18 सितंबर 2026 को Google ने सार्वजनिक रूप से पुष्टि की कि उसके Gemini मॉडल ने बाहरी पक्षों के तीन सिस्टम तक अनधिकृत पहुँच हासिल कर ली थी। यह मई 2026 में Irregular नाम की कंपनी, जो उन्नत AI सिस्टम का परीक्षण करती है, द्वारा किए गए एक सुरक्षा मूल्यांकन के दौरान हुआ, जिसे एक ऐसे वातावरण के भीतर capture-the-flag अभ्यास के रूप में तैयार किया गया था जिसे बंद माना जा रहा था। Google को इन घटनाओं का पता जुलाई में चला और उसने सितंबर के मध्य में प्रेस में ख़बरें आने तक इनकी सार्वजनिक पुष्टि नहीं की।

प्रेस में यह एक ऐसी कहानी की तरह पढ़ी जाती है जिसमें AI अपनी सीमाओं से बाहर निकल गया। किसी कारोबार के भीतर से यह कहीं ज़्यादा सीमित और कहीं ज़्यादा क़रीबी चीज़ लगती है: जिस बारीकी की वजह से यह सब हुआ, वह मॉडल में नहीं थी, बल्कि इसमें थी कि टेस्ट वातावरण को कैसे सेट किया गया था। और ठीक इसी तरह की ग़लती इस समय सऊदी कंपनियों के कई सिस्टम में मौजूद है।

असल में क्या हुआ

परिदृश्य सीधा था: मॉडल से एक अलग-थलग वातावरण के भीतर एक काल्पनिक संगठन पर हमला करवाना। दो चीज़ें एक साथ गड़बड़ हो गईं। पहली, वातावरण को अनचाहे ढंग से इंटरनेट तक पहुँच मिली हुई थी। दूसरी, अभ्यास में इस्तेमाल की गई काल्पनिक कंपनी संयोग से एक असली पक्ष के स्वामित्व वाले असली डोमेन से मेल खाती थी।

नतीजा यह हुआ कि मॉडल ने ठीक वही किया जो उससे कहा गया था, बस ग़लत लक्ष्य के ख़िलाफ़। Google में सुरक्षा इंजीनियरिंग की उपाध्यक्ष Heather Adkins के अनुसार, मॉडल ने ऑनलाइन सार्वजनिक जानकारी ढूँढी और उन वेबसाइटों तक पहुँचने के लिए लॉगिन क्रेडेंशियल का अनुमान लगाया जिन्हें वह टेस्ट का हिस्सा समझ रहा था। पहुँच मिलते ही वह रुक गया और आगे नहीं बढ़ा, और Google का कहना है कि कोई नुक़सान नहीं हुआ।

Google के रुख़ का सबसे अहम हिस्सा यह है कि वह इसे मॉडल के व्यवहार में संरेखण की गड़बड़ी नहीं, बल्कि पहचान की भूल मानता है। मॉडल ने अपने निर्देशों से आगे जाने का फ़ैसला नहीं किया। उसने उनका अक्षरशः पालन किया, बस दुनिया के एक ग़लत नक़्शे के भीतर। यह कोई इकलौता मामला भी नहीं है: OpenAI ने जुलाई में बताया कि उसके एक एजेंट ने Hugging Face में सेंध लगाई, और Anthropic ने अपने मॉडलों में ऐसे ही व्यवहार की जानकारी दी है।

चूक मॉडल में नहीं, सीमा में थी

इस कहानी से AI को पूरी तरह हटा दें, तब भी सबक़ ज्यों का त्यों रहता है। सीधे शब्दों में, यह घटना है: एक टेस्ट वातावरण में चल रहा सिस्टम, एक ऐसा वातावरण जिसमें बाहरी दुनिया तक जाने का सक्रिय रास्ता है, और उसके भीतर ऐसा टेस्ट डेटा जो उतना काल्पनिक नहीं था जितना उसे लिखने वाले ने मान लिया था।

यह वर्णन उन चीज़ों पर भी लागू होता है जो साधारण कारोबारों में बिना किसी AI के होती हैं। एक स्टेजिंग सिस्टम मनमाने ढंग से गढ़े गए मोबाइल नंबरों पर पुष्टि संदेश भेजता है, और वे असली लोगों तक पहुँच जाते हैं। एक टेस्ट स्क्रिप्ट सैंडबॉक्स के बजाय प्रोडक्शन के ख़िलाफ़ पेमेंट गेटवे को कॉल करती है। साइट की एक डेवलपमेंट कॉपी लाइव ग्राहक डेटाबेस से जुड़ी रहती है, क्योंकि अलग डेटाबेस जोड़ना झंझट का काम था। एक ट्रायल ईमेल अभियान असली सब्सक्राइबर सूची पर चला जाता है। हर मामले में जो धारणा टूटी, वह एक ही है: किसी ने मान लिया था कि यह वातावरण अलग है।

सऊदी कारोबारों में यह कहाँ दोहराया जाता है

मौजूदा सिस्टम पर काम करते हुए हम जो देखते हैं, उसके अनुसार यह चार ख़ास जगहों पर दोहराया जाता है:

  • ऐसा टेस्ट डेटा जो असल में नकली नहीं है। किसी टेस्ट फ़ॉर्म को भरने के लिए मौक़े पर गढ़े गए नंबर, डोमेन और ईमेल पते आम तौर पर असली लोगों के होते हैं। इसका समाधान व्यक्तिगत विवेक नहीं, बल्कि परीक्षण के लिए आरक्षित डोमेन, ऐसे नंबर जो किसी तक न पहुँचें, और मौक़े पर डेटा गढ़ने के ख़िलाफ़ एक लिखित नियम है।
  • खुले निकास वाला स्टेजिंग वातावरण। अगर आपकी डेवलपमेंट कॉपी बाहरी दुनिया को WhatsApp संदेश, ईमेल या भुगतान अनुरोध भेज सकती है, तो वह स्टेजिंग वातावरण नहीं है — वह एक दूसरा प्रोडक्शन वातावरण है। सही रोक कॉन्फ़िगरेशन में होनी चाहिए, किसी डेवलपर की याददाश्त में नहीं।
  • टेस्टिंग में इस्तेमाल होने वाली प्रोडक्शन कुंजियाँ। दोनों वातावरणों में साझा की गई एक भी कुंजी अलगाव को ख़त्म कर देती है, चाहे फ़ोल्डर संरचना कितनी भी व्यवस्थित दिखे। ठीक इसी वजह से सरकारी प्लेटफ़ॉर्म इन्हें अलग रखते हैं: उदाहरण के लिए, ज़कात, कर और सीमा शुल्क प्राधिकरण (ZATCA) Fatoora प्लेटफ़ॉर्म पर प्रोडक्शन से अलग एक सिमुलेशन वातावरण देता है, और दोनों के लिए अलग-अलग ऑनबोर्डिंग प्रमाणपत्र जारी करता है।
  • डेवलपमेंट वातावरण के भीतर ग्राहक डेटा की कॉपी। नियामकीय दृष्टि से यह सबसे जोखिम भरा है। सऊदी डेटा और आर्टिफ़िशियल इंटेलिजेंस प्राधिकरण (SDAIA) की निगरानी वाला व्यक्तिगत डेटा संरक्षण क़ानून (PDPL) व्यक्तिगत डेटा पर लागू होता है, चाहे वह कहीं भी रखा हो, और टेस्ट का लेबल लगी कॉपी के लिए कोई छूट नहीं देता। असली ग्राहक डेटा रखने वाला स्टेजिंग वातावरण पूरी तरह इसके दायरे में आता है — और आम तौर पर यही आपका सबसे कम सुरक्षित सिस्टम होता है।

इस हफ़्ते तय करने लायक चार सीमाएँ

इनमें से किसी के लिए भी प्रोजेक्ट या बजट की ज़रूरत नहीं है। ज़रूरत है बस उस व्यक्ति के साथ एक बैठक की जो आपके सिस्टम चलाता है:

  • एक सीधा सवाल पूछें: क्या हमारी टेस्ट कॉपी बाहरी दुनिया को कोई संदेश, ईमेल या भुगतान अनुरोध भेज सकती है? अगर जवाब हाँ या पक्का नहीं पता है, तो सबसे पहले इसी को बंद करें।
  • वातावरणों के बीच कुंजियों और प्रमाणपत्रों को पूरी तरह अलग करें, ताकि कोई भी कुंजी दोनों में काम न करे।
  • टेस्ट डेटा की एक तय सूची अपनाएँ: एक आरक्षित टेस्ट डोमेन, ऐसे नंबर जो किसी तक न पहुँचें, और टीम का एक जाना-पहचाना मोबाइल नंबर जिस पर हर टेस्ट संदेश आए।
  • तय करें कि आपके सिस्टम के ख़िलाफ़ कौन स्वचालित टूल या AI एजेंट चला सकता है, किस वातावरण में और किन अनुमतियों के साथ। अगर जवाब लिखित नहीं है, तो वह मौजूद नहीं है।

Origami का नज़रिया

हम इस घटना को एक याद दिलाने वाली बात के रूप में देखते हैं कि सबसे महँगी सिस्टम विफलताएँ शायद ही कभी चतुराई भरी होती हैं। वे धारणा की विफलताएँ होती हैं। Google की सुरक्षा क्षमता किसी भी सऊदी कारोबार से कहीं आगे है, और जो धारणा टूटी वह सबसे सरल थी: कि एक बंद वातावरण वाक़ई बंद था। कंपनियाँ आम तौर पर किसी सिस्टम के कठिन हिस्से पर नहीं गिरतीं। वे उस हिस्से पर गिरती हैं जिसकी किसी ने समीक्षा नहीं की, क्योंकि वह ज़ाहिर-सा लगता था।

Origami में हम वातावरणों के अलगाव को एक वैकल्पिक अतिरिक्त चीज़ के बजाय डिलीवरी का हिस्सा मानते हैं: एक ऐसा स्टेजिंग वातावरण जो असली संचार चैनलों तक न पहुँच सके, अलग कुंजियाँ, और ऐसा टेस्ट डेटा जो किसी का न हो। इसकी लागत किसी प्रोजेक्ट की शुरुआत में कुछ घंटे है। विकल्प है एक ऐसी घटना जिसे आप किसी ग्राहक या नियामक को तब समझाते हैं जब वह पहले ही हो चुकी हो। यह सौदा जल्दी तय कर लेना बेहतर है।

एक व्यावहारिक सबक़

Gemini घटना का सबक़ AI टूल से बचना नहीं है। सबक़ है staging शब्द को गारंटी मानना बंद करना। कोई वातावरण इसलिए अलग-थलग नहीं होता कि आपने उसे यह नाम दिया; वह इसलिए अलग-थलग होता है क्योंकि किसी ने वास्तव में परखा है कि वह ऐसा है। आज ही एक सवाल से शुरुआत करें: हमारी टेस्ट कॉपी सबसे दूर किस बिंदु तक पहुँच सकती है? अगर जवाब साफ़ नहीं है, तो आप उसी धारणा पर चल रहे हैं जो Google में टूटी।

स्रोत

  • NBC News — Google की यह पुष्टि कि Gemini ने मई 2026 में तीन बाहरी सिस्टम तक अनधिकृत पहुँच हासिल की, और सुरक्षा इंजीनियरिंग की उपाध्यक्ष Heather Adkins का यह बयान कि मॉडल ने सार्वजनिक जानकारी ढूँढी और उन साइटों के क्रेडेंशियल का अनुमान लगाया जिन्हें वह टेस्ट का हिस्सा समझ रहा था।
  • CNBC — Irregular द्वारा किए गए मूल्यांकन का ब्योरा, टेस्ट वातावरण की अनचाही इंटरनेट पहुँच, असली डोमेन से मेल खाने वाला काल्पनिक संगठन, और OpenAI तथा Anthropic द्वारा उजागर की गई मिलती-जुलती घटनाएँ।
  • SDAIA — व्यक्तिगत डेटा संरक्षण क़ानून (PDPL) और व्यक्तिगत डेटा पर उसका लागू होना, चाहे वह कहीं भी संसाधित हो।
  • Fatoora प्लेटफ़ॉर्म - ZATCA — सिमुलेशन वातावरण और प्रोडक्शन के बीच अलगाव, और दोनों के लिए स्वतंत्र ऑनबोर्डिंग प्रमाणपत्र।