Toward Securing AI Agents Like Operating Systems
यह शोध पत्र तर्क देता है कि LLM-आधारित AI एजेंटों को सुरक्षित करने के लिए ऑपरेटिंग सिस्टम सुरक्षा सिद्धांतों को लागू करने की आवश्यकता है, जो एक एकीकृत आर्किटेक्चर विश्लेषण और केस स्टडी के माध्यम से यह प्रदर्शित करता है कि हालांकि कुछ जोखिम अंतर्निहित हैं, कई कमजोरियों को संसाधन अलगाव (resource isolation) और विशेषाधिकार पृथक्करण (privilege separation) जैसी स्थापित OS तकनीकों का उपयोग करके कम किया जा सकता है।
मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने नहीं लिखा है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें
कल्पना कीजिए कि आपने एक सुपर-स्मार्ट, अविश्वसनीय रूप से उत्साही व्यक्तिगत सहायक के रूप में "एजेंट" (Agent) को काम पर रखा है। यह सहायक आपके ईमेल पढ़ सकता है, आपका कैलेंडर प्रबंधित कर सकता है, उड़ानें बुक कर सकता है, और यहाँ तक कि आपके लिए कोड भी लिख सकता है। यह एक ऐसे जादुई कर्मचारी की तरह है जो कभी सोता नहीं है।
लेकिन यहाँ एक पेंच है: आपने इस कर्मचारी को अपने पूरे घर, अपने बैंक खाते और अपनी डायरी की चाबियाँ दे दी हैं। यदि कोई चतुर चोर सहायक को यह विश्वास दिलाने में सफल हो जाता है कि वह आप हैं, या उसे पिछला दरवाजा खोलने के लिए मना लेता है, तो चोर को सब कुछ मिल जाता है।
यह वह मुख्य समस्या है जिसे यह शोध पत्र (paper) संबोधित करता है। लेखक तर्क देते हैं कि हम इन AI एजेंटों को ऐसे बना रहे हैं जैसे वे बिल्कुल नए, जादुई जीव हों, लेकिन हमें वास्तव में उन्हें ऑपरेटिंग सिस्टम (Operating Systems) (वह सॉफ़्टवेयर जो आपके कंप्यूटर को चलाता है, जैसे Windows या macOS) की तरह मानना चाहिए।
यहाँ उनके निष्कर्षों का विवरण दिया गया, सरल उपमाओं (analogies) का उपयोग करते हुए:
1. बड़ा विचार: एजेंट ऑपरेटिंग सिस्टम (OS) है
लेखक कहते हैं: "AI को केवल एक चैटबॉट के रूप में देखना बंद करें। इसे अपने डिजिटल जीवन के OS के रूप में सोचें।"
- AI (LLM) उपयोगकर्ता (User) है: एक कंप्यूटर में, उपयोगकर्ता कमांड टाइप करता है। एक AI एजेंट में, लार्ज लैंग्वेज मॉडल (जो "मस्तिष्क" है) कमांड टाइप करने वाला होता है। लेकिन जिस तरह एक मानव उपयोगकर्ता को फिशिंग ईमेल द्वारा ठगा जा सकता है, उसी तरह एक AI को "जेलब्रेक" प्रॉम्प्ट द्वारा ठगा जा सकता है।
- टूल्स (Tools) सिस्टम कॉल्स (System Calls) हैं: जब आप अपने कंप्यूटर पर "प्रिंट" पर क्लिक करते हैं, तो OS जाँचता है कि क्या आपके पास अनुमति है। जब एक AI "ईमेल भेजना" चाहता है, तो वह एक टूल है। पेपर का तर्क है कि इन टूल्स को सख्त सिस्टम कॉल्स की तरह माना जाना चाहिए, न कि बिना किसी रोक-तोक के दिए जाने वाले कमांड्स की तरह।
- रनटाइम (Runtime) कर्नेल (Kernel) है: वह हिस्सा जो वास्तव में कोड को चलाता है, वह "कर्नेल" है। एक सुरक्षित कंप्यूटर में, कर्नेल बॉस होता है। वह तय करता है कि किसे क्या छूने की अनुमति है। वर्तमान AI एजेंटों में, "कर्नेल" अक्सर बहुत उदार होता है और "उपयोगकर्ता" (AI) को वह सब कुछ करने देता है जो वह चाहता है, भले ही वह खतरनाक हो।
2. समस्या: "ओपन हाउस" पार्टी
यह पेपर लोकप्रिय AI एजेंटों (जैसे OpenClaw और उसके संबंधी) को देखता है और पाता है कि वे एक ऐसे खुले घर की तरह बने हैं जहाँ कोई भी अंदर आ सकता है और किसी भी चीज़ को छू सकता है।
- कोई दीवारें नहीं: एक सुरक्षित कंप्यूटर में, अलग-अलग प्रोग्राम अलग-थलग (isolated) होते हैं। यदि आपके कैलकुलेटर ऐप में वायरस आ जाए, तो वह आपकी बैंक फाइलों को नहीं पढ़ लेना चाहिए। लेकिन इन AI एजेंटों में, "कैलकुलेटर" (एक टूल) और "बैंक फाइलें" (मेमोरी) सभी एक ही कमरे में हैं। यदि AI भ्रमित हो जाता है, तो वह अनजाने में (या दुर्भावनापूर्ण रूप से) उन्हें आपस में मिला सकता है।
- "भरोसा करो" वाली गलतफहमी (The "Trust Me" Fallacy): ये एजेंट इस बात पर निर्भर करते हैं कि AI सुरक्षित रहने के लिए "याद रखेगा"। उनके पास नियम होते हैं जैसे "फाइलें डिलीट न करें," लेकिन वे केवल साधारण अंग्रेजी में लिखे होते हैं। यदि कोई हैकर AI को कोई चाल बताता है, तो AI नियम भूल जाता है। यह एक गार्ड को पहरा देने के लिए कहने जैसा है लेकिन उसे यह कहना कि, "बस अपने विवेक का उपयोग करें।"
- "थर्ड-पार्टी" जोखिम: ये एजेंट आपको "स्किल्स" (जैसे ऐप्स) इंस्टॉल करने की अनुमति देते हैं। कल्पना कीजिए कि आप एक "वेदर ऐप" डाउनलोड कर सकते हैं जिसमें गुप्त रूप से आपके बैंक खाते तक पहुँचने का बैकडोर हो। पेपर ने पाया कि कई एजेंट इन स्किल्स को बिना यह जाँच किए इंस्टॉल करने देते हैं कि वे सुरक्षित हैं या नहीं।
3. प्रयोग: एजेंटों को तोड़ना
शोधकर्ताओं ने चार लोकप्रिय AI एजेंटों को लिया और एक मध्यम स्तर के कौशल वाले हैकर की तरह उन्हें तोड़ने की कोशिश की। उन्हें जीनियस होने की ज़रूरत नहीं थी; उन्हें बस यह जानने की ज़रूरत थी कि "घर" कैसे बना है।
उन्होंने क्या पाया:
- OpenClaw (एक "वैनिला" एजेंट): यह सबसे लोकप्रिय था। यह उन हर एक हमले के प्रति असुरक्षित था जो शोधकर्ताओं ने आजमाए थे। यह ऐसा था जैसे सामने का दरवाजा, पिछला दरवाजा और खिड़कियां सभी खुली छोड़ दी गई हों।
- IronClaw (एक "सुरक्षा" एजेंट): इसने सुरक्षित होने की कोशिश की। इसने कुछ टूल्स को एक "सैंडबॉक्स" (एक कांच के बॉक्स में जहाँ वे बाकी घर को छू नहीं सकते) में रखा। इसने बेहतर प्रदर्शन किया, लेकिन शोधकर्ता अभी भी इसे ठगने या कांच तोड़ने के तरीके खोजने में सफल रहे।
- Nanobot (एक "न्यूनतम" एजेंट): इसमें बहुत कम कोड था, इस उम्मीद में कि कम कोड का मतलब कम बग्स होंगे। लेकिन कम कोडबेस होने के बावजूद, इसमें डेटा को अलग रखने के लिए आवश्यक बुनियादी "दीवारों" की कमी थी।
- NemoClaw (एक "रैपर" एजेंट): इसने पूरे एजेंट को एक सुरक्षित कंटेनर (जैसे शिपिंग कंटेनर) के अंदर रखा। इसे तोड़ना सबसे कठिन था, लेकिन शोधकर्ता फिर भी इसके अंदर झाँकने या इसे ठगने का तरीका खोजने में सफल रहे।
चौंकाने वाला परिणाम: यहाँ तक कि "सुरक्षित" संस्करण भी बुनियादी चीजों में विफल रहे, जैसे कि एक उपयोगकर्ता को दूसरे उपयोगकर्ता के निजी नोट्स पढ़ने से रोकना, या एजेंट को अजनबियों को संदेश भेजने से रोकना।
4. समाधान: अतीत से उधार लेना
पेपर का मुख्य निष्कर्ष सरल है: हमें इस समस्या को ठीक करने के लिए नई जादुई चीज़ों को आविष्कार करने की ज़रूरत नहीं है। हमें बस उन सुरक्षा नियमों का उपयोग करने की आवश्यकता है जिन्हें हम 50 वर्षों से जानते हैं।
ऑपरेटिंग सिस्टम ने पहले ही इन सटीक समस्याओं को हल किया है। लेखक सुझाव देते हैं कि हम इन पुराने नियमों को AI पर लागू करें:
- अलगाव (Isolation): हर टूल को अपने स्वयं के कांच के बॉक्स (सैंडबॉक्स) में रखें ताकि वह अन्य टूल्स या आपकी निजी फाइलों को तब तक न छू सके जब तक कि स्पष्ट रूप से अनुमति न दी जाए।
- न्यूनतम विशेषाधिकार (Least Privilege): सिर्फ इसलिए कि एजेंट आपके ईमेल पढ़ सकता है, इसका मतलब यह नहीं है कि उसे पढ़ना चाहिए। उसे केवल वही चाबियाँ दें जिनकी उसे विशिष्ट कार्य के लिए आवश्यकता है।
- कठोर लॉगिंग (Hardened Logging): एजेंट जो कुछ भी करता है उसका रिकॉर्ड रखें, लेकिन यह सुनिश्चित करें कि एजेंट उन रिकॉर्डों को हटा या बदल न सके (जैसे कि एक छेड़छाड़-मुक्त सुरक्षा कैमरा)।
- सख्त सीमाएं (Strict Boundaries): AI को यह तय न करने दें कि क्या सुरक्षित है। "कर्नेल" (सिस्टम) को नियमों को लागू करना चाहिए, न कि AI के "मस्तिष्क" को।
सारांश
पेपर का तर्क है कि AI एजेंट वर्तमान में अनियंत्रित सीमाओं की तरह बने हुए हैं। वे शक्तिशाली हैं लेकिन खतरनाक हैं क्योंकि वे संवेदनशील डेटा को अविश्वसनीय निर्देशों के साथ मिला देते हैं।
लेखक कहते हैं: "AI को सुरक्षित होने के लिए 'स्मार्टर' बनाने की कोशिश करना बंद करें। इसके बजाय, एक सुरक्षित ऑपरेटिंग सिस्टम की तरह इसके चारों ओर सिस्टम बनाएं।" यदि हम AI को एक ऐसे उपयोगकर्ता के रूप में देखते हैं जिसे एक सख्त सुरक्षा गार्ड (OS) द्वारा देखे जाने और प्रतिबंधित किए जाने की आवश्यकता है, तो हम इन शक्तिशाली उपकरणों को अपने घरों और व्यवसायों में सुरक्षित रूप से उपयोग करने में सक्षम हो सकते हैं।
मुख्य बात (Bottom Line): हम हमारे जीवन की मास्टर चाबियों वाले डिजिटल कर्मचारी बना रहे हैं, लेकिन हमने अभी तक ताले, बाड़ या सुरक्षा गार्ड नहीं बनाए हैं। अब समय आ गया है कि हम कंप्यूटर सुरक्षा विशेषज्ञों से ब्लूप्रिंट उधार लें जिन्होंने दशकों से उन तालों का निर्माण किया है।
अपने क्षेत्र के पेपरों की भीड़ में उलझे हुए हैं?
आपके रिसर्च कीवर्ड से मेल खाने वाले सबसे नए और अलग सोच वाले पेपरों का रोज़ाना Digest पाएँ—तकनीकी सारांश के साथ, आपकी भाषा में।