এআই সাইবার হামলা ঠেকাতে সময় ‘মাত্র কয়েক মাস’—শতাধিক প্রতিষ্ঠানের সতর্কতা

OpenAI ২০২৬ সালের ২৭ আগস্ট একটি খোলা চিঠি প্রকাশ করে সতর্ক করেছে, এআই-সক্ষম সাইবার হামলা আরও ব্যাপক ও জটিল হয়ে ওঠার আগে প্রতিরক্ষা শক্ত করার সুযোগ সীমিত। Anthropic, Google ও Microsoftসহ শতাধিক প্রতিষ্ঠানের সমর্থন পাওয়া সম্মিলিত সাইবার প্রতিরক্ষার খোলা চিঠিতে বলা হয়েছে, আগামী কয়েক মাসে হাসপাতাল, পানি শোধনাগার ও ইন্টারনেটের অবকাঠামোর ঝুঁকি বাড়তে পারে।

সতর্কতাটি কোনো আসন্ন নির্দিষ্ট হামলার গোয়েন্দা ঘোষণা নয়; দ্রুত সক্ষম হয়ে ওঠা এআই ব্যবহারের আগে বিদ্যমান দুর্বলতা কমানোর আহ্বান। CBS News-এর ২৭ আগস্টের প্রতিবেদনে প্রতিরক্ষা জোরদারের এই সুযোগ মাত্র কয়েক মাস স্থায়ী হতে পারে বলে জানানো হয়েছে এবং CrowdStrike, Citi ও Capital One-এর অংশগ্রহণ নিশ্চিত করা হয়েছে।

সীমিত সময়ের সতর্কতার অর্থ কী

স্বাক্ষরকারীদের বক্তব্য, বিশ্বজুড়ে এআই মডেলের সক্ষমতা বাড়ার সঙ্গে আক্রমণকারীরা আরও বেশি লক্ষ্যবস্তুর বিরুদ্ধে দ্রুত ও জটিল অভিযান চালাতে পারবে। একই প্রযুক্তি এখন প্রতিরক্ষাকারীদের বহুদিনের দুর্বলতা খুঁজে মেরামতের নতুন উপায় দিচ্ছে। হামলার সক্ষমতা ব্যাপকভাবে ছড়িয়ে পড়ার আগের এই পর্যায়কেই চিঠিতে প্রতিরক্ষাকারীদের সীমিত সুযোগ হিসেবে দেখানো হয়েছে।

প্রকাশের সময় চিঠিটিতে ১১৮টি প্রতিষ্ঠান ও সংগঠনের নাম ছিল বলে ITmedia-র ২৮ আগস্টের হিসাব জানিয়েছে। তালিকায় এআই, ক্লাউড, চিপ, সাইবার নিরাপত্তা, আর্থিক সেবা ও উৎপাদন খাতের প্রতিষ্ঠান রয়েছে। OpenAI-এর চালু রাখা তালিকায় পরে আরও নাম যোগ হতে পারে, তাই ১১৮ প্রকাশকালীন হিসাব—চূড়ান্ত সংখ্যা নয়।

চিঠিতে কোনো দেশ, গোষ্ঠী বা নির্দিষ্ট প্রতিষ্ঠানের বিরুদ্ধে হামলার পরিকল্পনার কথা বলা হয়নি। ফলে “কয়েক মাস” কোনো হামলার সময়সীমা নয়; এটি বিদ্যমান প্রতিরক্ষা শক্ত করার সুযোগ কত দ্রুত সংকুচিত হতে পারে, সেই পূর্বাভাস।

কোন দুর্বলতাগুলোকে সামনে আনা হয়েছে

চিঠিটি নতুন কোনো একক “এআই দুর্বলতা”কে সমস্যার কেন্দ্র করেনি। দীর্ঘদিনের সফটওয়্যার বাগ, অতিরিক্ত অনুমতি, ভুল কনফিগারেশন, অনিরাপদ ও প্যাচহীন সফটওয়্যার, দুর্বল পরিচয় যাচাই এবং পুরোনো ব্যবস্থার প্রযুক্তিগত ঋণকে প্রধান ঝুঁকি হিসেবে চিহ্নিত করেছে। এআই আক্রমণকারীর অনুসন্ধান ও আক্রমণের গতি বাড়ালে এসব পরিচিত ফাঁকই দ্রুত বড় ক্ষতির পথ তৈরি করতে পারে।

এই বিশ্লেষণের তাৎপর্য হলো, প্রস্তুতির অর্থ শুধু নতুন এআই নিরাপত্তা পণ্য কেনা নয়। কোন পরিচয় দিয়ে গুরুত্বপূর্ণ ব্যবস্থায় প্রবেশ করা যায়, ইন্টারনেটমুখী কোন সম্পদে গুরুতর দুর্বলতা আছে এবং কোন পুরোনো ব্যবস্থা প্যাচ বা প্রতিস্থাপন করা যাচ্ছে না—প্রতিষ্ঠানকে আগে সেই দৃশ্যমান ঝুঁকিগুলো জানতে হবে।

কেনা, তৈরি ও চালু করা প্রযুক্তির নিরাপত্তা মান বাড়ানোর আহ্বানও জানানো হয়েছে, যার মধ্যে এআই-উৎপাদিত কোড রয়েছে। অর্থাৎ এমন কোডকেও অন্য উৎপাদন কোডের মতো পর্যালোচনা, নির্ভরতা পরীক্ষা, গোপন তথ্য শনাক্তকরণ এবং অনুমোদিত নিরাপত্তা পরীক্ষার আওতায় রাখতে হবে।

সীমিত বাজেটে প্রতিরক্ষার প্রথম ক্রম

বাংলাদেশ ও ভারতের ছোট প্রতিষ্ঠান বা কম জনবলের জরুরি সেবার জন্য চিঠির বিস্তৃত আহ্বানকে চারটি অগ্রাধিকারে সাজানো যায়। এটি স্বাক্ষরকারীদের প্রকাশিত বাধ্যতামূলক মান নয়; চিঠিতে চিহ্নিত ঝুঁকি ও করণীয় থেকে তৈরি একটি ঝুঁকিভিত্তিক সম্পাদকীয় ক্রম।

1. পরিচয় ও প্রবেশাধিকার: প্রশাসনিক, দূরবর্তী ও ক্লাউড অ্যাকাউন্টে শক্তিশালী বহুধাপ যাচাই চালু করা; অব্যবহৃত পরিচয় বন্ধ করা; মানুষ, সেবা ও এআই এজেন্টের পরিচয় আলাদা ও অনুসরণযোগ্য রাখা; সর্বনিম্ন প্রয়োজনীয় অনুমতি প্রয়োগ করা।
2. ইন্টারনেটমুখী সম্পদ ও প্যাচিং: বাইরে থেকে পৌঁছানো সার্ভার, অ্যাপ্লিকেশন ও যন্ত্রের নির্ভুল তালিকা তৈরি করে সবচেয়ে গুরুতর দুর্বলতা আগে মেরামত করা। প্যাচ দিলে জরুরি সেবা বন্ধ হওয়ার আশঙ্কা থাকলে প্রবেশ সীমা, নেটওয়ার্ক বিচ্ছিন্নকরণ বা বাড়তি পর্যবেক্ষণের মতো ক্ষতিপূরণমূলক নিয়ন্ত্রণ বসিয়ে তার কার্যকারিতা যাচাই করা।
3. পুরোনো ব্যবস্থা ও পুনরুদ্ধার: বদলানো বা প্যাচ করা যায় না এমন ব্যবস্থাকে সাধারণ ব্যবহারকারী নেটওয়ার্ক থেকে আলাদা রাখা। ব্যাকআপ শুধু তৈরি হয়েছে কি না না দেখে, তা থেকে গুরুত্বপূর্ণ সেবা নির্ধারিত সময়ে ফেরানো যায় কি না পরীক্ষা করা।
4. হুমকি-তথ্য ও ঘটনা-প্রতিক্রিয়া: ঘটনার খবর কে নেবে, ক্ষতিগ্রস্ত পরিচয় কে বাতিল করবে, কোন সেবা আগে ফিরবে এবং সরবরাহকারীকে কখন যুক্ত করা হবে—এসব লিখিত প্লেবুকে নির্ধারণ করে অনুশীলন করা।

অগ্রগতি মাপার ক্ষেত্রেও চিঠি দৃশ্যমান ফলের ওপর জোর দিয়েছে: কত প্রতিষ্ঠান সুরক্ষিত হলো, হামলা কত দ্রুত নিয়ন্ত্রণে এলো এবং প্রয়োগ করা সমাধান সত্যিই কাজ করল কি না। ছোট প্রতিষ্ঠানের জন্য এর ব্যবহারিক রূপ হতে পারে গুরুত্বপূর্ণ অ্যাকাউন্টে বহুধাপ যাচাইয়ের আওতা, অমীমাংসিত উচ্চঝুঁকির দুর্বলতার সংখ্যা এবং পরীক্ষিত পুনরুদ্ধারের সময় নথিবদ্ধ করা।

জরুরি সেবায় একই নিয়ন্ত্রণ যথেষ্ট নয়

হাসপাতালে প্যাচিংয়ের সিদ্ধান্ত রোগীসেবা ও চিকিৎসা ব্যবস্থার প্রাপ্যতার সঙ্গে যুক্ত। তাই জরুরি ব্যবস্থায় পরিবর্তনের আগে পরীক্ষিত রক্ষণাবেক্ষণ সময়, বিকল্প কাজের ব্যবস্থা, নেটওয়ার্ক বিভাজন এবং সরবরাহকারীর সহায়তা দরকার। প্যাচ বিলম্বিত হলে কারণ, দায়িত্ব ও বিকল্প সুরক্ষা নথিবদ্ধ থাকা উচিত।

আর্থিক সেবায় পরিচয় দখল, অনুমোদনের অপব্যবহার এবং তৃতীয় পক্ষের প্রবেশ দ্রুত আর্থিক ক্ষতিতে রূপ নিতে পারে। উচ্চমূল্যের লেনদেনে পৃথক অনুমোদন, সুবিধাপ্রাপ্ত অ্যাকাউন্টে সাময়িক অধিকার, অস্বাভাবিক প্রবেশের সতর্কতা এবং গুরুত্বপূর্ণ পরিবর্তনের নির্ভরযোগ্য অডিট রেকর্ড তাই বেশি গুরুত্ব পায়।

পানি, বিদ্যুৎ, টেলিযোগাযোগ ও ইন্টারনেট অবকাঠামোতে ব্যবসায়িক তথ্যপ্রযুক্তি নেটওয়ার্কের সঙ্গে পরিচালন প্রযুক্তির সংযোগ আলাদা ঝুঁকি তৈরি করে। দূরবর্তী রক্ষণাবেক্ষণের পথ সীমিত রাখা, সরবরাহকারীর অ্যাকাউন্ট পর্যালোচনা, গুরুত্বপূর্ণ নিয়ন্ত্রণব্যবস্থা বিভক্ত করা এবং ডিজিটাল ব্যবস্থা ব্যর্থ হলে নিরাপদ বিকল্প পরিচালনার পরিকল্পনা রাখা এখানে অগ্রাধিকার।

প্রতিশ্রুতির পর এখন যে ঘাটতি রয়ে গেছে

খোলা চিঠি চার পক্ষের ভূমিকা আলাদা করেছে। সব প্রতিষ্ঠানকে সাইবার প্রতিরক্ষা নেতৃত্বের অগ্রাধিকার করতে বলা হয়েছে; নিরাপত্তা কোম্পানি ও প্রযুক্তি অংশীদারদের ধারাবাহিক পরীক্ষা, যাচাইকৃত সমাধান, হুমকি-তথ্য ও প্লেবুক ভাগ করতে বলা হয়েছে। সরকারকে কম বাজেটের জরুরি সেবায় অর্থায়ন ও সমন্বয় এবং অগ্রণী এআই কোম্পানিকে দায়িত্বশীল মডেল-অ্যাক্সেস, অর্থ, প্রশিক্ষণ, পর্যবেক্ষণ সরঞ্জাম ও হাতে-কলমে সহায়তা দিতে বলা হয়েছে।

তবে প্রকাশিত চিঠিতে নির্দিষ্ট তহবিলের পরিমাণ, বাধ্যতামূলক বাস্তবায়ন-সময়সীমা, অঞ্চলভিত্তিক কর্মপরিকল্পনা বা কেন্দ্রীয় অগ্রগতি প্রতিবেদন নেই। বাংলাদেশ ও ভারতের ছোট হাসপাতাল, আর্থিক প্রতিষ্ঠান এবং স্থানীয় অবকাঠামো পরিচালকেরা ঠিক কোন সহায়তা, কখন ও কী শর্তে পাবে—তাও ঘোষণা করা হয়নি।

এখন পর্যন্ত নিশ্চিত হলো, OpenAI-এর প্রকাশিত সতর্কতায় শতাধিক প্রতিষ্ঠান যুক্ত হয়েছে এবং পরিচয় নিয়ন্ত্রণ, প্যাচিং, পুরোনো ব্যবস্থা, হুমকি-তথ্য বিনিময় ও ঘটনা-প্রতিক্রিয়াকে জরুরি অগ্রাধিকার দেওয়া হয়েছে। পরবর্তী পরীক্ষাটি হবে, স্বাক্ষরকারীরা এই আহ্বানকে পরিমাপযোগ্য অর্থায়ন, সরঞ্জাম, প্রশিক্ষণ ও গুরুত্বপূর্ণ অবকাঠামোতে বাস্তব মোতায়েনে রূপ দেয় কি না।