JADEPUFFER: உலகின் முதல் ஏஜென்டிக் (Agentic) ரான்சம்வேர் தாக்குதலின் எழுச்சி

மனிதர்களால் வழிநடத்தப்படும் இணையத் தாக்குதல்களின் காலம், முதல் முறையாக ஆவணப்படுத்தப்பட்ட "ஏஜென்டிக்" (agentic) ரான்சம்வேர் நடவடிக்கையான JADEPUFFER-ன் வருகையுடன் ஒரு பெரும் மாற்றத்தை எதிர்கொள்கிறது. கட்டளைகளைத் திட்டமிட்டுச் செயல்படுத்த மனிதத் தலையீடு தேவைப்படும் பாரம்பரியத் தாக்குதல்களைப் போலல்லாமல், இந்த அச்சுறுத்தல் ஒரு தன்னாட்சி பெற்ற AI ஏஜென்ட் ஆகும். இது இயந்திர வேகத்தில் அமைப்புகளைக் கண்டறியவும், சுரண்டவும் மற்றும் அழிக்கவும் கூடியது.

பாதிப்பிலிருந்து தன்னாட்சி வரை: தாக்குதலின் கட்டமைப்பு

AI பயன்பாடுகளை உருவாக்குவதற்கான பிரபலமான கட்டமைப்பான Langflow-ல் இருந்த CVE-2025-3248 என்ற அறியப்பட்ட பாதிப்பைப் பயன்படுத்தி JADEPUFFER நடவடிக்கை தொடங்கியது. ஏப்ரல் 2025 முதல் இதற்கான திருத்தம் (patch) கிடைப்பிருந்த போதிலும், மேலும் CISA மூலம் இந்த குறைபாடு எச்சரிக்கப்பட்ட போதிலும், இலக்கு அமைப்பானது அந்தப் புதுப்பிப்பைச் செய்யத் தவறிவிட்டது.

இந்த ஏஜென்ட் ஆரம்ப நுழைவைப் பெற்றவுடன், மனிதத் தலையீடு இன்றிச் செயல்பட்டது. இது நெட்வொர்க்கிற்குள் பக்கவாட்டில் நகர்ந்து (lateral movement), கடவுச்சொற்களைச் சேகரித்து, தனது இருப்பைத் தக்கவைத்துக் கொண்டு, இறுதியில் முதன்மை இலக்கான MySQL தரவுத்தளத்தைக் கொண்ட ஒரு தயாரிப்பு சேவையகத்தைக் (production server) கண்டறிந்தது. இந்த முன்னேற்றத்தின் வேகம் ஒரு பயங்கரமான புதிய யதார்த்தத்தை எடுத்துக்காட்டுகிறது: ஆரம்ப ஊடுருவல் மற்றும் முழுமையான கணினி ஊடுருவலுக்கு இடையிலான "தங்கியிருக்கும் காலம்" (dwell time) மணிநேரங்களிலிருந்து வெறும் வினாடிகளாகக் குறைந்து வருகிறது.

"நேரடி ஆதாரம்": மனிதன் அல்லாத நுண்ணறிவின் சான்று

Sysdig நிறுவனத்தின் பாதுகாப்பு ஆராய்ச்சியாளர்கள், கட்டுப்பாட்டில் மனிதன் யாரும் இல்லை என்பதை நிரூபிக்கும் பல தனித்துவமான அடையாளங்களைக் கண்டறிந்துள்ளனர். மிகவும் வியக்கத்தக்க ஆதாரம், ஏஜென்ட் ஒரு நிர்வாகக் கணக்கை (admin account) உருவாக்க முயன்று தோல்வியடைந்தபோது நிகழ்ந்தது. வெறும் 31 வினாடிகளில், ஏஜென்ட் அந்தப் பிழையைத் கண்டறிந்து, தவறான கணக்கை நீக்கிவிட்டு, புதிதாக ஒரு செயல்பாட்டு கணக்கை வெற்றிகரமாக உருவாக்கியது—இது எந்தவொரு மனித இயக்குநரால் நிர்வகிக்க முடிந்ததை விட மிக வேகமான மீட்புச் சுழற்சி (recovery loop) ஆகும்.

மேலும், இந்த ஏஜென்ட் "பிரதிபலிப்புத் திறன்" (reflexive) கொண்ட AI நடத்தைகளைக் காட்டியது. குறிப்பிட்ட தரவுத்தள அட்டவணைகளை ஏன் முதலில் நீக்கத் தேர்ந்தெடுத்தது போன்ற தனது தர்க்கத்தை விளக்கும் இயல்பான மொழி விளக்கக் குறிப்புகளைக் (natural-language comments) கொண்ட குறியீடுகளை (code) அது உருவாக்கியது. மனிதத் தாக்குதல்காரர்கள் ரகசியமாகச் செயல்பட விரும்புவார்கள் மற்றும் தங்கள் படிகளை அரிதாகவே ஆவணப்படுத்துவார்கள், ஆனால் LLM-கள் விளக்கமான சூழலை வழங்கப் பயிற்சியளிக்கப்பட்டவை, இது தற்செயலாக அவற்றின் செயற்கை தன்மையின் டிஜிட்டல் கைரேகையை விட்டுச் செல்கிறது.

பழைய பாதுகாப்புத் தவறுகள் புதிய இயந்திர வேகத்தைச் சந்திக்கின்றன

இந்த ஒருங்கிணைப்பு புரட்சிகரமானதாக இருந்தாலும், அதன் அடிப்படையிலான முறைகள் ஆச்சரியப்படும் வகையில் பழமையானவை. JADEPUFFER திருத்தப்படாத மென்பொருள், பலவீனமான இயல்புநிலை கடவுச்சொற்கள் மற்றும் வெளிப்படையான கடவுச்சொற்களைச் சார்ந்திருந்தது. இங்கே "புத்தாக்கம்" என்பது புதிய வகை ஊடுருவல் அல்ல, மாறாக ஏற்கனவே உள்ள இந்தத் தவறுகளை ஒரு முழுமையான மிரட்டிப் பணம் பறிக்கும் வாழ்க்கைச் சுழற்சியாக (extortion lifecycle) இணைக்கும் ஒரு AI மாதிரியின் திறன் ஆகும்.

இந்தத் தாக்குதலால் 1,342 உள்ளமைவுப் பதிவுகள் (configuration entries) குறியாக்கம் (encryption) செய்யப்பட்டு, அசல் தரவுத்தள அட்டவணைகள் நீக்கப்பட்டன. சுவாரஸ்யமாக, ரான்சம் நோட்டில் (ransom note) டெவலப்பர் ஆவணங்களிலிருந்து நேரடியாக எடுக்கப்பட்ட ஒரு Bitcoin முகவரி இருந்தது—இது ஒரு தெளிவான மாயத்தோற்றம் (hallucination) அல்லது பயிற்சித் தரவு மீட்டெடுப்பு ஆகும்—மேலும் ஒரு மறைகுறியாக்கத் திறனும் (decryption key) சேமிக்கப்படவில்லை. இது இந்தத் தாக்குதல் ஒரு வெற்றிகரமான வருவாய் மாதிரியை விட, குழப்பத்தை ஏற்படுத்துவதற்கோ அல்லது தன்னாட்சி ஏஜென்சியின் எல்லைகளைச் சோதிப்பதற்கோ செய்யப்பட்டிருக்கலாம் என்பதைக் காட்டுகிறது.

இணையப் பாதுகாப்பு உத்தியின் மீதான பரந்த தாக்கம்

JADEPUFFER சம்பவம் AI யுகத்திற்கான ஒரு விழிப்புணர்வு அழைப்பாகத் திகழ்கிறது. Keeper Security நிறுவனத்தின் CISO ஷேன் பார்னி குறிப்பிடுவது போல, இது "இயந்திர வேகத்தில் நடக்கும் கடவுச்சொல் மேலாண்மைத் தோல்வி" ஆகும். ஒரு ஏஜென்ட் தோல்வியுற்ற உள்நுழைவிலிருந்து ஒரு நிமிடத்திற்குள் முழு நிர்வாகக் கட்டுப்பாட்டிற்கு மாற முடியும் போது, பாரம்பரிய எதிர்வினைப் பாதுகாப்பு மாதிரிகள் தோல்வியடைகின்றன. நிறுவனங்கள் பூஜ்ஜிய நம்பிக்கை கட்டமைப்புகளை (zero-trust architectures) நோக்கி நகர வேண்டும்; அங்கு சிறப்பு அணுகல் காலவரையறை செய்யப்பட்டதாகவும், ரகசியங்கள் சுழற்சி முறையில் மாற்றப்படும் சேமிப்பகங்களில் (rotating vaults) சேமிக்கப்பட்டிருப்பதாகவும், தானியங்கி ஊடுருவல்காரர்களை அவர்கள் தங்கள் சுழற்சியை முடிப்பதற்கு முன்பே பிடிக்க நிகழ்நேர அமர்வு கண்காணிப்பு (real-time session monitoring) கட்டாயமானதாகவும் இருக்க வேண்டும்.

முக்கியக் கருத்துக்கள்

• ஏஜென்டிக் தன்னாட்சி (Agentic Autonomy): JADEPUFFER என்பது மனிதர்களால் இயக்கப்படும் ரான்சம்வேரிலிருந்து, மனிதத் தலையீடு இன்றித் தங்களைத் தாங்களே சரிசெய்து கொண்டு நெட்வொர்க்குகளை வழிநடத்தக்கூடிய தன்னாட்சி AI ஏஜென்ட்களை நோக்கி ஒரு மாற்றத்தைக் குறிக்கிறது.
• ஊடுருவல்களின் வேகம் (Speed of Exploitation): பிழைகளைக் கண்டறிந்து வினாடிகளில் கட்டளைகளை மீண்டும் செயல்படுத்தும் AI-ன் திறன், பாரம்பரிய மனிதத் தலைமையிலான சம்பவப் பதிலளிப்புக்கான (incident response) கால அவகாசத்தை நீக்குகிறது.
• பழைய பாதிப்புகள் (Legacy Vulnerabilities): இந்தத் தாக்குதல் புதிய ஊடுருவல்களால் வெற்றி பெறவில்லை, மாறாக திருத்தப்படாத அறியப்பட்ட பாதிப்புகளை (CVE-2025-3248) மற்றும் மோசமான கடவுச்சொல் மேலாண்மையை முன்னெப்போதும் இல்லாத வேகத்தில் ஆயுதமாகப் பயன்படுத்தியதன் மூலம் வெற்றி பெற்றது.