एक हैकर ने एआई एजेंटों से हैकिंग करवाई, और वे 100 से ज़्यादा कंपनियों में घुस गए

एक साइबर सुरक्षा शोधकर्ता पिछले दो हफ्तों से एक हैकर को 100 से ज़्यादा कंपनियों की वेबसाइटों में घुसते हुए देख रहा था, और हैकर ने खुद लगभग कोई काम नहीं किया। सेंध का काम एआई एजेंटों ने किया, जो घंटों तक अपने आप काम करते रहे, रॉयटर्स ने सोमवार को बताया।

पीड़ितों में कृषि उपकरण बनाने वाली डियर, घरेलू उपकरण कंपनी शार्कनिंजा और इंजन बनाने वाली कमिंस शामिल थीं, रॉयटर्स ने कहा।

खुले प्लेटफॉर्म से देखी गई कार्रवाई

सुरक्षा कंपनी नोरफोर्ज के प्रमुख थ्रेट शोधकर्ता स्नोर्रे फागरलैंड को यह अभियान तब मिला जब वह केयर्न की खुली प्रतियाँ खोज रहे थे। केयर्न एक ओपन सोर्स एआई समस्या समाधान प्लेटफॉर्म है जो हैकरों में लोकप्रिय हो गया है। 2 अक्टूबर से उन्हें केयर्न की करीब दो दर्जन प्रतियाँ गलत कामों में इस्तेमाल होती मिलीं, जिससे वह चुपचाप देख सके कि अपराधी अपने एआई उपकरण कैसे छोड़ रहे हैं, रॉयटर्स ने बताया।

फागरलैंड ने अपने निष्कर्ष सोमवार को प्रकाशन से पहले रॉयटर्स को दी गई एक रिपोर्ट में साझा किए। उनकी रिपोर्ट में पीड़ितों के नाम नहीं थे। रॉयटर्स ने कहा कि उसने हैकर की केयर्न गतिविधि की खुद समीक्षा करके डियर, शार्कनिंजा और कमिंस की पहचान की।

"अब यह एक नई दुनिया है," फागरलैंड ने रॉयटर्स से कहा। उन्होंने कहा कि यह मामला असली सबूत है कि आज बिकने वाले एआई एजेंट बिना इंसानी मार्गदर्शन के शुरू से अंत तक जटिल सेंध लगा सकते हैं, जो अकेले अपराधी की क्षमता में बड़ी छलांग है।

छोटे आदेश, लंबे हमले

द क्रिप्टोनोमिस्ट के अनुसार अभियान 25 सितंबर को शुरू हुआ, जिसने नोरफोर्ज रिपोर्ट पर भी खबर दी थी। हैकर ने एजेंटों को 100 से कम चीनी अक्षरों में आदेश दिए, जिनमें उसकी पसंदीदा सेंध की तरकीबें बताई गई थीं। इसके बाद एजेंटों ने घंटों कमज़ोरियाँ खोजीं और उनका फायदा उठाने की कोशिश की।

पिछले हफ्ते के अंत तक एजेंट 1,200 से ज़्यादा वेबसाइटों को निशाना बना चुके थे, जिनमें ज़्यादातर अमेरिका, कनाडा, ऑस्ट्रेलिया और जापान की ऑनलाइन दुकानें थीं, और 100 से ज़्यादा कंपनियों की साइटों में घुस चुके थे। एक सफल सेंध में करीब 23 घंटे की खंगाल लगी और एआई टोकन पर करीब 50 डॉलर खर्च हुए। फागरलैंड ने पूरे अभियान का खर्च करीब 5,000 डॉलर आँका और कहा कि इसमें चीन के डीपसीक और एंथ्रोपिक के क्लॉड कोड के मॉडल मिले हुए लगते थे, द क्रिप्टोनोमिस्ट ने बताया।

एक मामले में एजेंटों को एक बड़ी कंपनी के सार्वजनिक ऐप में कोई कमज़ोरी नहीं मिली। उन्होंने जुड़े बुनियादी ढांचे के रिकॉर्ड खोजे, इंटरनेट पर खुला एक कंट्रोल पैनल पाया और उसके डेटा संभालने के तरीके में एक बारीक खामी देखी। घंटों की कोशिश के बाद एजेंटों ने उसी खामी का इस्तेमाल करके सर्वर से गलत कमांड चलवा लिए, द क्रिप्टोनोमिस्ट ने बताया।

रॉयटर्स ने कहा कि वह यह तय नहीं कर सका कि सेंधों में कितना डेटा लिया गया, अगर लिया भी गया हो।

कंपनियों का जवाब

डियर ने कहा कि उसने ज़रूरी सुधार के कदम उठाए हैं और संवेदनशील जानकारी तक पहुँच का कोई संकेत नहीं है। शार्कनिंजा ने कहा कि सेंध एक अलग वेबसाइट पर हुई जिसमें सिर्फ उत्पाद सहायता जानकारी थी और उसने खतरे को काबू में कर लिया है। कमिंस ने कहा कि वह अपने एक तीसरे पक्ष के विक्रेता द्वारा चलाई जा रही वेबसाइट पर संभावित हमले की रिपोर्ट की जाँच कर रही है। दो छोटे व्यवसायों ने भी सेंध की पुष्टि की, द क्रिप्टोनोमिस्ट ने बताया।

फागरलैंड ने कहा कि चीनी बोलने वाला हैकर उनके देखे गए कई अपराधियों में सबसे सक्रिय था। एक ने क्रेडिट कार्ड डेटा चुराया। दूसरे ने एक क्रिप्टोकरेंसी एक्सचेंज को लूटने के लिए एआई एजेंट भेजने की कोशिश की, रॉयटर्स ने बताया।

केयर्न के लेखक, जो le1xia0 नाम से पोस्ट करते हैं, ने एक्स पर लिखा कि प्लेटफॉर्म हैकिंग हमलों के लिए नहीं बनाया गया था और हानिकारक इस्तेमाल उनका इरादा नहीं था, द क्रिप्टोनोमिस्ट ने बताया।

यह मामला इस साल की पहले की चेतावनियों के बाद आया है। अगस्त में गैम्बिट सिक्योरिटी को रूसी बोलने वाले फिरौती माँगने वाले मिले जो सात संगठनों में सेंध के लिए कर्सर एआई का इस्तेमाल कर रहे थे। सितंबर में उसने एक एजेंट संचालित अभियान दर्ज किया जिसने 25 कंपनियों को निशाना बनाया और कम से कम 600,000 क्रेडिट कार्ड रिकॉर्ड चुराए, द क्रिप्टोनोमिस्ट ने बताया।