Ben Bernstein, Huntress में साइबरसुरक्षा सलाहकारों के प्रबंधक – साक्षात्कार श्रृंखला

Ben Bernstein, Huntress में साइबरसुरक्षा सलाहकारों के प्रबंधक, एक साइबरसुरक्षा पेशेवर हैं जिनके पास तकनीकी सहायता, सिस्टम प्रशासन, क्लाइंट सफलता, तकनीकी खाता प्रबंधन, और सुरक्षा सलाहकारी नेतृत्व सहित एक दशक से अधिक का विविध अनुभव है। उन्होंने अपना करियर व्यावहारिक आईटी भूमिकाओं में शुरू किया, हेल्पडेस्क कार्य से सिस्टम प्रशासन तक प्रगति की, फिर इंटेग्रिस में खाता प्रबंधन और क्लाइंट सफलता में स्थानांतरित हुए। Bernstein ने बाद में Red Canary में तीन वर्ष काम किया, जहाँ उन्होंने तकनीकी खाता प्रबंधक और वरिष्ठ एंटरप्राइज़ तकनीकी खाता प्रबंधक के रूप में एंटरप्राइज़ ग्राहकों के साथ संबंधों का प्रबंधन किया। 2024 में Huntress में संस्थापक तकनीकी खाता प्रबंधक के रूप में शामिल होने के बाद, उन्होंने तकनीकी खाता प्रबंधन नेतृत्व में प्रगति की और अब कंपनी के साइबरसुरक्षा सलाहकारों का प्रबंधन करते हैं, तकनीकी विशेषज्ञता और ग्राहक‑सामना अनुभव के संयोजन का उपयोग करके संगठनों को विकसित होते साइबर खतरे को बेहतर समझने और उनका जवाब देने में मदद करते हैं।

Huntress एक साइबरसुरक्षा कंपनी है जो एक पूरी तरह से प्रबंधित सुरक्षा प्लेटफ़ॉर्म प्रदान करती है, जो एंडपॉइंट, पहचान, लॉग और उपयोगकर्ताओं में संगठनों की रक्षा के लिए डिज़ाइन किया गया है। इसका प्लेटफ़ॉर्म प्रबंधित एंडपॉइंट डिटेक्शन और रिस्पॉन्स (EDR), पहचान खतरा डिटेक्शन और रिस्पॉन्स (ITDR), सुरक्षा सूचना और घटना प्रबंधन (SIEM), और सुरक्षा जागरूकता प्रशिक्षण को 24/7 एआई‑केंद्रित सुरक्षा संचालन केंद्र (SOC) के साथ मिलाता है, जहाँ मानव सुरक्षा विशेषज्ञ काम करते हैं। Huntress के अनुसार, उसकी तकनीक वर्तमान में 5 मिलियन एंडपॉइंट और 15 मिलियन पहचान को 277,000 व्यवसायों में सुरक्षित करती है, और उसकी टीम ग्राहकों की ओर से खतरा पहचान, जांच, प्रतिक्रिया और सुधार संभालती है।

आपने अपना करियर हेल्पडेस्क और सिस्टम प्रशासन में शुरू किया, फिर तकनीकी खाता प्रबंधन के माध्यम से आगे बढ़े और अंततः Huntress में साइबरसुरक्षा सलाहकारी नेतृत्व में आए। वह व्यावहारिक आईटी पृष्ठभूमि आज सुरक्षा के बारे में आपके सोचने के तरीके को कैसे आकार देती है, विशेष रूप से जब वही उपकरण जिन पर प्रशासक निर्भर होते हैं, हमलावरों के प्रवेश बिंदु भी बन सकते हैं?

मैं अपने आईटी पृष्ठभूमि के लिए हर दिन अनंत रूप से आभारी हूँ, अब जब मैं घर की समर्पित साइबर शाखा में हूँ। यह मुझे एक व्यावहारिक दृष्टिकोण देता है। जब आप जानते हैं कि ऑपरेटिंग सिस्टम, एप्लिकेशन और सिस्टम प्रक्रियाएँ सामान्य रूप से काम करने पर कैसे व्यवहार करती हैं, तो विसंगतियाँ और खतरे स्पष्ट रूप से दिखते हैं। आईटी में मेरा समय समस्या निवारण और मूल‑कारण सोच को भी विकसित किया। आप जल्दी सीखते हैं कि आपको धागे का अनुसरण करना चाहिए ताकि आप किसी मुद्दे या खतरे को पूरी तरह से समझ सकें।

मुझे याद है कि मैं उसी उपकरणों, जैसे RMMs, पर बहुत निर्भर था, जिन्हें आज खतरा अभिनेता दुरुपयोग करते हैं। इन्हें स्वयं स्थापित करने के बाद, मैं उनके शक्ति को एक आईटी प्रशासक और एक हमलावर दोनों के हाथों में पूरी तरह समझता हूँ। चूँकि RMMs हर जगह हैं, यह सुरक्षा टीमों पर दबाव डालता है कि वे उनके निष्पादन के आसपास की सभी गतिविधियों को देखें। किसी मशीन पर RMM चलाना स्वाभाविक रूप से बुरा नहीं है। लेकिन यदि वह RMM अचानक अतिरिक्त उपकरण डालना शुरू कर दे या अपरिचित स्क्रिप्ट उत्पन्न करे, तो यह रक्षक को विश्वसनीय सॉफ़्टवेयर सूचियों पर निर्भरता छोड़कर पूरी तरह व्यवहारों को देखना आवश्यक बना देता है।

AI को अक्सर साइबरसुरक्षा में उन्नत स्वायत्त हमलावरों के संदर्भ में चर्चा की जाती है, लेकिन AI का तत्काल प्रभाव कितना केवल साधारण साइबर अपराधियों को तेज़ और अधिक सक्षम बना रहा है? क्या हम ऐसे बिंदु पर पहुँच रहे हैं जहाँ अपेक्षाकृत कम‑कौशल वाले हमलावर ऐसे अभियानों को चला सकें जो पहले अधिक गहरी तकनीकी विशेषज्ञता की आवश्यकता रखते थे?

वर्तमान में स्वायत्त AI हैकिंग सिस्टमों के बारे में बहुत अधिक घबराहट है, लेकिन वास्तविकता यह है कि यह नया ट्रेडक्राफ्ट नहीं है। ये मॉडल अत्यधिक उन्नत तकनीकों का उपयोग करके नेटवर्क में प्रवेश नहीं कर रहे हैं। वे वही कर रहे हैं जो मानव स्क्रिप्ट किडी वर्षों से करते आए हैं, अर्थात इंटरनेट‑उघड़े, अनपैच्ड और गलत‑कॉन्फ़िगर किए गए संसाधनों को स्कैन करना। यह शीर्षक बनाता है क्योंकि “autonomous AI” वाक्यांश डरावना या आकर्षक लग सकता है, लेकिन इन हमलों की वास्तविक यांत्रिकी बुनियादी है।

वास्तविक समस्या यह है कि AI साइबर अपराधियों के लिए प्रवेश बाधा को कम कर देता है। हमलावर एक एक्सप्लॉइट के थकाऊ हिस्सों को स्वचालित कर सकते हैं और अपनी संचालन को बिना गहरी तकनीकी विशेषज्ञता के स्केल कर सकते हैं। यह कम‑कौशल वाले हमलावरों को अभियानों को बहुत तेज़ी से चलाने की अनुमति देता है, जिससे व्यवसायों पर बहुत दबाव पड़ता है। आप अब सुरक्षा उपकरण स्थापित करके उसे भूल नहीं सकते। संगठनों को यह मानना चाहिए कि उनके नेटवर्क लगातार स्कैन किए जा रहे हैं।

Huntress ने RMM घुसपैठ के दौरान हमलावरों द्वारा LLM‑जनित इन्फोस्टीलर स्क्रिप्ट्स का उपयोग देखा है। यह हमें यह बताता है कि जनरेटिव AI साइबरक्राइम की अर्थव्यवस्था और पहुँच को कैसे बदल रहा है?

यह बताता है कि जनरेटिव AI साइबरक्राइम के संचालन ओवरहेड को सरल बना रहा है। एक इन्फोस्टीलर स्क्रिप्ट लिखना नया तकनीकी कार्य नहीं है, लेकिन पारंपरिक रूप से इसके लिए बहुत समय या अंडरग्राउंड फोरम से विशेष उपकरण खरीदने की आवश्यकता होती थी। पीड़ित के नेटवर्क के भीतर एक LLM का उपयोग करके, हमलावर मांग पर कार्यात्मक, कस्टम स्क्रिप्ट्स बना सकते हैं, बजाय पूर्वनिर्मित मैलवेयर पर निर्भर रहने के।

इन मॉडलों तक पहुँचने में अभी भी कुछ लागत आती है, लेकिन प्रवेश की बाधा पहले से कहीं कम है। हम अक्सर देखते हैं कि औसत हमलावर इन टूल्स का उपयोग करके तेज़ी से काम करते हैं और मैन्युअल कोडिंग कार्यों को समाप्त कर देते हैं। यह हमले की अर्थव्यवस्था को मूल रूप से बदल देता है, क्योंकि यह निष्पादन चरण को अत्यधिक सुलभ बना देता है, जिससे कम‑कुशल अभिनेता अपनी संचालन को स्केल कर सकते हैं बिना गहरी तकनीकी विशेषज्ञता के।

Huntress ने रिमोट मॉनिटरिंग और मैनेजमेंट टूल दुरुपयोग में वर्ष‑दर‑वर्ष 277% वृद्धि की रिपोर्ट की। वैध RMM प्लेटफ़ॉर्म कस्टम मैलवेयर के मुकाबले इतना आकर्षक विकल्प क्यों बन गए हैं, और एक बार पहुँच प्राप्त करने पर वे हमलावरों को कौन‑से लाभ प्रदान करते हैं?

RMM टूल्स में मूल रूप से कुछ भी बुरा नहीं है। वे एक महत्वपूर्ण उद्देश्य पूरा करते हैं, आईटी प्रशासकों और MSPs को कुशलता से काम करने और उपयोगकर्ताओं का समर्थन करने में मदद करते हैं। समस्या यह है कि कस्टम मैलवेयर पारंपरिक एंटीवायरस सॉफ़्टवेयर द्वारा फ़्लैग किया जाता है, जबकि RMM साइन किए हुए, विश्वसनीय होते हैं और मानक सुरक्षा नियंत्रणों को बायपास कर लेते हैं। हमलावर के लिए और भी बेहतर यह है कि RMM एजेंट स्वाभाविक रूप से उन्नत प्रशासनिक विशेषाधिकारों के साथ चलते हैं और अंतर्निहित स्थायित्व प्रदान करते हैं, अर्थात वे सिस्टम रीबूट के बाद भी सक्रिय रहते हैं बिना अतिरिक्त प्रयास के पहुँच बनाए रखने के।

एक बार हमलावर लक्ष्य मशीन पर अपना RMM एजेंट चलाने में सफल हो जाता है, तो उसके पास मूलतः एक रिमोट कंट्रोल कंसोल हो जाता है। वह फ़ाइलों को सहजता से आगे‑पीछे स्थानांतरित कर सकता है, और अक्सर वह अपना RMM इंस्टेंस पहले से ही दुर्भावनापूर्ण स्क्रिप्ट और टूल्स के साथ सेट कर लेता है, जिन्हें एक क्लिक में एंडपॉइंट्स पर चलाया जा सकता है। क्योंकि स्वयं एप्लिकेशन वैध है, रक्षा करने वाले इसे बस ब्लॉक नहीं कर सकते। यह सुरक्षा टीमों को भरोसेमंद सॉफ़्टवेयर सूचियों पर निर्भरता छोड़कर व्यवहार पर नज़र रखने के लिए मजबूर करता है, जिससे 24/7 मॉनिटरिंग आवश्यक हो जाती है यदि आप हमलावर द्वारा प्रशासनिक सॉफ़्टवेयर के दुरुपयोग को पकड़ना चाहते हैं।

Huntress ने दस्तावेज़ किया है कि हमलावर कई RMM टूल्स को “डेज़ी‑चेन” करके टेलीमेट्री को विभाजित करते हैं और अतिरिक्त पहुँच बनाते हैं। क्या आप बता सकते हैं कि ऐसी घुसपैठ आमतौर पर कैसे विकसित होती है और क्यों रक्षा करने वालों के लिए इसे पहचानना इतना कठिन होता है?

यहाँ एक विशेष रूप से रोचक उदाहरण है जिसे हमने पकड़ा और एक ब्लॉग में लिखा। घुसपैठ एक फ़िशिंग ईमेल से शुरू हुई जिसमें एक नकली व्यावसायिक दस्तावेज़, जैसे “Network Solutions Agreement” का उपयोग किया गया था। पीड़ित ने ईमेल में लिंक पर क्लिक किया, एक नकली CAPTCHA द्वारा संरक्षित पृष्ठ पर पहुँचा, और वह डाउनलोड किया जिसे वह एक सामान्य PDF या सेवा दस्तावेज़ समझता था। वास्तव में, वह डाउनलोड एक निष्पादन योग्य इंस्टॉलर था। जब उपयोगकर्ता ने समझौते को खोलने के लिए फ़ाइल पर दो बार क्लिक किया, तो उन्होंने चुपचाप एक वैध लेकिन अनधिकृत रिमोट एक्सेस टूल, जिसका नाम Tiflux RMM है, स्थापित कर लिया।

एक बार खतरे वाले ने वह प्रारंभिक Tiflux एजेंट चलाया, तो उन्होंने तुरंत उसकी अंतर्निहित क्षमताओं का उपयोग करके अतिरिक्त टूल्स जैसे Splashtop, ScreenConnect, और UltraVNC को उसी मशीन पर नीचे धकेल दिया और साइडलोड किया। यह उल्लेख करना महत्वपूर्ण है कि ये सभी स्वयं अतिरिक्त वैध RMM टूल्स हैं।

हमलावर यह सुपर‑स्थायित्व स्थापित करने के लिए करते हैं। वे जानते हैं कि यदि कोई आईटी प्रशासक एक अनधिकृत रिमोट टूल देखता है और उसे अनइंस्टॉल करता है, तो हमलावर के पास अभी भी दो‑तीन अन्य सक्रिय बैकडोर इंतजार कर रहे होते हैं। यह रणनीति टेलीमेट्री को विभाजित करती है। सुरक्षा प्लेटफ़ॉर्म केवल अलग‑अलग, साइन किए हुए प्रशासनिक एप्लिकेशन को एक साथ चलते और वैध विक्रेता इन्फ्रास्ट्रक्चर को कॉल करते हुए देखते हैं। जब तक कोई रक्षा करने वाला सक्रिय रूप से उस गतिविधि की निगरानी नहीं करता और यह नहीं पूछता कि एक ही एंडपॉइंट को उसी दोपहर में कई अलग‑अलग रिमोट मैनेजमेंट एजेंट क्यों स्थापित किए गए, यह सब सामान्य आईटी रख‑रखाव के शोर में मिल जाता है।

24/7 व्यवहारिक मॉनिटरिंग के अलावा, यहाँ एक और प्रभावी नियंत्रण है एंडपॉइंट सुरक्षा स्थिति प्रबंधन और एप्लिकेशन नियंत्रण। यदि कोई संगठन स्पष्ट रूप से परिभाषित करता है कि कौन‑से विशिष्ट RMM संस्करण उनकी मशीनों पर चलने की अनुमति हैं, तो वे अनधिकृत टूल्स को पूरी तरह से निष्पादित होने से रोक सकते हैं, जिससे डेज़ी‑चेन शुरू होने से पहले ही रोक दिया जाता है।

परम्परागत सुरक्षा मॉडल अक्सर विश्वसनीय और अविश्वसनीय सॉफ़्टवेयर के बीच अंतर करते हैं, लेकिन RMM हमले ऐसे टूल्स का दुरुपयोग करते हैं जो वैध, साइन किए हुए और पहले से ही आईटी द्वारा अनुमोदित हो सकते हैं। क्या इसका मतलब है कि रक्षा करने वालों को यह पूछना बंद कर देना चाहिए कि कोई एप्लिकेशन विश्वसनीय है या नहीं, और इसके बजाय यह देखना चाहिए कि उसका व्यवहार विश्वसनीय है या नहीं?

हाँ, बिल्कुल। बाइनरी भरोसे का पारम्परिक मॉडल टूट चुका है। बाइनरी साइनिंग का उद्देश्य यह सत्यापित करना था कि एप्लिकेशन एक वैध विक्रेता से आया है, न कि यह गारंटी देना कि उसके कार्य सुरक्षित हैं।

यदि कोई हमलावर एक साइन किया हुआ RMM बाइनरी या लिविंग‑ऑफ़‑द‑लैंड यूटिलिटी का उपयोग करता है, तो स्वयं निष्पादन फ़ाइल साफ़ होती है, लेकिन उसके पीछे की गतिविधि दुर्भावनापूर्ण होती है। रक्षा करने वालों को “क्या यह फ़ाइल विश्वसनीय है?” पूछने से आगे बढ़कर यह देखना चाहिए कि उसका व्यवहार संदर्भ में समझ में आता है या नहीं। किसी मशीन पर RMM चलना स्वाभाविक रूप से बुरा नहीं है। लेकिन यदि वह टूल अचानक अतिरिक्त यूटिलिटीज़ डालना शुरू कर दे, अपरिचित स्क्रिप्ट चलाए, या सेवा खाते के तहत रात 2 बजे चलाए, तो यह समझौते का संकेत है। संदर्भ और व्यवहार हमेशा महत्वपूर्ण रहे हैं, लेकिन अब जब हमलावर भरोसेमंद सॉफ़्टवेयर पर इतना निर्भर हैं, तो यह पहले से अधिक महत्वपूर्ण हो गया है।

जैसे ही AI किसी भेद्यता या कॉन्फ़िगरेशन गैप की खोज और उसका शोषण करने के बीच का समय घटाता है, यह सुरक्षा स्थिति प्रबंधन की भूमिका को कैसे बदलता है? कौन‑से पहचान, एंडपॉइंट और रिमोट‑एक्सेस कमजोरियों को संगठनों को प्राथमिकता देनी चाहिए ताकि हमलावरों को उनका शोषण करने का अवसर न मिले?

सुरक्षा स्थिति प्रबंधन अब पहले से अधिक महत्वपूर्ण है क्योंकि यह संगठनों को उन सामान्य सुरक्षा खामियों को सक्रिय रूप से बंद करने में मदद करता है जिन्हें हमलावर हर दिन शोषित करते हैं। यह पहचान और प्रतिक्रिया को पूरक करता है, लगातार गलत कॉन्फ़िगरेशन, अत्यधिक अनुमतियों, अनधिकृत अनुप्रयोगों और एंडपॉइंट्स तथा पहचानियों में अन्य कमजोरियों जैसी समस्याओं की पहचान और समाधान करता है। जब भेद्यता के खुलासे और स्वचालित स्कैनिंग के बीच का अंतराल घंटों तक घट जाता है, तो उन खामियों को शोषित होने से पहले कम करना आवश्यक हो जाता है। संगठनों को विभिन्न वातावरणों में एक सुसंगत, कड़ा स्थिति बनाए रखना चाहिए ताकि वे सामना करने वाली घटनाओं की संख्या कम हो और यदि हमलावर दरवाज़ा खोल लेता है तो वह क्या तक पहुँच सकता है, इसे सीमित किया जा सके।

जबकि लगभग हर साइबर विक्रेता खुशी-खुशी जनता को “शिक्षित” (या डराने) का प्रयास करता है कि वे किस खतरे या सुरक्षा डोमेन के लिए समाधान बेचते हैं, वास्तविक प्राथमिकता सूची केवल प्रत्येक व्यक्तिगत संगठन ही तय कर सकता है। हर व्यवसाय CIA त्रिकोण के विभिन्न घटकों को महत्व देता है, और हर कंपनी के पास संवेदनशील डेटा विभिन्न स्थानों पर संग्रहीत या एक्सेस किया जाता है। अधिकांश व्यवसायों को सुनने वाला वास्तविक सलाह यह है कि वे निर्धारित करें कि कौन सा डेटा, संपत्ति या उत्पादन प्रणाली उनके संचालन के लिए सबसे महत्वपूर्ण है, और फिर वहाँ से पीछे की ओर काम करके सबसे महत्वपूर्ण चीज़ की रक्षा करें।

AI एजेंटों के अंततः हमले के जीवनचक्र के महत्वपूर्ण हिस्सों को स्वायत्त रूप से करने के बारे में बढ़ती चिंता है। कौन सी क्षमताओं में सुधार की आवश्यकता होगी ताकि स्वायत्त साइबर हमले आज के AI-सहायता प्राप्त हमलों की तुलना में अधिक खतरनाक बन सकें, और क्या रक्षक पर्याप्त तेज़ी से तैयारी कर रहे हैं?

स्वायत्त एजेंटों के बारे में चिंता यह संकेत देती है कि यह भविष्य की समस्या है, लेकिन हम पहले ही देख रहे हैं कि वे आज ही हमले कर रहे हैं। हालांकि, ये स्वायत्त हमले अभी तक पूर्ण नहीं हैं। हालिया JadePuffer रैनसमवेयर अभियान को देखें। यह पूरी तरह से एक AI एजेंट द्वारा चलाया गया था, लेकिन इसमें स्पष्ट त्रुटियाँ थीं। मॉडल ने संचालन के कुछ हिस्सों को कल्पना कर ली, जिसमें रैनसम नोट के लिए एक नकली बिटकॉइन वॉलेट पता बनाना शामिल था। और भी अधिक बेतुका, AI ने एन्क्रिप्शन कुंजी को सहेजना या ट्रांसमिट करना भूल गया। उसने बस यादृच्छिक रूप से उत्पन्न कुंजी को एक अस्थायी कंसोल आउटपुट में प्रिंट किया और सत्र बंद कर दिया, जिससे पीड़ित के लिए डेटा पुनः प्राप्त करना गणितीय रूप से असंभव हो गया, भले ही उन्होंने भुगतान किया हो।

वास्तविकता यह है कि रणनीति, तकनीक और प्रक्रियाओं (TTP) के दृष्टिकोण से, स्वायत्त AI, स्वचालित स्क्रिप्ट और मानव हमलावर सभी बिल्कुल वही काम कर रहे हैं। वे अभी भी वही प्रकार की इंटरनेट-उघड़ी, भेद्य और गलत कॉन्फ़िगर की गई संपत्तियों का शोषण कर रहे हैं। AI को अभी भी मानक किल चेन से गुजरना पड़ता है। उसे प्रारंभिक पहुँच प्राप्त करनी होती है, अनुमतियों को बढ़ाना होता है, पार्श्विक रूप से चलना होता है, और अपना पेलोड निष्पादित करना होता है। JadePuffer मामले में, उसने बस एक ज्ञात, अनपैच्ड भेद्यता का उपयोग करके दरवाज़ा खोला और फिर नेटवर्क में अपनी राह खोजता रहा।

चूंकि हमले की मूल यांत्रिकी नहीं बदली है, रक्षकों को अपने मौजूदा प्लेबुक को फेंकने की आवश्यकता नहीं है। आपको अभी भी स्तरित सुरक्षा, बुनियादी आईटी स्वच्छता और मजबूत व्यवहारिक पहचान की आवश्यकता है। जो बदलता है वह है वह दबाव और गति जिससे रक्षकों को घटनाओं को प्रोसेस करना और अलर्ट को प्राथमिकता देना पड़ता है। जब एक AI एजेंट गलती करता है, त्रुटि लॉग पढ़ता है, और सेकंडों में स्वयं सुधार करता है ताकि आगे बढ़ता रहे, तो रक्षकों को बस उस तेज़ गति के अनुकूल होना पड़ता है जिस पर साइबर हमले अब चल रहे हैं।

हमलावर AI को अपना रहे हैं, लेकिन रक्षकों के पास भी कई समान तकनीकें उपलब्ध हैं। आप AI को किस क्षेत्र में सबसे बड़ा रक्षात्मक लाभ प्रदान करता देखते हैं: असामान्य व्यवहार का पता लगाना, टेलीमेट्री का विश्लेषण, भेद्यताओं को प्राथमिकता देना, प्रतिक्रिया को स्वचालित करना, या कहीं और पूरी तरह से?

पहले, यह ब्लू टीम के समन्वय के लिए अत्यधिक प्रभावी है। सुरक्षा टीमों को डेटा समस्या नहीं, बल्कि शोर समस्या है। AI अनाज के ढेर में सुई निकालने, विभिन्न, प्रतीत होने वाले असंबंधित घटनाओं को एक साथ लाने, और एक घुसपैठ की पूरी कहानी बताने में अत्यंत उपयोगी है।

दूसरे, AI रक्षकों के लिए वही कर रहा है जो वह हमलावरों के लिए करता है—कौशल अंतर को पाट रहा है। जब एक जूनियर SOC विश्लेषक को जटिल, अत्यधिक अस्पष्ट स्क्रिप्ट या जटिल अलर्ट का सामना करना पड़ता है, तो वह तुरंत एक LLM का उपयोग करके उस डेटा को साधारण अंग्रेज़ी में अनुवाद कर सकता है। यह रिवर्स इंजीनियरिंग के मैनुअल श्रम को हटाता है और रक्षकों को तेज़ी से त्रि-आधारित करने और प्रतिक्रिया देने में सक्षम बनाता है।

अंत में, प्रतिक्रियात्मक रक्षा से आगे देखते हुए, रेड और पर्पल टीमों के लिए AI का उपयोग करके रक्षा का सक्रिय परीक्षण और सत्यापन करने का एक विशाल अवसर है। पूरी तरह से स्कोप्ड, मानव-नेतृत्व वाले पेनिट्रेशन टेस्ट अभी भी अनिवार्य हैं। लेकिन AI तकनीकी बाधा को कम करता है, जिससे छोटे, एटॉमिक परीक्षण चलाकर सुरक्षा स्टैक के विभिन्न स्तरों को सत्यापित किया जा सकता है। वार्षिक पेन-टेस्ट का इंतजार करने या वास्तविक जैविक खतरे के आने पर उँगली क्रॉस करने के बजाय, संगठन AI का उपयोग करके सुरक्षित और बार-बार अपने वातावरण का परीक्षण कर सकते हैं कि वास्तव में क्या टूटता है।

आगे देखते हुए, क्या आप उम्मीद करते हैं कि साइबर सुरक्षा उद्योग एक ऐसे माहौल में प्रवेश करेगा जहाँ हमलावर और रक्षक दोनों स्वायत्त एजेंटों के माध्यम से अधिकाधिक कार्य करेंगे? यदि हाँ, तो अंततः कौन तय करेगा कि किसके पास लाभ है जब दोनों पक्षों की मशीनें मशीन गति पर खतरे की पहचान और प्रतिक्रिया कर सकती हैं?

AI निश्चित रूप से अंडरग्राउंड अर्थव्यवस्था को हिला रहा है। साइबरक्राइम‑एज़‑ए‑सर्विस के लिए डार्कनेट मार्केट ने मालवेयर और स्क्रिप्ट बेचने पर फल‑फूल किया है क्योंकि इन्हें पारंपरिक रूप से विशेष डेवलपर कौशल की आवश्यकता होती थी। AI इस इकोसिस्टम की पहुँच और आर्थिक मॉडल को बदल रहा है, जिससे कम‑कुशल ऑपरेटर अपनी खुद की टूलिंग ऑन‑डिमांड बना सकते हैं। यह संभवतः कई लेगेसी, ऑफ‑द‑शेल्फ़ मालवेयर विक्रेताओं को बंद कर देगा। जब एक थ्रेट एक्टर्स अंडरग्राउंड फोरम पर सामान्य ऑफ‑द‑शेल्फ़ मालवेयर के लिए भुगतान कर सकते हैं, जबकि वे बस एक LLM को प्रॉम्प्ट करके कस्टम टूलिंग ऑन‑डिमांड जेनरेट कर सकते हैं, तो वह ऐसा क्यों करेगा?

जब दोनों पक्ष AI से लैस होते हैं, तो लाभ अंततः इन्फ्रास्ट्रक्चर, ट्यूनिंग और निगरानी पर निर्भर करता है। यह इस बात की लड़ाई बन जाता है कि किसके पास अधिक कंप्यूट बजट (ज्यादा टोकन बर्न करने की क्षमता) है और किसके पास बेहतर ट्यून किया हुआ मॉडल है। थ्रेट एक्टर्स के लिए परीक्षण यह है कि क्या उनका AI क्रमिक रूप से समस्या निवारण कर सकता है, एरर लॉग पढ़ सकता है, और जब कोई एक्सप्लॉइट फेल हो तो उचित रूप से पिवट कर सकता है। डिफेंडर्स के लिए परीक्षण यह है कि क्या आपके डिटेक्टर्स वास्तव में ट्यून किए गए हैं और क्या आपके डेटा पाइपलाइन सही तरीके से जुड़े हुए हैं ताकि AI को रियल‑टाइम में सही टेलीमेट्री मिल सके। लेकिन इससे भी महत्वपूर्ण यह है कि क्या आपके पास व्यापारिक संदर्भ वाले मानव विशेषज्ञ लूप में हैं जो महत्वपूर्ण निर्णय ले सकें, जैसे AI की घटना व्याख्या पढ़ना और यह तय करना कि समझौता किए गए मशीन को अलग करना है या खतरे को कंटेन करने के लिए प्रोडक्शन सिस्टम को ऑफ़लाइन करना है।

आखिरकार, AI सुरक्षा के मूल सिद्धांतों को नहीं बदलता। वे व्यवसाय जो सबसे बेहतर प्रदर्शन करेंगे, वही हैं जो छोटे‑छोटे पहलुओं को सही ढंग से लागू करते रहेंगे। यह आपके अटैक सतह को कम करने, कमजोरियों को पैच करने, कॉन्फ़िगरेशन को हार्डन करने, 24/7 मॉनिटरिंग करने, समझौता मानने और नियमित रूप से अपनी रक्षा का सक्रिय परीक्षण करने पर निर्भर करता है। AI केवल एक त्वरक है। जो बुनियादी चीजें तेज़ और लगातार लागू करता है, वही जीतता है।

उत्कृष्ट साक्षात्कार के लिए धन्यवाद, जो पाठक अधिक जानना चाहते हैं उन्हें Huntress पर जाना चाहिए।