প্রোগ্রামিং ভাষায় এআই-এর খুঁজে পাওয়া ত্রুটিতে নিরাপত্তা সংকট, বন্ধ ইউরোপসহ বিভিন্ন অঞ্চলের সরকারি ওয়েবসাইট
বহুল ব্যবহৃত একটি প্রোগ্রামিং ভাষায় বেশ কিছু নিরাপত্তাজনিত ত্রুটি উন্মোচনের পর সারা বিশ্বের ওয়েবসাইট পরিচালকরা নিজ নিজ সিস্টেম সুরক্ষায় তড়িঘড়ি পদক্ষেপ নিতে শুরু করেন। এর ধারাবাহিকতায় বুধবার ইউরোপ ও অন্যান্য অঞ্চলের সরকারি ওয়েবসাইটগুলো বন্ধ হয়ে যায়।
পিএইচপি প্রোগ্রামিং ভাষার উদ্ভাবকরা বুধবার এই সফটওয়্যারে বহু বছর ধরে লুকিয়ে থাকা এবং সম্প্রতি কৃত্রিম বুদ্ধিমত্তার মাধ্যমে খুঁজে পাওয়া ত্রুটিগুলোর জন্য জরুরি ভিত্তিতে নতুন সমাধান প্রকাশ করেছে। তারা সব ব্যবহারকারীকে অবিলম্বে সিস্টেম আপডেট করার আহ্বান জানিয়েছেন।
প্রযুক্তি প্রতিষ্ঠানগুলো যখন সতর্ক করছিল, কিছু হ্যাকার ইতোমধ্যে এই নিরাপত্তাত্রুটিগুলোর সুযোগ নেওয়া শুরু করেছে, তখন সতর্কতা হিসেবে ইউরোপের বিভিন্ন সরকারি সংস্থাও তাদের ওয়েবসাইটগুলো বন্ধ করে দেয়।
যেহেতু এই ত্রুটি সমাধানের উপায় এখন জনসমক্ষে প্রকাশ করা হয়েছে এবং কৃত্রিম বুদ্ধিমত্তা সরঞ্জামগুলোর মাধ্যমে খুব সহজেই ত্রুটিটি বিশ্লেষণ করা সম্ভব, তাই বিশেষজ্ঞরা ধারণা করছেন—ব্যবহারকারীরা আপডেট নেওয়ার আগেই হ্যাকাররা দ্রুত সুযোগ লুফে নিতে চেষ্টা করবে এবং ফলে সাইবার আক্রমণের একটি বড় ঢেউ আসতে চলেছে।
সাইবার নিরাপত্তা গবেষণা ও ইনসিডেন্ট রেসপন্স প্রতিষ্ঠান 'টিএলপি:ব্ল্যাক'-এর সহ-প্রতিষ্ঠাতা কস্টিন রাইউ জানান, 'এআই এই সুযোগ নেওয়ার প্রতিযোগিতাকে আরও বেগবান করছে।' তিনি আরও বলেন, 'এর পরবর্তী ধাপ হতে যাচ্ছে ইন্টারনেটে থাকা ঝুঁকিপূর্ণ প্রতিটি ওয়েব সার্ভারে গণহারে অনুপ্রবেশ ও নিয়ন্ত্রণ প্রতিষ্ঠা।'
পিএইচপি — ১৯৯০-এর দশকের শুরুর দিকের একটি প্রোগ্রামিং ভাষা, যার প্রাথমিক পূর্ণরূপ ছিল "পার্সোনাল হোম পেজ" — বর্তমান ইন্টারনেটের উন্মুক্ত কাঠামোর এক বিশাল অংশের ভিত্তি হিসেবে কাজ করে। ওয়ার্ডপ্রেস, ড্রুপাল, জুমলা এবং মেজেন্টো পরিচালিত সাইটগুলোর মূলে রয়েছে এই ভাষা, অর্থাৎ এর যেকোনো মারাত্মক নিরাপত্তাত্রুটির মারাত্মক অনুগামী প্রভাব পড়ার ঝুঁকি রয়েছে।
ড্রুপাল অ্যাসোসিয়েশনের অন্তর্বর্তীকালীন প্রধান নির্বাহী টিফানি ফারিস বলেন, 'গত ২০ বছরে মুক্তি পাওয়া পিএইচপি-র যেকোনো সংস্করণ ব্যবহারকারী প্রতিটি সার্ভারই ঝুঁকিপূর্ণ হবে। এই সমস্যাটি ইন্টারনেটের অধিকাংশ অংশকে প্রভাবিত করছে।'
বিশ্বজুড়ে সাইবার নিরাপত্তা সংস্থাগুলো পিএইচপি ব্যবহারকারীদের অবিলম্বে আপডেট করার অথবা নতুন সমাধান প্রয়োগ না করা পর্যন্ত ওয়েবসাইটগুলো বন্ধ রাখার আহ্বান জানিয়েছে।
ইন্টারনেট ইন্টেলিজেন্স প্রতিষ্ঠান 'সেনসিস'-এর তথ্য অনুযায়ী, ইন্টারনেটে সক্রিয় ২৬ লাখ হোস্টের মধ্যে প্রায় ১৫ লাখ হোস্ট পিএইচপি-র এমন সংস্করণ ব্যবহার করছে যার কোনো সমাধান এখনো পাওয়া যায়নি।
ডাচ সাইবার নিরাপত্তা সংস্থা নিজেই নিজেদের ওয়েবসাইট বন্ধ করে দেয়। তারা জানায়, নিরাপত্তাত্রুটির কারণে তারা সতর্কতা হিসেবে এই পদক্ষেপ নিয়েছে। অনলাইন বিশ্বকোষ উইকিপিডিয়ার পরিচালকরা জানান, নিরাপদে প্যাচ প্রয়োগ না করা পর্যন্ত তারাও তাদের অনির্ধারিত সংখ্যক সিস্টেম বন্ধ রেখেছেন। অন্যদিকে বিশালাকার অনলাইন লাইব্রেরি 'ইন্টারনেট আর্কাইভ' জানায়, এই সমস্যা সমাধানের জন্য তারাও স্বল্প সময়ের জন্য পরিষেবা বন্ধ রেখেছিল।
এমনকি বিশ্বনেতারাও এই ইস্যুতে মতামত দিয়েছেন। ডাচ প্রধানমন্ত্রী জানিয়েছেন, তিনি পরিস্থিতি নিবিড়ভাবে পর্যবেক্ষণ করছেন। জাপানের প্রধানমন্ত্রী সানায়ে তাকাচি এক সামাজিক যোগাযোগ মাধ্যম এক্স-এর পোস্টে লেখেন, 'ওয়েবসাইট মালিকদের উচিত তাদের সক্রিয় সাইটগুলোতে পিএইচপি ব্যবহার করা হচ্ছে কি না তা পরীক্ষা করা এবং নতুন সমাধানটি প্রয়োগের জন্য প্রস্তুত থাকা।'
এআই-এর সাহায্যে ত্রুটি শনাক্তকরণ
দুটি সাইবার নিরাপত্তা প্রতিষ্ঠানের পৃথক প্রতিবেদনে বলা হয়েছে, পিএইচপি-র এই ত্রুটিটি এআই ব্যবহারের মাধ্যমে আবিষ্কৃত হয়েছে। 'ক্যালিফ' এক ব্লগ পোস্টে জানিয়েছে, তারা গত ১ আগস্ট একটি লার্জ ল্যাঙ্গুয়েজ মডেলের সাহায্যে এই ত্রুটিগুলো খুঁজে পায় এবং তখন থেকেই এর সমাধানের ওপর কাজ করে আসছিল। অ্যালফাবেটের মালিকানাধীন সাইবার নিরাপত্তা প্রতিষ্ঠান 'উইজ' এক ব্লগ পোস্টে জানায়, তারাও তাদের স্বয়ংক্রিয় এআই ভ্যালনারেবিলিটি রিসার্চ টুল 'উইজ অ্যাটলাস'-এর পাশাপাশি গুগলের 'জেমিলাই ৪ আর্গন' এবং ওপেনএআই-এর 'জিপিটি-৫.৬ সল'-এর সাহায্যে এটি উন্মোচন করেছে।
উইজ-এর পোস্টে আরও বলা হয়, এই নিরাপত্তাত্রুটিগুলো এক দশকেরও বেশি সময় ধরে পিএইচপি কোডবেসে লুকিয়ে ছিল এবং কোনো মানুষের পক্ষে এটি ব্যবহার করে সুযোগ নেওয়া অত্যন্ত জটিল ও কঠিন ছিল।
প্রতিবেদনে বলা হয়, 'এআই আসার আগে এই ধরনের ম্যানুয়াল বা কায়িক কাজ বাস্তবায়ন করা কঠিন ছিল এবং তা ব্যাপক পরিসরে ছড়িয়ে দেওয়া আরও কঠিন ছিল। এআই-এর যুগে এটি আর কোনো বাধা নয়।' ক্যালিফ এবং উইজ জানিয়েছে যে তারা যৌথভাবে একে অপরের সাথে, পিএইচপি টিম এবং ওপেনএআই-এর সাথে এই ত্রুটি শনাক্তকরণের বিষয়ে সমন্বয় করেছে।
এক বিবৃতিতে হোয়াইট হাউস জানায়, তারা গত শুক্রবার এই নিরাপত্তারীতি বা ত্রুটির কথা জানতে পেরেছে।
বুধবার শেষের দিকে প্রকাশিত এক ব্লগ পোস্টে এএমজেড.ও-এর নিরাপত্তা প্রধান সিজে মোজেস জানান, 'প্রকাশ্যে তথ্য উন্মোচনের চার দিন আগে—১৭ অক্টোবর—প্রযুক্তি জায়ান্টটির নিরাপত্তা দল তাদের একটি ফাঁদ "হানি পট" সিস্টেমে এই ত্রুটিগুলো ব্যবহার করে হামলার চেষ্টা শনাক্ত করে।
মোজেস জানান, সিস্টেমটিতে হামলার চেষ্টাটি এসেছিল একটি বেনামী ইন্টারনেট অ্যাড্রেস থেকে, যা ইঙ্গিত করে কোনো সাইবার আক্রমণকারী এই কর্মকাণ্ড চালিয়েছে। তিনি আরও জানান, তথ্য প্রকাশের ওপর নিষেধাজ্ঞা থাকা অবস্থায় আক্রমণকারী কীভাবে এই ত্রুটির কথা জানতে পেরেছিল তা এখনও অস্পষ্ট।
নিষেধাজ্ঞা তুলে নেওয়ার আগে বুধবার বিভিন্ন আক্রমণকারীর পক্ষ থেকে এমন আরও বেশ কিছু চেষ্টা চালানো হয়। আমাজন জানিয়েছে, এই হামলাগুলো কোনো আসল ওয়েবসাইটে সফল হতো কি না তা এখনও স্পষ্ট নয়। তবে ত্রুটিগুলো এখন ব্যাপকভাবে বাস্তবে অপব্যবহার করা হচ্ছে।
গুরুত্বপূর্ণ সফটওয়্যার
পিএইচপি হলো ওয়েবসাইট পরিচালনার কাজে ব্যবহৃত একটি প্রোগ্রামিং ভাষা। যখন কোনো ভিজিটর একটি পেজ লোড করেন, তখন পিএইচপি চালানো একটি সার্ভার কনটেন্টগুলো একত্র করে তা ব্রাউজারে পাঠায়। এটি একটি বিনামূল্যে ব্যবহারযোগ্য ওপেন-সোর্স সফটওয়্যার, যা স্বেচ্ছাসেবকদের দ্বারা পরিচালিত হয়।
ওয়েব প্রযুক্তি ট্র্যাকার ডব্লিউ৩টেকস-এর তথ্য অনুযায়ী, যেসব ওয়েবসাইটের প্রোগ্রামিং ভাষা শনাক্ত করা যায় তার প্রায় ৭৫ শতাংশই পিএইচপি দিয়ে চলে। ফলে এর সর্বব্যাপী উপস্থিতির কারণে বিশেষজ্ঞরা উদ্বিগ্ন হয়ে পড়েছেন।
কিংস কলেজ লন্ডনের ভিজিটিং সিনিয়র রিসার্চ ফেলো লুকাস ওলেজনিক জানান, সাম্প্রতিক সপ্তাহে যে এআই-সহায়তাপুষ্ট হ্যাকিং ক্যাম্পেইনগুলো দ্রুত বৃদ্ধি পেয়েছে, তা আপডেট না করা বা অনিরাপদ সার্ভারগুলোতে মারাত্মক বিপর্যয় সৃষ্টি করতে পারে।
ওলেজনিক বলেন, 'এর পরিধি বিশাল, এবং এআই-এর মাধ্যমে যেকোনো সময় তাৎক্ষণিকভাবে আক্রমণ ঘটতে পারে।'
ওয়ার্ডপ্রেস.কম-এর পরিচালনাকারী প্রতিষ্ঠান অটোমেটিক জানিয়েছে যে তাদের হোস্ট করা সমাধান এবং 'টাম্বলার'-এর ব্যবহারকারীরা এই ত্রুটির ঝুঁকি থেকে ঝুঁকিমুক্ত। তবে ব্যক্তি বা যেসব ছোট প্রতিষ্ঠান সীমিত প্রযুক্তিগত সম্পদ দিয়ে ছোট পিএইচপি চালিত ওয়েবসাইট পরিচালনা করে, তাদের জন্য ঝুঁকি সবচেয়ে বেশি—বিশেষ করে যারা শেয়ার্ড হোস্টিং সার্ভিস ব্যবহার করেন, যেখানে গ্রাহকরা মূল সার্ভার সরাসরি পরিচালনা করতে পারেন না।
ব্যাপক বিপর্যয়
নেদারল্যান্ডসে 'ন্যাশনাল সাইবার সিকিউরিটি সেন্টার'-এর পথ অনুসরণ করে একাধিক প্রতিষ্ঠান তাদের সর্বসাধারণের ব্যবহারযোগ্য ওয়েবসাইটগুলো বন্ধ করে দেয়। যার মধ্যে রয়েছে রোটারডাম বন্দর, সরকারি পোর্টাল ওভারহেড.এনএল, জাতীয় ফুটবল সংস্থা কেএনভিবি, দেশের পাঁচটি প্রধান রাজনৈতিক দলের ওয়েবসাইট এবং বেশ কয়েকটি হাসপাতালের ওয়েবসাইট।
ডেনমার্কের পৌর আইটি প্রতিষ্ঠান 'কমবিট' জানিয়েছে, তারা জাতীয় বিদ্যালয় যোগাযোগ প্ল্যাটফর্মসহ একাধিক পরিষেবা বন্ধ করে দিয়েছে।
ফিনল্যান্ডে এই বিপর্যয় আরও ব্যাপকভাবে ছড়িয়ে পড়ে, যেখানে রাষ্ট্রীয় আইটি সেবা প্রদানকারী প্রতিষ্ঠান 'ভালতোরি' জানায়, সতর্কতামূলক ব্যবস্থা হিসেবে সরকারের পাবলিক নেটওয়ার্ক পরিষেবাগুলো বন্ধ করে দেওয়া হয়েছে।
ফ্রান্সের স্বরাষ্ট্র মন্ত্রণালয় জানিয়েছে, তারা তাদের সব ওয়েবসাইটকে প্রতিরোধমূলক রক্ষণাবেক্ষণ-এর আওতায় এনেছে।
