এআই দিয়ে শতাধিক ওয়েবসাইট হ্যাক, খরচ মাত্র ৫০ ডলার

চীনা ভাষায় কথা বলা এক হ্যাকার শতাধিক কোম্পানির ওয়েবসাইটে অনুপ্রবেশ করেছেন। এর মধ্যে রয়েছে কৃষি সরঞ্জাম নির্মাতা প্রতিষ্ঠান ‘ডিয়ার’, গৃহস্থালি সরঞ্জাম কোম্পানি ‘শার্কনিঞ্জা’ এবং ইঞ্জিন নির্মাতা প্রতিষ্ঠান ‘কামিন্স’। অথচ এই হ্যাকারকে নিজ থেকে তেমন কিছুই করতে হয়নি। গত কয়েক সপ্তাহ ধরে একজন সাইবার নিরাপত্তা গবেষক বিষয়টি প্রত্যক্ষ করেছেন।

এসব ওয়েবসাইট হ্যাকের জন্য এআইকে নির্দেশনা দিতে মোট ৫ হাজার ডলার খরচ হয়ে থাকতে পারে। অর্থাৎ প্রতিটি ওয়েবসাইট হ্যাকিং করতে খরচ হয়েছে মাত্র ৫০ ডলার।

সাইবার নিরাপত্তা কোম্পানি নরফোর্জের প্রধান হুমকি বিষয়ক গবেষক স্নোরে ফাগারল্যান্ড জানান, এই সাইবার অপরাধী হ্যাকিংয়ের পুরো প্রক্রিয়াটি কৃত্রিম বুদ্ধিমত্তার ওপর ছেড়ে দিয়েছিলেন। তিনি এআই এজেন্টগুলোকে এমনভাবে কাজে লাগিয়েছিলেন যে, সেগুলো স্বয়ংক্রিয়ভাবে ঘণ্টার পর ঘণ্টা সময় ব্যয় করে ওয়েবসাইটগুলোতে অনুসন্ধান চালিয়েছে এবং সেগুলোতে অনুপ্রবেশ করেছে।

সোমবার প্রকাশিত হওয়ার আগে রয়টার্সের কাছে পাঠানো এক প্রতিবেদনে ফাগারল্যান্ড জানান, তিনি ইন্টারনেটে ‘কেয়ার্ন’ নামক একটি ওপেন-সোর্স এআই প্ল্যাটফর্মের অনিচ্ছাকৃতভাবে উন্মুক্ত হয়ে থাকা সংস্করণগুলো খুঁজছিলেন। এই প্ল্যাটফর্মটি সমস্যা সমাধানের জন্য তৈরি হলেও হ্যাকারদের কাছে বেশ জনপ্রিয়।

ফাগারল্যান্ডের ভাষ্য, গত ২ অক্টোবর থেকে তিনি প্রায় ২৪টি ক্ষেত্রে কেয়ার্নের ক্ষতিকারক ব্যবহারের প্রমাণ পেয়েছেন। সাইবার অপরাধীরা যখন এআই টুলগুলোকে বিভিন্ন ওয়েবসাইটের বিরুদ্ধে লেলিয়ে দিয়েছিল, তখন তাদের কর্মকাণ্ডের ওপর গোপনে নজর রাখার সুযোগ পান তিনি।

ফাগারল্যান্ডের প্রতিবেদনে চীনাভাষী হ্যাকারের কথা উল্লেখ থাকলেও ভুক্তভোগী কোম্পানিগুলোর নাম দেওয়া হয়নি। তবে রয়টার্স হ্যাকারের ‘কেয়ার্ন’ ব্যবহারের কার্যক্রমগুলো স্বতন্ত্রভাবে পর্যালোচনা করে ভুক্তভোগী প্রতিষ্ঠানগুলোর পরিচয় নিশ্চিত করতে পেরেছে।

স্বয়ংক্রিয় এআই টুলের ক্ষমতা নিয়ে যখন উদ্বেগ বাড়ছে, তখন ফাগারল্যান্ডের এই আবিষ্কারটি একটি বাস্তব প্রমাণ হিসেবে সামনে এসেছে। এটি দেখিয়েছে, বাণিজ্যিকভাবে উপলব্ধ এআই এজেন্টগুলো মানুষের সরাসরি হস্তক্ষেপ ছাড়াই শুরু থেকে শেষ পর্যন্ত জটিল কাজ করতে সক্ষম। এতে ক্ষতিকর ব্যক্তির সক্ষমতা আরও কয়েক গুণ বেড়ে যায়।

ফাগারল্যান্ড বলেন, ‘আমরা এখন এক নতুন পৃথিবীতে বাস করছি।’

এই অনুপ্রবেশের ফলে ঠিক কী পরিমাণ তথ্য অননুমোদিতভাবে চুরি হয়েছে, তা রয়টার্স নিশ্চিত করতে পারেনি।

‘ডিয়ার’ রয়টার্সকে জানিয়েছে, ঘটনার পর তারা ‘প্রয়োজনীয় প্রতিকারমূলক ব্যবস্থা’ নিয়েছে এবং সংবেদনশীল তথ্য চুরি হওয়ার মতো ইঙ্গিত পায়নি তারা।

‘শার্কনিনজা’ জানিয়েছে, হ্যাকিংয়ের শিকার ওয়েবসাইটটি ছিল একটি স্বতন্ত্র সাইট, যেখানে কেবল পণ্যের সহায়তা সংক্রান্ত তথ্য ছিল এবং হুমকিটি নিয়ন্ত্রণে আনা হয়েছে।

কামিন্স জানিয়েছে, ‘আমাদের তৃতীয় পক্ষের কোনো ভেন্ডরের পরিচালিত একটি ওয়েবসাইটে সম্ভাব্য সাইবার হামলার যে প্রতিবেদন পাওয়া গেছে, আমরা তা খতিয়ে দেখছি।’

আরও দুটি ছোট প্রতিষ্ঠান স্বীকার করেছে, তারাও সাইবার হামলার শিকার হয়েছে। কেয়ার্নের ডেটায় উল্লিখিত অন্যান্য ভুক্তভোগীদের সঙ্গে যোগাযোগ করা হলে তারা কোনো সাড়া দেয়নি।

সংক্ষিপ্ত নির্দেশনা, বড় সাইবার হামলা

ফাগারল্যান্ড যে হ্যাকারদের পর্যবেক্ষণ করেছেন, তাদের মধ্যে একজন প্রচুর পরিমাণে ক্রেডিট কার্ডের তথ্য চুরি করেছে। অন্য একজন কৃত্রিম বুদ্ধিমত্তা এজেন্ট ব্যবহার করে একটি ক্রিপ্টোকারেন্সি এক্সচেঞ্জ থেকে অর্থ হাতিয়ে নেওয়ার চেষ্টা করেছে। চীনাভাষী হ্যাকারটি ছিল সবচেয়ে সক্রিয়। ২৫ সেপ্টেম্বর থেকে তারা তাদের এআই বাহিনীকে যুক্তরাষ্ট্র, কানাডা, অস্ট্রেলিয়া ও জাপানের বিভিন্ন ই-কমার্স ওয়েবসাইটের বিরুদ্ধে লেলিয়ে দেয়।

তাদের দেওয়া নির্দেশনাগুলো ছিল অত্যন্ত সংক্ষিপ্ত; ১০০টিরও কম চীনা অক্ষরে তারা তাদের পছন্দের অনুপ্রবেশ কৌশলগুলো বর্ণনা করেছিল। গত সপ্তাহের শেষ নাগাদ, তাদের এজেন্টরা ১ হাজার ২০০টিরও বেশি ওয়েবসাইটে অনুপ্রবেশের চেষ্টা চালিয়েছে।

সফলভাবে অনুপ্রবেশের জন্য সাধারণত প্রায় ২৩ ঘণ্টা ধরে দুর্বলতা খোঁজার কাজ চালাতে হয়েছে। ফাগারল্যান্ডের প্রাক্কলন অনুযায়ী, এই অভিযানে সম্ভবত চীনের ডিপসিক এবং অ্যানথ্রোপিকের ‘ক্লড কোডের’ মিশ্রণ ব্যবহার করা হয়েছে। এতে খরচ হয়েছে প্রায় ৫ হাজার ডলার। অর্থাৎ প্রতিটি সফল হ্যাকিংয়ের পেছনে ব্যয় হয়েছে প্রায় ৫০ ডলার।

প্রায় তিন দশক ধরে সাইবার নিরাপত্তা খাতে কাজ করা ফাগারল্যান্ড জানান, ভুক্তভোগীদের সিস্টেমে অনুপ্রবেশের জন্য এজেন্টরা যেসব কৌশল ব্যবহার করেছে, তা দেখে তিনি মুগ্ধ হয়েছেন। একটি ঘটনায়, বড় একটি কোম্পানির পাবলিক-ফেসিং অ্যাপ্লিকেশনে কোনো দুর্বলতা খুঁজে পেতে ব্যর্থ হওয়ার পর, এআই এজেন্টগুলো ডিজিটাল রেকর্ড ঘেঁটে সংশ্লিষ্ট অবকাঠামো খুঁজে বের করে। এরপর তারা একটি পাবলিক-ফেসিং কন্ট্রোল প্যানেল শনাক্ত করে এবং সেটির ডেটা প্রক্রিয়াকরণ পদ্ধতিতে একটি সূক্ষ্ম দুর্বলতা খুঁজে পায়। দীর্ঘ সময় ধরে নানা প্রচেষ্টার পর, তারা সেই দুর্বলতাকে কাজে লাগিয়ে সার্ভারকে বিভ্রান্ত করে ক্ষতিকারক কমান্ড কার্যকর করাতে সক্ষম হয়।

ফাগারল্যান্ড বলেন, ‘এ ধরনের সমাধান বের করা মোটেও সহজ কাজ নয়। এটি কোনো সাধারণ শৌখিন হ্যাকারের কাজ হতে পারে না।’

কেয়ার্ন সামাজিক যোগাযোগ মাধ্যমে এক্সে জানিয়েছে, তাদের প্ল্যাটফর্মটি হলো ‘এক ধরনের উদ্ভাবনী মাল্টি-এজেন্ট আর্কিটেকচার, যা হ্যাকিং আক্রমণের জন্য তৈরি করা হয়নি। যদি এটি ক্ষতিকারক হ্যাকিং আক্রমণ চালানোর কাজে ব্যবহৃত হয়, তবে তা আমাদের উদ্দেশ্য নয়।’

তদারকির প্রয়োজন নেই

এজেন্টিক এআই সিস্টেমগুলোর স্বয়ংক্রিয়ভাবে দুর্বলতা খুঁজে বের করা, অনুপ্রবেশ ঘটানো এবং তথ্য চুরি করার সক্ষমতা বিশ্বজুড়ে ক্রমবর্ধমান উদ্বেগের কারণ হয়ে দাঁড়িয়েছে। বড় বড় এআই কোম্পানিগুলোর অসাবধানতায় মুক্ত হয়ে যাওয়া কিছু ‘উচ্ছৃঙ্খল’ এআই এজেন্ট কম্পিউটার ল্যাবের গণ্ডি পেরিয়ে সরকারি ওয়েবসাইটে অনুপ্রবেশ করেছে এবং অননুমোদিত ‘সোশ্যাল ইঞ্জিনিয়ারিং’ কর্মকাণ্ডে জড়িয়ে পড়েছে। সাম্প্রতিক সময়ে দক্ষিণ কোরিয়া ও জাপানে বেশ কিছু আলোচিত হ্যাকিংয়ের ঘটনা ঘটেছে, যার পেছনে এআই ব্যবহারকারী সাইবার অপরাধীদের হাত রয়েছে বলে মনে করা হচ্ছে।

সাইবার অপরাধীদের গোপন জগতে এআই এজেন্টগুলো ক্রমেই একটি অপরিহার্য হাতিয়ার হয়ে উঠছে। আগস্ট মাসে ইসরাইলি প্রতিষ্ঠান ‘গ্যামবিট সিকিউরিটি’ দেখতে পায়, রুশভাষী চাঁদাবাজরা স্পেসএক্সের  ‘কার্সার এআই’ টুল ব্যবহার করে সাতটি প্রতিষ্ঠানে অনুপ্রবেশ করেছে।

সেপ্টেম্বর মাসে গ্যামবিট এআই এজেন্ট-চালিত এমন এক অপরাধমূলক কর্মকাণ্ডের নথিপত্র প্রকাশ করেছে, যেখানে ২৫টি প্রতিষ্ঠানে নিরাপত্তা লঙ্ঘনের ঘটনা ঘটে। অন্তত ৬ লাখ ক্রেডিট কার্ডের তথ্য চুরি হয়। গত সপ্তাহে সাইবার গোয়েন্দা সংস্থা ‘বিটসাইট’ জানিয়েছে, সাইবার অপরাধীদের বিভিন্ন ফোরামে স্বয়ংক্রিয় এজেন্টগুলোকে কীভাবে কাজে লাগানো যায়, তা নিয়ে আলোচনার হার ব্যাপকভাবে বেড়ে গেছে।

ফাগারল্যান্ড জানান, তিনি আগে ভেবেছিলেন যে হ্যাকিংয়ে ব্যবহৃত এআই এজেন্টগুলোর অন্তত কিছুটা তদারকির প্রয়োজন হবে। তবে এখন এটি স্পষ্ট যে, প্রযুক্তিটি সেই পর্যায় অনেক আগেই অতিক্রম করে গেছে।

তিনি বলেন, ‘এই ক্ষেত্রে যে উন্নয়ন ঘটেছে, তা সত্যিই বিস্ময়কর।’

সূত্র: রয়টার্স