हर दिन, अरबों उपकरण इंटरनेट के माध्यम से डेटा का आदान-प्रदान करते हैं, जिससे संचार का एक विशाल, अदृश्य जाल बनता है। इसमें से अधिकांश ट्रैफ़िक हानिरहित होता है, जो नियमित अनुरोधों और प्रतिक्रियाओं की एक स्थिर नदी की तरह बहता है। हालाँकि, इस प्रवाह के भीतर दुर्भावनापूर्ण तत्व छिपे होते हैं जो सिस्टम में सेंध लगाने, जानकारी चुराने या सेवाओं को बाधित करने का प्रयास करते हैं। इन घुसपैठियों को पकड़ना सुरक्षा टीमों के लिए एक निरंतर चुनौती है क्योंकि हमलावर चतुर होते हैं; वे अपनी रणनीतियों को बार-बार बदलते हैं और पहचान से बचने के लिए अक्सर सामान्य व्यवहार की नकल करते हैं। पारंपरिक सुरक्षा उपकरण इस बात पर निर्भर करते हैं कि हमला बिल्कुल कैसा दिखता है, यानी वे नए ट्रैफ़िक की तुलना ज्ञात खतरों की एक लाइब्रेरी से करते हैं। यह दृष्टिकोण परिचित खतरों के लिए तो अच्छा काम करता है, लेकिन जब किसी नए, अनदेखे प्रकार का हमला आता है, तो यह विफल हो जाता है। इसे हल करने के लिए, शोधकर्ताओं ने एक अलग रणनीति की ओर मुड़ना शुरू कर दिया है: कंप्यूटर को यह सिखाना कि "सामान्य" क्या दिखता है, ताकि कोई भी विचलन तुरंत स्पष्ट हो जाए, ठीक वैसे ही जैसे एक सुरक्षा गार्ड किसी इमारत की नियमित लय को जानता है और तुरंत नोटिस कर लेता है जब कोई असामान्य तरीके से चलता है।

हाल ही में एक अध्ययन में, फ्रांस के शोधकर्ताओं की एक टीम ने इस समस्या से निपटने के लिए 'ग्राफआईडीएस' (GraphIDS) नामक एक नया सिस्टम प्रस्तावित किया। विशिष्ट हमले के पैटर्न को याद करने के बजाय, उनका सिस्टम स्वस्थ नेटवर्क ट्रैफ़िक की स्वाभाविक संरचना को सीखता है। वे नेटवर्क को अलग-अलग संदेशों की एक सूची के रूप में नहीं, बल्कि एक जीवित मानचित्र के रूप में देखते हैं जहाँ कंप्यूटर स्थान हैं और उनके बीच बहने वाला डेटा सड़कें हैं। इस मानचित्र का अध्ययन करके, सिस्टम देख सकता है कि उपकरण आमतौर पर एक-दूसरे से कैसे बात करते हैं। शोधकर्ताओं ने पाया कि दो शक्तिशाली प्रकार के आर्टिफिशियल इंटेलिजेंस को मिलाकर, वे एक ऐसा मॉडल बना सकते हैं जो बिना किसी हमले के उदाहरणों के प्रशिक्षण के, इस सामान्य व्यवहार को सीख सकता है। यह सिस्टम देखे गए सामान्य ट्रैफ़िक के पैटर्न को फिर से बनाने (recreate) की कोशिश करके काम करता है। जब इसे कोई अजीब या संदिग्ध ट्रैफ़िक मिलता है, तो इसे फिर से बनाने में इसे कठिनाई होती है, और यह संघर्ष एक संभावित खतरे का संकेत देता है।

इस नई पद्धति का मूल आधार यह है कि शोधकर्ताओं ने डेटा को कैसे व्यवस्थित किया। उन्होंने नेटवर्क ट्रैफ़िक के कच्चे रिकॉर्ड (raw records), जिन्हें 'नेटफ्लो' (NetFlow) डेटा कहा जाता है, को एक ग्राफ में बदल दिया। इस ग्राफ में, नेटवर्क पर मौजूद प्रत्येक कंप्यूटर एक बिंदु है, और दो कंप्यूटरों के बीच प्रत्येक कनेक्शन एक रेखा है। प्रत्येक रेखा उस बातचीत के विवरण ले जाती है, जैसे कि कितने पैकेट भेजे गए या किस प्रकार का डेटा स्थानांतरित किया गया। उनके सिस्टम का पहला हिस्सा, एक 'ग्राफ न्यूरल नेटवर्क', एक स्थानीय पर्यवेक्षक की तरह कार्य करता है। यह एक विशिष्ट कनेक्शन को देखता है और शामिल कंप्यूटरों के निकटतम पड़ोसियों की जांच करता है। यह सवाल पूछता है जैसे, "यह कंप्यूटर अभी और किससे बात कर रहा है?" और "क्या यह बातचीत इस समूह के लिए विशिष्ट है?" यह सिस्टम को एक एकल डेटा प्रवाह के स्थानीय संदर्भ को समझने की अनुमति देता है, जो नियमित व्यवहार को परिभाषित करने वाले छोटे पैमाने के पैटर्न को पकड़ता है।

एक बार जब सिस्टम इन स्थानीय विवरणों को समझ लेता है, तो वह जानकारी को दूसरे भाग को भेज देता है, जो एक 'ट्रांसफॉर्मर-आधारित इंजन' है और बड़े परिदृश्य को देखता है। यह घटक कई कनेक्शनों को एक साथ समूहित करता है और विश्लेषण करता है कि वे पूरे नेटवर्क में एक-दूसरे से कैसे संबंधित हैं। यह सिस्टम की वैश्विक आदतों को सीखता है, जैसे कि कंप्यूटरों के कौन से समूह अक्सर संवाद करते हैं या विभिन्न समयों के दौरान ट्रैफ़िक आमतौर से कैसे बहता है। इस सिस्टम को सिखाने के लिए, शोधकर्ताओं ने 'मास्क्ड ऑटोएनकोडर' (masked autoencoder) नामक तकनीक का उपयोग किया। कल्पना कीजिए कि आप सिस्टम को सामान्य ट्रैफ़िक की एक पूरी तस्वीर दिखा रहे हैं, लेकिन फिर उसके छोटे-छोटे हिस्सों को छिपा रहे हैं। सिस्टम का काम यह अनुमान लगाना है कि शेष छवि के आधार पर छिपे हुए हिस्से कैसे दिखने चाहिए। चूंकि इसे केवल सुरक्षित, सामान्य ट्रैफ़िक पर प्रशिक्षित किया गया है, इसलिए यह बहुत अच्छा हो जाता है कि एक स्वस्थ कनेक्शन कैसा दिखना चाहिए। यह खेल के नियमों को इतनी अच्छी तरह सीख लेता है कि यह किसी भी सामान्य प्रवाह के लिए खाली स्थानों को भर सकता है।

इस दृष्टिकोण की वास्तविक शक्ति तब प्रकट होती है जब सिस्टम कुछ नया देखता है। यदि कोई दुर्भावनापूर्ण प्रवाह (flow) दिखाई देता है, तो वह उन नियमों को तोड़ देता है जिन्हें सिस्टम ने सीखा है। जब सिस्टम अपने प्रशिक्षण के आधार पर यह अनुमान लगाने की कोशिश करता है कि यह अजीब प्रवाह कैसा दिखना चाहिए, तो वह विफल हो जाता है। भविष्यवाणी खराब होती है, और जो सिस्टम ने उम्मीद की थी और जो वास्तव में हुआ, उसके बीच का अंतर बड़ा होता है। शोधकर्ता इस अंतर को 'रिकंस्ट्रक्शन एरर' (reconstruction error) कहते हैं। अपने परीक्षण में, उन्होंने पाया कि यह त्रुटि घुसपैठ के लिए एक विश्वसनीय संकेत थी। हमले का हिस्सा रहे प्रवाह लगातार उच्च त्रुटियां उत्पन्न करते थे, जबकि सामान्य ट्रैफ़िक कम त्रुटियां उत्पन्न करता था। इसने सिस्टम को बिना किसी लेबल वाले हमले के उदाहरण दिखाए, हमले की पहचान करने की अनुमति दी।

टीम ने अपने सिस्टम का परीक्षण दो बड़े, वास्तविक दुनिया के डेटासेट्स पर किया जिसमें विभिन्न वातावरणों से लाखों नेटवर्क फ्लो शामिल थे। एक डेटासेट एक छोटे नेटवर्क से आया था, जबकि दूसरा एक बहुत बड़े, अधिक जटिल बुनियादी ढांचे का प्रतिनिधित्व करता था। दोनों मामलों में, सिस्टम उल्लेखनीय सटीकता के साथ प्रदर्शन करता है। छोटे डेटासेट पर, इसने बहुत कम गलत अलार्म दर बनाए रखते हुए लगभग सभी हमलों की सही पहचान की। बड़े, अधिक चुनौतीपूर्ण डेटासेट पर, इसने मौजूदा तरीकों से काफी बेहतर प्रदर्शन किया, और कुछ मापदंडों में पूर्णता के करीब स्कोर प्राप्त किया। शोधकर्ताओं ने अपने काम की तुलना अन्य उन्नत प्रणालियों से की जो लेबल किए गए हमले के डेटा के बिना विसंगतियों का पता लगाने का प्रयास करती हैं। उनका सिस्टम लगातार उच्च रैंक पर रहा, जिससे यह सिद्ध हुआ कि ग्राफ न्यूरल नेटवर्क के स्थानीय दृश्य को ट्रांसफॉर्मर के वैश्विक दृश्य के साथ जोड़ना, अकेले किसी भी दृष्टिकोण का उपयोग करने की तुलना में अधिक प्रभावी था।

सबसे महत्वपूर्ण निष्कर्षों में से एक यह था कि सिस्टम को यह सीखने के लिए यह बताने की आवश्यकता नहीं थी कि हमला क्या है। पूरी तरह से सामान्य व्यवहार के पुनर्निर्माण (reconstruction) पर ध्यान केंद्रित करके, मॉडल स्वाभाविक रूप से किसी भी ऐसी चीज़ को अस्वीकार करना सीख गया जो उसमें फिट नहीं बैठती थी। यह एक महत्वपूर्ण लाभ है क्योंकि वास्तविक दुनिया में, हमलावर हमेशा नए हथकंडे ईजाद करते रहते हैं, और सुरक्षा टीमों के पास हर संभावित खतरे के बदलाव को सिखाने के लिए पर्याप्त लेबल वाला डेटा नहीं होता है। 'ग्राफआईडीएस' सिस्टम इस समस्या को दरकिनार कर सुरक्षा के आकार को सीखकर काम करता है। यदि ट्रैफ़िक सुरक्षित दिखता है, तो सिस्टम इसे आसानी से पुनर्गठित कर सकता है। यदि यह खतरनाक दिखता है, तो सिस्टम लड़खड़ा जाता है, और वही लड़खड़ाहट अलार्म है।

शोधकर्ताओं ने यह भी पता लगाया कि क्या होता है यदि वे अपने सिस्टम के कुछ हिस्सों को हटा देते हैं। जब उन्होंने ग्राफ घटक को हटा दिया और सिस्टम को केवल कच्चे डेटा को दिया, तो इसका प्रदर्शन गिर गया, विशेष रूप रूप से बड़े, अधिक जटिल नेटवर्क पर। इससे पता चला कि सूक्ष्म हमलों का पता लगाने के लिए उपकरणों के बीच के कनेक्शन को समझना आवश्यक था। इसी तरह, जब उन्होंने उन्नत ट्रांसफॉर्मर इंजन को एक सरल इंजन से बदल दिया, तो सिस्टम ने अच्छा काम किया लेकिन यह कम सुसंगत और थोड़ा कम सटीक था। इन परीक्षणों ने पुष्टि की कि सिस्टम को अपनी पूरी क्षमता तक पहुँचने के लिए स्थानीय संदर्भ और वैश्विक पैटर्न दोनों आवश्यक थे। अध्ययन सुझाव देता है कि घुसपैठ का पता लगाने का सबसे अच्छा तरीका एक ऐसा मॉडल बनाना है जो नेटवर्क की संरचना और आदतों को गहराई से समझता हो, न कि केवल बुरे व्यवहारों की एक सूची को याद करता हो।

हालाँकि परिणाम आशाजनक हैं, शोधकर्ता स्वीकार करते हैं कि कोई भी सिस्टम पूर्ण नहीं है। उनका मॉडल यह मान लेता है कि नेटवर्क समय के साथ अपेक्षाकृत सुसंगत व्यवहार करता है। यदि नेटवर्क में भारी बदलाव आता है, जैसे कि किसी बड़े अपग्रेड या उपयोगकर्ता व्यवहार में अचानक बदलाव के दौरान, तो सिस्टम भ्रमित हो सकता है और गलत अलार्म दे सकता है। वे सुझाव देते हैं कि भविष्य के कार्य में सिस्टम को नेटवर्क के विकसित होने के साथ निरंतर अनुकूलित होना सिखाना शामिल हो सकता है, बजाय इसके कि उसे पूर्ण पुन: प्रशिक्षण (retraining) की आवश्यकता हो। उन्होंने यह भी नोट किया कि जिन परिदृश्यों में केवल एक एकल उपकरण की निगरानी की जा रही है, वहां सिस्टम के पास काम करने के लिए कम जानकारी होती है क्योंकि वह व्यापक नेटवर्क संदर्भ को नहीं देख पाता है। इन सीमाओं के बावजूद, यह अध्ययन डिजिटल बुनियादी ढांचे की रक्षा करने के तरीके में एक महत्वपूर्ण प्रगति का प्रदर्शन करता है। स्थानीय कनेक्शनों और वैश्विक पैटर्न के अध्ययन को एकीकृत करके, 'ग्राफआईडीएस' सिस्टम नेटवर्क को सुरक्षित रखने का एक मजबूत, स्व-पर्यवेक्षित (self-supervised) तरीका प्रदान करता है, जो सामान्यता की लय को सीखता है ताकि वह घुसपैठिए के शोर को सुन सके।