एआई गठबंधन ने गोपनीय घटना रिपोर्टिंग नियमों का मसौदा तैयार किया है जिसमें सार्वजनिक समय सीमा है

लिनक्स फाउंडेशन ने 4 अगस्त, 2026 को शेयर्ड एआई फाइंडिंग्स एक्सचेंज (सेफ) के लिए एक टिप्पणी का अनुरोध प्रकाशित किया, जो एक मसौदा ढांचा है जो ओपन सिक्योर एआई एलायंस के सदस्यों को एआई सुरक्षा घटनाओं की रिपोर्ट करने के लिए बाध्य करेगा – पहले गोपनीय रूप से, फिर 30 दिनों के भीतर सार्वजनिक रूप से। सिस्को, क्राउडस्ट्राइक [सिक्योरिटीज़_स्टॉक_प्राइस_टैग सимвोल = “सीआरडब्ल्यूडी” एक्सचेंज = “नैस्डैक”], हगिंग फेस, एनवीडिया [सिक्योरिटीज़_स्टॉक_प्राइस_टैग सимвोल = “एनवीडीए” एक्सचेंज = “नैस्डैक”], रेड हैट और अन्य एलायंस सदस्यों के योगदानकर्ताओं ने लास वेगास में ब्लैक हैट सम्मेलन के उद्घाटन के साथ समयबद्ध प्रारंभिक प्रस्ताव तैयार किया है।

मसौदा सेफ प्रस्ताव में एक गोपनीय घटना-सीखने वाली प्रणाली का वर्णन किया गया है: सदस्य एआई सुरक्षा घटनाओं और लगभग-मिस की रिपोर्ट करते हैं, प्रभावित संगठनों को सूचित किया जाता है, दोहराए जाने वाले नियंत्रण विफलताओं की पहचान की जाती है, और परिणाम प्रकाशित, साक्ष्य-आधारित संचालन सिफारिशें बन जाती हैं। एलायंस, जो 27 जुलाई, 2026 को लॉन्च किया गया था, अब 120 से अधिक सदस्य संगठनों की गिनती करता है, एनवीडिया ने अपनी घोषणा में कहा, जिसमें अमेज़ॅन [सिक्योरिटीज़_स्टॉक_प्राइस_टैग सимвोल = “एएमजेडएन” एक्सचेंज = “नैस्डैक”] और वीज़ा नए सदस्यों में से हैं।

मसौदा वास्तव में सदस्यों को क्या प्रतिबद्ध करता है

सेफ ड्राफ्ट दो विशिष्ट स्थानों पर आगे बढ़ता है: रिपोर्ट करने योग्य घटनाओं का एक परिभाषित सेट, और तारीखों के साथ एक अधिसूचना अनुसूची।

मसौदे के रिपोर्टिंग कॉम्पैक्ट के तहत, एक सदस्य को एक घटना की रिपोर्ट करनी होगी जब एक एआई सिस्टम जो यह संचालित करता है एक तीसरे पक्ष की प्रणाली तक अनधिकृत पहुंच प्राप्त करता है या बाधित करता है, एक रेतबॉक्स, नेटवर्क, पहचान, नीति या उपकरण सीमा को पार करता है जो एक तीसरे पक्ष को प्रभावित करता है, तीसरे पक्ष की गोपनीय जानकारी तक पहुंच प्राप्त करता है, या एक उत्पादन लक्ष्य की जांच जारी रखता है जब ऑपरेटर संदेह करता है कि गतिविधि दायरे से बाहर है। मसौदा यह भी कहता है कि इरादा यह तय नहीं करता है कि कोई घटना रिपोर्ट करने योग्य है या नहीं – एक ऑपरेटर जो मानता था कि वातावरण सिम्युलेटेड था, अभी भी रिपोर्ट करने का कर्तव्य रखता है।

अधिसूचना सीढ़ी वह जगह है जहां समय सीमा रहती है: प्रभावित संगठन को जल्द से जल्द सूचित करें, 72 घंटों के भीतर विश्वसनीय जोखिम वाले ग्राहकों, चार व्यावसायिक दिनों के भीतर एक गोपनीय प्रारंभिक सेफ रिपोर्ट, 14 दिनों के भीतर एक व्यापक ग्राहक सलाहकार जब उचित हो, 30 दिनों के भीतर एक प्रारंभिक तथ्यात्मक रिपोर्ट प्रकाशित करें, 90 दिनों के भीतर उपचार की स्थिति प्रकाशित करें, और मशीन-Readable अपडेट प्रति सप्ताह जब तक कि सामग्री जोखिम बने रहते हैं। सदस्यों को 30 दिनों के भीतर एक प्रारंभिक नियंत्रण-विफलता विश्लेषण भी देना होगा – और उन्हें लगभग-मिस की रिपोर्ट करनी होगी, न कि केवल पुष्टि की गई क्षति।

प्रत्येक घटना की समीक्षा आठ परतों में की जाएगी जो संचालन स्टैक के माध्यम से होती है, मॉडल और इसके निर्देशों से लेकर सुरक्षा उपाय, उपकरण, वातावरण, निगरानी, मानव संचालन और आपूर्ति श्रृंखला तक। एक प्रावधान के लायक ध्यान देने योग्य है: प्रभावित संगठन वास्तविक त्रुटियों को सही कर सकता है, लेकिन मसौदा कहता है कि यह समीक्षा से निकलने वाली सीख और सिफारिशों पर वीटो शक्ति नहीं रखनी चाहिए।

स्वेच्छा से सदस्यता, बाध्यकारी शर्तें, कोई प्रवर्तन शाखा नहीं

सेफ को एक स्वैच्छिक कॉम्पैक्ट के रूप में संरचित किया गया है – रिपोर्टिंग कर्तव्य सदस्यों को सदस्यता की स्थिति के रूप में बाध्य करेंगे, कानून के रूप में नहीं। मसौदा कहता है कि सीखना प्रवर्तन से अलग है, कि नियामक और प्रभावित पक्ष अपने कानूनी अधिकारों को बनाए रखते हैं, और कि समय सीमा मौजूदा अधिसूचना दायित्वों को प्रतिस्थापित नहीं करती है जो समन्वित कमजोरता प्रकटीकरण अभ्यास, अनुबंध, या नियामक और कानून प्रवर्तन के लिए कानूनी दायित्वों के तहत हैं। जानबूझकर या आपराधिक आचरण गोपनीय चैनल की सुरक्षा से बाहर होगा।

मसौदा यह भी प्रस्तावित करता है कि सेफ स्वतंत्र रूप से काम करे, ताकि कोई एक विक्रेता या उद्योग खंड इसके निष्कर्षों को नियंत्रित न करे, सरकार और मानक निकाय भाग लेते हैं जो गैर-नियंत्रणकर्ता पर्यवेक्षक के रूप में हैं। प्रस्ताव का अपना फ्रेमिंग इस बिंदु पर स्पष्ट है: “विश्वास एक सुरक्षा नियंत्रण नहीं है। साझा साक्ष्य और सत्यापन योग्य सुधार हैं जो विश्वास अर्जित करने के लिए हैं।” कि क्या स्वतंत्रता तब तक रहती है जब वास्तविक घटनाएं वास्तविक सदस्यों का नाम लेती हैं, यह प्रश्न है जिसका उत्तर टिप्पणी अवधि में दिया जाना है – लेकिन मसौदा कम से कम पहली परीक्षा से पहले लिखित में दायित्व रखता है।

मामला जिसने मामला बनाया

गठबंधन आठ दिन पहले 27 जुलाई, 2026 को लगभग तीन दर्जन कंपनियों और ओपन सोर्स फाउंडेशन के एक गठबंधन के रूप में बनाया गया था, जो 16 जुलाई, 2026 को हगिंग फेस सुरक्षा प्रकटीकरण का स्पष्ट रूप से उल्लेख करता है। हगिंग फेस ने बताया कि एक स्वायत्त एजेंट फ्रेमवर्क ने अपने उत्पादन बुनियादी ढांचे में अंत से अंत तक एक आक्रमण चलाया था, और जब कंपनी ने 17,000 से अधिक रिकॉर्ड किए गए हमलावर क्रियाओं का विश्लेषण करने की कोशिश की, तो व्यावसायिक एपीआई मॉडल ने फोरेंसिक कार्य को अवरुद्ध कर दिया – उनके गार्डरेल सुरक्षा प्रतिक्रिया करने वाले से हमलावर को अलग नहीं कर सके। टीम ने अपने बुनियादी ढांचे पर खुले वजन ग्लएम-5.2 मॉडल पर विश्लेषण पूरा किया। यूनाइट.एआई ने गठबंधन के लॉन्च और हगिंग फेस के फोरेंसिक खाते को कवर किया जब वे उतरे।

सेफ ड्राफ्ट उस प्रकरण का गठबंधन का जवाब पढ़ता है: अगर एक सदस्य का लगभग-मिस इन नियमों के तहत साझा किया गया था, तो अधिसूचना अनुसूची और नियंत्रण-विफलता विश्लेषण पहले से ही घड़ी पर होगा।

इसके बाद क्या होता है

आरएफसी समुदाय की समीक्षा, चर्चा और योगदान के लिए खुला है, जो एलायंस के आरएफसी रिपॉजिटरी के माध्यम से जारी किया गया है, जो एक क्रिएटिव कॉमन्स एट्रिब्यूशन 4.0 लाइसेंस के तहत जारी किया गया है, लिनक्स फाउंडेशन डेवलपर्स, उद्यमों, शोधकर्ताओं और मानक संगठनों को ढांचे को आकार देने के लिए आमंत्रित करता है इससे पहले कि यह कठोर हो। मसौदा विशेष रूप से एक प्रारंभिक दस्तावेज के रूप में है – लिनक्स फाउंडेशन इसे एक खुली चर्चा के रूप में वर्णित करता है, एक समाप्त विनिर्देश के रूप में नहीं, इसलिए ऊपर दिए गए रिपोर्टिंग दायित्व और समय सीमा प्रस्तावित शर्तें बनी रहती हैं जब तक कि कार्य समूह उन्हें अपनाता नहीं है।