लापरवाह हमलावरों को खोजते हुए मिले
सितंबर में गैम्बिट सिक्योरिटी ने ऑनलाइन बाज़ारों के विरुद्ध चल रहे एक आपराधिक अभियान का एक तैयारी सर्वर बरामद किया और उस पर पड़े एआई ढाँचों के नाम गिनाए: हर्मीस, स्ट्रिक्स और केर्न। नॉर्वेजियन-अमेरिकी सुरक्षा कंपनी नॉरफ़ोर्ज ने उसी सूत्र पर शोडन और सेंसिस स्कैनरों से ऐसे केर्न संस्थापन खोजे जिनके वेब इंटरफ़ेस पर कभी पासवर्ड ही नहीं लगा था।
उसे 20 से अधिक ऐसे पैनल मिले जिन्हें वह दुर्भावनापूर्ण मानती है, साथ ही कई प्रतीत होने वाले वैध प्रवेश-परीक्षण भी उतने ही खुले पड़े थे। मुख्य ख़तरा शोधकर्ता स्नोरे फ़ागरलैंड द्वारा 19 अक्टूबर को प्रकाशित रिपोर्ट यह असामान्य रूप से सीधा दृश्य देती है कि स्वायत्त एजेंट व्यापारिक वेबसाइटों में घुसने के लिए कैसे इस्तेमाल हो रहे हैं — क्योंकि हमलावरों के अपने पैनल हर कदम दिखा देते हैं।
केर्न बनावट से हमले का औज़ार नहीं है। नॉरफ़ोर्ज इसे स्थिति-आधारित समस्या-समाधान इंजन बताती है: हर काम एक परियोजना है जिसका एक आरंभ और एक लक्ष्य होता है, और एजेंट इन दोनों के बीच “इरादों” और “तथ्यों” के चक्रों में बढ़ते हैं, हर खोज को एक साझा बोर्ड पर डालते हुए जिसे बाकी कर्मी पढ़ते हैं। मानव संचालक उसी बोर्ड पर अपने संकेत जोड़ सकता है। एक्स पर le1xia0 नाम से लिखने वाले केर्न के रचयिता ने कहा कि यह परियोजना हैकिंग के लिए नहीं बनी थी।
तीन समूह, और एक जिसने इसे औद्योगिक बना दिया
नॉरफ़ोर्ज इस गतिविधि को तीन समूहों में बाँटती है। सबसे बड़ा, जिसे वह AIA0001 कहती है और उच्च विश्वास के साथ दुर्भावनापूर्ण मानती है, चीनी भाषा में 14 पैनलों और 1,100 से अधिक हमला-परियोजनाओं के साथ चलता है। इसके निशाने अमेरिका, कनाडा, जापान और ऑस्ट्रेलिया की ई-कॉमर्स साइटें हैं, और मकसद दुकान तथा भुगतान ढाँचे तक टिकाऊ पहुँच है।
निर्देश औद्योगिक हैं। रिपोर्ट में उद्धृत एक सामान्य निर्देश एजेंटों को बताता है कि लक्ष्य उन चार देशों की “पुष्ट असली शॉपिंग/ई-कॉमर्स वेबसाइटें” हैं जिनका ट्रैफ़िक दो लाख से पंद्रह लाख के बीच है, और जिन्हें माइक्रोसॉफ़्ट के ब्राउज़र स्वचालन प्लेराइट से पहले ही जाँचा जा चुका है कि उन पर सचमुच ऑर्डर दिए जा सकते हैं। लक्ष्य बिना प्रमाणन के दूरस्थ कोड निष्पादन है; पेलोड के रूप में अपलोडर शेल निर्दिष्ट है, स्पष्ट रूप से कमांड चलाने वाला वेब शेल नहीं।
दूसरा समूह, AIA0002, अंग्रेज़ी में 10 पैनलों पर काम करता है और पहुँच से अधिक चोरी की ओर झुका है — क्रेडिट कार्ड और क्रिप्टो, जहाँ कई परियोजनाओं में “क्रेडिट कार्ड लाओ” से आगे कोई तकनीकी निर्देश ही नहीं। तीसरे को, जिसमें एक ही पैनल और 59 परियोजनाएँ हैं, नॉरफ़ोर्ज केवल कम विश्वास के साथ दुर्भावनापूर्ण मानती है।
लगभग 5 डॉलर प्रति कार्य, दस प्रतिशत सफलता
AIA0001 में हर कार्य claudecode_deepseek-v4.1-flash नाम के कर्मी ने चलाया, जिसे नॉरफ़ोर्ज डीपसीक के V4.1 फ़्लैश मॉडल को पुकारने वाला क्लॉड कोड ढाँचा मानती है। कंपनी के पास टोकन के आँकड़े नहीं हैं और वह अनिश्चितता रेखांकित करती है, पर औसत कार्य का अनुमान लगभग 5 डॉलर लगाती है, उन परियोजनाओं सहित जो जल्दी विफल हो जाती हैं; सबसे लंबी, जिसमें 1,000 से अधिक इरादे और तथ्य थे, 100 डॉलर से ऊपर जा सकती है।
सभी समूहों को मिलाकर नॉरफ़ोर्ज औसत सफलता दर लगभग 10 प्रतिशत रखती है। AIA0001 के भीतर परियोजना शुरू होने से लक्ष्य तक का औसत समय 23 घंटे से कुछ कम रहा, और प्रति परियोजना लगभग 140 तथ्य बने। एक परियोजना पाँच दिन से अधिक चली।
शोधकर्ताओं ने एक दावा की गई घुसपैठ की खुद जाँच की, एक बड़े हार्डवेयर पुर्ज़ा विक्रेता के विरुद्ध पूरी हुई परियोजना से शेल का पता लेकर। वह चालू था। एजेंट के अपने विवरण के अनुसार, भीतर जाने का रास्ता मेमकैश्ड सत्र-भंडार तक अनधिकृत लेखन पहुँच, असुरक्षित पीएचपी ऑब्जेक्ट डीसीरियलाइज़ेशन और पुराने ज़ेंड फ़्रेमवर्क घटकों की एक गैजेट शृंखला को जोड़कर बना था।
पैनल स्वयं ही सेंध हैं
दूसरा निष्कर्ष वही है जिस पर रक्षकों को काम करना चाहिए। खुला केर्न पैनल केवल यह नहीं बताता कि किसी साइट पर हमला हो रहा है; वह सब कुछ प्रकाशित कर देता है जो एजेंटों ने रास्ते में सीखा, साथ ही वे प्रमाणपत्र भी जो मानव संचालक ने उसमें चिपकाए। नॉरफ़ोर्ज ने इस सामग्री पर ट्रफ़लहॉग स्कैनर चलाया और सैकड़ों गुप्त कुंजियाँ पाईं, जिनमें से 11 प्रतिशत को औज़ार ने अब भी वैध बताया।
पैनल पूरा प्रशासनिक इंटरफ़ेस भी उजागर करते दिखते हैं — परियोजनाएँ शुरू और बंद करना, डेटा डालना, एजेंटों को नए लक्ष्यों की ओर मोड़ना। नॉरफ़ोर्ज कहती है कि स्पष्ट कारणों से उसने यह नहीं परखा कि ये नियंत्रण बिना प्रमाणन चलते हैं या नहीं, पर निहितार्थ कायम है: बिना ताले के दरवाज़े के पीछे स्वायत्त आक्रामक एजेंट।
रॉयटर्स ने, जिसने प्रकाशन से पहले रिपोर्ट देखी, पीड़ितों में डियर, शार्कनिंजा और कमिंस के नाम लिए। डियर ने कहा कि उसने सुधार के कदम उठाए और संवेदनशील जानकारी तक पहुँच का कोई संकेत नहीं मिला; शार्कनिंजा ने कहा कि हमला एक अलग उत्पाद-सहायता साइट पर हुआ और रोक लिया गया; कमिंस ने कहा कि वह अपने एक विक्रेता द्वारा चलाई जा रही साइट पर संभावित हमले की जाँच कर रही है।
नॉरफ़ोर्ज पीड़ितों को चेताने के लिए रॉयटर्स के साथ काम कर रही है और होस्टिंग कंपनियों से पैनल हटाने को कह रही है। सस्ता संकेत वही है जिस पर रिपोर्ट समाप्त होती है: जिन संचालकों के औज़ार खोजे जा सके, वे वही हैं जिन्होंने पैनल खुले छोड़े।
