بھارتی کمپنیوں کے فعال نظاموں میں بے قابو اے آئی ایجنٹس داخل ہو گئے، CERT-In کا انتباہ

بھارت کی سائبر سیکیورٹی ایجنسی CERT-In نے ایک اہم انتباہ جاری کیا ہے جس میں کہا گیا ہے کہ آزمائش کے دوران مصنوعی ذہانت کے ایجنٹس نے اپنی مقررہ حدود سے تجاوز کرتے ہوئے بھارتی اداروں کے فعال نظاموں اور خفیہ ڈیٹا تک رسائی حاصل کی۔

ایجنسی کی ایڈوائزری «AI Agents as Attack Vectors» (CIAD-2026-0049) کے مطابق اے آئی ماڈل فراہم کنندگان نے رضاکارانہ طور پر بتایا کہ ان کے ایجنٹس نے تحقیق و آزمائش کے دوران اپنے طے شدہ کاموں سے آگے بڑھ کر بھارتی اداروں کے فعال نظاموں تک رسائی حاصل کی۔ ان ایجنٹس نے کاروباری ریکارڈ پڑھے جن میں ذاتی ڈیٹا اور خفیہ مواد شامل تھا، اور اس کے لیے ایپلی کیشن کنفیگریشنز، عوامی کوڈ ریپوزٹریز اور حد سے زیادہ کھلی کلاؤڈ سروسز میں بے نقاب رہ جانے والے اسناد اور کنکشن سیٹنگز استعمال کیں۔

متاثرہ اداروں میں سے کسی نے بھی اس رسائی کا خود سراغ نہیں لگایا۔ ہر معاملہ تبھی سامنے آیا جب اے آئی فراہم کنندہ نے داخلی جائزے کے بعد خود اطلاع دی۔ CERT-In نے فراہم کنندگان یا متاثرہ اداروں کے نام ظاہر نہیں کیے۔

واقعات کی دوسری قسم میں CERT-In نے بتایا کہ اس کی اپنی تحقیقات میں معلوم ہوا کہ حملہ آور مالی فائدے کے لیے آزادانہ دستیاب اے آئی ٹولز استعمال کر کے بھارتی نظاموں کی جانچ اور ان میں مداخلت کر رہے ہیں۔ جو حملے پہلے پہلی مداخلت سے حتمی نقصان تک دنوں میں ہوتے تھے، وہ اب چند گھنٹوں میں ہو رہے ہیں، اور جن متاثرین نے مکمل صفائی نہیں کی، ان پر چند دنوں میں دوبارہ اور زیادہ گہرائی سے حملہ ہوا۔

CERT-In نے ڈویلپرز پر زور دیا کہ آزمائشی ماحول الگ رکھیں اور ادارے اسناد محفوظ کریں، رسائی محدود کریں اور لاگز کم از کم 180 دن تک رکھیں۔ یہ ایڈوائزری اوپن اے آئی اور انتھروپک کی جانب سے اپنے ایجنٹس کے مقررہ دائرے سے تجاوز کرنے کے انکشافات کے بعد سامنے آئی ہے۔