கருப்பு அக்டோபர் AI தாக்குதல் (Black October AI Attack): AI தொழில்நுட்ப உலகிலும், சைபர் பாதுகாப்பு வட்டாரங்களிலும் இந்த மாதத்தை 'கருப்பு அக்டோபர்' (Black October) என்று அழைக்கிறார்கள். இதற்குக் காரணம், AI தொழில்நுட்பத்தின் உதவியுடன் நடத்தப்படும் சைபர் தாக்குதல்கள் முன்னெப்போதும் இல்லாத வகையில் தீவிரமடைந்துள்ளது தான். சமீபத்திய தகவல்களின்படி, மென்பொருள் வரலாற்றிலேயே மிக அதிகமான பாதுகாப்புப் பிழைகள் இந்த ஒரே மாதத்தில் கண்டறியப்பட்டு, ஹேக்கர்களால் தவறாகப் பயன்படுத்தப்பட்டுள்ளன.
OpenCode மற்றும் AI API Key திருட்டு
தற்போது ஹேக்கர்களின் முக்கிய இலக்காக இருப்பது 'AI கம்ப்யூட் கிரெடிட்ஸ்' (AI Compute Credits). அதாவது, AI சேவைகளை இலவசமாகப் பயன்படுத்தும் பொருட்டு சாவிகளைத் (API Key) திருடுவது.
சமீபத்தில், டெவலப்பர்களிடையே பிரபலமான OpenCode என்ற கோடிங் இணையதளத்தில் தொடர்ச்சியான சைபர் தாக்குதல்கள் நடைபெற்றன. சீனாவைச் சேர்ந்த ஹேக்கர்கள் எனச் சந்தேகிக்கப்படும் கும்பல், இந்தத் தளத்தின் பாதுகாப்பை உடைத்து, பயனர்கள் சேமித்து வைத்திருந்த Anthropic, OpenAI போன்ற AI சேவைகளுக்கான API Key-களைத் திருடியுள்ளனர்.
API Key என்றால் என்ன? இதனால் எப்படிப் பண இழப்பு ஏற்படும்?
API Key (Application Programming Interface Key) என்பது AI நிறுவனங்களின் (உதாரணமாக OpenAI அல்லது Gemini) சேவைகளை உங்கள் சொந்த மென்பொருள்களில் பயன்படுத்த உதவும் ஒரு ரகசியக் கடவுச்சொல் போன்றதாகும்.
ஒரு பயனர் இந்த Key-ஐப் பயன்படுத்தி AI-யிடம் கேள்விகள் கேட்கும்போதோ அல்லது வேலை வாங்கும்போதோ, உள்ளீடு மற்றும் வெளியீடு வார்த்தைகளின் (Input and Output Tokens) அடிப்படையில் கட்டணம் வசூலிக்கப்படும். இது ப்ரீபெய்ட் (Pre-paid) மொபைல் ரீசார்ஜ் அல்லது கிரெடிட் கார்டு பில் போன்றது.
இந்த API Key ஹேக்கர்களின் கையில் கிடைத்துவிட்டால், அவர்கள் தங்கள் தேவைக்காக அந்த விலையுயர்ந்த AI சேவைகளைத் தொடர்ந்து பயன்படுத்துவார்கள்; ஆனால், அதற்கான கட்டணம் (பில்) அந்த Key-க்குச் சொந்தக்காரரின் கணக்கிலிருந்து கழிக்கப்படும்! உங்கள் கடன் அட்டை (Credit Card) என் கையில் கிடைத்தால் நான் அதை உபயோகித்து பொருள் வாங்கலாம் ஆனால் மீட்டர் உங்கள் கணக்கில் ஏறும். அதே போலத்தான் இதுவும்.
தி வால் ஸ்ட்ரீட் ஜர்னல் (WSJ) வெளியிட்டுள்ள சமீபத்திய செய்தியின்படி, OpenCode தளத்தின் பல பயனர்கள் 400 டாலர்கள் முதல் சில ஆயிரம் டாலர்கள் வரை இதனால் இழந்துள்ளதாகப் புகாரளித்துள்ளனர்.
PHP மென்பொருளில் கண்டறியப்பட்ட தசாப்த கால பலவீனம் (PHP2Shell)
ஒருபுறம் API Key திருட்டு நடந்து கொண்டிருக்க, மறுபுறம் மனிதர்களால் கண்டுபிடிக்கவோ, ஹேக் செய்யவோ முடியாது என்று பல தசாப்தங்களாக நம்பப்பட்ட சில மென்பொருள் பலவீனங்களை, AI மிக எளிதாக உடைத்து வருகிறது.
இதற்குச் சமீபத்திய உதாரணம், இணைய உலகில் ஆதிக்கம் செலுத்தும் PHP (Hypertext Preprocessor - வலைப்பக்கங்களை உருவாக்கப் பயன்படும் ஒரு திறந்த மூல நிரலாக்க மொழி) மென்பொருளில் கண்டறியப்பட்டுள்ள பலவீனம் (CVE-2026-109618 மற்றும் CVE-2026-109619). இந்த மெமரி பலவீனம் பல ஆண்டுகளாக PHP டெவலப்பர்களுக்குத் தெரிந்திருந்தாலும், "இதை வைத்து ஹேக் செய்வது நடைமுறையில் சாத்தியமில்லை" என்று எண்ணி அதற்கான திருத்தங்களை (Patch) வழங்காமல் இருந்தனர். ஆனால் இந்த அக்டோபரில், AI உதவியுடன் இந்தப் பலவீனத்தை மிக எளிதாக ஹேக் செய்து கணினிகளுக்குள் ஊடுருவ முடியும் என்று ஆராய்ச்சியாளர்கள் நிரூபித்துள்ளனர்.
PHP பயனர்கள் ஏன் கட்டாயம் அப்டேட் செய்ய வேண்டும்?
உலகில் உள்ள 70 சதவீத இணையதளங்கள் PHP-யில்தான் இயங்குகின்றன. பல நாடுகளின் முக்கிய அரசு இணையதளங்களும், ஆரம்பக்கால பேஸ்புக் (Facebook) போன்ற முன்னணித் தளங்களும் PHP-யை அடிப்படையாகக் கொண்டே உருவாக்கப்பட்டன (காலப்போக்கில் Meta வேறு தளத்திற்கு மாறிவிட்டது).
தற்போது, சமீபத்திய PHP பதிப்புகளுக்கு (PHP 8.2, 8.3, 8.4) இதன் டெவலப்பர்கள் அவசர பாதுகாப்பிற்கான தீர்வை (Security Patch) வெளியிட்டுள்ளனர். ஆனால், PHP ஒரு இலவச மென்பொருள் என்பதால், பழைய பதிப்புகளுக்கான (PHP 8.1 மற்றும் அதற்கு முந்தையவை) ஆதரவுக்காலம் (End of Support /Life) முடிந்துவிட்டதாகக் கூறி, அவற்றுக்கு எந்த அப்டேட்டும் வழங்கப்பட மாட்டாது என்று அறிவித்துவிட்டனர்.
இது உலகெங்கிலும் உள்ள PHP பயனர்களை உடனடியாகப் புதிய பதிப்புக்கு மாற வேண்டிய கட்டாயத்திற்குத் தள்ளியுள்ளது. இது அவ்வளவு எளிதான காரியமல்ல; பழைய PHP-யில் எழுதப்பட்ட நிரல்கள் மற்றும் வேர்ட்பிரஸ் (Wordpress) என்ற உலகப் புகழ் பெற்ற இணையதள அமைப்பு மற்றும் இயக்க மென்பொருளின் தேர்ட்-பார்ட்டி ப்ளக்-இன்கள் (Plug-ins) புதிய PHP பதிப்பில் சரியாக வேலை செய்யும் என்பதற்கு எந்த உத்தரவாதமும் இல்லை. இதனால், ஹேக்கர்களிடமிருந்து தப்பிக்க வேறு வழியின்றி, பல நிறுவனங்களும், சில அரசுகளும் மாற்றுவழி கிடைக்கும் வரை தங்கள் இணையதளங்களைத் தற்காலிகமாக முடக்கி வைக்கும் நிலைக்குத் தள்ளப்பட்டுள்ளன.
சுருக்கம்
பொருள்கருவி காலம் வினையிடனொடு ஐந்தும்
இருள்தீர எண்ணிச் செயல். (குறள்: 675 - வினைசெயல் வகை)
பொருள்: ஒரு செயலை செய்யும் முன் கீழ்காணும் ஐந்தினை ஆராய்ந்து எண்ணி அவற்றுள் அறியாமை குற்றங்கள் நீக்க வேண்டும். இவற்றில் எவ்வித குழப்பமும், ஐயப்பாடும், மயக்கமும் இருத்தல் கூடாது. அதன் பின்பே அச்செயலை செய்யவேண்டும்.
கருப்பு அக்டோபர் AI தாக்குதல் (Black October AI Attack): AI தொழில்நுட்பம் எந்த அளவுக்கு ஆக்கப்பூர்வமானதோ, அதே அளவுக்கு அது தவறான நபர்களின் கைகளில் சிக்கும்போது மிகப்பெரிய பேரழிவாகவும் மாறுகிறது.
"கத்தி காய்கறி நறுக்கவும் பயன்படும், உயிருக்கு பாதகம் செய்யவும் பயன்படும்."
கருத்துகள் இல்லை:
கருத்துரையிடுக