AI ने नई सुरक्षा समस्याएँ नहीं बनाई। इसने केवल उन्हें तेज़ कर दिया।

हर साल इस समय के आसपास, मुझे ग्राहकों से वही प्रश्न का कोई न कोई रूप मिलता है: “हमें किस नए AI खतरे की चिंता करनी चाहिए?” यह एक उचित प्रश्न है। एजेंटिक हमलों, स्वायत्त मैलवेयर और AI‑संचालित धोखाधड़ी के शीर्षक यह दर्शाते हैं मानो जोखिम की पूरी नई श्रेणी रातोंरात आ गई हो। लेकिन इस उद्योग में तीन दशकों के बाद, मैं इस ढाँचे को चुनौती देता हूँ। AI ने हमलावरों को नया प्लेबुक नहीं दिया है। इसने उन्हें पुराने प्लेबुक की तेज़ प्रतिलिपि दी है।

साइबर सुरक्षा में हमेशा महत्वपूर्ण रहे मूलभूत बातों के बारे में सोचें: कौन किस तक पहुँच रखता है, आप असामान्य चीज़ को कितनी जल्दी पहचान सकते हैं, और कुछ गलत होने पर आप कितनी तेज़ी से पुनर्प्राप्त कर सकते हैं। इनमें से कुछ नहीं बदला है। जो बदला है वह गति है। फ़िशिंग को पहले एक मानव को एक घंटे लगते थे लिखने और भेजने में। अब इसे सेकंडों में उत्पन्न, व्यक्तिगत और तैनात किया जा सकता है। वह मैलवेयर जो पहले अनुकूलन के लिए कुशल डेवलपर की आवश्यकता रखता था, अब तुरंत स्वयं को पुनः लिख सकता है। हमले की विधियाँ परिचित हैं। गति वह है जो आपको रात भर जाग्रत रखनी चाहिए।

हमलों की गति तेज़ हुई है, रणनीतियों नहीं।

मैं यह अनुमान नहीं लगाकर नहीं कहता। 2025 और शुरुआती 2026 के डेटा एक सुसंगत कहानी बताते हैं: वही हमले की श्रेणियाँ, बहुत तेज़ी से निष्पादित। Cofense की थ्रेट इंटेलिजेंस टीम ने दस्तावेज़ किया 2025 में हर 19 सेकंड में एक दुर्भावनापूर्ण ईमेल हमला, जो एक वर्ष पहले मापी गई गति से दो गुना अधिक है। यह कोई नया हमला प्रकार नहीं है। यह फ़िशिंग है, वही तकनीक जिसे रक्षा करने वाले दो दशकों से लड़ रहे हैं, अब ऐसी मात्रा और ताल में आ रहा है जिसे मैनुअल ट्रायेज़ कभी संभाल नहीं सकता था।

समीकरण का एक्सेस पक्ष भी उतनी ही तेज़ी से संकुचित हो गया है। Google Cloud के Mandiant ने, जो 500,000 घंटे से अधिक फ्रंटलाइन इन्सिडेंट रिस्पॉन्स पर आधारित है, अपने M-Trends 2026 रिपोर्ट में पाया कि हमलावर के प्रारंभिक एक्सेस प्राप्त करने और उस एक्सेस को आगे के खतरे वाले अभिनेता को सौंपने के बीच का अंतराल लगभग 22 सेकंड तक गिर गया है, जबकि कुछ साल पहले यह आठ घंटे से अधिक था। “हमने कुछ अजीब देखा” और “नुकसान पहले ही हो चुका है” के बीच का अंतराल प्रभावी रूप से गायब हो गया है।

वर्ल्ड इकोनॉमिक फ़ोरम का वैश्विक साइबर सुरक्षा दृष्टिकोण 2026, Accenture के साथ निर्मित, इस बदलाव की नेतृत्व दृष्टि को दर्शाता है: सर्वेक्षण किए गए 94% कार्यकारी अब AI को आने वाले वर्ष में साइबर सुरक्षा में परिवर्तन का सबसे महत्वपूर्ण चालक मानते हैं। इस बीच, IBM के डेटा उल्लंघन की लागत पर शोध पाया कि AI-संबंधित उल्लंघनों का एक उल्लेखनीय हिस्सा एक्सेस नियंत्रण में उन खामियों से जुड़ा है जो नई AI-विशिष्ट एक्सप्लॉइट्स से असंबंधित हैं। दूसरे शब्दों में, प्रवेश बिंदु अभी भी वही पुराना दरवाज़ा है। यह सिर्फ तेज़ी से खुल रहा है।

मुझे लगता है कई संगठन समस्या का गलत निदान कर रहे हैं, और यह गलत निदान खतरनाक है। यदि नेतृत्व मानता है कि AI सुरक्षा एक बिल्कुल नया अनुशासन है जिसके लिए पूरी नई टूलकिट की आवश्यकता है, तो वे बुनियादी चीज़ों को मजबूत करने के बजाय बिंदु समाधान और विक्रेता प्रस्तुतियों का पीछा करते हैं, जो पहले से ही अस्थिर थीं। मैं कंपनियों को एक अधिक उपयोगी प्रश्न पूछते देखना पसंद करूंगा: क्या हमारी पहचान और एक्सेस कंट्रोल इतनी मजबूत हैं कि वे ऐसे हमलावर का सामना कर सकें जो कभी नहीं सोता, कभी थकता नहीं, और कभी टाइपो नहीं करता?

यही वास्तव में मूल बात है। क्रेडेंशियल चोरी और अंदरूनी जोखिम वर्षों से बढ़ रहे हैं, एजेंटिक AI के बातचीत में आने से बहुत पहले। मल्टी‑फ़ैक्टर ऑथेंटिकेशन, पैचिंग, पहचान मॉनिटरिंग, और न्यूनतम‑विशेषाधिकार एक्सेस नई अवधारणाएँ नहीं हैं। ये वही मूलभूत सिद्धांत हैं जिन्हें हमने प्रबंधित सुरक्षा के शुरुआती दिनों से प्रचारित किया है। अब अंतर यह है कि AI‑संचालित टूल के हाथों में एक समझौता किया गया क्रेडेंशियल हफ्तों तक चुपचाप नहीं रहता जबकि मानव खतरा अभिनेता अगला कदम योजना बनाता है। यह तुरंत, मशीन गति से, अगले अवसर की तलाश में आगे बढ़ता है, इससे पहले कि आपकी टीम अपनी सुबह की कॉफ़ी समाप्त कर ले।

पहचान विस्तार और गैर‑मानव पहचानें हमले की सतह को बढ़ाती हैं

यह वह जगह भी है जहाँ स्वायत्त AI एजेंट पहले से ही विस्तारित पहचान मॉडल को जटिल बनाते हैं। एजेंट API कुंजियों, सर्विस अकाउंट्स और OAuth टोकन के साथ प्रमाणित होते हैं, न कि उपयोगकर्ता नाम और पासवर्ड से, और ये गैर‑मानव पहचानें उद्यमों के भीतर इतनी तेज़ी से बढ़ रही हैं कि शासन प्रक्रियाएँ उनका ट्रैक रखने के लिए डिज़ाइन नहीं की गई थीं। एजेंटिक AI का पहचान विस्तार पर प्रभाव का विश्लेषण ने वही मूल समस्या उजागर की है जो मैं ग्राहक पर्यावरण में देखता हूँ: वे संगठन जो पहले से ही अपने सर्विस अकाउंट्स की सूची बनाने में संघर्ष कर रहे थे, अब नई मशीन पहचानें इतनी तेज़ी से बना रहे हैं कि मैनुअल निगरानी असंभव हो गई है।

ऑपरेशनल मूलभूत सिद्धांतों को सुदृढ़ करने के तीन व्यावहारिक कदम

तो इसका व्यावहारिक अर्थ क्या है? सबसे पहले, “AI सुरक्षा” को अपने सुरक्षा कार्यक्रम में एक अलग आइटम के रूप में मानना बंद करें। यह कोई अतिरिक्त नहीं है। यह उस शासन कार्य के लिए एक तेज़ी का कारक है जो आपको पहले से ही करना चाहिए। यदि आपके पहचान कार्यक्रम में खामियां हैं, तो AI उन्हें मानव से भी तेज़ी से खोज लेगा। यदि आपका पैच चक्र धीमा है, तो AI‑सहायता प्राप्त टोही उस अंतराल का फायदा उठाएगी, इससे पहले कि आपका अगला परिवर्तन विंडो आए।

दूसरा, अपने मनोवृत्ति को केवल पहचान से लचीलापन की ओर बदलें। मैं यह बात लगातार ग्राहकों से कहता हूँ: मान लें कि आप समझौता किए जाएंगे और आगे क्या होगा, उसके लिए तैयार रहें। पहचान महत्वपूर्ण है, लेकिन अब यह आपका एकमात्र रक्षा तंत्र नहीं रह सकता, विशेषकर जब हमलावर वास्तविक समय में अपनी रणनीति बदल सकते हैं। जो संगठन इसे अच्छी तरह संभालते हैं, वे परीक्षण किए गए घटना प्रतिक्रिया योजनाओं, साफ़ बैकअप, और यह स्पष्ट समझ वाले होते हैं कि “रिकवरी” कैसी दिखेगी, इससे पहले कि उन्हें इसकी आवश्यकता पड़े। यह कोई AI रणनीति नहीं है। यह केवल एक अच्छा संचालन अनुशासन है जिसे AI अब अधिक तात्कालिक बना रहा है।

तीसरा, अपने AI-सजग खतरा मॉडलिंग के बारे में ईमानदार रहें। इसका मतलब है प्रत्येक सिस्टम, कार्यप्रवाह और तृतीय‑पक्ष एकीकरण को देखना और एक सरल प्रश्न पूछना: यदि कोई हमलावर यहाँ AI का उपयोग करके तेज़ी से आगे बढ़े, तो सबसे पहले क्या टूटेगा? कई मध्य‑बाजार कंपनियों के लिए, ईमानदार उत्तर असहज है। जब हमले मानव गति से होते थे, तो पुरानी पहुँच नीतियाँ, विस्तृत विक्रेता अनुबंध, और मैनुअल मॉनिटरिंग प्रक्रियाएँ सहनीय थीं। अब वे एक दायित्व बन गई हैं।

एक व्यापक उद्योग में वर्तमान में चल रही बातचीत कि स्वायत्त प्रणालियों को नियंत्रित करना वास्तव में कैसा दिखता है बजाय केवल उन मनुष्यों के जो उन्हें संचालित करते हैं। यह बातचीत महत्वपूर्ण है क्योंकि एजेंटिक AI केवल रक्षा के लिए नया उपकरण नहीं जोड़ता; यह आपके पर्यावरण में कार्रवाई करने वाले व्यक्ति या वस्तु को बदल देता है। प्रत्येक AI एजेंट को एक अलग पहचान, अपने स्वयं के जीवन‑चक्र, अधिकार और व्यवहारिक आधार के साथ मानना जल्दी ही केवल बुनियादी आवश्यकता बन रहा है, न कि एक वैकल्पिक सुविधा। जो संगठन पहले से यह कर रहे हैं, वे एजेंटिक टूल्स को अपनाने के लिए सबसे बेहतर स्थिति में हैं, बिना अनियंत्रित हमले के सतह को अपनाए।

2026 ने पहले ही हमें दिखा दिया है कि AI‑प्रेरित हमले वास्तविक हैं, वे बढ़ रहे हैं, और वे नहीं जा रहे हैं। लेकिन मैं यह देखना पसंद करूंगा कि नेतृत्व टीमें अपनी ऊर्जा बुनियादी सिद्धांतों को मजबूत करने में लगाएँ, न कि एक ऐसी चांदी‑की‑गोली AI रक्षा टूल की खोज में जो वह समस्या हल करने का वादा करती है जिसे ये सिद्धांत वर्षों पहले ही हल कर लेते।

असुविधाजनक सत्य यह है कि अधिकांश उल्लंघन अभी भी वही मूल कारणों से जुड़ते हैं जो हमेशा रहे हैं: एक छूट गया पैच, अत्यधिक अनुमतियों वाला खाता, मॉनिटरिंग में एक अंतर, एक योजना जो कभी परीक्षण नहीं हुई। AI ने इस कहानी को नहीं बदला है। इसको नजरअंदाज करने के परिणाम सिर्फ बहुत तेज़ी से सामने आए हैं।

यदि मैं हर व्यवसायिक नेता से इस क्षण से एक बात ले जाने को कहूँ, तो वह यह होगी: शब्द “AI” को उस काम से ध्यान नहीं भटकाने दें जो आपको पहले से पता था कि करना आवश्यक है। पहचान को मजबूत करें। केवल पहचान के बजाय लचीलापन के लिए निर्माण करें। और यह मान लें, हर दिन, कि सबसे तेज़ हमलावर वह होगा जो कभी रुक कर सोच नहीं सकता।