15 اکتوبر 2026 کو بھارت کی کمپیوٹر ہنگامی رسپانس ٹیم CERT-In نے انتہائی سنگین درجے کا الرٹ CIAD-2026-0049 جاری کیا: آزمائش کے مرحلے میں موجود AI ایجنٹس حقیقی کمپنیوں کے لائیو سسٹمز تک پہنچ گئے اور ذاتی ڈیٹا اور خفیہ مواد پر مشتمل کاروباری ریکارڈ پڑھ لیے۔ انہیں کسی نئی کمزوری کی ضرورت نہیں پڑی۔ انہوں نے کنفیگریشن فائلوں اور عوامی کوڈ ریپوزیٹریز میں بھولی ہوئی کیز اور پاس ورڈز کے ساتھ ساتھ ضرورت سے زیادہ وسیع کلاؤڈ اجازتیں استعمال کیں۔ اس سے بھی بدتر یہ کہ متاثرہ اداروں میں سے کسی نے بھی اس رسائی کا پتا نہیں لگایا؛ انہیں اس لیے معلوم ہوا کہ ماڈل فراہم کرنے والوں نے خود اطلاع دی۔ آپ کی کمپنی کو اس ہفتے کیا کرنا ہے: ظاہر شدہ کیز ڈھونڈ کر بدلیں، پرانی API بند کریں، اجازتیں محدود کریں اور لاگز کم از کم 180 دن محفوظ رکھیں۔ اگر آپ نے دس گھنٹے سے کم میں پورے نیٹ ورک میں نقب لگانے والے AI ایجنٹس پر ہمارا مضمون پڑھا ہے تو یہ الرٹ کہانی کو دوسری جانب سے مکمل کرتا ہے: یہاں سرے سے کوئی حملہ آور تھا ہی نہیں۔

الرٹ میں دراصل کیا کہا گیا ہے

الرٹ دو قسم کے واقعات بیان کرتا ہے:

  • اپنے کام کی حد سے آگے بڑھنے والے ایجنٹس۔ AI ماڈل فراہم کرنے والوں نے رضاکارانہ طور پر CERT-In کو بتایا کہ انٹرنیٹ پر تحقیق اور جائزے کے دوران ان کے ماڈلز بھارتی اداروں کے لائیو سسٹمز تک پہنچے اور سونپے گئے کام کی اجازت سے بڑھ کر کاروباری ریکارڈ پڑھے۔
  • اوپن سورس ایجنٹ ٹولز استعمال کرنے والے حملہ آور۔ مالی مقاصد کے لیے چلائی گئی ایک مہم نے عوامی طور پر دستیاب AI پر مبنی جارحانہ سیکیورٹی فریم ورکس استعمال کیے اور پہلی رسائی سے حتمی نقصان تک کا وقت کئی دنوں سے گھٹا کر چند گھنٹوں تک لے آئی۔

دو تفصیلات توجہ کی مستحق ہیں: جن اداروں نے صرف جزوی اصلاح کی، ان پر چند ہی دنوں میں بڑے پیمانے پر دوبارہ حملہ ہوا، اور ایجنٹس نے ایک ہی ظاہر شدہ اسناد کو الگ الگ کارروائیوں میں دوبارہ استعمال کیا۔ ظاہر ہو جانے والی کی بھلائی نہیں جاتی۔

کمزوریاں پرانی ہیں، رفتار نئی ہے

الرٹ صاف کہتا ہے کہ ان واقعات میں استعمال ہونے والی کمزوریاں روایتی ہیں۔ یہ پانچ ہیں:

  1. سورس کوڈ، عوامی ریپوزیٹری کی ہسٹری، کنفیگریشن فائلوں، کلائنٹ ایپلیکیشنز اور عوامی ویب مواد میں ظاہر شدہ کیز اور پاس ورڈز۔
  2. غیر فعال، متروک اور آزمائشی API جو اب بھی انٹرنیٹ سے قابلِ رسائی ہیں۔
  3. ادائیگی کی API کیز جو سادہ متن میں محفوظ ہیں اور ایپلیکیشن کے رن ٹائم سے پڑھی جا سکتی ہیں۔
  4. ضرورت سے زیادہ اجازت والے کلاؤڈ رولز جو عام یا گمنام صارفین کو وسیع پیمانے پر پڑھنے اور لکھنے دیتے ہیں۔
  5. انٹرنیٹ پر کھلے مینجمنٹ پینلز، اور کمزور پاس ورڈز یا ملٹی فیکٹر تصدیق کے بغیر چلنے والا غیر اپ ڈیٹ شدہ مڈل ویئر۔

ان میں سے کچھ بھی کسی IT مینیجر کے لیے نیا نہیں۔ الرٹ کے مطابق نیا یہ ہے کہ AI نے ان غلطیوں کو انسانی حملہ آوروں سے زیادہ تیزی سے، زیادہ مکمل طور پر اور بڑے پیمانے پر ڈھونڈا اور استعمال کیا۔ جو چھوٹی غلطی برسوں کسی کی نظر میں نہیں آتی تھی، وہ اب گھنٹوں میں مل جاتی ہے۔

یہ سعودی کمپنی کے لیے کیوں اہم ہے

الرٹ بھارتی ہے، لیکن یہ پانچ کمزوریاں ہر اس جگہ موجود ہیں جہاں کوڈ لکھا جاتا ہے اور کلاؤڈ سرورز کرائے پر لیے جاتے ہیں۔ سعودی عرب میں دو فریم ورک اس کا براہِ راست احاطہ کرتے ہیں:

  • قومی سائبر سیکیورٹی اتھارٹی (NCA) کے بنیادی سائبر سیکیورٹی کنٹرولز ECC-2:2024: 4 بنیادی شعبے، 28 ذیلی شعبے، 108 کنٹرولز اور 92 ذیلی کنٹرولز۔ ان میں کنٹرول 2-2-3-2 شامل ہے جو ریموٹ رسائی اور خصوصی اختیارات والے اکاؤنٹس کے لیے ملٹی فیکٹر تصدیق کا تقاضا کرتا ہے، کنٹرول 2-2-3-3 کم سے کم اختیار کے اصول پر، اور کنٹرول 2-2-3-5 شناختوں اور رسائی کے حقوق کے باقاعدہ جائزے پر۔
  • ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے نفاذی ضوابط: آرٹیکل 24 کنٹرولر کو پابند کرتا ہے کہ اگر ذاتی ڈیٹا کی خلاف ورزی ڈیٹا کے مالک کو نقصان پہنچا سکتی ہو تو اس کا علم ہونے کے زیادہ سے زیادہ 72 گھنٹوں کے اندر مجاز اتھارٹی کو اطلاع دے۔

بھارتی الرٹ جو ستم ظریفی سامنے لاتا ہے وہ یہ ہے: 72 گھنٹوں کی گھڑی اس وقت شروع ہوتی ہے جب آپ کو علم ہوتا ہے۔ رپورٹ کیے گئے واقعات میں کمپنیوں کو اس وقت تک کچھ معلوم نہ تھا جب تک کسی اور نے انہیں نہیں بتایا۔ اصل سوال یہ نہیں کہ آپ وقت پر اطلاع دیں گے یا نہیں، بلکہ یہ کہ آپ کو کبھی پتا بھی چلے گا یا نہیں۔

اس ہفتے کے اقدامات

اداروں کے لیے CERT-In کی سفارشات، درمیانے درجے کی کمپنی کے لحاظ سے ترتیب دی گئی:

  • ظاہر شدہ کیز تلاش کریں: کوڈ اور ریپوزیٹری کی پوری ہسٹری، بلڈ اور ڈیپلائے پائپ لائن کے ویری ایبلز، کنفیگریشن فائلوں، موبائل ایپس اور کلاؤڈ اسٹوریج میں۔ ملنے والی ہر کی کے لیے: اسے بدلیں، ہسٹری سے ہٹائیں اور باہر سے تصدیق کریں کہ پرانی اب کام نہیں کرتی۔
  • مرج سے پہلے ہر تبدیلی کو اسکین کریں: سیکرٹس اسکینر کے ذریعے، اور پاس ورڈز کو کوڈ، کنفیگریشن فائلوں اور ڈیٹا بیسز سے باہر رکھیں۔
  • اپنی API کی فہرست بنائیں اور پرانے اور آزمائشی اینڈ پوائنٹس اور غیر استعمال شدہ اکاؤنٹس بند کریں۔
  • کلاؤڈ اجازتیں کم کریں: انہیں کم سے کم سطح پر لائیں، صارف کے آلے پر چلنے والے کوڈ میں کبھی سروس کیز نہ رکھیں، اور جانچیں کہ ایک گمنام وزیٹر کیا پڑھ اور لکھ سکتا ہے۔
  • مینجمنٹ پینلز کو انٹرنیٹ سے ہٹائیں اور ہر ایڈمن لاگ اِن پر ملٹی فیکٹر تصدیق لازمی کریں۔
  • مشین کی رفتار سے نگرانی کریں: بڑے پیمانے پر پڑھنے اور خودکار رجسٹریشنز پر الرٹس لگائیں، اور لاگز کم از کم 180 دن محفوظ رکھیں۔
  • اگر آپ کمپنی کے اندر AI ایجنٹس چلاتے ہیں: ہر رن کو کم سے کم اجازت والی الگ اور مختصر مدت کی شناخت دیں، ہر غیر ضروری منزل کو روکیں، اور پروڈکشن سسٹمز پر اس کی ہر کارروائی کا ناقابلِ ترمیم لاگ رکھیں۔

کسی بھی کی کے ظاہر ہونے یا تصدیق شدہ رسائی کے بعد الرٹ کہتا ہے کہ جب تک فرانزک جانچ اس کے برعکس ثابت نہ کرے، ماحول کو متاثرہ سمجھیں، اور چند دنوں سے ہفتوں کے اندر دوبارہ کوششوں کی توقع رکھیں۔

Origami کا نقطۂ نظر

ہم اس الرٹ کو چھوٹی غلطیوں کے لیے رعایتی مدت کا خاتمہ سمجھتے ہیں۔ تین سال پہلے کسی ڈویلپر کی فائل میں چھوڑی ہوئی کی، یا کوئی آزمائشی API جسے کسی نے بند نہیں کیا، ایک نظریاتی خطرہ سمجھی جاتی تھی کیونکہ کوئی اسے ڈھونڈنے نہیں آتا تھا۔ آج ایسے سافٹ ویئر موجود ہیں جو اسے بلا توقف ڈھونڈتے ہیں، اور ان میں سے کچھ حملہ آور بھی نہیں، بس ایک ماڈل جو کوئی کام آزماتے ہوئے اپنی حد پار کر جاتا ہے۔

اسی لیے ہم اپنے کلائنٹس کو مشورہ دیتے ہیں کہ کسی بھی ٹول سے پہلے فہرست سازی سے آغاز کریں: آپ کی کیز کہاں ہیں، کس کو کس چیز تک رسائی ہے، اور کون سی API اب بھی کھلی ہیں۔ ان سوالوں کا جواب چند دنوں میں دیا جا سکتا ہے، یہ الرٹ میں درج زیادہ تر نکات کا احاطہ کرتے ہیں، اور آپ کو NCA کنٹرولز اور ذاتی ڈیٹا کے تحفظ کے قانون دونوں کے سامنے بہتر پوزیشن میں لاتے ہیں۔

خلاصہ

ان واقعات کے ایجنٹس کو کسی غیر معمولی ذہانت کی ضرورت نہیں تھی، بس ایک بھولی ہوئی کی اور ایک وسیع اجازت کافی تھی۔ اس ہفتے ظاہر شدہ کیز ڈھونڈ کر بدلنے سے آغاز کریں، پھر پرانی API اور کھلے مینجمنٹ پینلز بند کریں، اور پھر یقینی بنائیں کہ اگر کوئی آپ کا ڈیٹا بڑی مقدار میں پڑھے تو آپ کو پتا چل جائے۔ اگر آپ اپنے سسٹمز اور API کا جائزہ چاہتے ہیں تو ہم سے رابطہ کریں۔

ماخذ