माइक्रोसॉफ्ट ने 'एजेंटिक इनसाइडर्स' को एंटरप्राइज़ AI सुरक्षा जोखिम बताया

माइक्रोसॉफ्ट ने उद्यमों को चेतावनी दी है कि उनके अपने आंतरिक AI एजेंट सुरक्षा के लिए जोखिम बन सकते हैं, और तथाकथित "एजेंटिक इनसाइडर्स" से उत्पन्न खतरे को बढ़ती चिंता बताया है। कंपनी का कहना है कि कॉर्पोरेट सिस्टम के भीतर तैनात AI एजेंटों की लगातार निगरानी आवश्यक है, और वह उन्हें नियंत्रण में रखने के लिए रियल-टाइम नियंत्रणों की सिफारिश कर रही है।

आंतरिक AI एजेंट अलग क्यों हैं

पारंपरिक कर्मचारी खाते या स्थिर सॉफ़्टवेयर टूल के विपरीत, एक AI एजेंट स्वयं कार्य कर सकता है — अनुरोध करना, डेटा स्थानांतरित करना और कई सिस्टम को छूना, बिना किसी मानव द्वारा प्रत्येक चरण को मंजूरी दिए। माइक्रोसॉफ्ट का मार्गदर्शन इस स्वायत्तता को मूल समस्या के रूप में प्रस्तुत करता है। कंपनी का कहना है कि जहाँ भी एजेंट संचालित होते हैं, वहाँ एंटरप्राइज़ सिस्टम में पहचान, अनुमतियाँ और ट्रेसबिलिटी लागू की जानी चाहिए।

यह उस तरीके से बदलाव है जिसमें कई संगठन आंतरिक टूल्स को देखते हैं। व्यापक अनुमतियों वाला एजेंट कागज़ पर वैध दिख सकता है जबकि वह कुछ ऐसा कर रहा हो जो किसी ने नहीं सोचा था। माइक्रोसॉफ्ट का समाधान कोई एकल उत्पाद सुधार नहीं है; यह एक दृष्टिकोण है: एजेंटों की लगातार निगरानी करें, केवल तैनाती के समय नहीं।

रियल-टाइम नियंत्रण, वार्षिक समीक्षा नहीं

माइक्रोसॉफ्ट आवधिक ऑडिट के बजाय रियल-टाइम नियंत्रणों पर जोर दे रहा है। कंपनी की सिफारिश निगरानी और हस्तक्षेप को एजेंट की कार्रवाइयों के साथ उसी समय-सीमा पर रखती है, ताकि कोई गलत कॉल होते समय ही पकड़ी जा सके, न कि तिमाही रिपोर्ट में।

पहचान और अनुमतियाँ इसके केंद्र में हैं। प्रत्येक एजेंट को एक स्पष्ट पहचान, सीमित पहुँच और यह रिकॉर्ड चाहिए कि उसने क्या किया और क्यों। इनके बिना, किसी घटना को किसी विशिष्ट एजेंट तक ट्रेस करना — या यह साबित करना कि उसने क्या छुआ — अनुमान का खेल बन जाता है।

ट्रेसबिलिटी की कमी

ट्रेसबिलिटी वह पहलू है जिसे उद्यम अक्सर कमजोर बनाते हैं। माइक्रोसॉफ्ट का मार्गदर्शन इस बात पर जोर देता है कि एजेंट सिस्टम में दिखाई देने चाहिए, न कि किसी एक टीम के टूलिंग में साइलो होकर। ईमेल, फ़ाइलों और लाइन-ऑफ़-बिज़नेस ऐप्स में फैला एक एजेंट ऐसा ट्रेल बनाता है जिसे शुरू से अंत तक पठनीय होना चाहिए।

यह चेतावनी ऐसे समय आई है जब अधिक कंपनियाँ आंतरिक एजेंटों को नियमित कार्यों पर लगा रही हैं। यही अपनाव इनसाइडर ढाँचे को सटीक बनाता है: जोखिम बाहरी हमलावर के घुसपैठ का नहीं, बल्कि वैध पहुँच वाले एजेंट के अपने दायरे से बाहर कुछ करने का है।

उद्यमों से क्या करने को कहा जा रहा है

माइक्रोसॉफ्ट की चेकलिस्ट बहुत आकर्षक नहीं है। प्रत्येक एजेंट के लिए पहचान स्थापित करें। अनुमतियों को केवल उतने तक सीमित करें जितना कार्य के लिए आवश्यक है। निरंतर निगरानी चालू रखें। एजेंट जिन सभी सिस्टम तक पहुँच सकता है, उन सभी में ट्रेसबिलिटी बनाए रखें। इनमें से कोई भी एकबारगी सेटअप नहीं है — कंपनी कहती है कि निगरानी निरंतर होनी चाहिए।

सुरक्षा टीमों के लिए, इसका अर्थ है एजेंटों को उसी शासन में शामिल करना जो मानव खातों पर लागू होता है, और यह किसी घटना के दबाव डालने से पहले करना। माइक्रोसॉफ्ट ने इस मार्गदर्शन को किसी विशिष्ट उल्लंघन या उत्पाद लॉन्च से नहीं जोड़ा है, जिससे परिचालन संबंधी सवाल खुला रह जाता है: कितने उद्यम वास्तव में यह देख सकते हैं कि उनके आंतरिक एजेंट अभी, वास्तविक समय में, हर उस सिस्टम में जिसे वे छूते हैं, क्या कर रहे हैं?