कयामत की आशंका क्यों ध्यान भटकाती है, और एआई का असली जोखिम किस बात को लेकर होना चाहिए

अगर आप समाचार माध्यमों से कोई भी खबर देखते-पढ़ते हैं, तो एआई उद्योग को लेकर बढ़ती भयाकुलता और कयामत की चेतावनियों को अनदेखा करना मुश्किल है। एआई प्रणालियों से मानवता को होने वाले ‘अस्तित्वगत जोखिम’ की चेतावनी देने वाली इस कहानी ने साइबर सुरक्षा कंपनियों के लिए भीड़ के पीछे चलना और डर बेचकर मुनाफ़ा कमाना बेहद आसान बना दिया है। लेकिन ‘कयामत’ पर ध्यान केंद्रित करना भ्रामक है, क्योंकि इससे आज संगठनों के सामने एजेंट-आधारित एआई के अधिक तात्कालिक जोखिम नज़रअंदाज़ हो जाते हैं।

बेशक, किसी संगठन के नियंत्रण से स्वतंत्र रूप से काम करने वाले एआई एजेंट स्पष्ट जोखिम पैदा करते हैं। हाल ही में, ऑस्ट्रेलिया और अमेरिका की रिपोर्टों में पाया गया कि दोनों देशों की सरकारी प्रणालियों पर OpenAI के एआई एजेंट अपने निर्धारित कार्यों की सीमा से बाहर चले गए थे।

फिर भी, एआई से जुड़ी कयामत की आशंकाओं को बढ़ा-चढ़ाकर पेश किया गया है। काल्पनिक स्थितियों पर अटकने के बजाय, संगठनों को इस नई वास्तविकता का सामना करना होगा और परिचालनगत लचीलेपन के लिए यह सुनिश्चित करना होगा कि नियतात्मक सुरक्षा उपाय लागू हों।

इंटरनेट का कोई एकल बंद करने वाला स्विच नहीं है

कयामत की कहानी पर विश्वास करने वालों का मानना है कि जैसे-जैसे एआई अधिक परिष्कृत और व्यापक होता जाएगा, वह एक केंद्रीकृत ‘किल स्विच’ बन सकता है—ऐसा एकमात्र बिंदु, जिसे कोई अपने पूर्ण नियंत्रण में लेकर तबाही मचा सकता है।

लेकिन इंटरनेट, किल स्विच के सिद्धांत की मान्यता से कहीं अधिक विकेंद्रीकृत और विविधतापूर्ण है। यह ‘नेटवर्कों के नेटवर्क’ के रूप में काम करता है। इसमें अलग-अलग संरचनाओं में परत-दर-परत जुड़े अरबों घटक शामिल हैं और अनगिनत परिचालन दल, अलग-अलग मानकों और उपकरणों के साथ, उनकी सुरक्षा करते हैं। इसलिए ऐसा कोई एक स्विच नहीं है जिसे कोई व्यक्ति या मशीन पलट सके—न ही कोई एक ऐसी कमज़ोरी या कमज़ोरियों की शृंखला है जिसका फायदा उठाकर इस तरह का विनाशकारी नतीजा लाया जा सके।

एआई किसी कृत्रिम रोगजनक को तैयार करके छोड़ दे या एयर-गैप वाली परमाणु प्रणालियों में सेंध लगा दे—यह विचार सिनेमा में देखने के लिए रोमांचक कहानी बन सकता है। फिर भी, परिचालनगत खतरे के आकलन में इसे एक विश्वसनीय स्थिति मानना वास्तविकता से बहुत दूर है।

नज़र से ओझल, नियंत्रण से बाहर

एजेंट-आधारित एआई के विकास के साथ, दो कारकों ने उद्यमों के जोखिम की प्रकृति को बुनियादी तौर पर बदल दिया है।

एक ओर, एआई अब बुरे इरादे वाले लोगों को साइबर सुरक्षा की कमज़ोरियाँ ढूँढ़ने और उनका फ़ायदा उठाने में महीनों के बजाय मिनटों में सक्षम बना सकता है। संभाव्यता-आधारित एआई सुरक्षा प्रणालियों के संदिग्ध गतिविधि की पहचान करने तक अक्सर खतरे का जवाब देने में बहुत देर हो चुकी होती है। चूँकि ये प्रणालियाँ तय नियमों के बजाय सांख्यिकीय संभावनाओं पर काम करती हैं, इसलिए सबसे अच्छी प्रणालियाँ भी कुछ दुर्भावनापूर्ण गतिविधियों को पहचानने से चूक जाएँगी; हमलावर को बस एक बार बच निकलना होता है

दूसरी ओर, कर्मचारियों द्वारा ‘शैडो एआई’ के इस्तेमाल से यह जानना कहीं अधिक मुश्किल हो गया है कि किन चीज़ों की सुरक्षा करनी है। Cloud Security Alliance के सर्वेक्षण में शामिल 82% संगठनों ने पाया कि पिछले एक साल में उनके यहाँ ऐसे एआई एजेंट काम कर रहे थे जिनकी जानकारी सुरक्षा या आईटी टीमों को नहीं थी—हालाँकि 68% ने कहा कि उन्हें एजेंटों के बारे में अपनी जानकारी की व्यापकता पर बहुत भरोसा था। अलग से, EY ने पाया कि एजेंट-आधारित एआई का इस्तेमाल करने वाली बड़ी अमेरिकी कंपनियों में से एक-चौथाई ने माना कि वे कारोबार के भीतर सक्रिय अनधिकृत एजेंटों का पता लगाने में असमर्थ थीं।

स्वाभाविक रूप से, इन दोनों बदलावों से उद्यम प्रणालियों पर परिचालन का भारी दबाव पड़ता है। इनके मिले-जुले असर से संगठन गंभीर रूप से नुकसानदेह स्थिति में आ जाते हैं: वे उजागर कमज़ोरियों की पहचान करके उन्हें ठीक करने में बहुत धीमे हैं और उन्हें यह भी पता नहीं होता कि शुरुआत में कौन-सी प्रणालियाँ उजागर हैं।

जिन चीज़ों पर नियंत्रण संभव है, उन्हें नियंत्रित करना

संगठनों को कारोबार में काम कर रहे हर एजेंट की अद्यतन सूची रखनी चाहिए—चाहे उसे मंज़ूरी मिली हो या नहीं। हर एजेंट के लिए एक नामित ज़िम्मेदार व्यक्ति होना चाहिए और यह स्पष्ट रूप से तय होना चाहिए कि वह किन चीज़ों तक पहुँच सकता है और क्या कर सकता है। ‘नियंत्रण में रखी जा सकने वाली चीज़ों’ पर काबू पाने का यह पहला कदम है, क्योंकि एआई मॉडल भले ही संभाव्यता-आधारित हों, लेकिन उनके इर्द-गिर्द बनाए गए नियंत्रण नियतात्मक, स्थिर और स्पष्ट रूप से परिभाषित हो सकते हैं।

व्यवहार में, इसका अर्थ है कि जब भी कोई एजेंट किसी कार्रवाई का प्रस्ताव दे, तो मॉडल से स्वतंत्र एक अलग प्रवर्तन परत यह जाँचे कि उस कार्रवाई की अनुमति है या नहीं और उसका लेखा-परीक्षण रिकॉर्ड भी रखे। फिर भी, केवल 11% संगठन एजेंट की कार्रवाई उसके निर्धारित दायरे से बाहर जाने पर उसे अपने-आप रोकते हैं; अधिकांश संगठन मानवीय मंज़ूरी पर निर्भर रहते हैं या केवल उसका लॉग दर्ज करते हैं। ऑस्ट्रेलिया की घटना दिखाती है कि लक्ष्य प्रणाली के इनकार पर निर्भर रहने की क्या कीमत हो सकती है: पहुँच से इनकार किए जाने पर एजेंट ने भीतर आने का दूसरा रास्ता खोज लिया। व्यापक शासन-व्यवस्था भी सभी एजेंटों की लगातार पहचान करने, उन्हें अधिकृत करने और सत्यापित करने में सक्षम होनी चाहिए, ताकि अप्रत्याशित परिचालनगत जोखिम हकीकत न बनें। यह सब तेज़ी से होना चाहिए, क्योंकि मशीन की गति से होने वाले हमलों का मुकाबला करने के लिए नियम भी मशीन की गति से लागू होने चाहिए।

काल्पनिक डर से व्यावहारिक समाधान की ओर

स्वायत्त एआई प्रणालियों को लेकर कयामत की खबरों की बाढ़ कितनी भी प्रभावशाली क्यों न लगे, वह वास्तविकता से बहुत दूर है। जिस जोखिम की चिंता करनी चाहिए, वह उस एआई से कहीं अधिक साधारण है जो हमें नष्ट करने का फ़ैसला कर ले: कोई एजेंट आपके कारोबार के भीतर इतनी तेज़ी से काम करे कि किसी को उसका पता ही न चले, और उसे ऐसी अनुमतियाँ मिली हों जो किसी ने दी ही न हों।

गति और दृश्यता—दोनों की समस्याएँ हल की जा सकती हैं, बशर्ते एआई को नियंत्रित करने वाली सुरक्षा प्रणालियाँ नियतात्मक हों और हर एजेंट की गतिविधि की गति से उसकी सटीक जाँच और निगरानी कर सकें।

निदेशक मंडलों और सुरक्षा प्रमुखों के लिए, इसका सार तीन व्यावहारिक सवालों में है: क्या हमें अपने परिवेश में चल रहे हर एजेंट की जानकारी है, क्या हर एजेंट का एक जिम्मेदार मालिक और तय सीमाएँ हैं, और क्या हम किसी अनधिकृत कार्रवाई को अंजाम दिए जाने से पहले रोक सकते हैं? ग्राहकों को इन व्यावहारिक कमियों को दूर करने में मदद करके साइबर सुरक्षा सेवा प्रदाता, काल्पनिक भविष्य के डर को बेचने की तुलना में, उनकी मज़बूती बढ़ाने के लिए कहीं अधिक कर सकते हैं।