গত মাসে দক্ষিণ কোরিয়ার অন্তত নয়টি ব্যাংকে সাইবার হামলা হয়েছে, আর দেশটির পুলিশ তদন্ত করছে। হামলার সঙ্গে সংশ্লিষ্ট সার্ভার ও এআই কোডিং টুলের তথ্য বিশ্লেষণ করে যুক্তরাষ্ট্রের নিরাপত্তা প্রতিষ্ঠান ক্রাউডস্ট্রাইক জানিয়েছে, হামলার সঙ্গে জড়িত থাকতে পারেন দক্ষিণ চীনের গুয়াংডং প্রদেশের ২৬ বছর বয়সী এক ব্যক্তি—চীনে তৈরি একটি এআই এজেন্ট আর অ্যানথ্রপিকের ক্লড দিয়ে লেখা কোড ব্যবহার করে।
ক্রাউডস্ট্রাইকের প্রতিবেদনমতে, হামলাকারী ব্যবহার করেছেন এআরটেক্স নামের চীনে তৈরি একটি ওপেন সোর্স পেনিট্রেশন টেস্টিং টুল। এ ধরনের টুল নেটওয়ার্কের প্রতিরক্ষা পরীক্ষা করে দুর্বলতা খুঁজে বের করে, আর নিরাপত্তা পেশাজীবীদের জন্য এগুলো সাধারণ সরঞ্জাম। এআরটেক্সের পাশাপাশি তিনি কয়েকটি লার্জ ল্যাঙ্গুয়েজ মডেলও ব্যবহার করেছেন। পরিচিত কোনো হ্যাকার গোষ্ঠীর সংশ্লিষ্টতা পাওয়া যায়নি।
ক্রাউডস্ট্রাইকের কাউন্টার অ্যাডভারসারি অপারেশনস বিভাগের জ্যেষ্ঠ ভাইস প্রেসিডেন্ট অ্যাডাম মেয়ার্স বলেছেন, ঘটনাটি দেখিয়েছে কীভাবে একজন ব্যক্তি এআই এজেন্ট ব্যবহার করে অল্প সময়ে বহু প্রতিষ্ঠানে হামলা চালাতে পারেন—আর এভাবে চালানো হামলার বিরুদ্ধে প্রচলিত করপোরেট নিরাপত্তাব্যবস্থা কতটা কার্যকর, সে প্রশ্ন তুলেছে।
আসল আবিষ্কার হলো সংখ্যাটি
ব্যাংকে হামলা আগেও হয়েছে, আবারও হবে। এখানে আলাদা হলো অন্য পাশে মানুষের সংখ্যা।
প্রতিরক্ষার ভাবনা গড়ে ওঠে আক্রমণকারীর কত সম্পদ লাগবে তা ধরে। একসঙ্গে নয়টি ব্যাংকে আঘাত করা ঐতিহাসিকভাবে মানে ছিল সংগঠিত একটি দল: দুর্বলতা খোঁজার লোক, সরঞ্জাম লেখার লোক, অনুপ্রবেশ চালানোর লোক, আর সমন্বয়ের একটি কাঠামো। এই প্রয়োজনীয়তাই ছিল একধরনের প্রতিরক্ষা, কারণ দল গড়তে সময় লাগে, দলে ঢোকা সহজ আর দায় নির্ধারণও সহজ।
এজেন্ট এর অনেকটাই সরিয়ে দেয়। অনুসন্ধান, সরঞ্জাম খাপ খাওয়ানো আর কোডের বড় অংশ অর্পণ করা যায়, ফলে একজন দক্ষ মানুষ এমন মাপে কাজ করেন, যার জন্য আগে দল লাগত। এর জন্য হামলায় নতুন কিছু থাকার দরকার নেই—একই কৌশল, বহুগুণ বেশি হারে, এমন লক্ষ্যবস্তুর বিরুদ্ধে যেগুলোর প্রতিরক্ষা সাজানো হয়েছিল ধীরগতির প্রতিপক্ষ ধরে।
আরও লক্ষণীয়, হামলাকারী যা ব্যবহার করেছেন বলে জানা গেছে: একটি ওপেন সোর্স পরীক্ষণ টুল আর বাণিজ্যিক ভাষামডেল। দুর্লভ কিছু নয়, চুরি করা কিছুও নয়।
ঢাকার ব্যাংকের জন্য এর মানে
দক্ষিণ কোরীয় ব্যাংকের তুলনায় বাংলাদেশি ব্যাংক স্পষ্টতই কম ঝুঁকিতে নয়, আর এখানে চালু থাকা একটি প্রতিরক্ষামূলক ধারণা এই ধরনের বিরুদ্ধে কাজ করা বন্ধ করে দেয়।
ছোট প্রতিষ্ঠানগুলো প্রায়ই নীরবে ভাবে, দক্ষ কোনো প্রতিপক্ষের সময় দেওয়ার মতো গুরুত্ব তাদের নেই। যুক্তিটি কখনোই স্বস্তিদায়ক ছিল না, তবে পাটিগণিতে সত্য ছিল: দক্ষ দলকে লক্ষ্যবস্তু বেছে নিতে হতো। এজেন্ট চালানো একজন ব্যক্তিকে সেভাবে বাছতে হয় না, কারণ আরেকটি লক্ষ্যবস্তু যোগ করার বাড়তি খরচ সামান্য। গুরুত্বহীন হওয়া আর সুরক্ষা দেয় না।
ব্যবহারিক করণীয়গুলো নীরস ও সুপরিচিত, আর সমস্যা সেখানেই। প্রতিটি প্রশাসনিক অ্যাকাউন্টে বহুস্তর যাচাই। এমন সময়সূচিতে প্যাচ, যার জন্য কেউ দায়বদ্ধ। এমন লগ যা সত্যিই পড়া হয়, আর এমন সতর্কতা যাতে রাত তিনটায়ও কেউ সাড়া দেন। কোনোটিই নতুন পরামর্শ নয়। বদলে যা গেছে তা হলো, অরক্ষিত একটি দুর্বলতা কত দ্রুত খুঁজে পাওয়া যাবে।
এটি আগেভাগে দেখা কঠিন কেন
এজেন্ট-চালিত অনুপ্রবেশ লগে নাটকীয় দেখায় না। দেখায় প্রচুর সাধারণ, আলাদাভাবে অনুল্লেখ্য কর্মকাণ্ড হিসেবে: ডিরেক্টরির তালিকা, যুক্তিসংগত হারে লগইনের চেষ্টা, বিদ্যমান এন্ডপয়েন্টে অনুরোধ।
মানুষ-আক্রমণকারী ধরার জন্য সাজানো শনাক্তকরণ খোঁজে কাজ করতে থাকা কারও ছাপ—ঝটকা, বিরতি, ভুল, একই ভুল অনুমানের পুনরাবৃত্তি। এজেন্ট এসব চিহ্ন কম রাখে, কারণ সে ক্লান্ত বা অধৈর্য হয় না, আর জেদের বশে ব্যর্থ পথ আবার ধরে না।
সে যা রাখে তা হলো পরিমাণ আর নিয়মিততা। বেশির ভাগ প্রতিষ্ঠানের জন্য সবচেয়ে কাজের একক পরিবর্তনটি নতুন কোনো পণ্য নয়, বরং একটি প্রশ্নের উত্তর: আগের দিনের প্রতিটি প্রশাসনিক লগইন আর প্রতিটি ব্যর্থ যাচাইয়ের তালিকা কি প্রতিদিন সকালে কেউ দেখেন? উত্তর না হলে প্রথম ফাঁকটি সেটিই, আর তালিকার বাকি সবকিছুর চেয়ে এটি বন্ধ করা সস্তা।
একই প্রযুক্তির উল্টো পিঠ—এআই ব্যবস্থার ওপর হামলা, হামলা চালানো নয়—আছে অস্ট্রেলিয়ার সরকারি পোর্টালে পৌঁছে যাওয়া ওপেনএআই এজেন্টে আর অ্যানথ্রপিক নির্বাহীর ছদ্মবেশ ধরার ঘটনায়। গুরুত্বপূর্ণ অবকাঠামোয় মডেল গেঁথে গেলে কী হয়, তা আছে পেন্টাগনের আট মাস ধরে ক্লড সরানোর ঘটনায়।
