कृत्रिम बुद्धिमत्ता एजेंट द्वारा डेटा उल्लंघन की रिपोर्ट, सुरक्षा उपायों की गति पर सवाल

स्पेनिश डेटा सुरक्षा प्राधिकरण Agencia Española de Protección de Datos को एक व्यक्तिगत डेटा उल्लंघन की सूचना मिली है, जिसे कथित तौर पर एक कृत्रिम बुद्धिमत्ता एजेंट के माध्यम से अंजाम दिया गया था। यह एजेंट एक प्रसिद्ध भाषाई मॉडल पर आधारित था।

प्रभावित संगठन द्वारा दी गई जानकारी के अनुसार, इस एजेंट ने सिस्टम में कमजोरियों की तलाश की, सिस्टम तक पहुंच प्राप्त की, सत्यापन प्रक्रिया जारी रखी, व्यक्तिगत डेटा में बदलाव किए और चालानों तक पहुंच प्राप्त की। हालांकि, यह स्पष्ट नहीं है कि डेटा की चोरी हुई है या नहीं। साथ ही, यह भी ज्ञात नहीं है कि किस विशिष्ट कमजोरी, क्रेडेंशियल या कॉन्फ़िगरेशन ने इस पहुंच को संभव बनाया।

यह घटना इस बात पर चर्चा पैदा करती है कि क्या सुरक्षा प्रणालियों में हस्तक्षेप करने के लिए पर्याप्त समय उपलब्ध है। एक कृत्रिम बुद्धिमत्ता एजेंट, यदि आवश्यक उपकरणों के साथ कॉन्फ़िगर किया गया हो, तो वह निर्देशों के भीतर रहकर संचालन कर सकता है, परिणामों का निरीक्षण कर सकता है और अगले कदम को अनुकूलित कर सकता है। यह स्वायत्तता हमले के चरणों के बीच के अंतराल को कम कर सकती है, जिससे घुसपैठ का पता लगाने और उसे रोकने के लिए उपलब्ध समय घट जाता है।

इस संदर्भ में, CCN-CERT के स्पेनिश गाइड BP/36 के अनुसार, अब उन कार्यों को मशीन की गति से करने की आवश्यकता है जिन्हें पहले से करना जानते थे। यह रक्षा प्रक्रियाओं को आक्रामक स्वचालन के अनुरूप ढालने की आवश्यकता पर जोर देता है।

कानूनी दृष्टिकोण से, GDPR को कृत्रिम बुद्धिमत्ता हमलों के लिए किसी नई श्रेणी की आवश्यकता नहीं है। इसके अनुच्छेद 24 और 32 पहले से ही जोखिम के अनुरूप उचित तकनीकी और संगठनात्मक उपायों की मांग करते हैं। अनुच्छेद 32 प्रणालियों की गोपनीयता, अखंडता, उपलब्धता और लचीलेपन के साथ-साथ उपायों की प्रभावशीलता के नियमित सत्यापन पर केंद्रित है। अनुच्छेद 5 और 25 डिजाइन द्वारा डेटा सुरक्षा और जवाबदेही के ढांचे को पूरा करते हैं।

अंततः, अनुच्छेद 35, पैराग्राफ 11 के तहत, जब प्रसंस्करण संचालन द्वारा प्रस्तुत जोखिम बदल जाता है, तो डेटा सुरक्षा प्रभाव मूल्यांकन की समीक्षा का प्रावधान है। यह मामला उन मूल्यांकनों की जांच करने का अवसर देता है जो सबसे अधिक उजागर प्रसंस्करण से संबंधित हैं, ताकि यह देखा जा सके कि क्या वे अभी भी डेटा तक पहुंच के रास्तों और समय पर पता लगाने की क्षमता का वास्तविक वर्णन करते हैं।