AI نے کرپٹوگرافک کمزوریاں ڈھونڈ لیں جو ماہرین سے چھوٹ گئی تھیں — جانیے آپ کے کاروبار کے لیے اس کا کیا مطلب ہے

28 جولائی 2026 کو Anthropic نے ایک ایسی چیز شائع کی جو ایک سال پہلے سائنس فکشن لگتی: ایک AI ماڈل نے، زیادہ تر خود کام کرتے ہوئے، کرپٹوگرافک الگورتھمز میں دو بالکل نئی کمزوریاں دریافت کیں — جن میں ایک پوسٹ کوانٹم اسکیم کی ایسی خامی بھی شامل ہے جس کا انسانی ماہرین نے دو سال تک جائزہ لیا لیکن اسے پکڑ نہ سکے۔ اگر آپ کوئی کاروبار چلاتے ہیں تو عملی نتیجہ اطمینان بخش لیکن اہم ہے: آج آپ جو کچھ استعمال کرتے ہیں اس میں سے کچھ بھی نہیں ٹوٹا، اور جس سافٹ ویئر پر آپ انحصار کرتے ہیں اسے بدلنے کی ضرورت نہیں۔ جو چیز بدلی ہے وہ سمت ہے — AI اب انکرپشن پر حملہ کرنے اور اس کا دفاع کرنے، دونوں کے لیے ایک سنجیدہ ٹول بن چکا ہے، اور اسی وجہ سے "کرپٹو ایجیلیٹی" اور پوسٹ کوانٹم منصوبہ بندی کو اپنے روڈ میپ میں شامل کرنا فائدہ مند ہے۔

Anthropic نے دراصل کیا اعلان کیا

Claude Mythos Preview نامی ایک ماڈل استعمال کرتے ہوئے Anthropic کے محققین نے کرپٹ اینالیسس کے دو منصوبے چلائے۔ پہلے منصوبے میں ماڈل نے HAWK میں ایک ساختی خامی ڈھونڈی، جو NIST کے تحت مستقبل کے پوسٹ کوانٹم ڈیجیٹل دستخط کے معیارات کا ایک امیدوار ہے۔ دوسرے منصوبے میں اس نے حملے کی ایک نئی تکنیک ایجاد کی — جسے اس نے "Möbius Bridge" کا نام دیا — جو AES سائفر کے جان بوجھ کر کمزور کیے گئے ورژن پر موجودہ حملے کو تیز کرتی ہے۔ ہر نتیجے پر ماڈل کو صرف چند دن لگے اور اسے تیار کرنے میں تقریباً 100,000 ڈالر کا API استعمال خرچ ہوا۔ سب سے اہم بات یہ ہے کہ Anthropic نے ذمہ دارانہ انکشاف کے اصول پر عمل کیا: اس نے ماہرینِ تعلیم سے مشورہ کیا، جون میں HAWK پر حملے کی تفصیل اس اسکیم کے مصنفین کے ساتھ شیئر کی، اور عوام کے سامنے لانے سے پہلے NIST کے ساتھ ساتھ حکومتی اور صنعتی شراکت داروں سے رابطہ کاری کی۔

HAWK کی پوسٹ کوانٹم خامی، آسان الفاظ میں

HAWK ڈیجیٹل دستخطوں کے لیے ایک مجوزہ الگورتھم ہے جو مستقبل کے کوانٹم کمپیوٹرز کے مقابلے میں بھی محفوظ رہنے کے لیے ڈیزائن کیا گیا ہے۔ اس کی سیکیورٹی ایک مشکل ریاضیاتی مسئلے (لیٹس آئسومورفزم پرابلم) پر قائم ہے۔ ماڈل نے اس لیٹس میں ایک پوشیدہ تشاکل دریافت کیا — ایک "نان ٹریویل آٹومورفزم" — جس کے موجود ہونے کا شبہ پچھلے محققین کو تھا لیکن وہ اسے کبھی ڈھونڈ نہ سکے تھے۔ یہ تشاکل ایک تیز تر حملے کو ممکن بناتا ہے اور کلید کی مؤثر طاقت کو تقریباً آدھا کر دیتا ہے۔ چھوٹے تحقیقی پیرامیٹر HAWK-256 کے لیے حملے کی تخمینی لاگت 2^64 سے گھٹ کر 2^38 رہ گئی۔ بڑے، حقیقی دنیا میں استعمال ہونے والے پیرامیٹر سیٹس (HAWK-512 اور HAWK-1024) کو توڑنا اب بھی ناقابلِ عمل ہے۔ اور چونکہ HAWK ابھی تک NIST کے زیرِ جائزہ ایک امیدوار ہے — کہیں بھی استعمال میں نہیں — اس لیے یہ دریافت بالکل اسی قسم کا اسٹریس ٹیسٹ ہے جسے پکڑنے کے لیے معیار سازی کا عمل بنایا گیا ہے۔

AES پر Möbius Bridge حملہ — اور "7 راؤنڈ" کیوں اہم ہیں

AES وہ انکرپشن معیار ہے جو براؤزرز، بینکنگ ایپس اور انکرپٹڈ ڈرائیوز سے گزرنے والے زیادہ تر ڈیٹا کی حفاظت کرتا ہے۔ مکمل AES-128 دس اندرونی "راؤنڈ" چلاتا ہے۔ ماڈل کی Möbius Bridge تکنیک سات راؤنڈ والے ایک مختصر تحقیقی ورژن پر حملہ کرتی ہے اور ایک موجودہ حملے کو 200 سے 800 گنا تک تیز کر دیتی ہے۔ یہ ڈرامائی لگتا ہے، لیکن باریک شرائط پڑھیں: یہ اصلی AES کو نہیں توڑتا۔ جو دس راؤنڈ والا مکمل سائفر آپ روزانہ استعمال کرتے ہیں وہ محفوظ ہے، اور سات راؤنڈ والا حملہ بھی، Anthropic کے الفاظ میں، "مکمل طور پر ناقابلِ عمل" ہی ہے۔ کم راؤنڈ والے ورژنز پر حملہ کرنا کرپٹوگرافرز کے لیے کسی سائفر کے حفاظتی مارجن کو ناپنے کا ایک معمول کا طریقہ ہے — اور یہاں وہ مارجن برقرار رہا۔

آج آپ جو استعمال کرتے ہیں اس میں سے کچھ بھی کیوں نہیں ٹوٹا

یاد رکھنے والا جملہ براہِ راست Anthropic کی طرف سے ہے: "ان میں سے کسی بھی نتیجے کا آج کے کمپیوٹر سسٹمز پر کوئی عملی اثر نہیں؛ اس کے نتیجے میں کسی بھی پروڈکشن سافٹ ویئر کو تبدیل نہیں کرنا پڑے گا۔" HAWK پروڈکشن میں نہیں ہے۔ AES کا نتیجہ ایک کمزور کیے گئے ورژن کو نشانہ بناتا ہے، نہ کہ اس سائفر کو جو آپ کے ٹریفک کو محفوظ رکھتا ہے۔ لہٰذا نہ کوئی پیچ جلد بازی میں لگانا ہے اور نہ کوئی سسٹم بدلنا ہے۔ آپ جو دیکھ رہے ہیں وہ اس بات کی ایک جھلک ہے کہ اب سے سیکیورٹی تحقیق کیسے کام کرے گی۔

آپ کے کاروبار کے لیے اس کا اصل مطلب

شہ سرخی یہ نہیں کہ "انکرپشن ٹوٹ گئی ہے"۔ شہ سرخی یہ ہے کہ "دریافتوں کی رفتار بدل گئی ہے"۔ Anthropic خود پیش گوئی کرتا ہے کہ AI جلد ہی کرپٹوگرافک دریافتیں اس سے زیادہ تیزی سے پیدا کرے گا جتنی تیزی سے انسانی محققین ان کی تصدیق کر سکتے ہیں۔ کسی کاروبار کے لیے اس کے تین عملی نتائج ہیں۔ پہلا، کسی کمزوری کے ملنے اور اس کے غلط استعمال کے درمیان کا وقفہ مسلسل کم ہوتا جائے گا، اس لیے تیزی سے پیچ لگانے اور کیز کو گھمانے کی آپ کی صلاحیت پہلے سے کہیں زیادہ اہم ہے۔ دوسرا، وہی ٹولز جو خامیاں ڈھونڈتے ہیں آپ کے سسٹمز کو مضبوط بھی کر سکتے ہیں — توقع رکھیں کہ AI کی مدد سے ہونے والے سیکیورٹی آڈٹ معمول بن جائیں گے۔ تیسرا، پوسٹ کوانٹم کرپٹوگرافی کی طرف طویل عرصے سے منصوبہ بند منتقلی اب کوئی دور کی تعلیمی مشق نہیں رہی؛ زمین کھسک رہی ہے، اور جو ادارے جانتے ہیں کہ وہ انکرپشن کہاں استعمال کرتے ہیں وہ نہ جاننے والوں کے مقابلے میں کہیں زیادہ تیزی سے خود کو ڈھال لیں گے۔

تیاری کی ایک عملی چیک لسٹ

  • اپنی کرپٹوگرافی کی فہرست بنائیں۔ جانیں کہ آپ کہاں انکرپشن اور دستخطوں پر انحصار کرتے ہیں — اپنی ویب سائٹس اور API پر TLS، محفوظ شدہ ڈیٹا، VPN، دستاویزات پر دستخط اور ادائیگی کے عمل۔
  • کرپٹو ایجیلیٹی کو مدِنظر رکھ کر ڈیزائن کریں۔ سسٹمز اس طرح بنائیں کہ پوری پروڈکٹ کا آرکیٹیکچر دوبارہ بنائے بغیر کسی الگورتھم کو بدلا جا سکے۔ اس وقت یہی سب سے قیمتی عادت ہے۔
  • پوسٹ کوانٹم راستے کی منصوبہ بندی کریں۔ NIST کے پوسٹ کوانٹم معیارات پر نظر رکھیں اور زیادہ قیمتی، طویل عرصے تک رہنے والے ڈیٹا کے لیے پائلٹ شروع کریں — ہر وہ چیز جسے کوئی حملہ آور "ابھی محفوظ کر کے بعد میں ڈی کرپٹ" کر سکتا ہے۔
  • پیچنگ میں نظم و ضبط برقرار رکھیں۔ تیز تر دریافت کا مطلب تیز تر ردِعمل ہے؛ کیز کی تبدیلی اور ڈیپنڈنسیز کی اپ ڈیٹ کو ہنگامی صورتحال نہیں بلکہ معمول بنائیں۔
  • اسے تعمیل سے جوڑیں۔ مضبوط اور تازہ ترین انکرپشن سعودی عرب کے ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) اور ڈیٹا کے تحفظ کی توقعات کے تحت ایک بنیادی کنٹرول ہے — اسے ایک بار کا سیٹ اپ نہیں بلکہ ایک مسلسل پروگرام سمجھیں۔

Origami اس معاملے کو کیسے دیکھتا ہے

Origami میں ہم سیکیورٹی کو بعد کی سوچ نہیں بلکہ ڈیزائن کی ایک لازمی شرط بنا کر سافٹ ویئر تیار کرتے ہیں۔ اس کا مطلب ہے کرپٹو ایجائل آرکیٹیکچرز، معقول کی مینجمنٹ، ڈیپنڈنسیز کی نگرانی، اور ایسے سسٹمز جن کی دستاویزات اتنی اچھی ہوں کہ مستقبل میں الگورتھم کی تبدیلی دوبارہ لکھنے کے بجائے محض ایک کنفیگریشن تبدیلی ہو۔ جیسے جیسے AI سیکیورٹی میں حملے اور دفاع دونوں کو نئی شکل دے رہا ہے، ہمارا کام آپ کے سسٹمز کو اس لکیر کے دفاعی جانب رکھنا ہے — تازہ ترین، قابلِ آڈٹ اور ڈھلنے کے لیے تیار۔ اگر آپ واضح طور پر جاننا چاہتے ہیں کہ آپ کا کاروبار کرپٹوگرافی کہاں استعمال کرتا ہے اور آنے والی تبدیلیوں کے لیے وہ کتنا تیار ہے، تو یہی وہ جائزہ ہے جسے کرنے میں ہم سعودی اداروں کی مدد کرتے ہیں۔

ذرائع

  • Anthropic — "Discovering cryptographic weaknesses with Claude": anthropic.com
  • NIST — پوسٹ کوانٹم کرپٹوگرافی منصوبہ: csrc.nist.gov