ಕಳೆದ ಕೆಲವು ವರ್ಷಗಳಿಂದ, ಭದ್ರತಾ ಉದ್ಯಮವು ಕೃತಕ ಬುದ್ಧಿಮತ್ತೆಯನ್ನು (AI) ರಕ್ಷಕರಿಗೆ ಶಕ್ತಿವರ್ಧಕವಾಗಿ (force multiplier) ಪರಿಗಣಿಸುತ್ತಿದೆ. ಕಥೆ ಹೀಗಿತ್ತು: ಮಷೀನ್ ಲರ್ನಿಂಗ್ ಮಾಡೆಲ್ಗಳು ಲಾಗ್ಗಳನ್ನು ಪರಿಶೀಲಿಸುತ್ತವೆ, ಮಾನವ ವಿಶ್ಲೇಷಕರು ಗಮನಿಸದ ಅಸಹಜತೆಗಳನ್ನು ಪತ್ತೆಹಚ್ಚುತ್ತವೆ ಮತ್ತು ಬೆದರಿಕೆ ಪತ್ತೆಹಚ್ಚುವಂತಹ ಕಷ್ಟಕರವಾದ ಕೆಲಸಗಳನ್ನು ನಿರ್ವಹಿಸುತ್ತವೆ. ಆ ಕಥೆ ಅರ್ಧ ಸತ್ಯ ಮಾತ್ರ. Check Point Research ನ ಇತ್ತೀಚಿನ ಸಂಶೋಧನೆಗಳ ಪ್ರಕಾರ, ಇನ್ನರ್ಧ ಭಾಗವೇನೆಂದರೆ, ದಾಳಿಕಾರರು ಈಗ ಕೇವಲ ಪ್ರಯೋಗಗಳ ಹಂತವನ್ನು ಮೀರಿ ಹೋಗಿದ್ದಾರೆ. ಅವರು ಈಗಲೇ ನೇರ ದಾಳಿಗಳನ್ನು ನಡೆಸಲು AI ಅನ್ನು ಬಳಸುತ್ತಿದ್ದಾರೆ. ಈ ತಂತ್ರಜ್ಞಾನವು ಕೇವಲ ಮುಂದಿನ ಅಪ್ಲಿಕೇಶನ್ ಸ್ಟ್ಯಾಕ್ ಅನ್ನು ನಿರ್ಮಿಸುವ ಡೆವಲಪರ್ಗಳ ಸಾಧನವಾಗಿ ಉಳಿದಿಲ್ಲ. ಇದು ನಾವು ಹಿಂದೆ ಎಂದೂ ಕಂಡಿರದ ಮಟ್ಟದಲ್ಲಿ ವಂಚನೆಯನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸುತ್ತಿರುವ ಅಪರಾಧಿಗಳ ಕೈಯಲ್ಲಿ ಸಕ್ರಿಯ ಅಸ್ತ್ರವಾಗಿ ಮಾರ್ಪಟ್ಟಿದೆ.
ದಾಳಿಕಾರರು ನೇರ ಕಾರ್ಯಾಚರಣೆಗಳಿಗಾಗಿ AI ಅನ್ನು ಬಳಸಿದಾಗ
ಬೆದರಿಕೆ ಉಂಟುಮಾಡುವವರು ತಮ್ಮ ಅಭಿಯಾನಗಳನ್ನು ಹೇಗೆ ಸಂಘಟಿಸುತ್ತಾರೆ ಎಂಬುದರಲ್ಲಿ ನಿರ್ಣಾಯಕ ಬದಲಾವಣೆಯನ್ನು ಈ ವರದಿ ಎತ್ತಿ ತೋರಿಸುತ್ತದೆ. ಸ್ಥಿರ ಕೋಡ್ ಮತ್ತು ಮ್ಯಾನುಯಲ್ ಕಮಾಂಡ್-ಅಂಡ್-ಕಂಟ್ರೋಲ್ ಮೇಲೆ ಅವಲಂಬಿತವಾಗುವ ಬದಲು, ದಾಳಿಕಾರರು VoidLink ನಂತಹ ಸಂಕೀರ್ಣ ಮಾಲ್ವೇರ್ ಫ್ರೇಮ್ವರ್ಕ್ಗಳನ್ನು ನಿರ್ಮಿಸುತ್ತಿದ್ದಾರೆ. ಇಂತಹ ಫ್ರೇಮ್ವರ್ಕ್ಗಳು ಮಾಡ್ಯುಲರ್ ವಿಧಾನವನ್ನು ಸೂಚಿಸುತ್ತವೆ, ಅಲ್ಲಿ ಘಟಕಗಳು ಅನ್ವಯವಾಗಬಹುದು (adapt), ಅಪ್ಡೇಟ್ ಆಗಬಹುದು ಮತ್ತು ಡೈನಾಮಿಕ್ ಆಗಿ ಸಂವಹನ ನಡೆಸಬಹುದು. AI ಈ ವ್ಯವಸ್ಥೆಗಳನ್ನು ನಿಯಂತ್ರಿಸಿದಾಗ, ಮಾಲ್ವೇರ್ ಅಭಿಯಾನಗಳು ಹೆಚ್ಚು ಅನಿಶ್ಚಿತವಾಗುತ್ತವೆ. ಪೇಲೋಡ್ಗಳು ತಾವು ಸೋಂಕಿತಗೊಳಿಸುವ ಪರಿಸರಕ್ಕೆ ಅನುಗುಣವಾಗಿ ತಮ್ಮ ನಡವಳಿಕೆಯನ್ನು ಬದಲಾಯಿಸಬಹುದು, ಇದು ಸಿಗ್ನೇಚರ್-ಆಧಾರಿತ ಪತ್ತೆಹಚ್ಚುವಿಕೆಯನ್ನು ಕಷ್ಟಕರವಾಗಿಸುತ್ತದೆ ಮತ್ತು ಹೆಚ್ಚಿನ ಸಂಸ್ಥೆಗಳು ಸಂಪೂರ್ಣವಾಗಿ ಅಳವಡಿಸದ 'ಬಿಹೇವಿಯರಲ್ ಮಾನಿಟರಿಂಗ್' ಅನ್ನು ಬಯಸುತ್ತದೆ.
ವಾಣಿಜ್ಯ AI ಮಾಡೆಲ್ಗಳ ನೇರ ದುರುಪಯೋಗವು ಹೆಚ್ಚು ಆತಂಕಕಾರಿಯಾಗಿದೆ. ದಾಳಿಕಾರರು ಗುಪ್ತ ಫೋರಂಗಳಲ್ಲಿ ನಿರ್ಮಿಸಲಾದ ಅಂಡರ್ಗ್ರೌಂಡ್ ಪರಿಕರಗಳಿಗೆ ಮಾತ್ರ ಸೀಮಿತವಾಗಿಲ್ಲ. ಕಾನೂನುಬದ್ಧ ವ್ಯವಹಾರಗಳು ಪ್ರತಿದಿನ ಬಳಸುವ ಅದೇ ಲಾರ್ಜ್ ಲ್ಯಾಂಗ್ವೇಜ್ ಮಾಡೆಲ್ಗಳು ಮತ್ತು AI ಸೇವೆಗಳನ್ನೇ ಅವರು ದುರುಪಯೋಗಪಡಿಸಿಕೊಳ್ಳುತ್ತಿದ್ದಾರೆ. ಸಿಸ್ಟಮ್ಗಳನ್ನು jailbreaking ಮಾಡುವ ಮೂಲಕ, prompt engineering ಅನ್ನು ಸುಧಾರಿಸುವ ಮೂಲಕ ಅಥವಾ ಕೇವಲ ಹೆಚ್ಚಿನ ಪ್ರಮಾಣದ API ಕರೆಗಳನ್ನು ಸ್ವಯಂಚಾಲಿತಗೊಳಿಸುವ ಮೂಲಕ, ಅಪರಾಧಿಗಳು ಭದ್ರತಾ ಸೆಟ್ಟಿಂಗ್ಗಳನ್ನು ಬೈಪಾಸ್ ಮಾಡುತ್ತಾರೆ ಮತ್ತು ಫಿಶಿಂಗ್ ಇಮೇಲ್ಗಳು, ದುಷ್ಟ ಸ್ಕ್ರಿಪ್ಟ್ಗಳು ಮತ್ತು ಸೋಶಿಯಲ್ ಇಂಜಿನಿಯರಿಂಗ್ ಆಮಿಷಗಳನ್ನು ಯಂತ್ರದ ವೇಗದಲ್ಲಿ ಸೃಷ್ಟಿಸುತ್ತಾರೆ. ಇಲ್ಲಿನ ವ್ಯಂಗ್ಯವೆಂದರೆ: ಜನರು ಕೋಡ್ ಬರೆಯಲು ಅಥವಾ ದಾಖಲೆಗಳನ್ನು ಸಾರಾಂಶಗೊಳಿಸಲು ಸಹಾಯ ಮಾಡಲು ನಿರ್ಮಿಸಲಾದ ಮೂಲಸೌಕರ್ಯವನ್ನು, ಈಗ ಅದನ್ನು ಖರೀದಿಸಿದ ಸಂಸ್ಥೆಗಳನ್ನೇ ಭೇದಿಸಲು ಬಳಸಲಾಗುತ್ತಿದೆ.
ಅರ್ಥಮಾಡಿಕೊಳ್ಳಬೇಕಾದ ನಾಲ್ಕು AI-ಚಾಲಿತ ಬೆದರಿಕೆಗಳು
ಭದ್ರತಾ ತಂಡಗಳು ವಿವರವಾಗಿ ಗುರುತಿಸಬೇಕಾದ ನಾಲ್ಕು ನಿರ್ದಿಷ್ಟ ದುರುಪಯೋಗದ ಪ್ರಕರಣಗಳನ್ನು Check Point ನ ವಿಶ್ಲೇಷಣೆಯು ಸೂಚಿಸುತ್ತದೆ. ಪ್ರತಿಯೊಂದೂ ಮಾನವನ ಮಿತಿಗಳಿಲ್ಲದೆ ಒಬ್ಬ ದಾಳಿಕಾರನು ಏನನ್ನು ಸಾಧಿಸಬಲ್ಲ ಎಂಬ ಲೆಕ್ಕಾಚಾರವನ್ನೇ ಬದಲಾಯಿಸುತ್ತದೆ.
ಸ್ವಯಂಚಾಲಿತ ಫಿಶಿಂಗ್ ದಾಳಿಗಳು ದಶಕಗಳಿಂದ ಪ್ರಾಥಮಿಕ ರೂಪದಲ್ಲಿ ಅಸ್ತಿತ್ವದಲ್ಲಿವೆ, ಆದರೆ AI ಉಳಿದ ಅಡೆತಡೆಗಳನ್ನು ನಿವಾರಿಸುತ್ತದೆ. ದಾಳಿಕಾರರು ಸೋಶಿಯಲ್ ಮೀಡಿಯಾ ಮತ್ತು ಕಾರ್ಪೊರೇಟ್ ವೆಬ್ಸೈಟ್ಗಳಿಂದ ಮಾಹಿತಿಯನ್ನು ಸಂಗ್ರಹಿಸಿ (scrape), ಸೆಕೆಂಡುಗಳಲ್ಲಿ ಅತ್ಯಂತ ವೈಯಕ್ತಿಕಗೊಳಿಸಿದ ಇಮೇಲ್ಗಳನ್ನು ರಚಿಸಬಹುದು; ಧ್ವನಿ (tone), ಭಾಷೆ ಮತ್ತು ಸಂದರ್ಭವನ್ನು ಹೊಂದಿಸುವ ಮೂಲಕ ಬೃಹತ್ ಅಭಿಯಾನಗಳು ವೈಯಕ್ತಿಕ ಸಂದೇಶಗಳಂತೆ ಭಾಸವಾಗುವಂತೆ ಮಾಡಬಹುದು. ಪ್ರತಿಯೊಂದು spear-phishing ಇಮೇಲ್ ಕೈಯಿಂದ ಬರೆದಂತೆ ಕಂಡಾಗ, ಕಳಪೆ ವ್ಯಾಕರಣ ಅಥವಾ ಸಾಮೂಹಿಕ ಇಮೇಲ್ ಹೆಡರ್ಗಳ ಮೇಲೆ ಆಧಾರಿತವಾದ ಸಾಂಪ್ರದಾಯಿಕ ಪತ್ತೆಹಚ್ಚುವಿಕೆ ವಿಫಲವಾಗುತ್ತದೆ.
ವಾಯ್ಸ್-ಏಜೆಂಟ್ ವಿಶಿಂಗ್ ಕಿಟ್ಗಳು (Voice-agent vishing kits) ರೆಕಾರ್ಡ್ ಮಾಡಿದ ಡೀಪ್ಫೇಕ್ಗಳಿಗಿಂತಲೂ ಹೆಚ್ಚಿನ ಮಟ್ಟದ ಅಪಾಯವನ್ನು ಪ್ರತಿನಿಧಿಸುತ್ತವೆ. ಈ ಕಿಟ್ಗಳು ಸಂತ್ರಸ್ತರೊಂದಿಗೆ ನೈಜ-ಸಮಯದ ಸಂಭಾಷಣೆ ನಡೆಸಬಲ್ಲ ಸಂವಾದಾತ್ಮಕ ವಾಯ್ಸ್ ಏಜೆಂಟ್ಗಳನ್ನು ನಿಯೋಜಿಸುತ್ತವೆ. ನಿಮ್ಮ ಐಟಿ ಹೆಲ್ಪ್ಡೆಸ್ಕ್ನಂತೆಯೇ ಕೇಳಿಸುವ, ನಿಮ್ಮ ಪ್ರಶ್ನೆಗಳಿಗೆ ನೈಸರ್ಗಿಕವಾಗಿ ಉತ್ತರಿಸುವ ಮತ್ತು ತುರ್ತಾಗಿ ನಿಮ್ಮ multi-factor authentication ಕೋಡ್ ಅನ್ನು ಕೇಳುವ ಕರೆಯನ್ನು ಕಲ್ಪಿಸಿಕೊಳ್ಳಿ. ಧ್ವನಿಯು ಕೃತಕವಾಗಿರುತ್ತದೆ, ಸ್ಕ್ರಿಪ್ಟ್ ಅನ್ನು ತಕ್ಷಣವೇ ಸೃಷ್ಟಿಸಲಾಗುತ್ತದೆ ಮತ್ತು ಸಂತ್ರಸ್ತರು ಎಂದಿಗೂ ಗಾಬರಿಯಾಗದ, ಮಾತು ತಪ್ಪದ ಮತ್ತು ತನ್ನ ಗುರಿಯಿಂದ ಎಂದಿಗೂ ವಿಚಲಿತವಾಗದ ಸಾಫ್ಟ್ವೇರ್ ಜೊತೆಗೆ ಮಾತನಾಡುತ್ತಿರುತ್ತಾರೆ.
ನಕಲಿ ವರ್ಚುವಲ್ ಗುರುತುಗಳು (Forged virtual identities) ಈ ವಂಚನೆಯನ್ನು ಕೇವಲ ಕರೆಗಳಿಂದ ಇಡೀ ವ್ಯಕ್ತಿತ್ವದವರೆಗೆ ವಿಸ್ತರಿಸುತ್ತವೆ. ಬೆದರಿಕೆ ಉಂಟುಮಾಡುವವರು ಸೃಷ್ಟಿಸಿದ ಫೋಟೋಗಳು, ಕಟ್ಟುಕಥೆಯ ಉದ್ಯೋಗ ಇತಿಹಾಸ ಮತ್ತು ಕೃತಕ ನೆಟ್ವರ್ಕ್ ಸಂಪರ್ಕಗಳೊಂದಿಗೆ ಸಿಂಥೆಟಿಕ್ ಪ್ರೊಫೈಲ್ಗಳನ್ನು ಸೃಷ್ಟಿಸಬಹುದು. ಈ ಗುರುತುಗಳು ಕೇವಲ ಒಂದು ಸಂದೇಶವನ್ನು ಕಳುಹಿಸುವುದಿಲ್ಲ; ಅವು ವೃತ್ತಿಪರ ನೆಟ್ವರ್ಕ್ಗಳಿಗೆ ಸೇರಬಹುದು, ಉದ್ಯಮದ ಚರ್ಚೆಗಳಲ್ಲಿ ಭಾಗವಹಿಸಬಹುದು ಮತ್ತು ದುಷ್ಟ ಪೇಲೋಡ್ ಅನ್ನು ಕಳುಹಿಸುವ ಮೊದಲು ಅಥವಾ ಸೂಕ್ಷ್ಮ ಮಾಹಿತಿಗಳನ್ನು ಕೇಳುವ ಮೊದಲು ವಾರಗಟ್ಟಲೆ ಅಥವಾ ತಿಂಗಳುಗಟ್ಟಲೆ ನಂಬಿಕೆಯನ್ನು ಗಳಿಸಬಹುದು. ದೀರ್ಘಕಾಲದ ವಂಚನೆಯು ಈಗ ಕೈಗಾರಿಕೀಕರಣಗೊಂಡಿದೆ.
ಪರೋಕ್ಷ ಪ್ರಾಂಪ್ಟ್ ಇಂಜೆಕ್ಷನ್ ದಾಳಿಗಳು (Indirect prompt injection attacks) ಅಂತಿಮ ಬಳಕೆದಾರರನ್ನು ನೇರವಾಗಿ ಗುರಿಯಾಗಿಸುವ ಬದಲು AI ಅಪ್ಲಿಕೇಶನ್ಗಳ ವಾಸ್ತುಶಿಲ್ಪವನ್ನೇ ಗುರಿಯಾಗಿಸುತ್ತವೆ. ದಾಳಿಕಾರನು ವೆಬ್ಪೇಜ್, ದಾಖಲೆ ಅಥವಾ ಇಮೇಲ್ನ ಒಳಗೆ ದುಷ್ಟ ಸೂಚನೆಗಳನ್ನು ಅಡಗಿಸಿಡುತ್ತಾನೆ, ಅದನ್ನು ನಂತರ AI ಏಜೆಂಟ್ ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುತ್ತದೆ. ಕಾರ್ಪೊರೇಟ್ ಅಸಿಸ್ಟೆಂಟ್ ಟೂಲ್ ಆ ವಿಷಪೂರಿತ ಡೇಟಾವನ್ನು ಓದಿದಾಗ, ಅದು ದಾಳಿಕಾರನು ಅಡಗಿಸಿಟ್ಟ ಸೂಚನೆಗಳನ್ನು ಕಾರ್ಯಗತಗೊಳಿಸುತ್ತದೆ, ಇದು ಸಂಭಾವ್ಯವಾಗಿ ಗೌಪ್ಯ ಮಾಹಿತಿಯನ್ನು ಸೋರಿಕೆ ಮಾಡಬಹುದು ಅಥವಾ ಬಳಕೆದಾರರ ಪರವಾಗಿ ಅನಧಿಕೃತ ಕ್ರಮಗಳನ್ನು ತೆಗೆದುಕೊಳ್ಳಬಹುದು. ಅಪ್ಲಿಕೇಶನ್ ತಾಂತ್ರಿಕ ದೋಷದಿಂದ ಕೆಲಸ ಮಾಡುತ್ತಿಲ್ಲ ಎಂದು ತೋರಬಹುದು, ಆದರೆ ಅದು ಕೇವಲ ತಾನು ನೋಡಬಾರದ ಆದೇಶಗಳನ್ನು ಪಾಲಿಸುತ್ತಿರುತ್ತದೆ.
ಆಂತರಿಕ ಮುಖ: ಅನಧಿಕೃತ AI ಮತ್ತು ಡೇಟಾ ಸೋರಿಕೆಗಳು
These external threats are compounded by a quieter crisis happening inside office walls. Organizations now face severe risk from unauthorized AI use, often called shadow AI, where employees paste proprietary code, client records, or strategic plans into public chatbots to speed up daily tasks. The result is