কৃত্রিম বুদ্ধিমত্তা (এআই) প্রযুক্তি এখন সফটওয়্যারের এমন সব সুপ্ত নিরাপত্তাত্রুটি উন্মোচন করছে, যা বছরের পর বছর ধরে অজ্ঞাত ছিল। এটি একদিকে যেমন সফটওয়্যারের দুর্বলতা খুঁজে বের করা সহজ করে দিচ্ছে, অন্যদিকে সাইবার অপরাধীদের হাতে এই দুর্বলতাগুলো দ্রুত কাজে লাগানোর পথ খুলে দিচ্ছে।
সাইবার নিরাপত্তা বিশেষজ্ঞরা আশঙ্কা করছেন, আগামী মাসগুলোতে এই ধরনের ত্রুটির কারণে বিশ্বজুড়ে একের পর এক বড় ধরনের নিরাপত্তা সংকট দেখা দিতে পারে। সম্প্রতি জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে একটি নতুন নিরাপত্তাত্রুটি শনাক্ত হওয়ার পর ইউরোপ, এশিয়া সহ বিভিন্ন অঞ্চলের সরকারি সংস্থা ও জনসেবামূলক প্রতিষ্ঠানের বেশ কিছু ওয়েবসাইট সাময়িকভাবে বন্ধ রাখতে হয়েছে।
সম্ভাব্য সাইবার হামলা রুখতে এই পদক্ষেপ নেওয়া হয়েছে এবং বিশেষজ্ঞরা সতর্ক করে বলেছেন, এটি সম্ভবত আরও বড় একটি নিরাপত্তা সংকটের শুরু মাত্র। ইন্টারনেট অবকাঠামো ও ক্লাউড সেবাদাতা প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান নির্বাহী কর্মকর্তা (সিইও) ম্যাথিউ প্রিন্স জানিয়েছেন, তাদের নজরে এসেছে আরও বেশ কিছু গুরুত্বপূর্ণ সফটওয়্যারের গুরুতর নিরাপত্তাত্রুটি।
তার মতে, এআইয়ের সাহায্যে ইন্টারনেটের মৌলিক কাঠামোতে ব্যবহৃত সফটওয়্যারের কোড দ্রুত পরীক্ষা করা সম্ভব হচ্ছে। এর ফলস্বরূপ, দীর্ঘকাল ধরে অজানা থাকা দুর্বলতাগুলো একের পর এক সামনে আসছে।
এই পরিস্থিতি আগামী কয়েক বছর সাইবার নিরাপত্তা খাতকে নিরন্তর চাপের মধ্যে রাখতে পারে। ম্যাথিউ প্রিন্স বলেন, ‘আমার মনে হয়, আগামী কয়েক বছর এমন যাবে যে প্রতি সপ্তাহেই মনে হবে, সবকিছু ভেঙে পড়তে যাচ্ছে।’ পিএইচপির নিরাপত্তাত্রুটি ঘিরে সাম্প্রতিক তৎপরতা কোনো বিচ্ছিন্ন ঘটনা নয়।
একই সময়ে প্রযুক্তি খাতের আরও কয়েকটি গুরুত্বপূর্ণ প্ল্যাটফর্মে নিরাপত্তাত্রুটি এবং অনুপ্রবেশের ঘটনা সামনে এসেছে। সাইবার নিরাপত্তা প্রতিষ্ঠান ভালনচেকের গবেষক প্যাট্রিক গ্যারিটির মতে, এই ঘটনাগুলো ভবিষ্যতে আরও বড় ধরনের নিরাপত্তা সংকটের ইঙ্গিত দিচ্ছে।
মাত্র সাত দিনের ব্যবধানে পিএইচপির বিকল্প হিসেবে বহুল ব্যবহৃত নোড ডট জেএস (Node.js) এবং স্ট্রিমিং মিডিয়া প্ল্যাটফর্ম প্লেক্সের (Plex) গুরুতর নিরাপত্তাত্রুটির তথ্য প্রকাশ করা হয়েছে। এছাড়াও, এআই সেবা পরিচালনায় ব্যবহৃত লাইটএলএলএম (LightLLM) এবং অ্যাপ্লিকেশন হোস্টিং প্ল্যাটফর্ম রেলওয়েতে (Railway) নিরাপত্তা লঙ্ঘনের ঘটনাও জনসমক্ষে এসেছে।
আধুনিক সফটওয়্যার তৈরি হয় বিপুল পরিমাণ কোডের সমন্বয়ে। এসব কোডের মধ্যে ছোটখাটো ত্রুটি সহজেই নজর এড়িয়ে যেতে পারে।
কোনো কোনো দুর্বলতা বছরের পর বছর ধরে সফটওয়্যারের ভেতরেই থেকে যায়, অথচ সে সম্পর্কে নির্মাতাদেরও কোনো ধারণা থাকে না। অতীতে এ ধরনের জটিল নিরাপত্তাত্রুটি শনাক্ত করতে বিশেষজ্ঞদের দীর্ঘ সময় ধরে কোড পরীক্ষা করতে হতো।
আবার কোনো দুর্বলতা কাজে লাগিয়ে সফটওয়্যারে অনুপ্রবেশের কার্যকর পদ্ধতি তৈরি করতেও দক্ষ গবেষকদের কয়েক সপ্তাহ, এমনকি কয়েক মাস পর্যন্ত সময় লাগত। এই সময়সীমার মধ্যে সংশ্লিষ্ট প্রতিষ্ঠানগুলো ত্রুটি সংশোধন, সমাধান পরীক্ষা এবং ব্যবহারকারীদের কাছে নিরাপত্তা হালনাগাদ পৌঁছে দেওয়ার সুযোগ পেত।
এআইয়ের দ্রুত অগ্রগতির ফলে সেই পরিস্থিতি এখন দ্রুত বদলে যাচ্ছে। স্বয়ংক্রিয়ভাবে কাজ করতে সক্ষম এআই মডেলগুলো এখন একসঙ্গে লাখো লাইনের কোড পরীক্ষা করে অল্প সময়ের মধ্যে একাধিক নিরাপত্তাত্রুটি শনাক্ত করতে পারে।
শুধু তা-ই নয়, এসব দুর্বলতা কাজে লাগানোর উপযোগী ‘এক্সপ্লয়েট কোড’ও (exploit code) কয়েক ঘণ্টার মধ্যে তৈরি করতে পারে। ফলস্বরূপ, নিরাপত্তাত্রুটি শনাক্তকরণ এবং তা সংশোধনের মধ্যবর্তী সময়ের ব্যবধান (window of opportunity) ক্রমেই কমে আসছে।
কোনো ত্রুটি শনাক্ত হওয়ার পরপরই তা সংশোধনের আগেই সাইবার অপরাধীরা কাজে লাগানোর সুযোগ পেতে পারে। এতে সফটওয়্যার নির্মাতা ও সাইবার নিরাপত্তা দলগুলোর ওপর দ্রুত কার্যকর ব্যবস্থা নেওয়ার চাপ বহু গুণ বাড়বে।
সাইবার নিরাপত্তা বিশেষজ্ঞরা আশঙ্কা করছেন, আগামী মাসগুলোতে এই ধরনের ত্রুটির কারণে বিশ্বজুড়ে একের পর এক বড় ধরনের নিরাপত্তা সংকট দেখা দিতে পারে। সম্প্রতি জনপ্রিয় প্রোগ্রামিং ভাষা পিএইচপিতে একটি নতুন নিরাপত্তাত্রুটি শনাক্ত হওয়ার পর ইউরোপ, এশিয়া সহ বিভিন্ন অঞ্চলের সরকারি সংস্থা ও জনসেবামূলক প্রতিষ্ঠানের বেশ কিছু ওয়েবসাইট সাময়িকভাবে বন্ধ রাখতে হয়েছে।
সম্ভাব্য সাইবার হামলা রুখতে এই পদক্ষেপ নেওয়া হয়েছে এবং বিশেষজ্ঞরা সতর্ক করে বলেছেন, এটি সম্ভবত আরও বড় একটি নিরাপত্তা সংকটের শুরু মাত্র। ইন্টারনেট অবকাঠামো ও ক্লাউড সেবাদাতা প্রতিষ্ঠান ক্লাউডফ্লেয়ারের প্রধান নির্বাহী কর্মকর্তা (সিইও) ম্যাথিউ প্রিন্স জানিয়েছেন, তাদের নজরে এসেছে আরও বেশ কিছু গুরুত্বপূর্ণ সফটওয়্যারের গুরুতর নিরাপত্তাত্রুটি।
তার মতে, এআইয়ের সাহায্যে ইন্টারনেটের মৌলিক কাঠামোতে ব্যবহৃত সফটওয়্যারের কোড দ্রুত পরীক্ষা করা সম্ভব হচ্ছে। এর ফলস্বরূপ, দীর্ঘকাল ধরে অজানা থাকা দুর্বলতাগুলো একের পর এক সামনে আসছে।
এই পরিস্থিতি আগামী কয়েক বছর সাইবার নিরাপত্তা খাতকে নিরন্তর চাপের মধ্যে রাখতে পারে। ম্যাথিউ প্রিন্স বলেন, ‘আমার মনে হয়, আগামী কয়েক বছর এমন যাবে যে প্রতি সপ্তাহেই মনে হবে, সবকিছু ভেঙে পড়তে যাচ্ছে।’ পিএইচপির নিরাপত্তাত্রুটি ঘিরে সাম্প্রতিক তৎপরতা কোনো বিচ্ছিন্ন ঘটনা নয়।
একই সময়ে প্রযুক্তি খাতের আরও কয়েকটি গুরুত্বপূর্ণ প্ল্যাটফর্মে নিরাপত্তাত্রুটি এবং অনুপ্রবেশের ঘটনা সামনে এসেছে। সাইবার নিরাপত্তা প্রতিষ্ঠান ভালনচেকের গবেষক প্যাট্রিক গ্যারিটির মতে, এই ঘটনাগুলো ভবিষ্যতে আরও বড় ধরনের নিরাপত্তা সংকটের ইঙ্গিত দিচ্ছে।
মাত্র সাত দিনের ব্যবধানে পিএইচপির বিকল্প হিসেবে বহুল ব্যবহৃত নোড ডট জেএস (Node.js) এবং স্ট্রিমিং মিডিয়া প্ল্যাটফর্ম প্লেক্সের (Plex) গুরুতর নিরাপত্তাত্রুটির তথ্য প্রকাশ করা হয়েছে। এছাড়াও, এআই সেবা পরিচালনায় ব্যবহৃত লাইটএলএলএম (LightLLM) এবং অ্যাপ্লিকেশন হোস্টিং প্ল্যাটফর্ম রেলওয়েতে (Railway) নিরাপত্তা লঙ্ঘনের ঘটনাও জনসমক্ষে এসেছে।
আধুনিক সফটওয়্যার তৈরি হয় বিপুল পরিমাণ কোডের সমন্বয়ে। এসব কোডের মধ্যে ছোটখাটো ত্রুটি সহজেই নজর এড়িয়ে যেতে পারে।
কোনো কোনো দুর্বলতা বছরের পর বছর ধরে সফটওয়্যারের ভেতরেই থেকে যায়, অথচ সে সম্পর্কে নির্মাতাদেরও কোনো ধারণা থাকে না। অতীতে এ ধরনের জটিল নিরাপত্তাত্রুটি শনাক্ত করতে বিশেষজ্ঞদের দীর্ঘ সময় ধরে কোড পরীক্ষা করতে হতো।
আবার কোনো দুর্বলতা কাজে লাগিয়ে সফটওয়্যারে অনুপ্রবেশের কার্যকর পদ্ধতি তৈরি করতেও দক্ষ গবেষকদের কয়েক সপ্তাহ, এমনকি কয়েক মাস পর্যন্ত সময় লাগত। এই সময়সীমার মধ্যে সংশ্লিষ্ট প্রতিষ্ঠানগুলো ত্রুটি সংশোধন, সমাধান পরীক্ষা এবং ব্যবহারকারীদের কাছে নিরাপত্তা হালনাগাদ পৌঁছে দেওয়ার সুযোগ পেত।
এআইয়ের দ্রুত অগ্রগতির ফলে সেই পরিস্থিতি এখন দ্রুত বদলে যাচ্ছে। স্বয়ংক্রিয়ভাবে কাজ করতে সক্ষম এআই মডেলগুলো এখন একসঙ্গে লাখো লাইনের কোড পরীক্ষা করে অল্প সময়ের মধ্যে একাধিক নিরাপত্তাত্রুটি শনাক্ত করতে পারে।
শুধু তা-ই নয়, এসব দুর্বলতা কাজে লাগানোর উপযোগী ‘এক্সপ্লয়েট কোড’ও (exploit code) কয়েক ঘণ্টার মধ্যে তৈরি করতে পারে। ফলস্বরূপ, নিরাপত্তাত্রুটি শনাক্তকরণ এবং তা সংশোধনের মধ্যবর্তী সময়ের ব্যবধান (window of opportunity) ক্রমেই কমে আসছে।
কোনো ত্রুটি শনাক্ত হওয়ার পরপরই তা সংশোধনের আগেই সাইবার অপরাধীরা কাজে লাগানোর সুযোগ পেতে পারে। এতে সফটওয়্যার নির্মাতা ও সাইবার নিরাপত্তা দলগুলোর ওপর দ্রুত কার্যকর ব্যবস্থা নেওয়ার চাপ বহু গুণ বাড়বে।
