৫০ ডলার খরচ করে শতাধিক প্রতিষ্ঠানের ওয়েবসাইট হ্যাক

কৃষি যন্ত্রপাতি নির্মাতা ডিয়ার, গৃহস্থালি সরঞ্জাম প্রস্তুতকারী শার্কনিনজা এবং ইঞ্জিন নির্মাতা কামিন্সসহ শতাধিক প্রতিষ্ঠানের ওয়েবসাইটে অনুপ্রবেশ করেছে চীনা ভাষায় কথা বলা এক হ্যাকার। পুরো অভিযান পরিচালনায় তিনি কৃত্রিম বুদ্ধিমত্তা বা এআইয়ের ওপর নির্ভর করেছেন। গত কয়েক সপ্তাহ ধরে এই কর্মকাণ্ড পর্যবেক্ষণ করেছেন একজন সাইবার নিরাপত্তা গবেষক।

গবেষকের ধারণা, এআইকে কাজে লাগিয়ে এসব ওয়েবসাইটে অনুপ্রবেশের জন্য হ্যাকারটির ব্যয় হয়েছে প্রায় ৫ হাজার ডলার। সে হিসাবে প্রতিটি সফল অনুপ্রবেশের পেছনে খরচ পড়েছে মাত্র ৫০ ডলার।

সাইবার নিরাপত্তা প্রতিষ্ঠান নরফোর্জের প্রধান হুমকি গবেষক স্নোরে ফাগারল্যান্ড জানান, অপরাধী হ্যাকিংয়ের প্রায় পুরো প্রক্রিয়াই এআইয়ের হাতে ছেড়ে দিয়েছিলেন। এআই এজেন্টগুলোকে এমনভাবে কাজে লাগানো হয়েছিল, যাতে সেগুলো ঘণ্টার পর ঘণ্টা স্বয়ংক্রিয়ভাবে বিভিন্ন ওয়েবসাইটের দুর্বলতা খুঁজে বের করে সেগুলোতে প্রবেশের চেষ্টা চালাতে পারে।

সোমবার প্রকাশের আগে বার্তা সংস্থা রয়টার্সকে দেওয়া এক প্রতিবেদনে ফাগারল্যান্ড জানান, তিনি ইন্টারনেটে অনিচ্ছাকৃতভাবে উন্মুক্ত থাকা ‘কেয়ার্ন’ নামের একটি মুক্ত উৎসের এআই প্ল্যাটফর্মের সংস্করণগুলো খুঁজছিলেন। সমস্যা সমাধানের জন্য তৈরি এই প্ল্যাটফর্মটি হ্যাকারদের মধ্যেও জনপ্রিয়।

ফাগারল্যান্ডের ভাষ্য অনুযায়ী, গত ২ অক্টোবর থেকে তিনি কেয়ার্নের ক্ষতিকর ব্যবহারের প্রায় ২৪টি ঘটনা শনাক্ত করেছেন। এসব ক্ষেত্রে সাইবার অপরাধীরা বিভিন্ন ওয়েবসাইটের বিরুদ্ধে এআই সরঞ্জাম ব্যবহার করছিল। প্ল্যাটফর্মটির কার্যক্রম পর্যবেক্ষণ করতে গিয়ে তিনি অপরাধীদের কর্মকাণ্ড গোপনে দেখার সুযোগ পান।

প্রতিবেদনে চীনা ভাষাভাষী হ্যাকারটির কথা উল্লেখ করা হলেও আক্রান্ত প্রতিষ্ঠানগুলোর নাম প্রকাশ করা হয়নি। তবে রয়টার্স কেয়ার্ন ব্যবহারের সংশ্লিষ্ট কার্যক্রমগুলো আলাদাভাবে পর্যালোচনা করে কয়েকটি প্রতিষ্ঠানের পরিচয় নিশ্চিত করেছে।

স্বয়ংক্রিয় এআই সরঞ্জামের সক্ষমতা নিয়ে বিশ্বজুড়ে উদ্বেগের মধ্যে এই ঘটনা প্রযুক্তিটির ঝুঁকির বাস্তব উদাহরণ হয়ে উঠেছে। এতে দেখা গেছে, বাজারে সহজলভ্য এআই এজেন্ট মানুষের সরাসরি হস্তক্ষেপ ছাড়াই জটিল কাজের একাধিক ধাপ সম্পন্ন করতে পারে। ফলে সাইবার অপরাধীদের কার্যক্ষমতা অনেক বেড়ে যাওয়ার আশঙ্কা তৈরি হয়েছে।

ফাগারল্যান্ড বলেন, ‘আমরা এখন এক নতুন পৃথিবীতে বাস করছি।’

তবে এই অনুপ্রবেশের ঘটনায় ঠিক কতটা তথ্য অননুমোদিতভাবে চুরি হয়েছে, তা নিশ্চিত করতে পারেনি রয়টার্স।

ডিয়ার জানিয়েছে, ঘটনার পর তারা প্রয়োজনীয় প্রতিকারমূলক ব্যবস্থা নিয়েছে। তবে সংবেদনশীল তথ্য চুরি হওয়ার কোনো ইঙ্গিত তারা পায়নি।

শার্কনিনজা বলেছে, আক্রান্ত ওয়েবসাইটটি তাদের মূল ওয়েবসাইট থেকে আলাদা ছিল। সেখানে কেবল পণ্যসংক্রান্ত সহায়তামূলক তথ্য রাখা হতো। প্রতিষ্ঠানটি জানিয়েছে, হুমকিটি নিয়ন্ত্রণে আনা হয়েছে।

অন্যদিকে, কামিন্স জানিয়েছে, তাদের তৃতীয় পক্ষের এক সরবরাহকারীর পরিচালিত ওয়েবসাইটে সম্ভাব্য সাইবার হামলার প্রতিবেদন তারা খতিয়ে দেখছে।

এ ছাড়া আরও দুটি ছোট প্রতিষ্ঠান সাইবার হামলার শিকার হওয়ার কথা স্বীকার করেছে। কেয়ার্নের তথ্যভান্ডারে তালিকাভুক্ত অন্য প্রতিষ্ঠানগুলোর সঙ্গে যোগাযোগ করা হলেও তাদের কাছ থেকে কোনো সাড়া পাওয়া যায়নি।

সংক্ষিপ্ত নির্দেশনায় বড় সাইবার হামলা

ফাগারল্যান্ডের পর্যবেক্ষণে উঠে এসেছে, এআই ব্যবহারকারী অন্য সাইবার অপরাধীরাও বড় ধরনের ক্ষতিকর কর্মকাণ্ড চালাচ্ছে। তাদের একজন বিপুল পরিমাণ ক্রেডিট কার্ডের তথ্য চুরি করেছে। আরেকজন এআই এজেন্ট ব্যবহার করে একটি ক্রিপ্টোকারেন্সি বিনিময় প্ল্যাটফর্ম থেকে অর্থ হাতিয়ে নেওয়ার চেষ্টা করেছে।

তবে সবচেয়ে বেশি সক্রিয় ছিল চীনা ভাষাভাষী হ্যাকারটি। গত ২৫ সেপ্টেম্বর থেকে তিনি এআই এজেন্টের দলকে যুক্তরাষ্ট্র, কানাডা, অস্ট্রেলিয়া ও জাপানের বিভিন্ন ই-কমার্স ওয়েবসাইটের বিরুদ্ধে ব্যবহার করেন।

হ্যাকারের নির্দেশনাগুলো ছিল অত্যন্ত সংক্ষিপ্ত। ১০০টিরও কম চীনা অক্ষরের মধ্যে তিনি অনুপ্রবেশের পছন্দের কৌশলগুলো উল্লেখ করেছিলেন। গত সপ্তাহের শেষ নাগাদ তাঁর এআই এজেন্টগুলো ১ হাজার ২০০টিরও বেশি ওয়েবসাইটে প্রবেশের চেষ্টা চালায়।

সফলভাবে কোনো ওয়েবসাইটে অনুপ্রবেশের জন্য দুর্বলতা খুঁজতে গড়ে প্রায় ২৩ ঘণ্টা সময় ব্যয় করতে হয়েছে। ফাগারল্যান্ডের ধারণা, এ অভিযানে চীনের ডিপসিক এবং অ্যানথ্রোপিকের ‘ক্লড কোড’ প্রযুক্তির সমন্বিত ব্যবহার হয়ে থাকতে পারে। সব মিলিয়ে ব্যয় হয়েছে আনুমানিক ৫ হাজার ডলার। অর্থাৎ প্রতিটি সফল অনুপ্রবেশে গড় খরচ প্রায় ৫০ ডলার।

প্রায় তিন দশক ধরে সাইবার নিরাপত্তা খাতে কাজ করছেন ফাগারল্যান্ড। তাঁর মতে, আক্রান্ত প্রতিষ্ঠানগুলোর ব্যবস্থায় ঢোকার জন্য এআই এজেন্টগুলো যেসব কৌশল প্রয়োগ করেছে, তা ছিল উল্লেখযোগ্য।

একটি ঘটনায় বড় একটি প্রতিষ্ঠানের ইন্টারনেট-উন্মুক্ত অ্যাপ্লিকেশনে দুর্বলতা খুঁজে পেতে ব্যর্থ হয় এআই এজেন্টগুলো। পরে তারা ডিজিটাল নথি বিশ্লেষণ করে প্রতিষ্ঠানটির সংশ্লিষ্ট অবকাঠামোর সন্ধান পায়। এরপর একটি উন্মুক্ত নিয়ন্ত্রণ প্যানেল শনাক্ত করে এবং সেখানে তথ্য প্রক্রিয়াকরণের পদ্ধতিতে সূক্ষ্ম একটি ত্রুটি খুঁজে বের করে।

দীর্ঘ সময় ধরে বিভিন্ন পদ্ধতি প্রয়োগের পর এজেন্টগুলো ওই ত্রুটিকে কাজে লাগিয়ে সার্ভারকে বিভ্রান্ত করতে সক্ষম হয়। এর ফলে সার্ভার দিয়ে ক্ষতিকর নির্দেশনা কার্যকর করানো সম্ভব হয়।

ফাগারল্যান্ড বলেন, ‘এ ধরনের সমাধান বের করা মোটেও সহজ কাজ নয়। এটি কোনো সাধারণ শৌখিন হ্যাকারের কাজ হতে পারে না।’

সামাজিক যোগাযোগমাধ্যম এক্সে কেয়ার্ন কর্তৃপক্ষ জানিয়েছে, তাদের প্ল্যাটফর্মটি একটি উদ্ভাবনী বহু-এজেন্ট কাঠামো, যা হ্যাকিংয়ের উদ্দেশ্যে তৈরি করা হয়নি। প্ল্যাটফর্মটি ক্ষতিকর সাইবার হামলায় ব্যবহার করা হলে তা তাদের উদ্দেশ্যের পরিপন্থী।

মানুষের তদারকি ছাড়াই কাজ করে এআই এজেন্ট

স্বয়ংক্রিয়ভাবে নিরাপত্তার দুর্বলতা শনাক্ত করা, কম্পিউটার ব্যবস্থায় অনুপ্রবেশ এবং তথ্য চুরির কাজে এআই এজেন্টের ব্যবহার বিশ্বজুড়ে উদ্বেগ বাড়াচ্ছে। বড় এআই প্রতিষ্ঠানগুলোর ব্যবস্থাপনা থেকে অনিয়ন্ত্রিতভাবে বেরিয়ে আসা কিছু এআই এজেন্ট কম্পিউটার গবেষণাগারের সীমা ছাড়িয়ে সরকারি ওয়েবসাইটে প্রবেশ করেছে এবং অনুমতি ছাড়া সামাজিক প্রকৌশলভিত্তিক কর্মকাণ্ডেও জড়িয়েছে।

সাম্প্রতিক সময়ে দক্ষিণ কোরিয়া ও জাপানে আলোচিত কয়েকটি সাইবার হামলার পেছনেও এআই ব্যবহারকারী অপরাধীদের সংশ্লিষ্টতা রয়েছে বলে ধারণা করা হচ্ছে।

সাইবার অপরাধীদের মধ্যে এআই এজেন্ট ক্রমেই গুরুত্বপূর্ণ হাতিয়ার হয়ে উঠছে। গত আগস্টে ইসরায়েলি প্রতিষ্ঠান গ্যামবিট সিকিউরিটি জানায়, রুশ ভাষাভাষী চাঁদাবাজেরা স্পেসএক্সের ‘কার্সার এআই’ সরঞ্জাম ব্যবহার করে সাতটি প্রতিষ্ঠানের ব্যবস্থায় অনুপ্রবেশ করেছিল।

পরের মাসে গ্যামবিট এআই এজেন্ট পরিচালিত আরেকটি অপরাধমূলক কর্মকাণ্ডের নথি প্রকাশ করে। ওই ঘটনায় ২৫টি প্রতিষ্ঠানের নিরাপত্তাব্যবস্থা লঙ্ঘিত হয় এবং অন্তত ৬ লাখ ক্রেডিট কার্ডের তথ্য চুরি করা হয়।

এদিকে, গত সপ্তাহে সাইবার গোয়েন্দা প্রতিষ্ঠান বিটসাইট জানিয়েছে, অপরাধীদের বিভিন্ন অনলাইন ফোরামে স্বয়ংক্রিয় এআই এজেন্ট ব্যবহারের কৌশল নিয়ে আলোচনা উল্লেখযোগ্যভাবে বেড়েছে।

ফাগারল্যান্ড বলেন, আগে তাঁর ধারণা ছিল, হ্যাকিংয়ে ব্যবহৃত এআই এজেন্টগুলোর অন্তত কিছু পর্যায়ে মানুষের তদারকি প্রয়োজন হবে। কিন্তু সাম্প্রতিক ঘটনাগুলো থেকে স্পষ্ট, প্রযুক্তিটি ইতিমধ্যে সেই সীমা অতিক্রম করেছে।

তিনি বলেন, ‘এই ক্ষেত্রে যে উন্নয়ন ঘটেছে, তা সত্যিই বিস্ময়কর।’

সূত্র: রয়টার্স