থাকলে গুরুত্বপূর্ণ সিদ্ধান্তে মানুষের মনোযোগ থাকে।

লগে অনুরোধকারী ব্যবহারকারী, এজেন্টের পরিচয়, পড়া উৎস, প্রস্তাবিত কাজ, নীতির সিদ্ধান্ত ও বাস্তব ফল এক সূত্রে রাখুন। গোপন মান সম্পূর্ণ জমা না করেও কোন তথ্য কোন টুলে গিয়েছিল, তার শনাক্তযোগ্য চিহ্ন রাখা যায়। লগ এজেন্টের বদলাতে পারা স্মৃতির বাইরে থাকলে পরে বোঝা যায়, সে শুধু ভুল উত্তর দিয়েছে, কোনো কাজের চেষ্টা করেছে, নাকি পরিবর্তনটি সত্যিই ঘটেছে।

পরীক্ষায় বিচ্যুতি ও শেষ ফল আলাদা মাপুন

প্রতিরক্ষা যাচাইয়ে আগে একটি বৈধ ব্যবহারকারীর কাজ নির্ধারণ করুন; তারপর এজেন্ট যে বাইরের অংশ পড়বে, সেখানে নিয়ন্ত্রিত আক্রমণাত্মক লেখা বসান। ওয়েব মন্তব্য, ইমেইল, উদ্ধার করা নথি এবং টুলের উত্তর আলাদা প্রবেশপথ হিসেবে নিন। পরীক্ষার সঙ্গে ব্যবহৃত মডেল, এজেন্টের কাঠামো, টুল অনুমতি, নীতির সংস্করণ ও বৈধ কাজের ফল রাখুন; নইলে কোনো পরিবর্তনে সুরক্ষা উন্নত হলো, নাকি এজেন্ট কাজ করাই বন্ধ করল, তা বোঝা কঠিন।

দুটি ফল আলাদা লিখুন: এজেন্ট কি ব্যবহারকারীর লক্ষ্য ছেড়ে আক্রমণকারীর দিকে পদক্ষেপ নিয়েছে, এবং আক্রমণকারীর চূড়ান্ত লক্ষ্য কি পূরণ হয়েছে? প্রথমটি ঘটলেও দ্বিতীয়টি না ঘটলে টুলের নিষেধাজ্ঞা, অনুমোদনের ফটক এবং এজেন্টের নিজস্ব অক্ষমতার অবদান আলাদা করে দেখুন। শেষ কারণটির ওপর স্থায়ী সুরক্ষা দাঁড় করানো যায় না, কারণ এজেন্টের কাজ করার ক্ষমতা বাড়লে একই বিভ্রান্তি আরও কার্যকর হতে পারে।

প্রতিরক্ষামূলক প্রম্পট, স্ক্যানার বা অনুমতির নীতি বদলানোর পরে একই বৈধ কাজ আবার চালান। বৈধ কাজের সফলতা কমে গেলে শুধু আক্রমণ কমেছে বলেই পরিবর্তনটি সফল নয়। প্রত্যাখ্যাত টুল কল, আটকে যাওয়া অনুমোদন এবং বাস্তব পরিবর্তনের রেকর্ড একসঙ্গে দেখলে কোন স্তর আক্রমণ থামিয়েছে, তা স্পষ্ট হয়।

সন্দেহজনক কাজ দেখা গেলে প্রমাণ ধরে এগোন

অপ্রত্যাশিত গন্তব্যে সংযোগ, অনুমোদনহীন নথি পড়ার চেষ্টা বা কাজের সঙ্গে সম্পর্কহীন টুল কল ধরা পড়লে সংশ্লিষ্ট এজেন্টের কাজ থামান। তার পরিচয় ও টোকেনের অনুমতি স্থগিত করে পড়া বাইরের অংশ, নীতির সিদ্ধান্ত এবং টুলের ফল মিলিয়ে দেখুন। শুধু শেষ উত্তরে ক্ষতিকর কাজের উল্লেখ না থাকলেই ধরে নেওয়া যায় না যে কোনো তথ্য বাইরে যায়নি বা সেটিংস বদলায়নি।

যে ইনপুট দিয়ে বিভ্রান্তি শুরু হয়েছে, সেটি সংরক্ষণ করে পরীক্ষার সংগ্রহে যোগ করুন। সংশোধনের পর একই আক্রমণ এবং বৈধ কাজ দুটোই চালিয়ে দেখুন; পাশাপাশি লগে নতুন গন্তব্য বা অস্বাভাবিক অনুমতির প্রচেষ্টা শনাক্ত করার নিয়ম ঠিক করুন। এতে পরের ঘটনার সময় দ্রুত বোঝা যাবে, মডেলের উত্তর বদলেছে, টুলের ফটক কাজ করেছে, নাকি বাস্তব পরিবর্তনের জন্য প্রতিকার দরকার।

আরও পড়ুন:

• AI agent পুরোনো কথা সত্য ধরে নিচ্ছে? Memory prune করার সময় এসেছে
• Microsoft-এর ১০০+ agent-এ cycle time ৭৫% কম—আগে workflow বদলেছে
• Gmail ও Docs-এ কথাই হবে prompt—বাংলা ব্যবহারকারী আপাতত অপেক্ষায়