CertiK ने इस सप्ताह एक रिपोर्ट प्रकाशित की है, जिसमें तर्क दिया गया है कि सुरक्षा और वित्तीय अपराध रोकथाम से जुड़े कार्यों को संभालने वाले AI एजेंट्स को सामान्य टूल्स के बजाय कर्मचारियों की तरह प्रबंधित किया जाना चाहिए। 'Intel3D' नाम की यह रिपोर्ट इस बात का विश्लेषण करती है कि कैसे ये एजेंट्स अब विभिन्न चरणों के जरिए तर्क करते हैं, साक्ष्य जुटाते हैं, लाइव वातावरण में कार्रवाई करते हैं और सीमित मानवीय हस्तक्षेप के साथ परिणामों को समीक्षा के लिए वापस सौंपते हैं। CertiK का कहना यह नहीं है कि यह तकनीक भविष्य में आने वाली है, बल्कि यह है कि यह पहले ही आ चुकी है, और अधिकांश कंपनियां इसकी निगरानी के लिए तैयार नहीं हैं।
समस्याओं को फ्लैग करने से लेकर उन्हें ठीक करने तक
बदलाव इस बात में आया है कि ये सिस्टम वास्तव में क्या करते हैं। पुराने मशीन-लर्निंग टूल्स मुख्य रूप से असामान्य लॉगिन को फ्लैग करके, ट्रांजेक्शन का जोखिम आंककर और रिपोर्ट का मसौदा तैयार करके विश्लेषकों की सहायता करते थे — लेकिन अंतिम निर्णय और कार्रवाई इंसानों द्वारा ही की जाती थी। नए एजेंट्स इससे कहीं आगे जाते हैं। CertiK एक सुरक्षा संचालन केंद्र (SOC) के ऐसे एजेंट का उदाहरण देता है जिसे संदिग्ध लॉगिन का अलर्ट मिलता है, वह डिवाइस रिकॉर्ड, लोकेशन डेटा और थ्रेट फीड्स की जांच करता है, फिर खाते को निलंबित कर देता है और अपने उठाए गए हर कदम को दर्ज (लॉग) करता है। इसके बाद कोई व्यक्ति इस पूरी प्रक्रिया की समीक्षा करता है।
रिपोर्ट के अनुसार, यह कार्यप्रणाली Web3 सुरक्षा में तेजी से फैल रही है — जैसे स्मार्ट कॉन्ट्रैक्ट ट्रायज, ट्रांजेक्शन रिस्क स्कोरिंग और चोरी हुए फंड्स को ट्रेस करना। इनमें सबसे अहम कड़ी गति (स्पीड) है। फ्लैश-लोन एक्सप्लॉइट्स कुछ ही सेकंडों में किसी प्रोटोकॉल के फंड्स खाली कर सकते हैं, और चोरी की गई क्रिप्टो कुछ ही घंटों में ब्रिजेस और मिक्सर्स के जरिए ट्रांसफर की जा सकती है। फंड्स गायब होने से पहले अक्सर मानवीय टीमों के पास जांच करने का पर्याप्त समय नहीं होता है।
कर्मचारियों की कमी की अंतर्निहित समस्या
इसके पीछे एक व्यावहारिक और कम आकर्षक कारण भी है: कर्मचारियों की कमी। साइबर सुरक्षा और कंप्लायंस से जुड़ी भूमिकाओं को भरना कठिन है, और विनियामक (रेगुलेटरी) दबाव कार्यभार को लगातार बढ़ा रहा है। CertiK ने 2025 की पहली छमाही में 900 मिलियन डॉलर से अधिक के AML (एंटी-मनी लॉन्ड्रिंग) जुर्माने का हवाला दिया है — यह एक ऐसा आंकड़ा है जो तकनीक के समर्थकों की किसी भी दलील के बिना, अपने आप में ऑटोमेशन की आवश्यकता को सिद्ध करता है।
वित्त (फाइनेंस) के क्षेत्र में, रिपोर्ट एजेंट्स को AML से जुड़े कार्य संभालते हुए देखती है। क्रिप्टो में, यह एक्सप्लॉइट डिटेक्शन, फंड ट्रेसिंग और ट्रांजेक्शन मॉनिटरिंग की ओर इशारा करती है। इस स्तर पर इनमें से कुछ भी काल्पनिक नहीं है।
विफलता के वे पहलू जिनके बारे में कोई बात नहीं करना चाहता
CertiK इन जोखिमों को लेकर बिल्कुल स्पष्ट है। एजेंट्स गलत परिणाम दे सकते हैं। आमतौर पर सही काम करने वाले सिस्टम के आदी होकर इंसान इन परिणामों की उतनी बारीकी से जांच नहीं करते जितनी की जानी चाहिए। इसके अलावा, AI सिस्टम स्वयं भी निशाने पर होते हैं — कोई हमलावर जो एजेंट को गलत डेटा दे सकता है या उसके इनपुट्स में हेरफेर कर सकता है, वह केवल खाते पर नहीं, बल्कि पूरी जांच प्रक्रिया पर हमला कर रहा होता है।
रिपोर्ट की सबसे गंभीर चेतावनी यही है: मजबूत निगरानी के बिना, ऑटोमेशन पुरानी समस्याओं को खत्म नहीं करता, बल्कि उनकी जगह ऐसी विफलताएं ले आता है जिन्हें समझाना और भी कठिन होता है।
CertiK इसके समाधान के लिए क्या कहता है
सिफारिशें व्यावहारिक और बेहद सटीक हैं: इनपुट्स और की गई कार्रवाइयों का पूरा रिकॉर्ड रखें। एजेंट अपने दम पर क्या निर्णय ले सकता है, इसकी स्पष्ट सीमाएं तय करें। स्वयं एजेंट्स के खिलाफ एडवर्सेरियल टेस्टिंग करें। और प्रत्येक एजेंट के लिए एक मानवीय ओनर (प्रभारी) नियुक्त करें — कोई ऐसा व्यक्ति जो चीजें गलत होने पर जवाबदेह हो।
एजेंट्स को साधारण सॉफ्टवेयर के बजाय कार्यबल (वर्कफोर्स) के हिस्से के रूप में देखना ही वह दृष्टिकोण है जिस पर CertiK बार-बार जोर देता है। इसका मतलब है कि कंपनियां परिणामों के लिए जिम्मेदार बनी रहती हैं, भले ही काम किसी मशीन ने किया हो। यह एक मैनेजमेंट समस्या है जिसे टेक्नोलॉजी समस्या का चोला पहना दिया गया है, और शायद यही वजह है कि इसे नजरअंदाज किया जा रहा है। एक एजेंट खरीदना आसान है; लेकिन उसे एक सुपरवाइजर, एक स्पष्ट कार्यक्षेत्र और एक ऑडिट ट्रेल सौंपना आसान नहीं है।
रिपोर्ट कोई समय सीमा तय नहीं करती और न ही कोई मानक प्रस्तावित करती है। फिलहाल, व्यावहारिक सवाल हर सुरक्षा टीम के सामने है: एजेंट का ओनर कौन है, और जब यह गलती करेगा तो क्या होगा?
