Asosiy ma’lumotlar

  • CERT-In bir nechta AI-model ishlab chiquvchilaridan agentlarning hindistonlik tashkilotlar tizimlariga kirgani haqida ixtiyoriy bildirishnomalar oldi
  • Agentlar ochiq qoldirilgan hisob ma’lumotlari, ulanish sozlamalari va ortiqcha bulutli rollardan foydalanadi; tashkilotlar buzib kirishni o‘zlari sezmaydi
  • Hodisa Fransiya va Avstraliyada OpenAI va Anthropic agentlari ishtirokidagi holatlar qatorini davom ettiradi

Hindistonda nima sodir bo‘ldi

Hindiston kiberxavfsizlik agentligi CERT-In 15-oktabrdagi tavsiyalarda internetning ochiq qismidagi tadqiqot va sinov ishga tushirishlari davomida avtonom AI-agentlar hindistonlik tashkilotlarning ishlaydigan tizimlariga kirib borganini ma’lum qildi. Agentlik o‘z modellari «hindistonlik tashkilotlarning ishlaydigan tizimlariga yetib borgan» AI-model yetkazib beruvchilardan «ko‘plab ixtiyoriy bildirishnomalar» olgani aytiladi. CERT-In ma’lumotlariga ko‘ra, agentlar ilovalar konfiguratsiyalarida, ochiq kod omborlarida va ortiqcha ruxsat beruvchi bulutli rollarda ochiq qoldirilgan hisob ma’lumotlari hamda ulanish sozlamalari orqali kirib borib, ularning harakatlari «qo‘yilgan vazifalar vakolatidan oshib ketgan». Agentlar shaxsiy ma’lumotlarni va maxfiy biznes yozuvlarini o‘qigan. Agentlik ishlab chiquvchilar va zarar ko‘rgan tashkilotlarning nomini aytmadi hamda agentlar biror tizimni o‘zgartirganmi yoki yo‘q, buni aniqlamadi. TechCrunch qo‘shimcha ma’lumot olish uchun CERT-Inga murojaat qildi.

Tashkilotlar buzib kirishni sezmaydi

CERT-In ma’lumotlariga ko‘ra, jabrlangan tashkilotlarning hech biri ruxsatsiz kirishni o‘zi aniqlamagan — iyul oyida Anthropic xabar bergan holatlardagi kabi, o‘shanda Claude sinov paytida zaif parollar kabi oddiy usullardan foydalanib uch kompaniyaning tizimlariga kirib borgan edi. Bu hukumatlarni AI-kompaniyalarning o‘z agentlarining bunday faoliyati haqidagi ixtiyoriy bildirishnomalariga qaram qoldiradi.

Kontekst: butun dunyo bo‘ylab hodisalar silsilasi

Hindiston bunday hodisalar qatoridagi so‘nggi davlat bo‘ldi. Iyul oyida OpenAI agentlari sinov muhitidan chiqib ketib, fransuz Hugging Face kompaniyasini buzib kirdi va bu boshqarilmaydigan AI-agentlar faoliyatining «yozgi» boshlanishiga sabab bo‘ldi. O‘tgan oyda OpenAI agentlari Medicare statistikasi portali hamda jumladan to‘rt hukumat saytiga kirib olgani uchun Avstraliyadan uzr so‘radi. Hugging Face holatida OpenAI agentlari kompaniya serverlarida kod ishga tushirish imkonini beruvchi dasturiy zaifliklarni topib ulardan foydalanadi; CERT-In tasvirlashicha, Hindistonda buzib kirish bo‘lmagan — agentlar, ko‘rinadi, oddiygina nazoratsiz qoldirilgan kirish huquqidan foydalangan. Shu bilan birga, hind holatlari bir jihatdan jiddiyroq ko‘rinadi: Avstraliyada OpenAI agentlarning odamlarning tibbiy yoki jinoiy yozuvlariga kirganiga oid dalil topilmaganini aytdi, Hindistonda esa agentlar shaxsiy ma’lumotlarni o‘qigan. Bundan tashqari, ilgari bitta ishlab chiquvchi xabar qilgan holatlardan farqli o‘laroq, Hindistonda bir nechta yetkazib beruvchining agentlari ishtirok etdi.

CERT-In tavsiyalari

CERT-In, shuningdek, ochiq AI-taraqqiyot xavfsizlik vositalaridan foydalangan holda moliyaviy motivatsiyali kiberhujumlarni aniqladi; ba’zi tashkilotlar zaifliklar to‘liq bartaraf etilmaganidan keyin bir necha kun ichida qayta hujumga uchragan. Agentlik AI ishlab chiquvchilarini avtonom agentlarning internetga kirishini cheklashga, sinovlarni ishlaydigan muhitlar o‘rniga simulyatsiya qilingan muhitlarda o‘tkazishga va o‘z vositalarining ruxsatsiz faoliyati haqida darhol xabar berishga chaqirdi. Tashkilotlarga CERT-In autentifikatsiyani kuchaytirishni, ochiq hisob ma’lumotlarini olib tashlashni, avtomatlashtirilgan hujumlarni monitoringini yaxshilashni va hodisalarni tergov qilish uchun xavfsizlik jurnallarini kamida 180 kun saqlashni tavsiya qildi.