দক্ষিণ কোরিয়ার সামরিক বাহিনীকে লক্ষ্য করে ফিশিং হামলায় এআই ব্যবহার উত্তর কোরীয় হ্যাকারদের

পরিচিত কিমসুকি কৌশলে এআইয়ের নতুন সংযোজন

দক্ষিণ কোরিয়ার একটি সাইবার নিরাপত্তা প্রতিষ্ঠানের বিস্তারিত বিশ্লেষণ অনুযায়ী, উত্তর কোরিয়ার কিমসুকি গোষ্ঠী কৃত্রিম বুদ্ধিমত্তা ব্যবহার করে এমন বিশ্বাসযোগ্য ছবি তৈরি করেছে, যা দক্ষিণ কোরীয় সামরিক কর্মীদের পরিচয়পত্রের মতো দেখায়। এসব ছবি ব্যবহার করে তারা ফিশিং প্রচারণা চালায়। বার্তায় প্রাপকদের বেসামরিক কর্মীদের পরিচয়পত্রের নমুনা নকশা পর্যালোচনা করতে বলা হয়েছিল—প্রতিরক্ষা প্রশাসনের ভেতরে এমন অনুরোধকে স্বাভাবিকই মনে হতে পারে। সংযুক্ত ছবিগুলো আসল পরিচয়পত্রের মতো দেখালেও তদন্তকারীদের দাবি, সেগুলো তৈরি করা হয়েছিল একটি জেনারেটিভ এআই মডেল দিয়ে এবং সঙ্গে এমন ম্যালওয়্যার ছিল, যা ভুক্তভোগীর কম্পিউটারের নিয়ন্ত্রণ নিতে পারে।

ইমেইলগুলোতে পরিচয়পত্র ইস্যুর দায়িত্বে থাকা একটি প্রতিরক্ষা-সংশ্লিষ্ট প্রতিষ্ঠানের ছদ্মবেশ নেওয়া হয়েছিল। খসড়া পরিচয়পত্রের নকশার মতো দেখতে PNG ছবি সংযুক্ত করে প্রাপকদের আশ্বস্ত করার চেষ্টা করে হামলাকারীরা। একই সরবরাহ-শৃঙ্খলে লুকানো ফাইলগুলো লক্ষ্যবস্তু ব্যক্তি কনটেন্টের সঙ্গে যোগাযোগ করলেই একটি ব্যাকডোর সক্রিয় করত। ছবিগুলো সম্ভবত প্রকৃত পরিচয়পত্র হিসেবে নয়, পরীক্ষার জন্য নকশার নমুনা হিসেবে তৈরি করতে একটি বাণিজ্যিক এআই ব্যবস্থাকে নির্দেশনা দিয়ে বানানো হয়েছিল। এই কৌশলে স্বয়ংক্রিয় নিরাপত্তাব্যবস্থাকে ফাঁকি দেওয়া সম্ভব।

প্রেরকের ঠিকানাটিও বিশ্বস্ত সামরিক ডোমেইনের মতো করে সাজানো হয়েছিল। পরিচিত সংকেত খুঁজতে গিয়ে প্রাপকদের বিভ্রান্ত করতে তদন্তকারীরা .mli.kr-এর মতো ভুয়া ডোমেইন দেখেছেন, যা দক্ষিণ কোরিয়ার সরকারি প্রতিরক্ষা ডোমেইন প্রত্যয় .mil.kr-এর সঙ্গে দেখতে প্রায় এক। এ ধরনের সামান্য পরিবর্তন সামাজিক প্রকৌশলের পরিচিত কৌশল। ব্যস্ত ইনবক্স দ্রুত চোখ বুলিয়ে দেখার সময় এগুলো খেয়াল করা কঠিন।

জুলাইয়ের মাঝামাঝি প্রথম শনাক্ত হওয়া এই প্রচারণার আগে একই গোষ্ঠী ClickFix-ধাঁচের প্রলোভন ব্যবহার করে একই ম্যালওয়্যার পরিবারের সফটওয়্যার পাঠিয়েছিল। আগের সেই অভিযানের অভিজ্ঞতা আবার কাজে লাগানো হয়েছে বলে মনে হয়; এবার গল্পটিকে বিশ্বাসযোগ্য করতে যুক্ত হয়েছে এআই-তৈরি গ্রাফিকস। লক্ষ্যবস্তুর মধ্যে ছিল একটি সামরিক-সংশ্লিষ্ট প্রতিষ্ঠান এবং উত্তর কোরিয়াবিষয়ক গবেষক, সাংবাদিক ও কর্মীরা।

ফিশিং কৌশলটি কীভাবে কাজ করেছিল

প্রলোভনটি ছিল সরল। প্রাপকদের একটি বার্তা দিয়ে পরিচয়পত্রের নমুনা নকশা দ্রুত পর্যালোচনা করতে বলা হয়। একটি ZIP আর্কাইভ বা ডাউনলোড লিংকের মাধ্যমে একটি ছবি ও এক বা একাধিক স্ক্রিপ্ট পাঠানো হতো। ফাইল খোলার পর সেই ধারাবাহিক প্রক্রিয়ায় কোড চালু হয়ে কম্পিউটারটিকে হামলাকারীদের অবকাঠামোর সঙ্গে যুক্ত করত, অতিরিক্ত উপাদান নামিয়ে আনত এবং দূর থেকে নিয়ন্ত্রণ প্রতিষ্ঠা করত। নিরীহ নকশা পর্যালোচনার গল্পটিকে বিশ্বাসযোগ্য করে তুলত ছবিটি।

প্রম্পট ইনজেকশনের মাধ্যমে এআই নিরাপত্তাব্যবস্থা এড়িয়ে যাওয়া

বেশির ভাগ মূলধারার এআই সরঞ্জাম সরকারি পরিচয়পত্র তৈরি করতে অস্বীকৃতি জানায়, কারণ এ ধরনের নথির অনুলিপি করা বেআইনি এবং তা জালিয়াতিতে সহায়তা করে। এ ক্ষেত্রে হামলাকারীরা তাদের প্রম্পটকে অভ্যন্তরীণ নকশার নমুনা হিসেবে উপস্থাপন করেছে বলে মনে হয়। এতে মডেলটি অনুরোধটিকে নিরীহ হিসেবে ব্যাখ্যা করতে পারে। এটি প্রম্পট ইনজেকশন বা জেলব্রেকিংয়ের এক ধরন, যেখানে ব্যবহারকারী উদ্দেশ্যকে নতুনভাবে উপস্থাপন করে ভাষার কৌশলে মডেলকে তার নিয়ম এড়িয়ে যেতে প্ররোচিত করে।

ভুয়া ছবিগুলোর একটি পরীক্ষা করা বিশ্লেষকেরা জানিয়েছেন, ডিপফেক শনাক্তকারী সেটিকে এআই দিয়ে তৈরি হওয়ার ৯৮ শতাংশ সম্ভাবনা হিসেবে চিহ্নিত করেছে। অন্তত একটি নমুনায় ছবির মেটাডেটায় GPT 4o এবং ChatGPT-এর উল্লেখ ছিল, যা ইঙ্গিত করে পরীক্ষার বা তৈরির সময় OpenAI-এর ছবি তৈরির প্রক্রিয়া ব্যবহার করা হয়েছিল। ছবিটি যত বেশি নিয়মিত পরিচয়পত্রের খসড়ার মতো দেখাবে, তাড়াহুড়োয় থাকা কর্মীর অনুরোধটিকে বৈধ মনে করার সম্ভাবনাও তত বাড়বে।

ম্যালওয়্যার সরবরাহ ও অনুপ্রবেশের ধাপ

ফাইল পাঠানোর পদ্ধতি একেক ক্ষেত্রে একেক রকম ছিল। পর্যবেক্ষণ করা একটি ঘটনায় ZIP ফাইলে এমন একটি শর্টকাট ছিল, যা দেখতে সাধারণ নথির মতো। সেটি চালু করলে PowerShell কমান্ড চলত, দূরবর্তী সার্ভারের সঙ্গে যোগাযোগ করত, একটি ব্যাকডোর নামিয়ে আনত এবং পরিচয়পত্রের ছদ্মবেশী PNG ছবিটি ডাউনলোড করত। অন্য একটি ঘটনায় LhUdPC3G.bat নামের ব্যাচ ফাইলটি ছবিটির সঙ্গে চালু হয়ে স্থায়ীভাবে সিস্টেমে থাকার ব্যবস্থা করা এবং তথ্য চুরি ও দূরবর্তী নিয়ন্ত্রণ সক্ষম করাসহ ক্ষতিকর কার্যক্রম শুরু করত।

এগুলো ছিল লক্ষ্যনির্দিষ্ট ফিশিং ইমেইল, আর হামলাকারীরা খুঁটিনাটি বিষয়ে নজর দিয়েছিল। আস্থা বাড়াতে এবং লক্ষ্যবস্তুকে সংযুক্তি খুলতে উৎসাহিত করতে কিছু আর্কাইভে প্রাপকের আসল নামের আংশিক আড়াল করা রূপ ব্যবহার করা হয়েছিল। ভুয়া পরিচয়পত্রের ছবি, পরিচিত ধরনের অনুরোধ এবং প্রেরকের ডোমেইনের প্রায় হুবহু মিল—সব মিলিয়ে প্রাপকদের সন্দেহ পেরিয়ে এগিয়ে যেতে প্ররোচিত করেছিল।

কিমসুকি কাদের লক্ষ্য করে এবং কেন

সরকারি সংস্থা ও বেসরকারি গবেষকেরা বহু বছর ধরে কিমসুকিকে উত্তর কোরিয়ার গোয়েন্দা তথ্য সংগ্রহকারী একটি ইউনিট হিসেবে পর্যবেক্ষণ করছেন। ধারণা করা হয়, গোষ্ঠীটি রাষ্ট্রীয় অগ্রাধিকারের সঙ্গে সামঞ্জস্যপূর্ণ নীতি, সামরিক ও প্রযুক্তিবিষয়ক তথ্য সংগ্রহ করে। এর লক্ষ্যবস্তুর মধ্যে প্রায়ই থাকে সরকারি সংস্থা, প্রতিরক্ষা-সংশ্লিষ্ট প্রতিষ্ঠান, থিংক ট্যাংক, শিক্ষাবিদ ও গবেষক, সাংবাদিক এবং উত্তর কোরিয়াবিষয়ক মানবাধিকার সংগঠন।

জুনে গবেষকেরা ClickFix-ধাঁচের ইমেইলের তথ্য নথিবদ্ধ করেন, যেখানে একটি কথিত সমস্যা সমাধানের জন্য ব্যবহারকারীদের একটি বোতাম চাপতে প্রলুব্ধ করা হয়েছিল। জুলাইয়ের প্রচারণায় একই ম্যালওয়্যার ও আগের অনেক কৌশল ব্যবহার করা হয়, পাশাপাশি প্রলোভনকে জোরদার করতে যোগ করা হয় এআই-তৈরি নকশার নমুনা। এটি ব্যাপকভাবে পাঠানো কোনো অভিযান ছিল না। নির্দিষ্ট নেটওয়ার্ক ও ইনবক্সে প্রবেশের লক্ষ্যে এটি ছিল সতর্ক, লক্ষ্যনির্দিষ্ট অভিযান।

একই ম্যালওয়্যার কোড, অবকাঠামোর পুনর্ব্যবহার, ভাষার ধরন এবং লক্ষ্যবস্তু নির্বাচনের মতো কারিগরি ও প্রাসঙ্গিক নানা প্রমাণের ভিত্তিতে দায় নির্ধারণ করা হয়েছে। এসব সূচক এর আগে কিমসুকির সঙ্গে সংশ্লিষ্ট বলে চিহ্নিত কার্যক্রমের সঙ্গে মেলে। নীতিনির্ধারণী মহলে অনুপ্রবেশ, তথ্য সংগ্রহ এবং উত্তর কোরিয়াকে নিবিড়ভাবে পর্যবেক্ষণ করা প্রতিষ্ঠানগুলোতে অবস্থান ধরে রাখার দীর্ঘমেয়াদি অভিযানের সঙ্গে এই পদ্ধতির মিল রয়েছে।

পরিচয়পত্র ইস্যুকারী ইউনিটের ছদ্মবেশ নেওয়া একটি সুপরিচিত দাপ্তরিক প্রক্রিয়ার সুযোগ নেয়। পরিচয়পত্রে যৌথ পর্যালোচনার প্রয়োজন হয়; ফন্ট, ছবি ও বিন্যাস নিয়ে প্রায়ই একাধিকবার মতবিনিময় করতে হয় এবং এতে কর্তৃত্বের আভাসও থাকে। তাই নমুনা যাচাইয়ের অনুরোধটি স্বাভাবিক বলে মনে হয়।

উত্তর কোরীয় হামলাকারীদের এআইয়ের অপব্যবহারের বিস্তৃত প্রবণতা

এই ফিশিং অভিযানটি আরও বিস্তৃত একটি প্রবণতার অংশ। আগস্টে একটি বড় এআই নির্মাতা জানায়, তারা উত্তর কোরীয় অপারেটরদের কার্যক্রম ব্যাহত করেছে। ওই অপারেটররা তাদের মডেল ব্যবহার করে ভুয়া পরিচয় তৈরি, যুক্তরাষ্ট্রের প্রযুক্তি প্রতিষ্ঠানে দূরবর্তী চাকরির আবেদন এবং নিয়োগ পাওয়ার পর কারিগরি কাজ সম্পন্ন করেছিল। ওই প্রতিবেদনে এ কার্যক্রমের সঙ্গে যুক্ত অ্যাকাউন্টগুলো নিষিদ্ধ করা এবং ক্ষতিকর ব্যবহারের বিরুদ্ধে শনাক্তকরণব্যবস্থা হালনাগাদ করার কথাও বলা হয়।

দক্ষিণ কোরিয়া ও যুক্তরাষ্ট্রের নিরাপত্তাবিষয়ক ব্রিফিংয়ে সতর্ক করা হয়েছে, উত্তর কোরীয় পক্ষ এআই সরঞ্জাম ব্যবহার করে সাবলীল ইমেইল ও জীবনবৃত্তান্ত লিখছে, চাকরির আবেদনপত্র তৈরি করছে, কোডের খসড়া লিখছে এবং পেশাদার প্রোফাইল ছবিসহ পরিচয় তৈরি করছে। এসব সক্ষমতায় অল্প কয়েকজন অপারেটরও অনেক বড় দলের মতো পরিশীলিতভাবে কাজ করতে পারে। প্রবেশের বাধা কমেছে। সীমিত কারিগরি দক্ষতাসম্পন্ন কেউ এখন এআইয়ের কাছ থেকে নির্দেশনা নিতে পারে, দ্রুত ম্যালওয়্যার মডিউলের খসড়া তৈরি করতে পারে, কনটেন্টকে প্রাঞ্জল ও মানসম্মত কোরীয় বা ইংরেজিতে অনুবাদ করতে পারে এবং একনজরে বিশ্বাসযোগ্য মনে হয় এমন দৃশ্যমান উপকরণ তৈরি করতে পারে।

উপদ্বীপের ডিজিটাল সংঘাত বিশ্লেষণকারী গবেষকেরা দক্ষিণ কোরীয় প্রতিষ্ঠানগুলোর ওপর হামলা বৃদ্ধির কথা জানিয়েছেন। ২০২৩ সালে প্রকাশিত বিভিন্ন সূত্রে সরকারি ব্যবস্থার বিরুদ্ধে দৈনিক লাখ লাখ হামলাচেষ্টার কথা উল্লেখ করা হয়েছিল; এর অনেকগুলোর সঙ্গে উত্তর কোরীয় কার্যক্রমের যোগসূত্র পাওয়া যায়। জাতিসংঘের পৃথক প্রতিবেদন ও শিল্পখাতের গবেষণায় উত্তর কোরীয় ইউনিটগুলোকে কৌশলগত কর্মসূচির অর্থ জোগাতে ব্যবহৃত বড় অঙ্কের ক্রিপ্টোকারেন্সি চুরির সঙ্গে যুক্ত করা হয়েছে। লক্ষ্যনির্দিষ্ট ফিশিং, এআই-সহায়তায় চাকরির জালিয়াতি এবং আর্থিক চুরি—নিষেধাজ্ঞা সত্ত্বেও গোয়েন্দা তথ্য সংগ্রহ ও অর্থ উপার্জনের একই কৌশলের অংশ।

চীনভিত্তিক অপারেটর ও রাষ্ট্রের সঙ্গে সংশ্লিষ্ট অন্য পক্ষও জেনারেটিভ এআই নিয়ে পরীক্ষা-নিরীক্ষা করছে। তবে এখানে মূল বিষয় হলো, গুপ্তচরবৃত্তি ও অবৈধ অর্থায়ন—দুই ক্ষেত্রেই উত্তর কোরীয় ইউনিটগুলোর দ্রুত এআই গ্রহণ। ফিশিং কিট ও এআই-সহায়তায় কনটেন্ট তৈরির স্টুডিওর মধ্যকার সীমারেখা ঝাপসা হয়ে গেছে। আগে যে কাজে নকশাবিদ, অনুবাদক ও ডেভেলপারদের দল লাগত, এখন তা কয়েকটি প্রম্পট ও মুষ্টিমেয় ওপেন সোর্স সরঞ্জাম দিয়েই তৈরি করা যায়।

এআই কীভাবে সামাজিক প্রকৌশলকে আরও বিশ্বাসযোগ্য করে

জেনারেটিভ এআই প্রয়োজনমতো পরিশীলিত কনটেন্ট তৈরিতে দক্ষ। ফিশিংয়ের ক্ষেত্রে এর অর্থ হলো, সামান্য পরিশ্রমে লক্ষ্যগোষ্ঠী অনুযায়ী ছবি, লেখা ও কোড তৈরি করা যায়। বিশ্বাসযোগ্য পরিচয়পত্রের খসড়া বা প্রতিষ্ঠানের লোগোযুক্ত লেটারহেড পাঠকের সতর্কতা কমিয়ে দেয়। আনুষ্ঠানিক দাপ্তরিক কোরীয় ভাষায় লিখতে, যথাযথ সংক্ষিপ্ত রূপ ব্যবহার করতে এবং সম্মানজনক ভঙ্গি বজায় রাখতে সক্ষম মডেল এমন বার্তা তৈরি করতে পারে, যা দেখতে ও শুনতে আসল মনে হয়।

ভাষার মডেলগুলো অক্লান্ত লেখার সহকারী হিসেবেও কাজ করে। এগুলো ব্যাকরণ ঠিক করে, প্রতিষ্ঠানের রীতির সঙ্গে লেখার ধরন মেলায় এবং একাধিক ইমেইলে সুরের ধারাবাহিকতা বজায় রাখে। হামলাকারীরা বিভিন্ন পদে থাকা মানুষের জন্য একই বার্তার নানা সংস্করণ চাইতে পারে। একটি মডেল মানবসম্পদ ব্যবস্থাপকের জন্য নিয়মিত বিজ্ঞপ্তির মতো একটি খসড়া তৈরি করতে পারে, আবার তথ্যপ্রযুক্তি বিভাগের দায়িত্বপ্রাপ্ত ব্যক্তির জন্য কারিগরি স্মারকের মতো আরেকটি খসড়াও লিখতে পারে।

কারিগরি দিক থেকে, কোড সহায়ক সরঞ্জাম কম অভিজ্ঞ অপারেটরদের স্ক্রিপ্ট ও পেলোড জোড়া লাগাতে সাহায্য করে। মডেলগুলো ত্রুটি ব্যাখ্যা করে, সমাধান প্রস্তাব করে এবং চালানো যায় এমন উদাহরণ তৈরি করে। অনুপযুক্তভাবে ব্যবহার করা হলে এতে ম্যালওয়্যার তৈরি দ্রুত হয় এবং শেখার বাধা কমে। এর সঙ্গে লেখা তৈরি ও অনুবাদ যোগ হলে একজন অপারেটরই বহুভাষিক অভিযান চালাতে পারে, যা আগের বছরগুলোতে একটি দলের প্রয়োজন হতো।

পরিচয় তৈরি করাও এর আরেকটি মূল স্তম্ভ। মডেলগুলো কাজের অভিজ্ঞতা সাজাতে, নির্দিষ্ট বিন্যাসে জীবনবৃত্তান্ত তৈরি করতে এবং চাকরির বিজ্ঞপ্তির সঙ্গে মানানসই আবেদনপত্র লিখতে সাহায্য করে। ছবি তৈরির সরঞ্জাম এমন প্রোফাইল ছবি বানায়, যা দ্রুত চোখ বুলিয়ে দেখলেও বিশ্বাসযোগ্য মনে হয়। সব মিলিয়ে, এসব সক্ষমতা ব্যবসায়িক ইমেইল জালিয়াতি ও দীর্ঘমেয়াদি অনুপ্রবেশ সহজ করে তোলে—অন্তত মানুষ ও কারিগরি প্রতিরক্ষাব্যবস্থা পাল্টা ব্যবস্থা নেওয়া পর্যন্ত।

প্রতিরক্ষা, শনাক্তকরণ ও নীতিগত পদক্ষেপ

আন্তর্জাতিক সহযোগিতা, উন্নত প্রযুক্তি গ্রহণ এবং প্রতিরক্ষা জোরদারের ওপর গুরুত্ব দিয়ে দক্ষিণ কোরিয়া তার জাতীয় সাইবার নিরাপত্তা কৌশল হালনাগাদ করেছে। পরিকল্পনায় তাৎক্ষণিক নজরদারির জন্য এআই-চালিত শনাক্তকরণ, অংশীদারদের সঙ্গে আরও গভীর তথ্য বিনিময় এবং গুরুত্বপূর্ণ অবকাঠামোর স্থিতিস্থাপকতা বৃদ্ধির কথা রয়েছে। নীতি সমন্বয় এবং সাইবার ঘটনার মোকাবিলায় যৌথ মহড়ার জন্য সিউল যুক্তরাষ্ট্র ও জাপানের সঙ্গে ঘনিষ্ঠ সমন্বয়ও চালিয়েছে।

প্রক্রিয়া, প্রশিক্ষণ ও প্রযুক্তির সমন্বয়ে প্রতিষ্ঠানগুলো দেখতে প্রায় এক এমন ডোমেইন এবং ডিপফেক ছবি ব্যবহার করে চালানো হামলার কার্যকারিতা কমাতে পারে। প্রথমেই দরকার যাচাইয়ের প্রক্রিয়া। পরিচয়পত্র বা পরিচয়সংক্রান্ত নথির অনুরোধ নথিভুক্ত কর্মপদ্ধতি মেনে করা উচিত; এর মধ্যে বিকল্প মাধ্যমে পরিচিত কোনো কর্মকর্তার সঙ্গে যোগাযোগ করাও থাকতে হবে। কর্মীদের ডোমেইনের প্রতিটি অক্ষর খুঁটিয়ে দেখা এবং লিংকে ক্লিক করার আগে তার ওপর মাউসের কার্সর রেখে পরীক্ষা করতে শেখানো উচিত।

কারিগরি নিয়ন্ত্রণ ক্ষতিকর ফাইল চালু হওয়া ঠেকাতে সাহায্য করে। ইমেইল গেটওয়েতে একাধিক স্তরে থাকা আর্কাইভযুক্ত বার্তা কোয়ারেন্টিনে রাখা উচিত এবং শর্টকাট ফাইল, ISO ইমেজ ও স্ক্রিপ্টের মতো ঝুঁকিপূর্ণ সংযুক্তি আটকে দেওয়া উচিত। সম্ভব হলে PowerShell বন্ধ বা সীমিত করুন এবং অননুমোদিত এক্সিকিউটেবল ঠেকাতে অনুমোদিত অ্যাপ্লিকেশনের তালিকা ব্যবহার করুন। এন্ডপয়েন্ট শনাক্তকরণ ও সাড়া দেওয়ার ব্যবস্থা ক্ষতিকর PowerShell কমান্ড এবং অস্বাভাবিক বহির্গামী সংযোগ শনাক্ত করতে পারে। কোনো ইমেইলের সঙ্গে ব্যবহারকারীর যোগাযোগের পরপরই অচেনা ডোমেইনে নতুন সংযোগ হলে নেটওয়ার্ক নজরদারি ব্যবস্থা সতর্কবার্তা দিতে পারে।

সাইবার প্রতিরক্ষায় নিয়োগ ও সরবরাহকারী যাচাইয়ের গুরুত্ব বাড়ছে। দূরবর্তী নিয়োগের প্রক্রিয়ায় সরাসরি ভিডিওতে পরিচয় যাচাই, বিশ্বস্ত তৃতীয় পক্ষের মাধ্যমে যাচাই এবং আলাদাভাবে তথ্যসূত্র যাচাইয়ের ব্যবস্থা থাকা উচিত। সংবেদনশীল তথ্য ব্যবস্থাপনার সিস্টেমে সর্বনিম্ন প্রয়োজনীয় প্রবেশাধিকার এবং ধারাবাহিক যাচাই বাধ্যতামূলক করা উচিত। নিয়মিত নিরীক্ষায় অস্বাভাবিক লগইন অবস্থান এবং প্রত্যাশিত সময়ের বাইরে কার্যক্রমের মতো অসংগতি ধরা পড়ে।

এআইয়ের জন্য আইনি ও নৈতিক সুরক্ষা

এই ঘটনা এআই গ্রহণের ক্ষেত্রে একটি দ্বন্দ্ব তুলে ধরেছে। কর্মীরা এআই ব্যবহার করে নথির খসড়া তৈরি, কোড লেখা ও ছবি প্রক্রিয়াকরণ করলে ব্যবসা উপকৃত হয়। একই সহজলভ্যতার অপব্যবহার করতে পারে প্রতিপক্ষও। এআই নির্মাতারা ক্ষতিকর কনটেন্ট প্রত্যাখ্যান এবং অপব্যবহার পর্যবেক্ষণে নিরাপত্তাব্যবস্থা চালু করেছে, তবু হামলাকারীরা জটিল প্রম্পট দিয়ে সেসব ব্যবস্থা এড়িয়ে যাওয়ার চেষ্টা করে। অপব্যবহারের সূচক ভাগ করে নেওয়া, দায়ী অ্যাকাউন্ট সরিয়ে দেওয়া এবং কারসাজি ঠেকাতে মডেলের আচরণ উন্নত করার মাধ্যমে নিরাপত্তা খাত এর জবাব দিয়েছে।

নীতি ও কেনাকাটাসংক্রান্ত সিদ্ধান্তও গুরুত্বপূর্ণ। সরকারি সংস্থা ও ঠিকাদারদের উচিত এআই ব্যবস্থার সরবরাহকারীদের কাছে নিরীক্ষা লগ, অপব্যবহারের প্রতিবেদন জানানোর মাধ্যম এবং মডেলের নিরাপত্তা জোরদারের হালনাগাদ চাওয়া। এআই ব্যবহারে স্পষ্ট করপোরেট নিয়ম থাকলে ঝুঁকিপূর্ণ কনটেন্ট অনিচ্ছাকৃতভাবে তৈরি হওয়া ঠেকানো যায়। নিরাপত্তা দলগুলোর সাধারণ জেলব্রেক প্রম্পট দিয়ে মডেল পরীক্ষা করা এবং নথি নকশা বা কোড পর্যালোচনার মতো ব্যবসায়িক প্রয়োজনের জন্য নিরাপদ বিকল্প ও আগাম অনুমোদিত কর্মপদ্ধতি দেওয়া উচিত।

জেনে রাখুন

• জুলাইয়ের লক্ষ্যনির্দিষ্ট ফিশিং অভিযানে কিমসুকি দক্ষিণ কোরীয় সামরিক পরিচয়পত্রের এআই-তৈরি ছবি প্রলোভন হিসেবে ব্যবহার করে।
• ইমেইলে প্রাপকদের পরিচয়পত্রের নমুনা নকশা পর্যালোচনা করতে বলা হয়; সেগুলোতে সরকারি .mil.kr প্রত্যয়ের অনুকরণে .mli.kr ডোমেইন ব্যবহার করা হয়েছিল।
• তদন্তকারীরা অন্তত একটি ছবির মেটাডেটায় GPT 4o ও ChatGPT-এর উল্লেখ পান; একটি শনাক্তকারী ভুয়া ছবিটিকে এআই-তৈরি হওয়ার ৯৮ শতাংশ সম্ভাবনা হিসেবে চিহ্নিত করে।
• ফাইল সরবরাহের ধারায় ZIP আর্কাইভ ও স্ক্রিপ্ট ছিল, যেগুলো PowerShell কমান্ড চালায়, ব্যাকডোর ইনস্টল করে এবং ছদ্মবেশী PNG ফাইল ডাউনলোড করে।
• লক্ষ্যবস্তুর মধ্যে ছিল একটি সামরিক-সংশ্লিষ্ট প্রতিষ্ঠান, গবেষক, সাংবাদিক এবং উত্তর কোরিয়াবিষয়ক মানবাধিকারকর্মীরা।
• একই গোষ্ঠীর বলে চিহ্নিত জুনের ClickFix-ধাঁচের কার্যক্রমে দেখা ম্যালওয়্যার এই প্রচারণায় আবার ব্যবহার করা হয়।
• একটি বড় এআই সরবরাহকারীর সাম্প্রতিক প্রতিবেদন অনুযায়ী, উত্তর কোরীয় অপারেটররা ভুয়া পরিচয় তৈরি ও দূরবর্তী চাকরি পাওয়ার জন্যও এআই সরঞ্জাম ব্যবহার করেছে।
• প্রতিরোধের মধ্যে রয়েছে পরিচয়সংক্রান্ত অনুরোধ কঠোরভাবে যাচাই, ঝুঁকিপূর্ণ ফাইল ও স্ক্রিপ্ট আটকাতে ইমেইল ও এন্ডপয়েন্ট নিয়ন্ত্রণ এবং দূরবর্তী নিয়োগে শক্তিশালী যাচাই।