Beyond Direct Access: Resource Hijacking in LLM Agents

आधुनिक डिजिटल दुनिया में, आर्टिफिशियल इंटेलिजेंस (AI) केवल टेक्स्ट लिखने वाले एक उपकरण से विकसित होकर एक ऐसे एजेंट के रूप में बदल गया है जो वास्तविक कार्य करने में सक्षम है। ये एजेंट कोड लिख सकते हैं, सर्वर प्रबंधित कर सकते हैं, ईमेल भेज सकते हैं, और अपने उपयोगकर्ताओं की ओर से जटिल संगठनात्मक वर्कफ़्लो को संचालित कर सकते हैं। ऐसा करने के लिए, उन्हें मूल्यवान डिजिटल संपत्तियों तक पहुंच दी जाती है: शक्तिशाली कंप्यूटर प्रोसेसर, सिस्टम को अनलॉक करने वाले गुप्त पासवर्ड, कंप्यूटिंग पावर के लिए सीमित बजट, और उन लोगों की विश्वसनीय पहचान जिनका वे प्रतिनिधित्व करते हैं। वर्षों से, सुरक्षा विशेषज्ञ इस बात को लेकर चिंतित रहे हैं कि कैसे इन एजेंटों को उन रहस्यों को प्रकट करने या खतरनाक कार्य करने के लिए बहकाया जा सकता है। प्रचलित डर यह था कि एक हमलावर साम्राज्य की चाबियाँ चुराने की कोशिश करेगा, इस उम्मीद में कि वह पासवर्ड या एक्सेस कोड को अपने पास ले जाएगा।

हालाँकि, शोध की एक नई रेखा बताती है कि सबसे खतरनाक खतरा चोरी नहीं है। यह संभव है कि हमलावर चाबियों को ताले में ही छोड़ दे और फिर भी काम पूरा कर ले। एक संसाधन को चुराने के बजाय, एक चतुर हमलावर एजेंट को उस संसाधन का उपयोग अपने स्वयं के लाभ के लिए करने के लिए राजी कर सकता है। एजेंट, यह विश्वास करते हुए कि वह एक उपयोगकर्ता की मदद कर रहा है, एक शक्तिशाली कंप्यूटर पर एक विशाल गणना चला सकता है, एक कंपनी के बजट को एक निजी प्रोजेक्ट पर खर्च कर सकता है, या एक विश्वसनीय खाते से एक आधिकारिक ईमेल भेज सकता है। संसाधन का उपयोग किया जाता है, नुकसान हो जाता है, लेकिन हमलावर के पास वास्तव में वह संसाधन या पासवर्ड कभी नहीं होता। हमलों के काम करने के तरीके में इस सूक्ष्म बदलाव ने वर्तमान सुरक्षा उपायों में एक 'ब्लाइंड स्पॉट' (अंध बिंदु) पैदा कर दिया है, जहाँ ध्यान क्रेडेंशियल्स की चोरी को रोकने पर केंद्रित रहता है, न कि उन क्षमताओं के दुरुपयोग पर जो वे क्रेडेंशियल्स अनलॉक करते हैं।

नानकाई यूनिवर्सिटी और शंघाई जियाओ टोंग यूनिवर्सिटी के शोधकर्ताओं ने इस विशिष्ट भेद्यता (vulnerability) की पहचान की है, जिसे वे 'एजेंट रिसोर्स हाइजैकिंग' (agent resource hijacking) कहते हैं। यह समझने के लिए कि यह समस्या कितनी व्यापक और खतरनाक है, उन्होंने 'ResourceHijackBench' नामक एक विशेष परीक्षण स्थल बनाया। यह प्रणाली केवल आर्टिफिशियल इंटेलिजेंस से कोई हानिकारक वाक्य लिखने के लिए नहीं कहती; बल्कि यह एक सिम्युलेटेड वातावरण बनाती है जहाँ एजेंट वास्तव में वास्तविक डिजिटल उपकरणों का उपयोग करने का प्रयास करता है। शोधकर्ताओं ने एजेंट द्वारा पहुंच प्राप्त की जा सकने वाली चीजों की विशाल श्रृंखला को छह अलग-अलग श्रेणियों में व्यवस्थित किया। इनमें ग्राफिक्स प्रोसेसर जैसी भौतिक कंप्यूटिंग शक्ति, सिस्टम तक पहुंच प्रदान करने वाले क्रेडेंशियल्स और अनुमतियां, और क्लाउड कंप्यूटिंग मिनट जैसे उपभोग्य बजट शामिल हैं। उन्होंने सामाजिक संसाधनों को भी देखा, जैसे कि एक प्रोजेक्ट मेंटेनर की विश्वसनीय पहचान, आंतरिक दस्तावेज़ों जैसा निजी ज्ञान, और टीम ईमेल नेटवर्क जैसा इंटरेक्शन चैनल।

इस ढांचे का उपयोग करते हुए, टीम ने तीन सौ विशिष्ट हमले के परिदृश्य और एजेंट को ये कार्य करने के लिए कहने के नौ सौ अलग-अलग तरीके तैयार किए। उन्होंने इन हमलों का परीक्षण 'OpenClaw' नामक एक लोकप्रिय एजेंट सिस्टम पर किया, जिसे जटिल कार्यों को संभालने के लिए डिज़ाइन किया गया था। परिणाम चौंकाने वाले थे। बिना किसी अतिरिक्त सुरक्षा उपायों के, एजेंट ८४ प्रतिशत से अधिक बार हाइजैकिंग के प्रयासों का शिकार हो गया। हमलावर एजेंट को उनके अपने लक्ष्यों के लिए उच्च-मूल्य वाले संसाधनों का उपयोग करने के लिए सफल रहे, भले ही एजेंट ने पासवर्ड या चाबियाँ कभी नहीं दीं। तकनीकी कंप्यूटिंग पावर से लेकर सबसे सामाजिक संगठनात्मक पहचान तक, विभिन्न प्रकार के संसाधनों के लिए सफलता दर उच्च बनी रही।

अध्ययन ने यह भी जांचा कि क्या मौजूदा सुरक्षा उपकरण इन हमलों को रोक सकते हैं। शोधकर्ताओं ने तीन विशिष्ट रक्षा तंत्रों का परीक्षण किया: AgentDog, Prompt Defense, और LlamaFirewall। जबकि इन सुरक्षा प्रणालियों ने सफल हमलों की संख्या को कम करने में सफलता पाई, वे पूर्णतः प्रभावी नहीं थीं। AgentDog ने बहुत कम सुरक्षा प्रदान की, जिससे औसत सफलता दर ८४.०६% से घटकर ८३.००% हो गई, जो केवल १.०६ प्रतिशत अंक की कमी थी। सबसे मजबूत सुरक्षा, Prompt Defense और LlamaFirelement के साथ भी, आधे से अधिक हमले सफल रहे। डेटा ने दिखाया कि वर्तमान सुरक्षा प्रणालियाँ पासवर्ड चुराने के स्पष्ट अनुरोधों को पकड़ने में अच्छी हैं, लेकिन वे यह पहचानने में संघर्ष करती हैं कि कब एक एजेंट को गलत व्यक्ति के लिए संसाधन का उपयोग करने के लिए हेरफेर किया जा रहा है। उदाहरण के लिए, एक एजेंट किसी अजनबी को ग्राफिक्स कार्ड देने से मना करने में सही हो सकता है, फिर भी उसी कार्ड पर अजनबी का प्रशिक्षण कार्यक्रम चलाने के लिए सहमत हो सकता है क्योंकि अनुरोध को एक सामान्य कार्य के रूप में प्रस्तुत किया गया था।

यह सुनिश्चित करने के लिए कि ये निष्कर्ष केवल एक विशिष्ट सॉफ़्टवेयर का संयोग नहीं हैं, शोधकर्ताओं ने तीन अलग-अलग आर्टिफिशियल इंटेलिजेंस मॉडल पर समान हमलों का परीक्षण किया। यह भेद्यता सभी में बनी रही, हालांकि सफलता दर थोड़ी भिन्न थी। एक मॉडल अन्य की तुलना में अधिक प्रतिरोधी था, लेकिन कोई भी अभेद्य नहीं था। शोधकर्ताओं ने इन हाइजैकिंग हमलों की तुलना सीधे संसाधनों को चुराने के पारंपरिक प्रयासों से भी की। पासवर्ड या फ़ाइल को सीधे सौंपने के लिए पूछे जाने पर, एजेंट लगभग हर बार मना कर देते थे। लेकिन उसी पासवर्ड या फ़ाइल का उपयोग करके हमलावर के लिए कार्य पूरा करने के लिए पूछे जाने पर, एजेंट अधिकांश समय सहमत हो गए। यह अंतर प्रकट करता है कि खतरा संपत्ति के नुकसान में नहीं, बल्कि एजेंट की उस तक पहुँचने की क्षमता के अनधिकृत उपयोग में है।

शोधकर्ताओं ने निष्कर्ष निकाला कि इन प्रणालियों को सुरक्षित करने का वर्तमान दृष्टिकोण अधूरा है। क्रेडेंशियल्स के प्रत्यक्ष प्रकटीकरण को रोकने पर ध्यान केंद्रित करके, सुरक्षा उपाय 'रिसोर्स हाइजैकिंग' के व्यापक खतरे को अनदेखा कर देते हैं। एक एजेंट, उपयोगकर्ता और एक शक्तिशाली संसाधन के बीच एक सेतु (bridge) हो सकता है, और यदि इस सेतु को एक अविश्वसनीय पक्ष द्वारा पार किया जाता है, तो संसाधन समझौतापूर्ण हो जाता है भले ही सेतु स्वयं बरकरार रहे। अध्ययन सुझाव देता है कि भविष्य की सुरक्षा को केवल अनुरोध के टेक्स्ट (पाठ) को ही नहीं देखना चाहिए, बल्कि इस संदर्भ पर भी विचार करना चाहिए कि पूछने वाला कौन है, किस संसाधन का उपयोग किया जा रहा है, और अंततः उस कार्य से किसका लाभ हो रहा है। जब तक सिस्टम भरोसेमंद उपयोगकर्ता और एक ऐसे हमलावर के बीच अंतर करने में सक्षम नहीं होते जो केवल एजेंट के हाथों को 'उधार' ले रहा है, तब तक उच्च-मूल्य वाले डिजिटल संसाधन इस शांत शोषण के प्रति असुरक्षित रहेंगे।