CodeWall ने एंटरप्राइज़ सुरक्षा में स्वायत्त आक्रमण एजेंट लाने के लिए 4 मिलियन डॉलर की प्री-सीड फंडिंग जुटाई

सुरक्षा टीम किसी भेद्यता को ठीक कर सकती है, फिर भी हमलावर के लिए उसी डेटा तक पहुँचने का एक दूसरा रास्ता खुला रह सकता है। बड़ा सवाल यह है कि क्या अलग-अलग एप्लिकेशन, पहचानों और बुनियादी ढाँचे की कमजोरियों को जोड़कर एक कारगर घुसपैठ की जा सकती है।

CodeWall अपना कारोबार लगातार इस सवाल का जवाब देने के इर्द-गिर्द खड़ा कर रही है। लंदन स्थित यह स्टार्टअप अब तक गुप्त रूप से काम करने के बाद सामने आई है और उसने 40 लाख डॉलर की प्री-सीड फंडिंग जुटाई है। 14 अक्टूबर की घोषणा के अनुसार, इस निवेश दौर का नेतृत्व Osney Capital ने किया, जबकि इसमें InReach Ventures, Antler और एंजेल निवेशकों ने भी हिस्सा लिया।

कंपनी ऐसे स्वायत्त आक्रमण एजेंट विकसित करती है जो बिना क्रेडेंशियल, सोर्स कोड या आंतरिक पहुँच की जरूरत के, बाहर से किसी एंटरप्राइज़ की जाँच करते हैं। कंपनी का लक्ष्य रक्षाकर्मियों को ऐसा निरंतर तरीका देना है जिससे वे किसी दुर्भावनापूर्ण हमलावर के इस्तेमाल से पहले ही शोषण योग्य रास्तों का पता लगा सकें और उनकी पुष्टि कर सकें।

कमजोरियों की सूची से हमले के रास्ते के ठोस प्रमाण तक

CodeWall की तकनीकी परिकल्पना का केंद्र यह है कि नए प्रमाण सामने आने पर जाँच के तरीके को उनके अनुसार ढाला जाए। कंपनी का कहना है कि आक्रामक सुरक्षा विशेषज्ञों की कमी और समय-समय पर होने वाले आकलनों के कारण संगठनों को ऐसे परिवेश की जाँच करने में कठिनाई होती है, जो आकलनों के बीच बदलता रहता है।

कंपनी की घोषणा के अनुसार, विशेषज्ञ एजेंट समानांतर रूप से जाँच करते हैं और लगातार बने रहने वाले जाँच-ग्राफ़ के ज़रिए अपनी खोजों को साझा करते हैं। किसी एक एप्लिकेशन में मिली जानकारी अगले एजेंट को उससे जुड़ी सेवा, पहचान या डेटा भंडार की जाँच में मदद कर सकती है। इसका अपेक्षित परिणाम ऐसा विवरण है जो बताए कि किस चीज़ से समझौता किया जा सकता है, हमले का रास्ता कैसे काम करता है और इस निष्कर्ष के समर्थन में क्या प्रमाण हैं।

व्यावहारिक रूप से, ग्राफ़ हर चेतावनी को अलग-अलग मानने के बजाय निष्कर्षों के बीच के संबंध दिखाता है। कभी-कभी अलग-अलग कमजोरियों से ज़्यादा अहम उनके बीच का जुड़ाव हो सकता है: किसी एक सीमा पर मौजूद जोखिम से दूसरे नियंत्रण तक पहुँचना संभव हो सकता है। यह व्याख्या वास्तुकला के विचार को बताती है; CodeWall ने अपनी घोषणा में कार्यान्वयन के बारे में इतने विवरण साझा नहीं किए हैं कि यह आकलन किया जा सके कि उसका ग्राफ़ परस्पर विरोधी निष्कर्षों का समाधान कैसे करता है या हर चरण के बीच के बदलाव की पुष्टि कैसे करता है।

कंपनी की वेबसाइट के अनुसार, यह प्लेटफ़ॉर्म सेवाओं, एपीआई और बुनियादी ढाँचे के बीच भरोसे के संबंधों का मानचित्र तैयार करता है, जाँच के दौरान अपनी रणनीति को ढालता है और ऐसे प्रूफ़-ऑफ़-कॉन्सेप्ट प्रमाण देता है जिन्हें दोबारा प्रस्तुत किया जा सकता है। ये उत्पाद से जुड़े दावे हैं। किसी एंटरप्राइज़ के लिए इनकी उपयोगिता इस बात पर निर्भर करती है कि उसके परिवेश में निष्कर्ष दोबारा प्रस्तुत किए जा सकते हैं या नहीं और वे अर्थपूर्ण बने रहते हैं या नहीं।

McKinsey पर उसका शोध क्या दर्शाता है

CodeWall ने बड़ी परामर्श कंपनियों द्वारा संचालित प्लेटफ़ॉर्मों की कमजोरियों का वर्णन करने वाला शोध पहले ही प्रकाशित किया है। McKinsey के Lilli AI प्लेटफ़ॉर्म की जाँच के बारे में 9 मार्च का उसका विवरण उन एंटरप्राइज़ के लिए विशेष रूप से प्रासंगिक है जो AI एप्लिकेशन को आंतरिक ज्ञान से जोड़ते हैं।

CodeWall के अनुसार, उसके एजेंट ने दो घंटे से भी कम समय में प्रोडक्शन डेटाबेस तक पढ़ने और लिखने की पहुँच हासिल कर ली। कंपनी ने प्रवेश का रास्ता एक ऐसे इंटरफ़ेस को बताया जिसमें प्रमाणीकरण की आवश्यकता नहीं थी, और एक SQL इंजेक्शन समस्या को, जो अनुरोध फ़ील्ड के नामों को संभालने के तरीके से जुड़ी थी। इसका महत्व भाषा मॉडल की अपनी विफलता में नहीं, बल्कि एप्लिकेशन के अंतर्निहित डेटा और कॉन्फ़िगरेशन तक पहुँच बन पाने में था।

शोधकर्ताओं ने सहेजे गए सिस्टम प्रॉम्प्ट में बदलाव करने की पहुँच के निहितार्थों पर भी चर्चा की: एप्लिकेशन के बुनियादी ढाँचे से समझौता होने पर उन निर्देशों को बदलने का रास्ता खुल सकता है जो भरोसेमंद AI आउटपुट को नियंत्रित करते हैं। रिपोर्ट में इसे एक संभावित परिणाम के रूप में बताया गया है; यह इस बात का प्रमाण नहीं है कि परामर्शदाताओं को बदली हुई सलाह मिली।

CodeWall का कहना है कि उसने निष्कर्ष McKinsey को बताए, पहुँच को केवल सत्यापन तक सीमित रखा और प्रकाशन से पहले समस्या के समाधान की पुष्टि की। ये विवरण विक्रेता के शोध-विवरण से लिए गए हैं; इन्हें किसी जारी भेद्यता का प्रमाण या ऐसा सामान्य मानदंड नहीं मानना चाहिए जो साबित करता हो कि उसके एजेंट मानव परीक्षकों से बेहतर प्रदर्शन करते हैं।

निरंतर जाँच से परिचालन संबंधी चुनौती बदल जाती है

CodeWall का कहना है कि उसका प्लेटफ़ॉर्म एप्लिकेशन में बदलाव होने, नई परिसंपत्तियाँ जुड़ने या सुधार लागू किए जाने पर, अधिकृत दायरे में रहते हुए, प्रणालियों की दोबारा जाँच करता है। इससे एक उपयोगी फीडबैक चक्र बन सकता है: किसी रास्ते की पहचान करना, उसमें योगदान देने वाली कमजोरियों को दूर करना और फिर जाँचना कि वह रास्ता अब भी काम करता है या नहीं।

दोबारा जाँच करना इसलिए अहम है क्योंकि किसी एक टिकट को बंद कर देना इस बात की पुष्टि नहीं करता कि मूल कारोबारी जोखिम भी समाप्त हो गया है। कोई सुधार एक रास्ता बंद कर सकता है, जबकि दूसरा रास्ता खुला रह जाए; या बाद में की गई तैनाती पहले के सुधार को निष्प्रभावी कर सकती है।

Unite.AI की स्वायत्त पैठ-परीक्षण और सुधार पर पहले की कवरेज में बार-बार सत्यापन की ओर इसी बदलाव का विश्लेषण किया गया था। CodeWall का ज़ोर बाहरी स्तर से जाँच शुरू करने और आपस में जुड़ी प्रणालियों की समन्वित जाँच पर है। व्यावसायिक उद्देश्य समान होने का अर्थ यह नहीं है कि एजेंटों की वास्तुकला या उनके निष्पादन पर नियंत्रण भी एक जैसे हों।

जाँच की आवृत्ति बढ़ने से परिचालन सीमाओं का महत्व भी बढ़ जाता है। ऐसे प्लेटफ़ॉर्म का आकलन करने वाले एंटरप्राइज़ को यह तय करना चाहिए कि किन लक्ष्यों और कार्रवाइयों की अनुमति है, प्रमाणों को कैसे संभाला जाएगा, मामलों को आगे बढ़ाने की प्रक्रियाएँ क्या होंगी और जाँच रोकने की व्यवस्था कैसे होगी। ये आकलन के मानदंड हैं, न कि CodeWall की फंडिंग घोषणा से प्रमाणित क्षमताएँ।

इस फंडिंग से क्या विकसित किया जाएगा

कंपनी के संस्थापक और सीईओ Paul Price का कहना है कि इसका उद्देश्य आक्रामक सुरक्षा परीक्षण को रक्षा की स्थायी क्षमता बनाना है। CodeWall का कहना है कि वह बैंकों और वित्तीय संस्थानों को ऐसे हमले के रास्तों की पहचान करने और उनकी पुष्टि करने में पहले से मदद कर रही है, जिनका फायदा उठाया जा सकता है। हालांकि, घोषणा में वित्तीय क्षेत्र के किसी ग्राहक का नाम या प्रदर्शन के स्वतंत्र माप शामिल नहीं हैं।

इस धनराशि से उन परिवेशों का विस्तार किया जाएगा जिनकी उसके एजेंट जांच कर सकते हैं। साथ ही, निरंतर परीक्षण, सत्यापन और सुधारात्मक कार्रवाई की कार्यप्रणालियों को भी सहयोग मिलेगा। कंपनी लंदन में अपनी आक्रामक सुरक्षा, इंजीनियरिंग, ग्राहक सफलता और बाज़ार-विकास टीमों का विस्तार करने की भी योजना बना रही है।

खरीदारों के लिए यह समझना अहम होगा कि सुधारात्मक कार्रवाई की ये कार्यप्रणालियाँ कितनी दूर तक जाती हैं। सबूत जुटाना और सुधार सुझाना, उत्पादन परिवेश में अपने-आप बदलाव करने से अलग है। घोषणा से यह स्पष्ट नहीं होता कि CodeWall स्वतंत्र रूप से सुधार लागू करती है या नहीं, इसलिए कंपनियों को यह स्पष्ट कर लेना चाहिए कि मंज़ूरी और अमल की जिम्मेदारी किसकी है।

प्रगति का सबसे ठोस पैमाना सुरक्षा से जुड़े फैसलों की गुणवत्ता होगी: हमले के रास्तों को दोबारा सत्यापित कर पाना, कारोबार पर उनके असर को स्पष्ट करना, संवेदनशील सबूतों को उचित ढंग से संभालना और यह पुष्टि करना कि सुधारात्मक कार्रवाई से जोखिम का रास्ता बंद हो गया है। CodeWall को मिला प्री-सीड वित्तपोषण दौर इस परिचालन मॉडल को आगे बढ़ाने के लिए संसाधन देता है। अब कंपनी के सामने चुनौती यह है कि निरंतर हमलावर-पक्षीय परीक्षण को इतना भरोसेमंद बनाए कि वह उद्यमों के नियमित कामकाज का हिस्सा बन सके।