Simon Edwards, CEO और संस्थापक SE Labs – साक्षात्कार श्रृंखला

Simon Edwards, CEO और संस्थापक SE Labs, एक साइबर सुरक्षा परीक्षण विशेषज्ञ हैं जिनके पास सुरक्षा अनुसंधान, उत्पाद मूल्यांकन, तकनीकी पत्रकारिता और उद्योग मानकों में तीन दशकों से अधिक का अनुभव है। 2015 में SE Labs की स्थापना से पहले, Edwards ने Dennis Technology Labs का संचालन किया, जहाँ उन्होंने सुरक्षा परीक्षण पहलों का नेतृत्व किया, और पहले कई वर्षों तक तकनीकी पत्रकार और संपादक के रूप में कार्य किया। उन्होंने Anti-Malware Testing Standards Organization (AMTSO) में चेयरमैन, निदेशक और सह-चेयर सहित वरिष्ठ नेतृत्व पद भी संभाले हैं। Edwards मध्य‑1990 के दशक से सुरक्षा उत्पादों का परीक्षण कर रहे हैं और प्रारंभिक वास्तविक‑दुनिया एंटी‑मैलवेयर परीक्षण दृष्टिकोणों के अग्रणी रहे हैं, जो यह मूल्यांकन करने के लिए डिज़ाइन किए गए थे कि सुरक्षा तकनीकें पूर्ण, इंटरनेट‑डिलीवर किए गए हमलों के मुकाबले कैसे प्रदर्शन करती हैं, न कि केवल अलग‑अलग मालवेयर नमूनों के।

SE Labs एक स्वतंत्र साइबर सुरक्षा परीक्षण और परामर्श कंपनी है जो यह मूल्यांकन करती है कि सुरक्षा तकनीकें वास्तविक हमलों के खिलाफ कैसे प्रदर्शन करती हैं। इसके शोधकर्ता हमलावर तकनीकों को पूरी हमले श्रृंखला में दोहराते हैं ताकि एंडपॉइंट प्रोटेक्शन, एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (EDR), क्लाउड सुरक्षा सेवाएँ, फ़ायरवॉल, ईमेल सुरक्षा, और नेटवर्क डिटेक्शन तकनीकों सहित उत्पादों का आकलन किया जा सके। सार्वजनिक तुलनात्मक परीक्षण के साथ, SE Labs एंटरप्राइज़ और साइबर सुरक्षा विक्रेताओं के लिए प्रमाणन, उन्नत सुरक्षा परीक्षण, उत्पाद सत्यापन, और परामर्श सेवाएँ प्रदान करता है। कंपनी अपने परीक्षण कार्यप्रणालियों और थ्रेट इम्यूलेशन फ्रेमवर्क्स को प्रकाशित करती है और IT सुरक्षा उत्पाद परीक्षण प्रदान करने के लिए ISO/IEC 27001:2022 और BS EN ISO 9001:2015 प्रमाणित है।

आपका करियर तकनीकी पत्रकारिता, सुरक्षा परामर्श, स्वतंत्र परीक्षण, और Anti-Malware Testing Standards Organization (AMTSO) में नेतृत्व भूमिकाओं में तीन दशकों से अधिक फैला हुआ है। इस अनुभव ने आपको AI‑संचालित साइबर सुरक्षा में वास्तविक प्रगति को उन तकनीकों से कैसे अलग करने में मदद की है जो मुख्यतः मार्केटिंग उद्देश्यों के लिए “AI” के रूप में प्रस्तुत की जा रही हैं?

पत्रकारिता ने मुझे दावों पर सवाल उठाना सिखाया, जबकि स्वतंत्र परीक्षण ने मुझे बताया कि एकमात्र विश्वसनीय उत्तर साक्ष्य से आता है। साइबर सुरक्षा कंपनियों ने कई वर्षों से मशीन लर्निंग और स्वचालित निर्णय‑निर्धारण का उपयोग किया है, इसलिए किसी उत्पाद के नाम में “AI” जोड़ना जरूरी नहीं कि तकनीकी प्रगति को दर्शाए।

विचार करने के लिए तीन मूल बातें: AI वास्तव में क्या कर रहा है? यह कौन सा मापनीय सुरक्षा परिणाम सुधारता है? और क्या एक स्वतंत्र परीक्षक उस सुधार को दोहरा सकता है?

यदि उत्तर केवल यह है कि उत्पाद बड़ी मात्रा में डेटा का विश्लेषण करता है या मौजूदा प्रक्रिया को स्वचालित करता है, तो AI लेबल क्षमता से अधिक मार्केटिंग पोजिशनिंग के बारे में हो सकता है।

एक वास्तविक प्रगति अपरिचित या नई तरह के हमलों के खिलाफ अच्छा प्रदर्शन करती है, सुरक्षा या प्रतिक्रिया को सुधारती है, विश्लेषकों का बोझ कम करती है, और यह सभी बिना अस्वीकार्य जोखिमों के उत्पन्न किए करती है। अन्य सभी या तो कोई सुधार नहीं है या गिरावट है!

“AI‑driven” साइबर सुरक्षा उत्पादों में एक सामान्य दावा बन गया है। कौन सी सबसे महत्वपूर्ण क्षमताओं की स्वतंत्र रूप से परीक्षण किया जाना चाहिए इससे पहले कि कोई संगठन यह स्वीकार करे कि AI‑संचालित सुरक्षा प्लेटफ़ॉर्म वास्तव में विक्रेता के वादे को पूरा करता है?

मैं यह परीक्षण करके शुरू नहीं करूंगा कि उत्पाद में AI है या नहीं। मैं इसके लिए किए जा रहे सुरक्षा दावों का परीक्षण करके शुरू करूंगा। मुझे इस बात की परवाह नहीं है कि उत्पाद कैसे काम करता है, बशर्ते वह काम करे। यह PIVOT परीक्षण कार्यक्रम का सटीक लक्ष्य है, जो वर्तमान में उद्योग में बहुत लोकप्रिय हो रहा है।

ऐसे परीक्षण का अर्थ है उत्पाद को पूर्ण हमलों के सामने लाना और यह मापना कि वह कैसे प्रतिक्रिया देता है। इसे संभवतः गतिविधि का पता लगाना चाहिए और फिर हमले को आगे बढ़ने से रोकने की दिशा में कार्य करना चाहिए। यह इस बात पर निर्भर करता है कि उत्पाद कैसे निर्मित और कॉन्फ़िगर किया गया है। और विक्रेता द्वारा किए जा रहे मार्केटिंग दावे।

हमें ग्राहक को प्रस्तुत की गई जांच कथा की भी जांच करनी चाहिए। क्या सिस्टम ने समझा कि क्या हुआ, संबंधित घटनाओं को जोड़ा और साक्ष्य को उस व्यक्ति के लिए दृश्यमान बनाया जो उस पर कार्रवाई करेगा?

परीक्षण में अपरिचित विविधताएँ, वास्तविक ग्राहक कॉन्फ़िगरेशन और सामान्य व्यावसायिक गतिविधि शामिल होनी चाहिए। इसे झूठी सकारात्मक, संसाधन मांग और संभावित असुरक्षित कार्यों को भी मापना चाहिए। यदि सिस्टम स्वायत्त है, तो हमें यह जानना होगा कि वह कब कार्य करता है, क्यों कार्य करता है, कौन से अनुमतियों का उपयोग करता है और क्या उसके निर्णयों को उलटा जा सकता है।

हमने समाचारों में कुछ कहानियाँ देखी हैं जहाँ AI सुरक्षा अनियंत्रित हो गई और अपनी सीमाओं और संभावित रूप से कानून से आगे निकल गई। महत्वपूर्ण प्रश्न यह नहीं है कि प्लेटफ़ॉर्म बुद्धिमान दिखता है या नहीं। बल्कि यह है कि क्या वह लगातार बेहतर और सुरक्षित सुरक्षा परिणाम प्रदान करता है।

स्वायत्त AI एजेंट संभावित रूप से मानवीय हमलावर की तुलना में बहुत तेज़ी से अन्वेषण, शोषण, लैटरल मूवमेंट और हमले के अन्य चरणों को निष्पादित कर सकते हैं। जब हमले मशीन गति से संचालित होने लगते हैं तो साइबर सुरक्षा परीक्षण को कैसे बदलना चाहिए?

परीक्षण की इकाई को व्यक्तिगत तकनीक से बदलकर समय दबाव में चल रहे पूरे अभियान में बदलना चाहिए। मेरा मतलब है, सुबह या एक हफ्ते में विभिन्न हमले तरीकों को आज़माने की बजाय, कुछ सुरक्षा उपायों का परीक्षण तेज़ी से होना चाहिए। अन्यथा यह वास्तविक नहीं है, और वास्तविकता बहुत महत्वपूर्ण है।

परम्परागत परीक्षणों में चरणों के बीच सुविधाजनक अंतराल रह सकते हैं जिससे प्रत्येक घटना को अलग‑अलग जाँच सकें। एक स्वायत्त हमलावर जासूसी, शोषण और पार्श्व गति को बहुत छोटे समय में संकुचित कर सकता है। इससे ऐसी कमजोरियाँ उजागर हो सकती हैं जो धीमे परीक्षणों में दिखाई नहीं देतीं, जैसे टेलीमेट्री में देरी, ओवरलोडेड सिस्टम और रक्षा कार्यवाही जो केवल हमले के लक्ष्य को प्राप्त करने के बाद ही आती हैं।

एक अत्यंत सरल उदाहरण देने के लिए, यदि हम किसी मैक में हैक करके उसकी सभी फ़ाइलें डाउनलोड कर लें और खाता पासवर्ड चुरा लें, तो यह बहुत कम उपयोगी है यदि एंटी‑वायरस एक दिन बाद बुरी खबर के साथ पॉप‑अप हो।

AI हमलावरों के प्रति सुरक्षा प्रतिक्रिया का परीक्षण करने के लिए उच्च‑रिज़ॉल्यूशन उपकरण और पता लगाने व प्रतिक्रिया में देरी की सटीक माप आवश्यक है। इसे यह देखना चाहिए कि गतिविधि की मात्रा और गति बढ़ने पर प्रदर्शन घटता है या नहीं, और क्या रक्षा हर चरण में मानव निर्णय की प्रतीक्षा किए बिना हमले को रोक सकती है।

हमला भी अपनी खोजों के अनुसार अनुकूलित हो सकता है। परीक्षण को यह प्रतिबिंबित करना चाहिए जबकि वास्तविक तथ्य, साक्ष्य और पुनरावृत्ति क्षमता को बनाए रखे। मशीन की गति का अर्थ नियंत्रित कार्यप्रणाली का त्याग नहीं होना चाहिए। हमें ऐसे नियंत्रित परीक्षणों को डिजाइन करना जारी रखना चाहिए जो मूल्यांकन किए जा रहे सिस्टम की समान गति से संचालन और घटनाओं को माप सकें।

SE Labs वास्तविक हमले के परिदृश्यों का उपयोग करता है जो Scattered Spider जैसी खतरा समूहों की रणनीतियों और तकनीकों पर आधारित हैं। आप इन विरोधियों को नियंत्रित वातावरण में कैसे पुनः निर्मित करते हैं जबकि यह सुनिश्चित करते हैं कि परीक्षण वास्तविक हमले के विकास को दर्शाए, न कि केवल एक पूर्वनिर्धारित चेकलिस्ट के विरुद्ध परीक्षण?

हम विरोधी के उद्देश्यों, ज्ञात व्यवहारों और संभावित निर्णय‑निर्धारण से शुरू करते हैं, न कि उसकी तकनीकों को खरीदारी सूची की तरह मानते हैं।

परीक्षण जासूसी, प्रारंभिक पहुँच, निष्पादन, विशेषाधिकार वृद्धि, समझौता‑के‑बाद की गतिविधि और पार्श्व गति के माध्यम से एक वास्तविक हमले की श्रृंखला का अनुसरण करता है। महत्वपूर्ण बात यह है कि परीक्षक केवल वही जानकारी उपयोग कर सकता है जो जासूसी और हमले के दौरान वास्तव में खोजी गई हो। हम हमलावर को ऐसी जानकारी नहीं देते जो वास्तविक संलग्नता में उपलब्ध न हो।

परिदृश्य सीमित और सावधानीपूर्वक नियंत्रित है, लेकिन यह केवल पूर्वनिर्धारित बटन प्रेस की श्रृंखला नहीं है। यदि एक मार्ग अवरुद्ध हो जाता है, तो हमलावर परीक्षण के नियमों के भीतर एक विश्वसनीय वैकल्पिक मार्ग अपना सकता है। इससे सुरक्षा उत्पाद को यह प्रभावित करने की अनुमति मिलती है कि परिदृश्य कैसे विकसित होता है।

साथ ही, प्रत्येक महत्वपूर्ण क्रिया और परिणाम को दर्ज किया जाता है ताकि हम परिणाम की व्याख्या कर सकें और उत्पादों की निष्पक्ष तुलना कर सकें। नियंत्रित होना अनिवार्य रूप से कठोर स्क्रिप्टेड होना नहीं है। इसका अर्थ सुरक्षित, अवलोकनीय और साक्ष्य‑समर्थित होना होना चाहिए।

साइबर सुरक्षा उत्पादों का परम्परागत रूप से बहुत अधिक मूल्यांकन उनके खतरों का पता लगाने की क्षमता पर किया जाता रहा है। AI‑प्रेरित सुरक्षा प्रणालियों का मूल्यांकन करते समय संगठनों को सुरक्षा, नियंत्रण और घटना प्रतिक्रिया को अधिक महत्व क्यों देना चाहिए?

पता लगाना रक्षा के समान नहीं है। एक प्लेटफ़ॉर्म सटीक अलर्ट उत्पन्न कर सकता है जबकि हमलावर को अपना लक्ष्य हासिल करने की अनुमति देता है। इसलिए PIVOT परीक्षण कार्यक्रम में पता लगाना और सुरक्षा दोनों को समग्र परीक्षण के संयुक्त और अलग भागों के रूप में शामिल किया गया है।

आप साइबर सुरक्षा के पता लगाने को एक CCTV कैमरे से तुलना कर सकते हैं। इसे घुसपैठ का पता लगाना चाहिए और आपको क्या हुआ इसका संकेत देना चाहिए, लेकिन यह शारीरिक रूप से घुसपैठिए को रोक नहीं सकता। साइबर सुरक्षा की सुरक्षा अधिक सक्रिय होती है। यह हमलावर को बाहर निकाल या किसी अन्य तरीके से निरस्त्र कर सकता है, जिससे नुकसान रोका जा सके।

संगठनों को यह जानना चाहिए कि क्या उत्पाद ने प्रारंभिक गतिविधि को रोका, हमला श्रृंखला को बाधित किया, पार्श्व गति को सीमित किया, महत्वपूर्ण संपत्तियों की रक्षा की और पुनर्प्राप्ति को समर्थन दिया। यदि हमला सफल हो जाता है, तो अगला प्रश्न यह होगा कि इसे कितनी जल्दी नियंत्रित किया गया और क्या ग्राहक को प्रभावी प्रतिक्रिया देने के लिए पर्याप्त विश्वसनीय जानकारी प्राप्त हुई।

यह AI‑प्रेरित प्रणालियों के साथ विशेष रूप से महत्वपूर्ण हो जाता है क्योंकि वे क्या हुआ इसका बहुत प्रभावशाली सारांश बना सकते हैं, लेकिन एक प्रभावशाली व्याख्या सुरक्षा का विकल्प नहीं है। व्याख्या को साक्ष्य‑समर्थित होना चाहिए और इसे उचित कार्रवाई की ओर ले जाना चाहिए।

इसलिए हम पता लगाना और सुरक्षा को अलग‑अलग मापते हैं। हम यह भी जाँचते हैं कि दावा किया गया पता लगाना वास्तव में ग्राहक के लिए दृश्यमान और उपयोगी था या नहीं। अंततः, एक सुरक्षा प्रणाली का मूल्य एक हमले के परिणाम को बदलने में निहित है, न कि केवल उसे देखना।

जैसे ही सुरक्षा प्लेटफ़ॉर्म स्वायत्त एजेंट पेश करते हैं जो अलर्ट की जांच कर सकते हैं और सुधारात्मक कार्य कर सकते हैं, स्वतंत्र प्रयोगशालाओं को संपूर्ण मानव‑और‑AI कार्यप्रवाह का परीक्षण कैसे करना चाहिए बजाय इसके कि वे आधारभूत पता लगाने की तकनीक को अलग‑अलग मूल्यांकन करें?

परीक्षण को पहली दुर्भावनापूर्ण गतिविधि से लेकर अंतिम सुरक्षा परिणाम तक पूरी प्रक्रिया का अनुसरण करना चाहिए, जो हमला रोकना, पूरी तरह सफल होना या इनके बीच कहीं भी हो सकता है।

हमें यह जाँचने की आवश्यकता है कि एजेंट ने क्या देखा, क्या निष्कर्ष निकाला, क्या सिफ़ारिश की या किया, मानव ऑपरेटर को क्या दिखाया गया और ऑपरेटर ने कैसे प्रतिक्रिया दी (या उन्हें कौन‑से विकल्प प्रस्तुत किए गए)। इसमें साक्ष्य की गुणवत्ता, हैंडओवर की स्पष्टता, आवश्यक समय, हस्तक्षेपों की संख्या और क्या मानव एजेंट के निर्णय को समझ, चुनौती या उलटा सकता है, शामिल हैं।

विभिन्न संचालन मोड भी महत्वपूर्ण होते हैं। एक एजेंट जो कार्रवाई की स्वीकृति के लिए सुझाव देता है, वह उस एजेंट से अलग जोखिम प्रस्तुत करता है जो स्वचालित रूप से सिस्टम को अलग कर सकता है, खातों को निष्क्रिय कर सकता है या सुरक्षा नियंत्रणों को बदल सकता है।

एक प्रणाली केवल इसलिए सफल नहीं हुई क्योंकि उसके अंतर्निहित डिटेक्टर ने हमले की पहचान की। यदि वह एक असमझी हुई कतार बनाता है, महत्वपूर्ण साक्ष्य छिपाता है, गलत प्रतिक्रिया सुझाता है या विघटनकारी कार्रवाई करता है, तो समग्र कार्यप्रवाह विफल हो गया है। स्वतंत्र परीक्षण को तकनीक, उसके स्वायत्त घटकों और उन लोगों के संयुक्त प्रदर्शन को मापना चाहिए जो उनका उपयोग करने की अपेक्षा है।

मानकीकृत सुरक्षा बेंचमार्क के साथ एक जोखिम यह है कि विक्रेता विशेष रूप से परीक्षण के लिए उत्पादों को अनुकूलित कर सकते हैं। स्वतंत्र परीक्षण कैसे पुनरुत्पादनीय और निष्पक्ष रह सकता है, साथ ही पर्याप्त अनिश्चितता पेश कर सकता है जिससे यह पता चल सके कि उत्पाद अपरिचित हमलों के खिलाफ कैसे प्रदर्शन करते हैं?

पुनरुत्पादनीयता के लिए प्रतिभागियों को परीक्षा प्रश्न पहले से देना आवश्यक नहीं है।

एक विश्वसनीय परीक्षण को अपनी कार्यप्रणाली, पर्यावरण, स्कोरिंग सिद्धांत, उत्पाद कॉन्फ़िगरेशन और साक्ष्य आवश्यकताओं को प्रकाशित करना चाहिए। विक्रेताओं को नियम समझने चाहिए और यह सुनिश्चित करने का उचित अवसर मिलना चाहिए कि उनके उत्पाद सही ढंग से काम कर रहे हैं। हालांकि, सटीक हमले अभियान, पेलोड और कुछ हमले पथ परीक्षण के संचालन तक अज्ञात रहना चाहिए।

उदाहरण के लिए, PIVOT में हम यह नहीं बताते कि हम किन हमले समूहों की नकल करने वाले हैं, जब तक परीक्षण समाप्त नहीं हो जाता। वास्तविक लक्ष्य को हमले शुरू होने से पहले कोई चेतावनी नहीं मिलती!

हम एक मानक कोर को मिलाकर, जो समय के साथ तुलना का समर्थन करता है, अपरिचित विविधताओं को जोड़ सकते हैं जो सामान्य क्षमता का परीक्षण करती हैं। बेसलाइनिंग और एक छिपी हुई शांत अवधि यह स्थापित कर सकती है कि हमला से पहले उत्पाद कैसे व्यवहार करता है। फिर कॉन्फ़िगरेशन को नियंत्रित किया जाना चाहिए, लॉग सुरक्षित रखे जाने चाहिए और किसी भी दावे की जाँच परीक्षक के अपने साक्ष्यों के विरुद्ध की जानी चाहिए।

निष्पक्षता का अर्थ है सभी प्रतिभागियों पर समान नियम और साक्ष्य मानक लागू करना। इसका अर्थ यह नहीं है कि हमले को इतनी पूर्वानुमेयता से दोहराया जाए कि विक्रेता बेंचमार्क को पहचान ले बजाय खतरे को पहचानने के।

इसके अतिरिक्त, मूलभूत पारदर्शिता विक्रेताओं को हमलों को पुन: उत्पन्न करने में मदद करती है, जो महत्वपूर्ण है यदि वे किसी भी समस्या को ठीक करना चाहते हैं, जैसे कि खतरे का पता न लगाना या उससे बचाव न करना। SE Labs मूलतः अपने ग्राहकों को तब प्रशिक्षित करता है जब वे समस्याओं का सामना करते हैं।

स्वायत्त सुरक्षा एजेंट एक अलग जोखिम श्रेणी पेश करते हैं क्योंकि एक गलत निर्णय अनावश्यक या यहाँ तक कि विघटनकारी सुधारात्मक कार्रवाई को ट्रिगर कर सकता है। परीक्षण को कैसे गलत सकारात्मक, गलत तर्क और संभावित हानिकारक स्वायत्त कार्यों को पारंपरिक पहचान सटीकता के साथ मापना चाहिए?

पारंपरिक गलत-धनात्मक परीक्षण केवल पहली परत है। एक स्वायत्त एजेंट के साथ, हमें एक गलत अलर्ट, असमर्थित निष्कर्ष और गलत कार्रवाई के बीच अंतर करना चाहिए। प्रत्येक का संभावित प्रभाव अलग होता है।

परीक्षणों को प्रणाली को वैध गतिविधियों के सामने लाना चाहिए जो दुर्भावनापूर्ण व्यवहार के समान हों, साथ ही अधूरी, अस्पष्ट या भ्रामक साक्ष्य भी। यदि एजेंट अविश्वसनीय सामग्री को ग्रहण करता है, तो परीक्षण को यह भी जांचना चाहिए कि क्या वह सामग्री उसके निर्णयों को अनुचित रूप से प्रभावित कर सकती है।

तर्क का मूल्यांकन इस आधार पर किया जाना चाहिए कि निष्कर्ष उपलब्ध साक्ष्य द्वारा समर्थित है या नहीं, न कि यह कि व्याख्या कितनी विश्वसनीय या आत्मविश्वासी लगती है। स्वायत्त कार्यों के लिए, हमें दायरा, अनुपातिकता, अनुमतियों का उपयोग, स्वीकृति नियंत्रण, ऑडिटेबिलिटी और उलटने की क्षमता को मापना चाहिए।

स्कोरिंग को परिणामों को प्रतिबिंबित करना चाहिए। एक अनावश्यक अलर्ट असुविधाजनक है; एक महत्वपूर्ण खाते को निष्क्रिय करना या एक महत्वपूर्ण सिस्टम को अलग करना संगठन को बाधित कर सकता है। इसलिए एक उपयोगी सुरक्षा उपाय को त्रुटियों की आवृत्ति और प्रत्येक त्रुटि द्वारा संभावित नुकसान दोनों को ध्यान में रखना चाहिए।

इन सबके बावजूद, कभी-कभी ग्राहक ऐसी नीति चुनता है जो समस्याएँ उत्पन्न करती है। यह आवश्यक नहीं कि सुरक्षा विक्रेता की गलती हो।

जनरेटिव AI और लगातार सक्षम होते ओपन-सोर्स मॉडल हमले प्रक्रिया के कुछ हिस्सों को स्वचालित करने की बाधा को कम कर रहे हैं। क्या आप उम्मीद करते हैं कि AI साइबर हमलों को मूल रूप से अधिक परिष्कृत बना देगा, या बड़ा खतरा यह है कि हमलावर केवल बहुत बड़े पैमाने और गति से कार्य करने में सक्षम हो जाएंगे?

मेरी अपेक्षा है कि अधिक तात्कालिक खतरा पैमाना, गति और घटती लागत है।

AI हमलावरों को जानकारी एकत्र करने, सामाजिक इंजीनियरिंग को व्यक्तिगत बनाने, कोड संशोधित करने और अभियान के हिस्सों का समन्वय करने में मदद कर सकता है। परिणामस्वरूप कुछ हमले अधिक परिष्कृत हो जाएंगे, विशेष रूप से जब AI मौजूदा तकनीकों को जोड़ता है या उन्हें किसी विशेष लक्ष्य के लिए अनुकूलित करता है। लेकिन AI पहुंच, क्रेडेंशियल, शोषण योग्य कमजोरियों या रक्षकों की गलतियों की आवश्यकता को नहीं हटाता।

AI विश्वसनीय एक्सप्लॉइट बनाने में भी बहुत अच्छा नहीं है, जो एक कुशल मानव के लिए भी कठिन है। इसलिए मेरी दृढ़ राय में यह मूल रूप से अधिक परिष्कृत हमलों की संभावना को कम करता है।

बड़ी परिवर्तन यह है कि जो गतिविधियाँ पहले समय, कौशल या लोगों की टीम की मांग करती थीं, अब अधिक तेज़ी से और कई अधिक लक्ष्यों पर की जा सकती हैं। AI अपेक्षाकृत सामान्य हमलावरों की क्षमता को बढ़ा सकता है, जबकि सक्षम हमलावरों को एक साथ अधिक संचालन चलाने की अनुमति देता है।

यह महत्वपूर्ण है भले ही मूलभूत हमले की तकनीकें क्रांतिकारी न हों। खतरा जरूरी नहीं कि पूरी तरह नया साइबर हमला हो। यह परिचित हमले तेज़, सस्ते, अधिक व्यक्तिगत और बहुत अधिक संख्या में हो रहे हैं।

जैसे ही रक्षात्मक और आक्रामक AI एजेंट अधिक स्वायत्त होते जा रहे हैं, एक विश्वसनीय साइबर सुरक्षा परीक्षण वातावरण को गति के साथ तालमेल रखने के लिए कैसा दिखना चाहिए? क्या हम अंततः उस बिंदु पर पहुँच सकते हैं जहाँ सुरक्षा उत्पादों को आवधिक सुरक्षा परीक्षणों के माध्यम से मुख्यतः मूल्यांकन करने के बजाय अनुकूलनशील AI विरोधियों द्वारा निरंतर चुनौती दी जानी चाहिए?

एक विश्वसनीय वातावरण को अलग‑अलग लक्ष्यों के संग्रह की बजाय एक जीवित संगठन जैसा होना चाहिए। इसमें एंडपॉइंट्स, पहचान प्रणालियाँ, ईमेल, नेटवर्क, क्लाउड सेवाएँ, वास्तविक उपयोगकर्ता और सामान्य व्यावसायिक गतिविधियाँ शामिल होनी चाहिए। इसे यह भी सुनिश्चित करना चाहिए कि पूरी इंस्ट्रूमेंटेशन उपलब्ध हो ताकि प्रत्येक निर्णय और परिणाम को पुनः निर्मित किया जा सके।

अनुकूलनशील विरोधियों को लक्ष्य और सीमाएँ दी जा सकती हैं, फिर उन्हें यह चुनने की अनुमति दी जाती है कि वे क्या खोजते हैं और रक्षात्मक उत्पाद कैसे प्रतिक्रिया देता है, उसके आधार पर मार्ग चुनें। परीक्षण को फिर भी नियंत्रित प्रारंभिक स्थितियों, वास्तविक घटनाओं का विश्वसनीय विवरण, और महत्वपूर्ण घटनाओं को पुनः चलाने की क्षमता की आवश्यकता होगी। इन सबके बिना, अनुकूलनशील परीक्षण प्रभावशाली दिख सकता है लेकिन वैज्ञानिक रूप से कमजोर रहेगा।

मैं आशा करता हूँ कि परीक्षण अधिक निरंतर हो जाएगा, विशेष रूप से जब उत्पाद, मॉडल और नीतियाँ बार‑बार बदल सकती हैं। हालांकि, निरंतर चुनौती को आवधिक तुलनात्मक परीक्षण को समाप्त करने के बजाय पूरक होना चाहिए। संगठनों को दोनों की आवश्यकता है: PIVOT जैसी नियंत्रित बेंचमार्क जो जवाबदेही और तुलना को समर्थन देती हैं, और चल रहे अनुकूलनशील मूल्यांकन जो यह दर्शाते हैं कि खतरे और स्वयं उत्पाद बदलने पर सिस्टम कैसे व्यवहार करते हैं।

मेरा मानना है कि हमें अधिक चिंता उस तथ्य की करनी चाहिए कि अपेक्षाकृत अयोग्य मानव सिस्टम और नेटवर्क में घुसपैठ कर सकते हैं, न कि रोबोटों की जो अगली पीढ़ी की साइबर हमला तकनीक बना रहे हैं।

उत्कृष्ट साक्षात्कार के लिए धन्यवाद, जो पाठक अधिक जानना चाहते हैं उन्हें SE Labs पर जाना चाहिए।