AI-চালিত হামলার আগে ‘সীমিত সময়’: ১১৬ প্রতিষ্ঠানের সতর্কবার্তা

OpenAI, Anthropic, Google ও Microsoft-সহ প্রযুক্তি, সাইবার নিরাপত্তা, আর্থিক ও অবকাঠামো খাতের প্রতিষ্ঠানগুলো ২৭ আগস্ট ২০২৬ একটি যৌথ খোলা চিঠি প্রকাশ করেছে। প্রকাশনা-সময়ের প্রতিবেদনে স্বাক্ষরকারী প্রতিষ্ঠান ও সংস্থার সংখ্যা ১১৬ বলা হয়েছে।

তাদের সতর্কতা হলো, আগামী কয়েক মাসে AI-সক্ষম সাইবার হামলা আরও বিস্তৃত ও জটিল হতে পারে; তাই প্রতিরক্ষা শক্তিশালী করার সময় সীমিত। Axios-এর ২৭ আগস্টের প্রতিবেদন এই সময়সীমা ও গুরুত্বপূর্ণ অবকাঠামোর ঝুঁকি নিশ্চিত করার পাশাপাশি জানায়, চিঠিতে নির্দিষ্ট বিনিয়োগ, বাধ্যতামূলক অঙ্গীকার বা বাস্তবায়নের সময়সীমা দেওয়া হয়নি।

হাসপাতাল, পানি ও ইন্টারনেট কেন ঝুঁকির কেন্দ্রে

এটি কোনো নির্দিষ্ট হামলা শুরু হয়ে গেছে—এমন ঘোষণা নয়। স্বাক্ষরকারীদের পূর্বাভাস, বিশ্বজুড়ে মডেলগুলোর সক্ষমতা বাড়ার সঙ্গে আক্রমণকারীরা দুর্বলতা শনাক্ত করা, আক্রমণের উপযোগী কোড তৈরি এবং একাধিক ধাপ দ্রুত সম্পন্ন করার ক্ষমতা পাবে। ফলে আগে যে আক্রমণে বিশেষজ্ঞ দল ও দীর্ঘ প্রস্তুতি প্রয়োজন হতো, তার কিছু অংশ আরও সস্তা ও সহজলভ্য হয়ে উঠতে পারে।

মূল খোলা চিঠিতে হাসপাতাল, পানি শোধনাগার এবং ইন্টারনেট সচল রাখার অবকাঠামোকে সরাসরি ঝুঁকিপূর্ণ সেবার উদাহরণ হিসেবে উল্লেখ করা হয়েছে। সেখানে দীর্ঘদিনের সফটওয়্যার ত্রুটি, অতিরিক্ত অনুমতি, ভুল কনফিগারেশন, প্যাচ না করা সফটওয়্যার, দুর্বল পরিচয় যাচাই এবং পুরোনো ব্যবস্থার প্রযুক্তিগত ঋণকে বিদ্যমান দুর্বলতার কারণ বলা হয়েছে।

এসব সেবায় সাইবার ঘটনার প্রভাব শুধু তথ্য চুরি বা ওয়েবসাইট বন্ধ থাকার মধ্যে সীমিত থাকতে পারে না। হাসপাতালের চিকিৎসা ও রোগীর নথি, পানি শোধনাগারের নিয়ন্ত্রণ এবং ইন্টারনেটের অভিন্ন অবকাঠামো সচল রাখা জরুরি; আবার পুরোনো যন্ত্র বা সফটওয়্যার হঠাৎ বন্ধ করে প্যাচ করাও সব ক্ষেত্রে সম্ভব নয়। এই দ্বৈত চাপের কারণেই চিঠিটি প্রয়োজনীয় সেবা ব্যাহত না করে দুর্বলতা ঠিক করা এবং তা সম্ভব না হলে বিকল্প নিয়ন্ত্রণ যাচাই করার কথা বলেছে।

চার পক্ষকে যে দায়িত্ব দেওয়া হয়েছে

প্রস্তাবটি প্রতিষ্ঠান, সাইবার নিরাপত্তা ও প্রযুক্তি সরবরাহকারী, সরকার এবং frontier AI কোম্পানি—এই চার পক্ষের জন্য আলাদা দায়িত্ব নির্ধারণ করেছে। লক্ষ্য হলো শুধু নতুন প্রতিরক্ষা সরঞ্জাম কেনা নয়; বিদ্যমান দুর্বলতা কমানো, প্রতিরক্ষাকারীদের উন্নত AI দেওয়া এবং কার্যকর সমাধান বহু প্রতিষ্ঠানের মধ্যে ছড়িয়ে দেওয়া।

• সব প্রতিষ্ঠান: সাইবার প্রতিরক্ষাকে নেতৃত্বের তাৎক্ষণিক অগ্রাধিকার করতে হবে। সর্বোচ্চ ঝুঁকির দুর্বলতা আগে ঠিক করা, প্রয়োজনীয় সেবা অক্ষুণ্ণ রেখে ফল যাচাই করা, least privilege ও শক্তিশালী access control প্রয়োগ এবং কেনা, তৈরি বা মোতায়েন করা AI-generated code-এর নিরাপত্তার মান বাড়ানোর আহ্বান রয়েছে।
• নিরাপত্তা ও প্রযুক্তি সরবরাহকারী: frontier মডেলের পরিবর্তনশীল সাইবার সক্ষমতার বিপরীতে প্রতিরক্ষা নিয়মিত পরীক্ষা করতে হবে। গুরুত্বপূর্ণ অবকাঠামোর জন্য AI-ভিত্তিক প্রতিরক্ষা ব্যবহারযোগ্য করা, সরবরাহ-শৃঙ্খলের নির্মাতাদের সঙ্গে দুর্বলতা বন্ধ করা এবং যাচাই করা threat intelligence ও পরীক্ষিত playbook ভাগ করতে বলা হয়েছে।
• সরকার: স্থানীয়, জাতীয় ও আন্তর্জাতিক পর্যায়ে হুমকির তথ্য, incident response এবং পুনরুদ্ধার সমন্বয় করতে হবে। পর্যাপ্ত কর্মী বা বাজেট নেই—এমন হাসপাতাল, পানি সরবরাহকারী ও স্থানীয় প্রশাসনকে অর্থ, অনুমোদিত পরীক্ষা, প্রতিরক্ষামূলক AI এবং বাস্তব সহায়তা দেওয়ার প্রস্তাবও রয়েছে।
• Frontier AI কোম্পানি: স্বল্প সম্পদের প্রতিরক্ষাকারীদের দায়িত্বশীল মডেল-অ্যাক্সেস, অর্থায়ন, প্রশিক্ষণ ও হাতে-কলমে সহায়তা দিতে বলা হয়েছে। AI agent-এর পরিচয় অনুসরণযোগ্য করা, পর্যবেক্ষণ ও নিরাপত্তা সরঞ্জাম তৈরি এবং গোপনীয়ভাবে দুর্বলতা জানিয়ে যাচাই করা সমাধান ভাগ করাও এই পক্ষের দায়িত্ব।

দক্ষিণ এশিয়ায় সীমিত বাজেটের অগ্রাধিকার

চিঠির নীতিগুলো বাংলাদেশ ও ভারতের সীমিত সম্পদের প্রতিষ্ঠানগুলোর ক্ষেত্রে প্রয়োগ করলে প্রথম অগ্রাধিকার হওয়া উচিত নতুন AI পণ্য কেনার আগে সবচেয়ে বিপজ্জনক পুরোনো দুর্বলতা চিহ্নিত করা। কোন সেবা সরাসরি ইন্টারনেটের মুখোমুখি, কোন পরিচয় দিয়ে গুরুত্বপূর্ণ ব্যবস্থায় ঢোকা যায়, কোন সফটওয়্যার প্যাচহীন এবং কোন ব্যবস্থা বন্ধ হলে অপরিহার্য সেবা থেমে যাবে—এই তালিকা ঝুঁকিভিত্তিক সিদ্ধান্তের ভিত্তি তৈরি করে।

দ্বিতীয় অগ্রাধিকার পরিচয় ও অনুমতি। প্রশাসনিক অধিকার সীমিত করা, অপ্রয়োজনীয় প্রবেশাধিকার প্রত্যাহার এবং শক্তিশালী পরিচয় যাচাই চালু করা চিঠিতে চিহ্নিত excessive permissions, weak authentication ও least privilege-এর ঘাটতির সরাসরি জবাব। সীমিত বাজেটে এগুলো প্রায়ই বড় অবকাঠামো বদলের চেয়ে আগে বাস্তবায়নযোগ্য।

তৃতীয় অগ্রাধিকার হলো সেবা সচল রেখে ঝুঁকি কমানো। হাসপাতাল বা পানি ব্যবস্থার পুরোনো যন্ত্র তাৎক্ষণিকভাবে প্যাচ করা না গেলে নেটওয়ার্কে তার প্রবেশ সীমিত করা, পর্যবেক্ষণ বাড়ানো এবং বিকল্প নিয়ন্ত্রণের কার্যকারিতা যাচাই করা চিঠির compensating control নীতির সঙ্গে সামঞ্জস্যপূর্ণ। আর্থিক প্রতিষ্ঠানের ক্ষেত্রে একই নীতি গুরুত্বপূর্ণ লেনদেন ও গ্রাহক-পরিচয় ব্যবস্থায় কার কী অনুমতি আছে, তা আগে দৃশ্যমান করার দিকে নিয়ে যায়।

চতুর্থ অগ্রাধিকার হলো যাচাই করা তথ্য ও সমাধান ভাগ করার ব্যবস্থা। ছোট নিরাপত্তা দলের পক্ষে প্রতিটি নতুন আক্রমণ-কৌশল আলাদাভাবে বিশ্লেষণ করা কঠিন; তাই সরবরাহকারী, খাতভিত্তিক সমন্বয়ক ও সরকারি প্রতিক্রিয়া দলের পরীক্ষিত playbook কাজে লাগতে পারে। তবে কোনো AI-উৎপন্ন সংশোধন সরাসরি চালু ব্যবস্থায় প্রয়োগের আগে প্রয়োজনীয় সেবার ওপর তার প্রভাব যাচাই করাই চিঠির মূল নীতির অংশ।

সতর্কবার্তার সীমা ও পরবর্তী পরীক্ষা

খোলা চিঠিটি নতুন আন্তর্জাতিক মান, বাধ্যতামূলক চুক্তি বা অর্থায়ন কর্মসূচি নয়। ‘কয়েক মাস’ কোনো নিশ্চিত হামলার তারিখও নয়; এটি মডেলের সক্ষমতা বাড়ার সঙ্গে ঝুঁকি দ্রুত বদলাতে পারে—এমন একটি পূর্বাভাস। স্বাক্ষরকারীরা কত অর্থ দেবে, কোন প্রতিরক্ষা ব্যবস্থা কখন চালু করবে বা অগ্রগতি কীভাবে প্রকাশ করবে, তার অভিন্ন কাঠামো এতে নেই।

ফলে সতর্কবার্তার কার্যকারিতা নির্ভর করবে পরবর্তী বাস্তব পদক্ষেপের ওপর। কোন সরকার স্বল্প সম্পদের অপরিহার্য সেবাকে অর্থ ও অনুমোদিত পরীক্ষার সুযোগ দেয়, কোন AI কোম্পানি কী শর্তে প্রতিরক্ষাকারীদের মডেল ব্যবহার করতে দেয় এবং সরবরাহকারীরা সমাধানের কার্যকারিতা কীভাবে মাপে—এগুলো এখনো আলাদা সিদ্ধান্তের বিষয়।

এ মুহূর্তে নিশ্চিত বিষয় হলো, ২৭ আগস্ট প্রকাশিত যৌথ আহ্বানটি AI-সক্ষম হামলার ঝুঁকিকে কয়েক মাসের সময়সীমায় রেখেছে এবং চার ধরনের অংশীজনের দায়িত্ব আলাদা করেছে। পরবর্তী যাচাই হবে সতর্কতাটি পরিমাপযোগ্য অর্থায়ন, প্রযুক্তিগত সহায়তা, তথ্য বিনিময় ও কার্যকর নিরাপত্তা উন্নয়নে রূপ নেয় কি না।