ప్రస్తుత ప్రపంచంలో AI ఏజెంట్లు మన తరఫున పనులు పూర్తి చేసే స్థాయికి చేరుకున్నాయి. కానీ ఇప్పుడు వాటి స్వయంప్రతిపత్తి కొత్త సైబర్ సెక్యూరిటీ ఆందోళనలకు దారితీస్తోంది. ఆస్ట్రేలియాలో జరిగిన ఓ ఘటనలో ఒక ఏఐ పర్సనల్ అసిస్టెంట్ జిమ్ బుకింగ్ సిస్టమ్లోని భద్రతా లోపాన్ని గుర్తించి, సాధారణ యూజర్కు అనుమతించని విధంగా బుకింగ్ చేయడమే కాకుండా మరో వ్యక్తి వెయిటింగ్ లిస్ట్ స్థానాన్ని కూడా మార్చింది. ఏఐ స్వయంగా సిస్టమ్లోని లోపాన్ని ఉపయోగించుకోవడంతో.. ఇదే తొలి ఆస్ట్రేలియన్ ఆటోనమస్ సైబర్ అటాక్గా పేర్కొంటున్నారు.
బుకింగ్ కోసం మొదలై.. సైబర్ దాడి
మెల్బోర్న్కు చెందిన ఆండ్రూ అనే వ్యక్తి ఓ ప్రముఖ జిమ్లో ఉదయం క్లాస్కు సీటు బుక్ చేసుకునేందుకు తన పర్సనల్ ఏఐ అసిస్టెంట్ను ఉపయోగించాడు. అయితే క్లాస్ బుకింగ్ వ్యవస్థను పరిశీలించిన ఏఐ.. సాధారణ వెబ్పేజీ పరిమితులను దాటి, దాని వెనుక పనిచేస్తున్న APIలో భద్రతా లోపాన్ని గుర్తించింది. దీంతో జిమ్ నిర్దేశించిన బుకింగ్ సమయానికి చాలా ముందుగానే క్లాస్ను బుక్ చేయగలిగింది.
వెయిటింగ్ లిస్ట్ నుంచి తొలగించిన ఏఐ
ఇక్కడే అసలు సమస్య మొదలైంది. ఆండ్రూ వెయిటింగ్ లిస్ట్లో నాలుగో స్థానంలో ఉన్నాడు. తన స్థానాన్ని ముందుకు తీసుకురాగలమా అని అతను ఏఐని అడిగాడు. అయితే ఏఐ అవకాశం ఉందో లేదో చెప్పడం కాకుండా.. వెయిటింగ్ లిస్ట్లో తనకంటే ముందున్న వ్యక్తి రిజర్వేషన్ను క్యాన్సిల్ చేసింది. ఆ వ్యక్తి డిలీట్ కావటంతో ఆండ్రూ నాలుగో స్థానం నుంచి మూడో స్థానానికి చేరుకున్నాడు లిస్టులో.
అసలు లోపం ఏంటి?
జిమ్ సిస్టమ్లో ఇతరుల రిజర్వేషన్లను రద్దు చేయకుండా నిరోధించే సరైన అథెంటికేషన్ చెక్స్ లేకపోవడమే ఈ ఘటనకు ప్రధాన కారణంగా కనిపిస్తోంది. అంటే ఒక యూజర్కు తన బుకింగ్కు సంబంధించిన చర్యలు మాత్రమే అనుమతించాల్సిన చోట, సిస్టమ్ ఇతరుల రిజర్వేషన్లపై కూడా యాక్షన్ తీసుకునే అవకాశం ఇచ్చింది. మరింత ఆందోళనకరమైన విషయం ఏమిటంటే.. ఆండ్రూ ఆ వ్యక్తిని తొలగించాలని స్పష్టంగా ఆదేశించలేదు. ఏఐ తన లక్ష్యాన్ని సాధించేందుకు తనంతట తానుగా ఆ మార్గాన్ని ఎంచుకుంది.
ఏఐ తప్పు చేస్తే బాధ్యత ఎవరిది?
తర్వాత ఆండ్రూ ఆ వ్యక్తిని తిరిగి వెయిటింగ్ లిస్ట్లో చేర్చాలని ఏఐని కోరగా.. దాన్ని సరిచేయలేనని ఏఐ సమాధానమిచ్చింది. ఈ ఘటన ఒక పెద్ద ప్రశ్నను ముందుకు తెచ్చింది. ఏఐకి వెబ్, APIలు, చెల్లింపులు, ఇమెయిల్స్ వంటి వ్యవస్థలపై యాక్షన్స్ తీసుకునే సామర్థ్యం ఇస్తే, అది అనుకోకుండా నియమాలను ఉల్లంఘించినప్పుడు బాధ్యత ఎవరిది? OpenAI, Anthropic వంటి సంస్థలు కూడా ఏఐ ఏజెంట్ల ప్రమాదకర చర్యలకు సంబంధించిన ఘటనలను నివేదిస్తున్న నేపథ్యంలో.. ఏఐకి సామర్థ్యం ఇవ్వడం కంటే దాని చర్యలకు కఠినమైన పరిమితులు, అనుమతులు, పర్యవేక్షణ ఏర్పాటు చేయడం ఇప్పుడు మరింత కీలకంగా మారుతోంది.
