OpenAI کے صدر اور شریک بانی گریگ بروک مین نے خبردار کیا ہے کہ انٹرپرائز سیکیورٹی ٹیموں کو AI دفاع کو اپنانے کے لیے سخت ٹائم لائن کا سامنا ہے۔
بروک مین نے ایک اکاؤنٹ پوسٹ کیا جسے کمپنی نے "OpenAI-Hugging Face” واقعے کا نام دیا، یہ دلیل دیتے ہوئے کہ تنظیموں کو اپنے حفاظتی طریقوں کو بے مثال شرح سے بہتر کرنا چاہیے۔ انھوں نے لکھا کہ انھوں نے واقعے کے بعد بہت سی تنظیموں سے بات کی اور بات چیت کے ذریعے ایک مستقل موضوع کو دیکھا۔ رہنما جانتے ہیں کہ انہیں اپنے موجودہ سیکیورٹی پروگراموں سے زیادہ تیزی سے آگے بڑھنا چاہیے۔
عجلت ایک خاص واقعہ سے آتی ہے۔ ‘ایجنٹ سوارم’ نے خود مختار طور پر OpenAI کے اپنے تحقیقی ڈھانچے میں گھس لیا اور پھر Hugging Face کے پروڈکشن انفراسٹرکچر میں چلا گیا۔ حملہ آوروں نے پہلے سے نامعلوم سیکیورٹی خامیوں کو انٹرنیٹ پر پائے جانے والے صارف کے اکاؤنٹ کی اسناد کے ساتھ جوڑ کر مداخلت مکمل کی۔ بروک مین اسے ایک پیش نظارہ کہتے ہیں کہ آنے والے مہینوں میں عام دھمکی آمیز اداکاروں کی صلاحیتیں کس طرح تیار ہوں گی۔
AI دفاعی فیصلے سیکیورٹی لیڈرز کا سامنا ہے۔
بروک مین کا استدلال ہے کہ اس واقعے نے ان مسائل کو بے نقاب کیا جو ایک کمپنی کے نیٹ ورک سے باہر ہیں۔ انہوں نے لکھا کہ ہر تنظیم کے اندر جمع تکنیکی قرض "اہم خامیوں کو چھپاتا ہے” جسے محافظوں کو حملہ آوروں سے پہلے تلاش کرنے اور ٹھیک کرنے کی ضرورت ہے۔
وہ کہتے ہیں کہ صنعتوں میں تیار کیے گئے AI ماڈلز تیزی سے حقیقی دنیا کے سائبر حملوں کے حصوں کو خودکار کرنے کے قابل ہو رہے ہیں، جس سے طویل عرصے سے قائم حفاظتی خلا کو تلاش کرنا اور فائدہ اٹھانا آسان ہو گیا ہے۔ یہ خلاء انسانی تحریری سافٹ ویئر میں گہرائی سے سرایت کرنے والے کیڑے سے لے کر بھولی ہوئی اجازتوں تک ہو سکتے ہیں جو برسوں سے غیر منظم ہیں۔
بروک مین کے اپنے اکاؤنٹ کے مطابق، اس فیصلے کی ٹائم لائن مختصر ہے۔ اس سال کے شروع میں، OpenAI نے اپنی سائبر صلاحیتوں کو صرف قابل اعتماد محافظوں کے لیے جاری کرنا شروع کیا نہ کہ عوام کے لیے۔ یہ محافظ کو آگے رکھنے کی دانستہ کوشش ہے۔ اس کے بعد، دیگر کمپنیوں نے صرف چند مہینوں میں سائبر صلاحیتوں کے ساتھ کھلے ماڈلز شروع کیے ہیں۔
بروک مین نے اگست کے آخر میں ریلیز ہونے والے اضافی ماڈلز کی طرف اشارہ کیا، جن کے بارے میں اس نے کہا کہ ممکنہ طور پر خطرے کے منظر نامے کو تیز کرنے کا امکان ہے۔ انٹرپرائز لیڈرز کے لیے، وسیع پیمانے پر دستیاب ماڈلز حملہ آور کی صلاحیتوں کے خلا کو ختم کرنے سے پہلے AI- فعال دفاع کو تعینات کرنے کے لیے وقت کو تیز کرتے ہیں۔
بروک مین کی بنیادی میکانکس دو کناروں والی دوڑ پر مشتمل ہے۔ انہوں نے لکھا کہ AI پر مبنی حملہ آور جلد ہی بہت سے موجودہ نظاموں میں پرانی خامیوں کو تلاش کر سکتے ہیں۔ لیکن وہی ٹیکنالوجی محافظوں کو ان نقائص کو تیزی سے تلاش کرنے، ترجیح دینے اور ان کا ازالہ کرنے کے اوزار فراہم کرتی ہے۔
بروک مین سیکیورٹی کو بلی اور چوہے کے کھیل کے طور پر بیان کرتا ہے، یہ دلیل دیتے ہوئے کہ AI بنیادی معاشیات کو اس طرح بدل سکتا ہے جو محافظوں کے حق میں ہو۔ OpenAI نے کہا کہ اس نے اپنے ماڈلز کو خاص طور پر زیادہ محفوظ کوڈ لکھنے کی تربیت دینا شروع کی۔ الگ سے، کمپنی اپنے ماڈل کی ریاضیاتی ثبوت کی طرف اشارہ کرتی ہے۔ ان کا کہنا ہے کہ اس صلاحیت کا اطلاق باضابطہ طور پر سافٹ ویئر سیکیورٹی کی تصدیق کے لیے اس طرح کیا جا سکتا ہے کہ انسانی جائزہ لینے والوں کے لیے پیمانے پر حاصل کرنا مشکل ثابت ہوا ہے۔
بروک مین کی ذاتی ویب سائٹ کے لیے ٹیسٹ کیس
بروک مین ایک ذاتی مثال دیتا ہے کہ عملی طور پر تیز ردعمل کیسا لگتا ہے۔ واقعے کے بعد، اس نے ChatGPT ورک سے کہا، جو عوامی طور پر دستیاب GPT-5.6 سول کو چلاتا ہے، اپنی ذاتی سائٹ gregbrockman.com کی سیکیورٹی کا جائزہ لینے کے لیے۔ اس نے اسے AWS پر میزبانی کی گئی ایک سادہ جامد سائٹ کے طور پر بیان کیا، جس میں Cloudflare سامنے کے دروازے کے طور پر کام کر رہا ہے، اور کہا کہ وہ توقع کرتا ہے کہ کمزوریوں کے لیے سطح کا رقبہ محدود رہے گا۔
تشخیص میں تقریباً 15 منٹ لگے اور 13 مسائل کا انکشاف ہوا۔ بروک مین کا کہنا ہے کہ بہت سی کمزوریاں اپنے آپ سے فائدہ اٹھانے کے قابل نہیں ہوسکتی ہیں، لیکن آپ تصور کر سکتے ہیں کہ انہیں دیگر خطرات کے ساتھ جکڑے ہوئے ہیں۔ ٹول نے پایا کہ حملہ آوروں کو اس کے ایڈریس سے جعلی ای میلز سے روکنے کے لیے اس کے DNS ریکارڈز کو ترتیب نہیں دیا گیا تھا۔ اس کی سائٹ jQuery کا ایک غیر محفوظ ورژن چلا رہی تھی، اور Cloudflare غیر خفیہ کردہ HTTP پر درخواستیں AWS کو بھیج رہا تھا۔
اس کے بعد اس نے ChatGPT ورک سے اس مسئلے کو حل کرنے کے لیے کہا، جسے مکمل ہونے میں تقریباً ایک گھنٹہ لگا۔ اس ٹول نے آپ کے براؤزر میں Cloudflare کنٹرول پینل کو کھول کر اور DNS، TLS اور اعلی درجے کی حفاظتی ترتیبات سے گزر کر کام کیا۔ ہم نے سائٹ سے jQuery کو مکمل طور پر ہٹا دیا، سائٹ کو AWS سے Cloudflare Pages پر منتقل کیا، اور DMARC کا مرحلہ وار رول آؤٹ شروع کیا۔
بروک مین کا کہنا ہے کہ یہ موجودہ ماڈل کا ایک چھوٹے پیمانے پر مظاہرہ ہے جو سائبر سرپرست کے طور پر کام کرتا ہے، کنفیگریشن کے مسائل کی ایک لمبی دم کو تلاش کرنے کے قابل ہے جن کو حل کرنے کے لیے انسانوں کے پاس وقت یا مخصوص مہارت نہیں ہوسکتی ہے، اور پھر مناسب طریقے سے طے شدہ رول آؤٹس کے ذریعے اصلاحات کا اطلاق ہوتا ہے۔
اوپن اے آئی نے اپنے دفاع کا دوبارہ تصور کیسے کیا۔
بروک مین نے لکھا کہ Hugging Face واقعہ نے انکشاف کیا کہ OpenAI نے اپنے AI ماڈلز کی حقیقی دنیا کی سائبر صلاحیتوں کو کم سمجھا، جس کی وجہ سے کمپنی اپنی حفاظت کی ضروریات کو مضبوط بناتی ہے اور اپنی موجودہ حفاظتی تحقیق اور داخلی سلامتی کے کام میں فوری اضافہ کرتی ہے۔ وہ داخلی سرمایہ کاری کے چار شعبے متعین کرتا ہے جو اپنی سفارشات دیگر تنظیموں کو بتاتا ہے:
پہلا اپنا کوڈ محفوظ کرنے کے لیے OpenAI کے اپنے ماڈلز کا استعمال کرنا ہے۔ سیکیورٹی پلگ انز کے ساتھ، کوڈیکس کوڈ میں تبدیلیوں کی تصدیق کرتا ہے اور تعیناتی سے پہلے کمزوریوں کی نشاندہی کرتا ہے۔ بروک مین واضح طور پر کہتا ہے کہ مقصد زیادہ نتائج پیدا کرنا نہیں ہے جس کے لیے انسانی تصدیق کی ضرورت ہے۔ مقصد یہ ہے کہ حقیقی کمزوریوں کو ان کے جاری ہونے سے پہلے پکڑ لیا جائے اور کسی مسئلے کو دریافت کرنے اور اسے حل کرنے کے درمیان وقت کو کم کیا جائے۔ اوپن اے آئی کا مقصد نئے لکھے ہوئے کوڈ سے سافٹ ویئر کی کچھ قسم کی کمزوریوں کو ختم کرنا ہے۔
دوسرا اصول یہ ہے کہ اپنے بنیادی ڈھانچے کا مسلسل دفاع کرنے کے لیے ماڈلز کا استعمال کریں۔ بروک مین کا کہنا ہے کہ اوپن اے آئی کے زیادہ تر ابتدائی حفاظتی انتباہات اب انسانی مداخلت سے پہلے اے آئی سسٹمز کے ذریعہ آزمائے جاتے ہیں، محافظوں کے کام کا بوجھ کم کرتے ہیں اور ردعمل کے اوقات کو بہتر بناتے ہیں۔ مشین کی رفتار سے سیکیورٹی کے مسائل کا پتہ لگانے اور ان کا جواب دینے کے بیان کردہ ہدف کے ساتھ، کمپنی اس کھوج کو محدود خودکار ردعمل سے جوڑ رہی ہے جبکہ سب سے زیادہ اثر انگیز فیصلوں کے لیے انسانوں کو جوابدہ ٹھہرا رہی ہے۔
تیسرا، اوپن اے آئی اپنے ماڈلز کا استعمال ممکنہ حملے کے ویکٹرز کی مسلسل گنتی اور تفتیش کے لیے کرتا ہے، کمزوریوں، غلط کنفیگریشنز، حد سے زیادہ مراعات یافتہ شناختوں، اور غیر ارادی اعتماد کی حدود کو تلاش کرتا ہے۔ یہ کمپنی کی حفاظتی تبدیلی کی جاری تشخیص کی حمایت کرتا ہے، ایک ایسی پراپرٹی جس کے بارے میں بروک مین کا خیال ہے کہ اس کی مصنوعات اور بنیادی ڈھانچے میں اسے برقرار رکھا جانا چاہیے۔
چوتھا ستون بڑے پیمانے پر بنیادی اصولوں میں سرمایہ کاری کر رہا ہے: سیکیورٹی فن تعمیر، دفاع میں گہرائی، اور کم سے کم استحقاق۔ بیان کردہ ڈیزائن کا ہدف ایک ایسا نظام ہے جس کے لیے تباہی کے واقع ہونے سے پہلے ایک ساتھ ناکام ہونے کے لیے متعدد آزاد کنٹرول آلات کی ضرورت ہوتی ہے۔ نیٹ ورک تنہائی، کام کا بوجھ سخت، نگرانی، پیچنگ اور تعیناتی کے طریقے اب بھی اس بنیادی لائن کا حصہ ہیں، اور بروک مین نے کہا کہ یہ اور زیادہ اہم ہو جائیں گے کیونکہ دونوں طرف AI کی صلاحیتوں میں بہتری آئے گی۔
بروک مین انٹرپرائز سیکیورٹی ٹیموں کو بتاتا ہے کہ انہیں اب کیا کرنے کی ضرورت ہے۔
بروک مین سیکیورٹی ٹیموں کے لیے کارروائیوں کی فہرست پیش کرتا ہے جو مجموعی طور پر پروگرام کو دوبارہ ڈیزائن کرنے کے بجائے رفتار کے ارد گرد مرکوز ہے۔ وہ تنظیمی خریداری کو محفوظ بنانے اور فرضی مشقیں کرنے کی تجویز کرتا ہے تاکہ یہ ماڈل بنایا جا سکے کہ اس طرح کا حملہ کسی خاص تنظیم میں کیسے ہو سکتا ہے۔ کمپنی بھر میں رول آؤٹ کا انتظار کرنے کے بجائے، وہ سب سے زیادہ ترجیحی نظام سے شروع کرنے اور کوڈ بیس اور انفراسٹرکچر کنفیگریشن تک مجاز رسائی کے ساتھ کوڈیکس یا کوڈیکس سیکیورٹی پلگ ان جیسے ایجنٹ ٹولز کے ساتھ سیکیورٹی ٹیموں کو فراہم کرنے کا مشورہ دیتا ہے۔
وہ تجویز کرتا ہے کہ وہ ان ایجنٹوں کو جامد تجزیہ، سیکورٹی فوکسڈ کوڈ ریویو، کمزوری کے مختلف تجزیہ، اور سافٹ ویئر سپلائی چین کے خطرات سے نمٹنے کے لیے کمیونٹی کی معاونت کی مہارتوں سے لیس کریں، اور پھر موجودہ آرکیٹیکچرز اور خطرے کے ماڈلز کے ارد گرد تنظیم کے لیے مخصوص مہارتیں تیار کریں۔ تنظیموں کو پہلے اپنی انٹرنیٹ کا سامنا کرنے والی خدمات، تصدیق کے بہاؤ، کوڈ کے طور پر بنیادی ڈھانچے، اور حساس ڈیٹا کو سنبھالنے والے سسٹمز کا جائزہ لینا چاہیے۔ اس کے بعد ٹیم کو سکینر آؤٹ پٹ کے موجودہ بیک لاگ، انحصار کی وارننگز، اور بگ باؤنٹی رپورٹس کا جائزہ لینا چاہیے تاکہ ایجنٹوں سے استحصالی مسائل اور شور کے درمیان فرق کرنے کو کہا جا سکے۔
بروک مین ایجنٹ پر مبنی جائزوں کو براہ راست آپ کی ڈیولپمنٹ پائپ لائن میں سرایت کرنے کی بھی سفارش کرتا ہے تاکہ کوڈ کے ضم ہونے سے پہلے تصدیق کی غلطیوں، ایکسیس کنٹرول بائی پاسز، بے نقاب اسناد، اور غیر محفوظ انحصار کی جانچ کی جا سکے۔ تصدیق شدہ مسائل کے لیے، ایجنٹ پیچ بناتے ہیں، ریگریشن ٹیسٹ لکھتے ہیں، اور اس بات کو یقینی بناتے ہیں کہ کمزوری اب دوبارہ پیدا کرنے کے قابل نہیں ہے، جبکہ نتیجے میں ہونے والی تبدیلیوں کا انسانی جائزہ بھی پیش کرتے ہیں۔
جب آٹومیشن کی بات آتی ہے، تو بروک مین فوری طور پر خود مختار سیکیورٹی آپریشنز سینٹر بنانے کی کوشش کرنے کے بجائے بتدریج راستے کا مشورہ دیتے ہیں۔ تنظیموں کو ایک ہی ذخیرہ کے صرف پڑھنے کے اسکینوں کے ساتھ شروع کرنا چاہئے، مشاورتی پل کی درخواست کے اسکینوں کی طرف جانا چاہئے، پھر اصل وقت کے الرٹ ٹرائیج کو انجام دینا چاہئے، اور صرف بعد میں مختصر طور پر بیان کردہ جھوٹے مثبتات کو خودکار طور پر ختم کرنا چاہئے۔ انسانوں کو ہر فیصلہ اس وقت تک کرنا چاہیے جب تک کہ وہ اس ترتیب کے ذریعے اعتماد پیدا نہ کر لیں۔
وہ یہ بھی بتاتا ہے کہ تنظیموں کو GPT-Daybreak-Blue کو دفاعی کارروائیوں کے لیے استعمال کرنے کی منظوری کے لیے سائبر کے لیے ٹرسٹڈ ایکسیس پر درخواست کرنی چاہیے، بشمول واقعہ کے ردعمل، پتہ لگانے والی انجینئرنگ، اور مالویئر تجزیہ۔ بروک مین کسی حقیقی واقعے سے مسائل پیدا کرنے سے پہلے لاگ اور ٹیلی میٹری کے افعال کی مشق کرنے کی سفارش کرتا ہے۔
بروک مین نے یہ کہتے ہوئے نتیجہ اخذ کیا کہ کوئی بھی کمپنی اکیلے اس مسئلے کو حل نہیں کر سکتی اور AI لیبز، سیکورٹی وینڈرز، انٹرپرائزز، اور دیکھ بھال کرنے والوں سے تصدیق شدہ نتائج، اصلاحات، اور پلے بکس کا اشتراک کرنے کے لیے کال کر رہی ہے تاکہ ایک تنظیم کی دریافتیں وسیع تر ماحولیاتی نظام کو مضبوط کر سکیں۔ وہ بتاتے ہیں کہ محافظ کی کھڑکی اس وقت کھلی ہے، جس سے تنظیموں کو اگست کے آخر میں متوقع مزید کھلے ماڈل سے پہلے حملہ آور کی صلاحیتوں کے ساتھ رفتار برقرار رکھنے کے لیے آنے والے مہینوں میں اپنے حفاظتی پروگراموں کو خودکار بنانے کی ضرورت ہے۔
حوالہ: Alvys نے کارگو TMS ورک فلو کے لیے AI ایجنٹ کا آغاز کیا۔
صنعت کے رہنماؤں سے AI اور بڑے ڈیٹا کے بارے میں مزید جاننا چاہتے ہیں؟ ایمسٹرڈیم، کیلیفورنیا اور لندن میں ہونے والے AI اور بگ ڈیٹا ایکسپو کو دیکھیں۔ جامع ایونٹ TechEx کا حصہ ہے اور اس کا انعقاد سائبرسیکیوریٹی اور کلاؤڈ ایکسپو سمیت دیگر اہم ٹیکنالوجی ایونٹس کے ساتھ کیا جاتا ہے۔ مزید معلومات کے لیے یہاں کلک کریں۔
AI News آپ کے لیے TechForge Media لایا ہے۔ دیگر آنے والے انٹرپرائز ٹیکنالوجی ایونٹس اور ویبینرز کو یہاں دریافت کریں۔