এআই এজেন্ট সাপ্লাই চেইন নিরাপত্তা: এআই এজেন্ট ইনস্টল করা হলে কী একটি খারাপ নির্ভরতা প্রতিরোধ করে

এআই এজেন্ট সাপ্লাই চেইন নিরাপত্তা একসময় বেশ সহজ ছিল, এর প্রধান কারণ ছিল প্যাকেজের নাম এবং তার তৈরির উপকরণের মাঝে সবসময় একজন মানুষই থাকত। বিশ বছর ধরে এটাই ছিল পুরো মডেল: ভেতরে পাঠানোর আগে কেউ একজন নামটি পড়ত। সবসময় মনোযোগ দিয়ে নয়। কিন্তু কেউ একজন পড়ত।

এখন আর সেই অবস্থা নেই। আজ কোনো এআই মডেলকে একটি লাইব্রেরির কথা জিজ্ঞেস করলে, প্রস্তাবিত প্যাকেজগুলোর মধ্যে প্রায় পাঁচটির একটির কোনো অস্তিত্বই নেই। আক্রমণকারীরা এটা জানে, তাই তারা প্রথমে সেই নামগুলোই রেজিস্টার করে নেয়। একটি এজেন্ট সেগুলো ইনস্টল করে, পরীক্ষা করে এবং পরবর্তী ধাপে চলে যায়, আর এর মাঝে কেউ কিছুই পড়ে না। ঠিক এখানেই এআই এজেন্ট সাপ্লাই চেইন নিরাপত্তা এখন ব্যর্থ হচ্ছে: কোনো ভবিষ্যতের পরিস্থিতিতে নয়, বরং এই মুহূর্তে। pipelineআজ চলছে।

শিল্পটি দুই দশক ধরে এমন একজন ডেভেলপারকে কেন্দ্র করে নিয়ন্ত্রণ ব্যবস্থা গড়ে তুলেছে যিনি পড়েন, পর্যালোচনা করেন এবং সিদ্ধান্ত নেন। কোনো ডিপেন্ডেন্সি বিল্ডে প্রবেশের আগে সেই ডেভেলপার আর শেষ চেকপয়েন্ট নন। সুতরাং, আসল প্রশ্নটি এটা নয় যে এজেন্টিক এআই নতুন ঝুঁকি নিয়ে আসে কি না, বরং মানুষের চেকপয়েন্টটি চলে গেলে আসলে কী টিকে থাকে।

“এআই পরামর্শ দেয়” থেকে “এআই কাজ করে”

দুই বছর আগে, একজন কো-পাইলট একটি কোড ব্লক প্রস্তাব করেছিলেন, ডেভেলপার সেটি পড়েছিলেন এবং সেটি রাখবেন কি না, সেই সিদ্ধান্ত নিয়েছিলেন। সেই কর্মপ্রক্রিয়াটি এখন মূলত বিলুপ্ত। এজেন্টিক টুলস এখন ডিপেন্ডেন্সি ইনস্টল করে, কন্টেইনার চালু করে এবং ট্রিগার করে। pipeline তারা নিজেরাই পদক্ষেপ নেয়, প্রায়শই ঘটনা ঘটে যাওয়ার পরেই জানায়, এবং কেবল তখনই জানায় যখন কিছু ভুল হয়।

এই পরিবর্তনটি ধাপে ধাপে ঘটেছে, এবং বেশিরভাগ দলই তাদের লিখিত নিরাপত্তা নীতিতে যা স্বীকার করা হয়েছে, তার চেয়ে এই পরিবর্তনে অনেক বেশি এগিয়ে আছে। প্রথমদিকের এজেন্টিক টুলগুলো প্রতিটি পরিবর্তনের আগে অনুমোদন চাইত, এবং ডেভেলপাররা এত ঘন ঘন “হ্যাঁ” ক্লিক করত যে নিশ্চিতকরণ ধাপটির আর কোনো অর্থই থাকত না। আজকের এজেন্টগুলো বেশিরভাগ ক্ষেত্রেই একেবারেই অনুমোদন চায় না। তারা কেবল সংবেদনশীল হিসেবে চিহ্নিত কাজগুলোর জন্য বাধা দেয়, যেমন একটি শেল স্ক্রিপ্ট চালানো, এবং একটি সাধারণ pull request কোনো এজেন্টের দ্বারা তৈরি কোডে হাজার হাজার লাইন থাকতে পারে, যা মার্জ করার আগে কোনো মানুষ আসলে আগাগোড়া পড়ে না।

অনুমতির সমস্যাটি এটিকে আরও জটিল করে তোলে। বেশিরভাগ সেটআপে, একটি এজেন্ট কেবল ডেভেলপার হিসেবেই চলে এবং ডেভেলপারের মেশিনে নাগালের মধ্যে থাকা সবকিছুতে তার অ্যাক্সেস থাকে: যেমন এনভায়রনমেন্ট ভেরিয়েবল, ক্লাউড টোকেন, রেজিস্ট্রি ক্রেডেনশিয়াল, SSH কী। যখন একটি এজেন্ট কিছু ইনস্টল করে এবং সেই ইনস্টলের সময় কোনো স্ক্রিপ্ট চালু হয়, তখন এটি যার ছদ্মবেশ ধারণ করছে, সেই মানুষের সম্পূর্ণ অ্যাক্সেস পেয়ে যায়। এখানেই এআই এজেন্ট সাপ্লাই চেইন নিরাপত্তা একটি পলিসির প্রশ্ন না থেকে অনুমতির প্রশ্নে পরিণত হয়: এজেন্টের কোনো নতুন এক্সপ্লয়েটের প্রয়োজন নেই, তার কেবল সেই অ্যাক্সেসটুকুই দরকার যা তার কাছে ইতিমধ্যেই আছে।

ডকার ক্যাপ্টেন মোহাম্মদ-আলী আরাবিএকই প্যানেলে বক্তব্য রাখতে গিয়ে তিনি বিষয়টি স্পষ্টভাবে তুলে ধরেন: আমার মনে হয়, ডেভেলপারও এখন আক্রমণের শিকার হওয়ার একটি অংশ।

এটি কিসের জায়গা নিয়েছে সে বিষয়ে সৎ থাকা উচিত। একজন মানুষের পড়া... package.json diff আগে থেকেই একটি দুর্বল নিয়ন্ত্রণ ব্যবস্থা ছিল; কোনো পরিবর্তন অনুমোদন করার আগে প্রায় কেউই প্রতিটি ট্রানজিটিভ ডিপেন্ডেন্সি যাচাই করত না। এজেন্টরা যে একটি শক্তিশালী ব্যবস্থাকে ভেঙে দিয়েছে, তা নয়। তারা একটি দুর্বল ব্যবস্থার শেষ অজুহাতটুকুও দূর করে দিয়েছে। যা বদলেছে তা এই নয় যে ঝুঁকিটি নতুন, বরং এটি এখন সম্পূর্ণ ভিন্ন গতিতে এগোচ্ছে: কিছু হিসাব অনুযায়ী, গত বছরের সাপ্লাই চেইন আক্রমণের পরিমাণ তার আগের বছরের তুলনায় প্রায় পাঁচ গুণ বেশি ছিল এবং এর লেখচিত্রটি রৈখিক না হয়ে সূচকীয় দেখাচ্ছে।