कृत्रिम बुद्धिमत्ता (AI) के सामान्य मॉडलों का उपयोग करके किए गए एक नए सुरक्षा अध्ययन में यूनाइटेड किंगडम के दर्जनों सार्वजनिक क्षेत्र के संगठनों की डिजिटल प्रणालियों में गंभीर साइबर खामियों का खुलासा हुआ है। पिछले लगभग दस वर्षों से यूके के गृह मंत्रालय, स्वास्थ्य एवं सामाजिक देखभाल विभाग और स्थानीय निकायों सहित कई सरकारी विभाग पारदर्शिता बढ़ाने और सार्वजनिक धन की बचत करने के उद्देश्य से अपने सॉफ्टवेयर कोड को सार्वजनिक रूप से साझा करते आ रहे हैं। हालांकि, वर्षों की बजट कटौती और बजटीय दबावों के कारण इन डिजिटल संपत्तियों के नियमित रखरखाव और सुधार में भारी लापरवाही बरती गई, जिसके चलते ऑनलाइन रिपोजिटरी में सुरक्षा संबंधी कई मूलभूत गलतियां छूट गईं।
सार्वजनिक रिपोजिटरी में मिले प्रशासनिक क्रेडेंशियल
कंट्रोलप्लेन के सुरक्षा शोधकर्ता क्रिस नेस्बिट-स्मिथ ने उपभोक्ता-स्तरीय क्लॉड ओपस और क्लॉड सोनेट AI मॉडलों का उपयोग करके 33 सरकारी संगठनों के 349 कोडबेस की व्यापक जांच की। इस अध्ययन के दौरान स्कैन की गई कुल रिपोजिटरी में से लगभग दो-तिहाई में सुरक्षा खामियां पाई गईं। शोधकर्ता ने स्पष्ट किया कि ये सभी मुद्दे बहुत ही बुनियादी स्तर के थे जिन्हें किसी भी सामान्य IT स्वास्थ्य जांच के दौरान आसानी से पकड़ा जा सकता था। उनका कहना था कि आम मीडिया में जिन जटिल और अत्याधुनिक साइबर हमलों की चिंता की जाती है, यह मामला उस स्तर का बिल्कुल नहीं था।
सबसे चिंताजनक स्थिति प्लानिंग इंस्पेक्टरेट में देखी गई, जो संपूर्ण इंग्लैंड में भूमि उपयोग और नियोजन से जुड़े मामलों का निपटारा करता है। इस एजेंसी ने गलती से अपने प्रशासनिक क्रेडेंशियल सार्वजनिक गिटहब रिपोजिटरी पर पोस्ट कर दिए थे और बाद में उन्हें पूरी तरह से सिस्टम से नहीं हटाया। यह गलती इसलिए भी अधिक खतरनाक साबित हुई क्योंकि उन क्रेडेंशियल की समयसीमा समाप्त नहीं हुई थी और उनके जरिए व्यापक अधिकार प्राप्त हो रहे थे। इसके चलते माइक्रोसॉफ्ट एंट्रा आईडी तक पूरी पहुंच मिल रही थी, जिससे सभी शेयरपॉइंट साइटों और कर्मचारियों के व्यक्तिगत वनड्राइव खातों तक पढ़ा और लिखा जा सकता था। इसमें कर्मचारियों के मानव संसाधन (HR) रिकॉर्ड और वैधानिक नियोजन अपीलों से जुड़ी कानूनी साक्ष्य लाइब्रेरी भी शामिल थीं। इस स्थिति में पूरे डेटा को चुराने या रैनसमवेयर के जरिए उसे एन्क्रिप्ट करने का बड़ा जोखिम बना हुआ था।
संस्थागत प्रतिक्रिया और प्रभावित विभाग
प्लानिंग इंस्पेक्टरेट के एक प्रवक्ता ने बताया कि उनकी आंतरिक साइबर निगरानी प्रणालियों ने अगस्त महीने में ही इस संदिग्ध गतिविधि को पकड़ लिया था। जब शोधकर्ता ने उनसे संपर्क किया, तब तक एजेंसी इस मामले को साइबर घटना के रूप में संभाल रही थी। रिपोर्ट मिलने के 20 मिनट के भीतर ही इस सुरक्षा खामी को ठीक कर दिया गया और यह सत्यापित किया गया कि कोई भी डेटा लीक नहीं हुआ है। वहीं गैर-लाभकारी उद्योग निकाय ओपनयूके की मुख्य कार्यकारी अधिकारी अमान्डा ब्रॉक ने कहा कि यह समस्या ओपन-सोर्स कोड की नहीं, बल्कि सार्वजनिक उपकरणों का उपयोग करते समय आंतरिक प्रक्रियाओं का पालन न करने की है।
इसके अलावा, डिपार्टमेंट फॉर एजुकेशन के कोडबेस में भी कई गंभीर कमियां पाई गईं। इनमें स्कूलों द्वारा इस्तेमाल की जाने वाली खरीद सेवाएं, शिक्षकों के आवेदन पोर्टल (जिसमें व्यक्तिगत विवरण, शैक्षणिक योग्यता, रोजगार इतिहास और पहचान दस्तावेज शामिल थे) और सरकारी वित्तपोषित प्रशिक्षण प्रदाताओं व शिक्षुता का मुख्य रजिस्टर शामिल था। स्कॉटिश सरकार के एक ओपन डेटा पोर्टल में भी एक खामी पाई गई थी, जिससे कोई भी सामान्य उपयोगकर्ता प्रशासनिक खातों की जानकारी देख सकता था और वेबसाइट की कॉन्फ़िगरेशन बदल सकता था। संबंधित विभागों ने बाद में इन सभी मुद्दों को सुलझा लिया।
ओपन सोर्स कोड पारदर्शिता पर छिड़ी बहस
AI टूल के जरिए सुरक्षा खामियों की खोज में आई तेजी को देखते हुए अब यह सवाल उठने लगा है कि क्या सरकारी विभागों को अपने सोर्स कोड सार्वजनिक रूप से साझा करना बंद कर देना चाहिए। सुरक्षा चिंताओं का हवाला देते हुए मई में नेशनल हेल्थ सर्विस (NHS) ने अपनी प्रौद्योगिकी टीमों को ओपन-सोर्स कोड से दूर जाने का निर्देश दिया था।
हालांकि, शोधकर्ता क्रिस नेस्बिट-स्मिथ का मानना है कि मूल समस्याओं को ठीक किए बिना कोड बंद कर देना सबसे खराब स्थिति होगी। इससे स्वतंत्र शोधकर्ताओं के लिए खामियों को ढूंढना असंभव हो जाएगा, जबकि दुर्भावनापूर्ण तत्व पहले ही इन रिपोजिटरी की प्रतियां तैयार कर चुके होंगे। मूल कमियों को दूर किए बिना कोड बंद करने से केवल अवांछित ध्यान आकर्षित होगा।
