Claude AI बनाने वाली कंपनी Anthropic के कुछ आंतरिक सिस्टम तक एक साइबर सुरक्षा स्टार्टअप Cathedral के शोधकर्ताओं ने 12 घंटे से भी कम समय में पहुंचने का रास्ता खोज लिया। इस दौरान कर्मचारियों की जानकारी, सैलरी और नौकरी के प्रस्तावों से जुड़े विवरण, मीटिंग ट्रांसक्रिप्ट और कंपनी के अंदरूनी मैसेज तक पहुंच संभव हुई। यह जांच Anthropic के उस कार्यक्रम के तहत की गई थी, जिसमें बाहरी शोधकर्ताओं को कंपनी के सिस्टम की सुरक्षा खामियां खोजने के लिए आमंत्रित किया जाता है। 

AI स्टार्टअप Cathedral ने कैसे खोजीं सुरक्षा खामियां?

The Washington Post की समीक्षा की गई Cathedral की एक ड्राफ्ट रिपोर्ट के मुताबिक, स्टार्टअप के AI एजेंट्स ने Anthropic के प्रशासनिक और बिक्री संबंधी कामों में इस्तेमाल होने वाले थर्ड-पार्टी बिजनेस सॉफ्टवेयर की कमजोरियों का फायदा उठाकर आंतरिक डेटा तक पहुंचने के रास्ते खोजे।

इन कमजोरियों के जरिए मीटिंग ट्रांसक्रिप्ट, कर्मचारियों की सैलरी और नौकरी के प्रस्तावों से जुड़ी जानकारी तथा Slack पर उन्नत AI मॉडल को लेकर हुई आंतरिक चर्चाओं तक पहुंच संभव हुई। रिपोर्ट के अनुसार, शोधकर्ताओं को इस तरह की पहुंच हासिल करने में 12 घंटे से भी कम समय लगा।

Cathedral ने अपनी जांच के निष्कर्ष Anthropic को बताए। हालांकि, Anthropic ने कहा कि शोधकर्ताओं ने उसके सुरक्षा परीक्षण कार्यक्रम के सभी नियमों का पूरी तरह पालन नहीं किया था। कंपनी ने यह भी कहा कि शोधकर्ताओं की गतिविधियों पर उसके निगरानी तंत्र ने रिपोर्ट मिलने से पहले ही ध्यान देना शुरू कर दिया था। 

Anthropic ने किन जानकारियों तक पहुंच की पुष्टि की?

Anthropic ने माना कि शोधकर्ताओं की पहुंच उसके बिक्री, मानव संसाधन और आईटी से जुड़े कुछ सीमित सिस्टम तक हुई थी। कंपनी के मुताबिक, इसमें कुछ ग्राहकों और साझेदारों की व्यावसायिक संपर्क जानकारी तथा बुनियादी यूजर अकाउंट रिकॉर्ड शामिल थे।

हालांकि, कंपनी ने स्पष्ट किया कि शोधकर्ता Claude AI के साथ ग्राहकों की बातचीत, AI द्वारा दिए गए जवाब, उसके सोर्स कोड या मॉडल वेट्स तक नहीं पहुंच सके। मॉडल वेट्स वे संख्यात्मक पैरामीटर होते हैं, जिनका इस्तेमाल AI मॉडल जानकारी संसाधित करने और जवाब तैयार करने के लिए करता है।

Anthropic ने कहा कि उसने सामने आई कमजोरियों के जरिए पहुंच के रास्ते बंद कर दिए और संबंधित सॉफ्टवेयर को तब तक निष्क्रिय रखा, जब तक उसके विक्रेताओं ने कमजोरियों को ठीक किए जाने की पुष्टि नहीं कर दी। कंपनी के अनुसार, उसे इस बात का कोई सबूत नहीं मिला कि Cathedral के अलावा किसी दूसरे पक्ष ने भी इन कमजोरियों का फायदा उठाया था। 

Cathedral कौन है और इसका क्या काम है?

Cathedral एक साइबर सुरक्षा स्टार्टअप है, जो सरकारी एजेंसियों और कॉरपोरेट कंपनियों के लिए AI आधारित सुरक्षा उपकरण विकसित करता है। इसकी स्थापना अमेरिकी Department of Government Efficiency (DOGE) के पूर्व सदस्यों ने की थी।

The Washington Post की रिपोर्ट के मुताबिक, कंपनी ने निवेशकों से 16 करोड़ डॉलर जुटाए हैं और तीन अमेरिकी सरकारी एजेंसियों के साथ साइबर सुरक्षा से जुड़े काम के लिए अनुबंध भी किए हैं। रिपोर्ट में कंपनी का मूल्यांकन करीब 1.4 अरब डॉलर बताया गया है।

स्टार्टअप ने अपनी जांच के जरिए यह दिखाने की कोशिश की कि सामान्य कारोबारी कामों में इस्तेमाल होने वाले बाहरी सॉफ्टवेयर की कमजोरियां बड़ी तकनीकी कंपनियों के संवेदनशील सिस्टम के लिए भी जोखिम पैदा कर सकती हैं। 

AI कंपनियों की सुरक्षा पर क्यों उठे सवाल?

यह घटना इस बात को लेकर चिंता बढ़ाती है कि AI आधारित टूल्स सॉफ्टवेयर की कमजोरियां खोजने और उनका फायदा उठाने की प्रक्रिया को कितना तेज कर सकते हैं। Anthropic जैसी उन्नत AI कंपनी के सिस्टम में थर्ड-पार्टी सॉफ्टवेयर के जरिए पहुंच का रास्ता मिलना यह भी दिखाता है कि किसी संगठन की सुरक्षा केवल उसके अपने उत्पादों पर निर्भर नहीं करती।

The Washington Post की रिपोर्ट में साइबर सुरक्षा विशेषज्ञों ने बाहरी सॉफ्टवेयर और कंपनी के आंतरिक सिस्टम के बीच मौजूद सुरक्षा जोखिमों की ओर ध्यान दिलाया। ऐसी कमजोरियों के जरिए एक सीमित प्रवेश बिंदु से संवेदनशील कारोबारी जानकारी तक पहुंच संभव हो सकती है।

Anthropic ने हालांकि Cathedral के निष्कर्षों में राष्ट्रीय सुरक्षा से जुड़े जोखिमों को बढ़ा-चढ़ाकर पेश किए जाने की बात कही और सुरक्षा परीक्षण कार्यक्रम के नियमों के पालन पर भी सवाल उठाए। इसलिए इस मामले में कंपनी की पुष्टि की गई सीमित पहुंच और स्टार्टअप की रिपोर्ट में बताए गए संभावित जोखिमों के बीच अंतर करना जरूरी है। 

कंपनी ने क्या कदम उठाए?

Anthropic के मुताबिक, उसकी निगरानी प्रणाली ने Cathedral की कुछ गतिविधियों को शोधकर्ताओं की ओर से सूचना दिए जाने से पहले ही चिह्नित कर लिया था। कंपनी ने उसी दिन उनकी पहुंच बंद कर दी और संबंधित सॉफ्टवेयर की कमजोरियों को दूर करने के लिए विक्रेताओं के साथ काम किया।

कंपनी ने कहा कि उसे इस बात का कोई प्रमाण नहीं मिला कि इन कमजोरियों का इस्तेमाल Cathedral के अलावा किसी अन्य पक्ष ने किया था। फिलहाल उपलब्ध जानकारी के मुताबिक, इस घटना में ग्राहकों की Claude बातचीत, AI के जवाब या मॉडल के मूल कोड तक पहुंच नहीं हुई थी।

इस घटना ने AI कंपनियों के सामने एक अहम चुनौती रख दी है: जब AI टूल्स सुरक्षा कमजोरियां खोजने में तेजी ला रहे हैं, तब कंपनियों को अपने आंतरिक सिस्टम और बाहरी सॉफ्टवेयर के बीच सुरक्षा व्यवस्था भी उतनी ही मजबूत रखनी होगी।