मिथोस, वो एआई जो साइबर जोखिम को बदल रहा है: एसएंडपी ने बैंकों और कंपनियों के बारे में चिंता जताई

एल 'कृत्रिम बुद्धिमत्ता यह पहले ही हर जगह प्रवेश कर चुका है: व्यावसायिक प्रक्रियाओं में, सॉफ्टवेयर विकास में, डेटा विश्लेषण में, जोखिम प्रबंधन में। अब, हालांकि, यह साइबर सुरक्षा में भी संघर्ष का स्तर बढ़ रहा है यह अब केवल कोड लिखने, विश्लेषण को स्वचालित करने या डिजिटल सुरक्षा को मजबूत करने का एक उपकरण नहीं रह गया है, बल्कि यह साइबर हमलों के समय, पैमाने और संभावना को बदलने में सक्षम एक त्वरक भी है। यही इसका मूल तत्व है। एसएंडपी ग्लोबल रेटिंग्स की नई रिपोर्ट समर्पित करने के लिए Mythosमानवशास्त्रीय मॉडल ने एआई द्वारा संचालित साइबर जोखिम में क्वांटम छलांग पर बहस को जन्म दिया।

सवाल सिर्फ यह नहीं है कि मिथोस वास्तव में एक महत्वपूर्ण मोड़ का प्रतिनिधित्व करता है या यह पहले से चल रहे विकास का नवीनतम चरण है। एसएंडपी के अनुसार, मुख्य बात यह है कि कृत्रिम बुद्धिमत्ता पहले से ही मौजूद है। खेल के मैदान को बदलनाकमजोरियों की पहचान करने, शोषण की श्रृंखला बनाने और जटिल प्रणालियों को तेजी से लक्षित करने की क्षमता कंपनियों को साइबर सुरक्षा का मूल्यांकन, प्रबंधन और वित्तपोषण करने के लिए उपयोग किए जाने वाले मॉडलों पर पुनर्विचार करने के लिए मजबूर कर रही है।

मिथोस, वह मॉडल जिसने इस घोटाले को जन्म दिया।

मानवशास्त्रीय प्रस्तुत किया गया क्लाउड मिथोस पूर्वावलोकन प्रोजेक्ट ग्लास विंग के साथ, इस मॉडल का सीमित वितरण चुनिंदा प्रौद्योगिकी और वित्तीय भागीदारों के समूह को किया गया है, जिनमें अमेज़ॅन वेब सर्विसेज, एप्पल, सिस्को, क्राउडस्ट्राइक, गूगल, जेपी मॉर्गन चेस, माइक्रोसॉफ्ट, एनवीडिया और पालो अल्टो नेटवर्क्स शामिल हैं, साथ ही 40 से अधिक महत्वपूर्ण अवसंरचना संगठन भी हैं। यह विकल्प भी एक डारियो अमोदेई की कंपनी के लिए निर्णायक मोड़दरअसल, यह पहली बार है जब एंथ्रोपिक ने ऐसा करने का फैसला किया है। आम जनता के लिए मॉडल उपलब्ध न करानाइस निर्णय को इस आधार पर उचित ठहराया गया कि इसकी आक्रामक क्षमताएं व्यापक वितरण के लिए बहुत खतरनाक मानी जाती हैं।

लॉन्च से जुड़े बयान दमदार थे। रिपोर्ट के अनुसार, मिथोस ने ऐसा किया होगा। हजारों शून्य-दिन की कमजोरियों की पहचान की गई कुछ ही हफ्तों के भीतर ऑपरेटिंग सिस्टम और ब्राउज़रों में उच्च गंभीरता देखी गई, यहाँ तक कि श्रृंखलाओं को निष्पादित करने में भी सक्षम रहा। शोषण करना पूरी तरह से अद्यतन प्रणालियों पर स्वायत्त और मानवीय मार्गदर्शन के बिना। यह मॉडल कुछ और बातों को भी उजागर करता। विरासत कमजोरियाँकुछ दशकों पुराना यह डेटा, लाखों स्कैन के बाद भी स्वचालित उपकरणों द्वारा पता नहीं चल पाया।

मामले की महत्ता को और मजबूत करने के लिए यह भी है कि यूके एआई सेफ्टी इंस्टीट्यूट द्वारा सत्यापनजिससे यह पता चल जाता कि मिथोस की कैप्चर-द-फ्लैग चुनौतियों में से 73% को हल करने की क्षमता विशेषज्ञ स्तर पर, जबकि इससे पहले कोई भी मॉडल इनमें से किसी भी समस्या को हल करने में सक्षम नहीं था। संकेत पर्याप्त था। संस्थागत अलार्म चालू करेंसंयुक्त राज्य अमेरिका में, वित्त सचिव स्कॉट भेजा गया घोषणा के बाद के दिनों में, वॉल स्ट्रीट के सीईओ के साथ मिथोस से जुड़े जोखिमों पर चर्चा करने के लिए एक बैठक बुलाई गई। यूरोप में, क्रिस्टीन लागार्डे ने आपातकालीन बैठक बुलाई। यूरोज़ोन के मुख्य बैंकों के शीर्ष प्रबंधन के साथ मिलकर आकलन करने के लिए वित्तीय प्रणाली की सुरक्षा पर मॉडल के संभावित प्रभाव.

आशंका यह है कि यदि समान क्षमताओं वाले उपकरण गलत हाथों में पड़ जाएं, तो कमजोरियों की पहचान और उनका फायदा उठाने की गति बैंकों की पारंपरिक सुरक्षा समयसीमा पर दबाव डाल सकती है, जिससे उन्हें सिस्टम का परीक्षण करने, पैच लागू करने और अपडेट को सत्यापित करने के लिए ऐसे ऑपरेटिंग विंडो के भीतर काम करना पड़ सकता है जो अक्सर स्वचालित हमले की संभावित गति से कहीं अधिक धीमे होते हैं।

हालांकि, इस विरोध से सवाल खत्म नहीं होते। एसएंडपी इस बात पर जोर देता है किमिथकों की प्रभावशीलता निम्नलिखित पर निर्भर हो सकती है: न केवल भाषाई मॉडल से, बल्कि सबसे बढ़कर तथाकथित "हार्नेस लेयर" से, यानीपरिचालन वास्तुकला जो संदर्भ प्रदान करता है, टूल कॉल को संभालता है, इनपुट को उपयोगी टोकन में परिवर्तित करता है और आउटपुट को फ़िल्टर करता है। यदि यह विश्लेषण सही है, तो इसकी नकल करना उतना आसान नहीं होगा जितना सनसनीखेज खबरों में बताया गया है: परिष्कृत दुर्भावनापूर्ण तत्व ओपन सोर्स मॉडल और कस्टम-डिज़ाइन किए गए परिचालन फ्रेमवर्क को मिलाकर समान क्षमताएं विकसित कर सकते हैं।

हमला तेज़ होता जा रहा है, बचाव धीमा ही रहेगा।

वास्तविक परिवर्तन किसी एक मॉडल के अचानक आगमन में नहीं, बल्कि साइबर हमलों का प्रगतिशील औद्योगीकरणएसएंडपी के लिए, मिथोस एक निरंतरता पर एक बिंदु की तरह है। एआई वर्षों से खतरे के परिदृश्य को नया आकार दे रहा है, लेकिन अब स्वचालन, स्केलेबिलिटी और परिचालन तर्क क्षमताओं का संयोजन दोहराए जाने वाले, जटिल हमलों की संभावना को और अधिक वास्तविक बना देता है।

सबसे नाजुक मुद्दा यह है कि शोषण श्रृंखला का लोकतंत्रीकरणयानी, कई कमजोरियों को मिलाकर पूरी तरह से अपडेट किए गए सिस्टम को भी खतरे में डालने की क्षमता। अतीत में, इस प्रकार के ऑपरेशनों के लिए किसी सरकारी संस्था या विशिष्ट तकनीकी टीमों के संसाधनों की आवश्यकता होती थी। हालाँकि, आज, AI उस सीमा को कम कर सकता है, जिससे इसकी संभावना बढ़ जाती है। उन्नत तकनीकें विरोधियों के व्यापक समूह के लिए सुलभ हो जाती हैं।एसएंडपी द्वारा जारी अनुमानों के अनुसार, समान क्षमताओं से शत्रुतापूर्ण तत्वों के एक व्यापक समूह तक पहुंचा जा सकता है।छह से अठारह महीने की अवधि.

पहले से ज्ञात संरचनात्मक दरार के कारण समस्या और भी बढ़ जाती है, अर्थात् सुरक्षा खामियों की पहचान और उन्हें ठीक करने की क्षमता के बीच का अंतरराष्ट्रीय मानक एवं प्रौद्योगिकी संस्थान के आंकड़ों से पता चलता है कि मध्यम से गंभीर स्तर की कमजोरियों के निवारण में लगने वाला औसत समय, उनकी खोज दर से दो से नौ गुना अधिक है। दूसरे शब्दों में, यह केवल अधिक कमजोरियों को खोजने का मामला नहीं है: बल्कि समस्या यह है कि प्रतिक्रिया प्रणाली उतनी तेज़ी से काम नहीं कर रही है।

यह असंतुलन विशेष रूप से परिचालन संबंधी बाधाओं, सेवा निरंतरता आवश्यकताओं या पुराने सिस्टम पर निर्भरता वाले बुनियादी ढांचे को प्रभावित करता है। यहां तक ​​कि जब कोई भेद्यता पहचान ली जाती है, तब भी पैच लागू करने में समय, समन्वय, परीक्षण और ऐसी परिचालन अवधि की आवश्यकता हो सकती है जो उन सेवाओं के अनुकूल हो जिन्हें बंद नहीं किया जा सकता है। हालांकि एआई खोज और हमले को गति देता है, रक्षा तंत्र धीमी प्रक्रियाओं से बंधा हुआ है, और जोखिम की संभावना बढ़ती जा रही है।.

हैक किए गए सर्वर से लेकर प्रणालीगत जोखिम तक

Il साइबर जोखिम अब प्रभावित कंपनी की सीमा तक ही सीमित नहीं रहता।कृत्रिम बुद्धिमत्ता-सहायता प्राप्त खतरे हमले की सतह का विस्तार करें साझा अवसंरचनाओं, ओपन सोर्स लाइब्रेरी, क्लाउड हाइपरवाइज़र, भुगतान नेटवर्क और सामान्य क्रिप्टोग्राफिक कार्यान्वयनों की ओर। एक गंभीर भेद्यता का प्रभाव शुरू में प्रभावित संगठन से कहीं अधिक दूरगामी हो सकता है। यहीं पर हम इस समस्या का समाधान ढूंढते हैं। साइबर सुरक्षा प्रणालीगत जोखिम के तर्क को पूरा करती है।किसी आपूर्तिकर्ता, भुगतान प्रक्रिया प्रदाता, क्लाउड इन्फ्रास्ट्रक्चर या व्यापक रूप से उपयोग किए जाने वाले सॉफ़्टवेयर घटक में कोई खामी ग्राहकों, प्रतिपक्षों, बैंकों, बीमा कंपनियों और पुनर्बीमाकर्ताओं से जुड़ी निर्भरता श्रृंखलाओं में फैल सकती है। यहां तक ​​कि मजबूत सुरक्षा व्यवस्था वाली कंपनियां भी तीसरे पक्षों के माध्यम से अप्रत्यक्ष रूप से जोखिम में पड़ सकती हैं।

एल 'संभावित प्रभाव क्रेडिट गुणवत्ता पर प्रभाव कई माध्यमों से पड़ता है। डेटा उल्लंघन की प्रत्यक्ष लागतों में घटना प्रतिक्रिया, नियामक जुर्माना, मुकदमेबाजी और निवारण शामिल हैं। परिचालन व्यवधान खुदरा, परिवहन, वित्तीय अवसंरचना और उपयोगिताओं जैसे उच्च उपलब्धता आवश्यकताओं वाले उद्योगों में राजस्व और मार्जिन को प्रभावित कर सकते हैं। इसके अतिरिक्त, आपूर्ति श्रृंखला के साथ संक्रमणबीमा लागत में वृद्धि, अधिक सख्त अंडरराइटिंग आवश्यकताएं, नियामक दबाव और पूंजी की लागत पर संभावित प्रतिष्ठा संबंधी प्रभाव।

एसएंडपी के लिए, साइबर हमलों ने अब तक यही परिणाम दिए हैं सीमित रेटिंग कार्रवाइयां जब जारीकर्ताओं ने सक्रिय जोखिम प्रबंधन, पर्याप्त तैयारी, बीमा कवरेज, तरलता और पर्याप्त वित्तीय मार्जिन का प्रदर्शन किया हो, तब नकारात्मक रेटिंग का दबाव उत्पन्न होता है। दूसरी ओर, नकारात्मक रेटिंग का दबाव तब उत्पन्न होता है जब घटना के कारण परिचालन में महत्वपूर्ण व्यवधान, धीमी पुनर्प्राप्ति अवधि या महत्वपूर्ण वित्तीय क्षति होती है।

शासन, निवेश और नेतृत्व: ऋण का नया आयाम

एआई अच्छी साइबर सुरक्षा की परिभाषा को नहीं बदलता, लेकिन इससे कमजोरियों का पता लगाने और उनका फायदा उठाने की गति बदल जाती है।यही कारण है कि लचीली और कमजोर कंपनियों के बीच का अंतर तेजी से शासन, नेतृत्व और निवेश प्राथमिकताओं पर निर्भर करता है। केवल उन्नत उपकरण होना ही पर्याप्त नहीं है, बल्कि निर्णय लेने की संरचना आवश्यक है उनका सुसंगत, तीव्र और एकीकृत तरीके से उपयोग करने में सक्षम।

रिपोर्ट में कुछ बातों पर प्रकाश डाला गया है। वे तत्व जो भेदभावपूर्ण बन जाते हैं. पहले इसका अर्थ है साइबर सुरक्षा को केवल एक तकनीकी लागत के रूप में नहीं, बल्कि बजट की स्थिरता के एक कारक के रूप में देखना। यह दृष्टिकोण निर्णयों की प्रकृति को बदल देता है: सुरक्षा निवेश को अब केवल आईटी व्यय के रूप में नहीं, बल्कि व्यावसायिक निरंतरता, प्रतिष्ठा, तरलता और बाजार पहुंच की सुरक्षा के रूप में देखा जाता है। दूसरा तत्व इसमें सुरक्षा टीमों, डेटा कार्यों और एआई विकास का एकीकरण शामिल है। इन क्षेत्रों के अलग-अलग होने से ऐसे क्षेत्र बन सकते हैं जहां जोखिम उत्पन्न होते हैं: मॉडल, डेटा, उपकरण और स्वचालित प्रक्रियाएं। एकीकरण से साइबर सुरक्षा को अंतिम जांच या अनुवर्ती ऑडिट के रूप में देखे जाने की संभावना कम हो जाती है, बल्कि इसे परिचालन संरचना के एक भाग के रूप में देखा जाता है।

साथ ही आरमुख्य सूचना सुरक्षा अधिकारी की भूमिका में परिवर्तनसीआई एस ओ की भूमिका परिचालन प्रबंधन से हटकर नियामकों, क्रेडिट रेटिंग और प्रतिपक्ष विश्वास से जुड़ी उच्च स्तरीय पर्यवेक्षी भूमिका की ओर बढ़ रही है। जो संगठन इस बदलाव को अपनाने में विफल रहते हैं, उनमें शासन व्यवस्था में खामी का खतरा पैदा हो जाता है, जो अक्सर घटना प्रतिक्रिया और संचार की गुणवत्ता में स्पष्ट रूप से दिखाई देता है।

तकनीकी स्तर पर, एसएंडपी वापस बुलाता है जीरो-ट्रस्ट आर्किटेक्चर का महत्वयह प्रणाली स्पष्ट, सीमित और लगातार पुनर्मूल्यांकित अनुमतियों की आवश्यकता के द्वारा नेटवर्क के भीतर पार्श्व गति को सीमित करती है। पारंपरिक परिधि-आधारित मॉडल, जो बाहरी बाधा के उल्लंघन के बाद विश्वास का विस्तार करते हैं, उन शोषण श्रृंखलाओं के प्रति अधिक संवेदनशील होते हैं जो प्रवेश के प्रारंभिक बिंदु से कई प्रणालियों तक फैल सकती हैं।

मिथक प्रभाव: खतरा, लेकिन अवसर भी

मिथकों द्वारा उत्पन्न भय निम्न कारणों से उत्पन्न होता है: कृत्रिम बुद्धिमत्ता का उपयोग करके कमजोरियों का पता लगाने और उनका फायदा उठाने की संभावना बड़े पैमाने पर और स्वायत्त रूप से। लेकिन एस एंड पी एक महत्वपूर्ण बिंदु पर जोर देता है: इन्हीं क्षमताओं का उपयोग रक्षात्मक रूप से भी किया जा सकता है। प्रोजेक्ट ग्लास विंग ठीक इसी विचार पर आधारित है कि इस तरह के उपकरण हमलावरों से पहले कमजोरियों की पहचान कर सकते हैं।

इसलिए कंपनियों के लिए, अब सवाल यह नहीं है कि कृत्रिम बुद्धिमत्ता का इस्तेमाल उनके खिलाफ किया जाएगा या नहीं।सवाल यह है कि क्या वे पर्याप्त शासन, लक्षित निवेश और तेजी से बढ़ते खतरे के साथ तालमेल बिठाने में सक्षम संगठनात्मक संरचना के साथ इसका उपयोग करने में सक्षम होंगे।

मिथोस एक हो सकता है वास्तविक मोड़ या प्रचार द्वारा प्रवर्धित एक क्रमिक विकास। साइबर सुरक्षा एक ऐसे चरण में प्रवेश कर रही है जहाँ समय एक महत्वपूर्ण कारक बन जाता है।जो लोग तेजी से खोज करते हैं, निर्णय लेते हैं और सुधार करते हैं, वे अपने जोखिम को कम करते हैं। जो लोग धीमे, खंडित या विशुद्ध रूप से प्रतिक्रियात्मक रक्षात्मक मॉडलों से बंधे रहते हैं, उन्हें न केवल तकनीकी रूप से, बल्कि वित्तीय और साख के मामले में भी जोखिम का सामना करना पड़ता है।