An Open-Agent Framework for Intelligent Compliance Analysis in Infrastructure as Code Using Large Language Models

आधुनिक डिजिटल दुनिया में, वह बुनियादी ढांचा जो हमारे अनुप्रयोगों (एप्लिकेशन्स) को शक्ति प्रदान करता है, हमारे डेटा को संग्रहीत करता है और हमारी सेवाओं को चलाता है, अब भौतिक सर्वर रूम में चमकती रोशनी वाली पंक्तियों के रूप में मौजूद नहीं है। इसके बजाय, यह क्लाउड में रहता है, जो विशाल तकनीकी कंपनियों द्वारा प्रबंधित कंप्यूटरों का एक विस्तृत नेटवर्क है। उन संगठनों के लिए जो इन सेवाओं का उपयोग करते हैं, सुरक्षा की जिम्मेदारी बदल गई है। जबकि क्लाउड प्रदाता यह सुनिश्चित करते हैं कि हार्डवेयर काम करे, ग्राहकों को यह सुनिश्चित करना होगा कि उनके डिजिटल कॉन्फ़िगरेशन सही ढंग से सेट किए गए हैं। एक स्टोरेज बकेट को खोलने या नेटवर्क अनुमति देने के तरीके में एक छोटी सी गलती भी संवेदनशील जानकारी को पूरे इंटरनेट के लिए उजागर कर सकती है। इस जटिलता को प्रबंध प्रबंधन करने के लिए, इंजीनियर "इन्फ्रास्ट्रक्चर एज़ कोड" (Infrastructure as Code) नामक पद्धति का उपयोग करते हैं। यह दृष्टिकोण डिजिटल संसाधनों की सेटअप प्रक्रिया को एक सॉफ्टवेयर प्रोग्राम की तरह मानता है, जिसमें नियमों को टेक्स्ट फाइलों के रूप में लिखा जाता है जिन्हें मशीनों द्वारा पढ़ा जा सकता है। यह निरंतरता और गति की अनुमति देता है, लेकिन इसका यह भी अर्थ है कि कोड में एक एकल त्रुटि को तुरंत सैकड़ों प्रणालियों में कॉपी किया जा सकता है, जिससे किसी के ध्यान देने से पहले ही एक व्यापक भेद्यता (वल्नरेबिलिटी) पैदा हो सकती है।

इन त्रुटियों को पकड़ने के लिए, सुरक्षा टीमें स्वचालित उपकरणों पर भरोसा करती हैं जो कोड को ज्ञात गलतियों के लिए स्कैन करते हैं, ठीक वैसे ही जैसे स्पेलचेकर टाइपो (वर्तनी की गलतियों) को ढूंढता है। हालाँकि, ये पारंपरिक उपकरण अक्सर कठोर होते हैं; वे आपको बता सकते हैं कि एक नियम टूटा गया है, लेकिन उन्हें यह समझाने में संघर्ष करना पड़ता है कि यह क्यों महत्वपूर्ण है या इसे ऐसे तरीके से कैसे ठीक किया जाए जो मानव ऑडिटर के लिए समझ में आए। दूसरी ओर, लार्ज लैंग्वेज मॉडल्स (LLMs) नामक एक नई तकनीक कोड को पढ़ सकती है और प्राकृतिक भाषा में स्पष्टीकरण उत्पन्न कर सकती है, लेकिन जब इनका अकेले उपयोग किया जाता है, तो ये गलतियाँ करने या असंगत परिणाम देने के प्रति संवेदनशील होती हैं। शोधकर्ताओं के लिए चुनौती सख्त विश्वसनीयता वाले स्वचालित स्कैनर्स को बुद्धिमान भाषा मॉडल्स की व्याख्यात्मक शक्ति के साथ जोड़ने की रही है ताकि एक ऐसा सिस्टम बनाया जा सके जो सटीक और समझने योग्य दोनों हो।

प्रिंसेस सुमाया यूनिवर्सिटी फॉर टेक्नोलॉजी के शोधकर्ताओं की एक टीम ने एक नया फ्रेमवर्क बनाया है जो सफलतापूर्वक इन दोनों दृष्टिकोणों को जोड़ता है। उन्होंने एक ऐसा सिस्टम बनाया है जो पहले विशिष्ट सुरक्षा मानकों के उल्लंघन के लिए इन्फ्रास्ट्रक्चर कोड को स्कैन करने के लिए एक सख्त, नियम-आधारित इंजन का उपयोग करता है, और फिर उन पुष्ट उल्लंघनों को स्पष्ट, मानव-पठनीय रिपोर्ट और सुझाए गए सुधारों को उत्पन्न करने के लिए एक इंटेलिजेंट लैंग्वेज मॉडल को भेजता है। शोधकर्ताओं ने इस सिस्टम का परीक्षण 231 वास्तविक दुनिया की कॉन्फ़िगरेशन फाइलों के एक बड़े संग्रह पर किया। उन्होंने पाया कि हाइब्रिड सिस्टम उल्लेखनीय रूप से सटीक था, जिसने उन लगभग 97 प्रतिशत मामलों में सुरक्षा खामियों को सही ढंग से पहचाना जहाँ इसने अलर्ट जारी किया था, साथ ही फाइलों में मौजूद वास्तविक समस्याओं में से 90 प्रतिशत से अधिक को पकड़ा। यह प्रदर्शन मौजूदा औद्योगिक उपकरणों की तुलना में काफी बेहतर था, जो बहुत अधिक हानिरहित मुद्दों को फ्लैग करते हैं, जिससे इंजीनियरों के लिए अनावश्यक काम बढ़ जाता है।

इस नए फ्रेमवर्क का मूल एक पांच-चरणीय प्रक्रिया है जो कच्चे कोड को एक परिष्कृत ऑडिट रिपोर्ट में बदल देती है। सबसे पहले, सिस्टम कच्चे कॉन्फ़िगरेशन फाइलों को लेता है और उन्हें उस प्रारूप में अनुवादित करता है जिसे स्कैनिंग इंजन समझ सके। इसके बाद, एक नियत (डिटरमिनिस्टिक) पॉलिसी इंजन, जो एक सख्त रेफरी की तरह कार्य करता है, कोड की विशिष्ट सुरक्षा नियमों के एक सेट के विरुद्ध जांच करता है। ये नियम NIST SP 800-53 मानक पर आधारित हैं, जो सरकारों और उद्यमों द्वारा उपयोग किए जाने वाले सुरक्षा नियंत्रणों का एक व्यापक रूप से मान्यता प्राप्त कैटलॉग है। इंजन विशिष्ट पैटर्न की तलाश करता है, जैसे कि एक स्टोरेज ड्राइव जिसमें एन्क्रिप्शन की कमी है या एक नेटवर्क पोर्ट जो जनता के लिए खुला छोड़ दिया गया है। क्योंकि यह इंजन निश्चित नियमों का पालन करता है, यह कभी अनुमान नहीं लगाता; यह केवल वही रिपोर्ट करता है जिसे वह उल्लंघन के रूप में सिद्ध कर सकता है।

एक बार जब इंजन एक उल्लंघन की पहचान कर लेता है, तो सिस्टम वहीं नहीं रुकता है। यह त्रुटि का विवरण एक लार्ज लैंग्वेज मॉडल को भेजता है, जो एक 'कॉन्टेक्स्टुअल रीजनिंग एजेंट' के रूप में कार्य करता है। इस मॉडल को तीन विशिष्ट कार्यों के लिए नियुक्त किया गया है: सरल अंग्रेजी में जोखिम को समझाना, त्रुटि को उस आधिकारिक सुरक्षा मानक से जोड़ना जिसका यह उल्लंघन करता है, और समस्या को ठीक करने के लिए कोड का एक सुधारा गया स्निपेट (टुकड़ा) उत्पन्न करना। यह सुनिश्चित करने के लिए कि मॉडल रिपोर्ट के तथ्यात्मक हिस्सों में गलती न करे, शोधकर्ताओं ने इसमें एक सुरक्षा तंत्र बनाया है। मॉडल को सुरक्षा मानक का नाम अनुमान लगाने की अनुमति नहीं है; इसके बजाय, सिस्टम एक सत्यापित सूची से सही नाम खोजता है और उसे स्वचालित रूप से सम्मिलित करता है। मॉडल केवल स्पष्टीकरण और कोड सुधार उत्पन्न करने के लिए स्वतंत्र है। इसके अलावा, शोधकर्ताओं ने मॉडल के प्रॉम्प्ट में सख्त निर्देश जोड़े हैं ताकि यह सुनिश्चित हो सके कि जो कोड वह लिखता है वह सिंटैक्टिक रूप से सही है और अनावश्यक टेक्स्ट से मुक्त है, जो विश्वसनीयता के लिए आवश्यक कदम साबित हुआ।

अध्ययन के परिणाम इस संयुक्त दृष्टिकोण की शक्ति को प्रदर्शित करते हैं। 231 कॉन्फ़िगरेशन फाइलों के विरुद्ध परीक्षण करते समय, सिस्टम ने 96.9 प्रतिशत की सटीकता (प्रिसिजन) प्राप्त की, जिसका अर्थ है कि जब इसने किसी फ़ाइल को समस्या के रूप में फ्लैग किया, तो वह लगभग हमेशा सही था। इसने 90.5 प्रतिशत की रिकॉल दर भी प्राप्त की, जिससे कोड में छिपी वास्तविक त्रुटियों में से अधिकांश को सफलतापूर्वक खोजा गया। तुलनात्मक रूप से, 'चेकोव' (Checkov) नामक एक अग्रणी औद्योगिक उपकरण, जो उद्योग में व्यापक रूप से उपयोग किया जाता है, ने परीक्षण सेट में प्रत्येक त्रुटि को खोजा लेकिन साथ ही लगभग आधे साफ फाइलों को भी समस्याग्रस्त के रूप में फ्लैग किया। गलत अलार्मों की यह उच्च दर सुरक्षा टीमों को उन मुद्दों की जांच करने में समय बर्बाद करने के लिए मजबूर करेगी जो अस्तित्व में ही नहीं हैं। इसके विपरीत, नया फ्रेमवर्क एक बहुत अधिक स्पष्ट संकेत प्रदान करता है, जो उच्च पहचान दरों को बनाए रखते हुए शोर (नॉइज़) को कम करता है।

डेटा के सूक्ष्म विश्लेषण से पाई गई त्रुटियों के प्रकारों में एक स्पष्ट पैटर्न सामने आया। सबसे आम उल्लंघन 'डेटा एट रेस्ट' (डेटा के भंडारण) के लिए एन्क्रिप्शन की कमी से संबंधित था, जो सभी पहचाने गए मुद्दों में से 64 प्रतिशत से अधिक था। यह निष्कर्ष पिछले शोध के अनुरूप है जो सुझाव देता है कि संग्रहीत डेटा को एन्क्रिप्ट करना भूलना क्लाउड वातावरण में सबसे सामान्य सुरक्षा चूक है। सिस्टम ने एक्सेस कंट्रोल और ऑडिट लॉगिंग से संबंधित समस्याओं की भी सफलतापूर्वक पहचान की, जो सुरक्षा आवश्यकताओं के एक विस्तृत स्पेक्ट्रम को कवर करती है। शोधकर्ताओं ने नोट किया कि सिस्टम की सटीक, ऑडिट-रेडी रिपोर्ट उत्पन्न करने की क्षमता एक प्रमुख लाभ है, क्योंकि यह तकनीकी पहचान और अनुपालन (कम्प्लायंस) के लिए आवश्यक दस्तावेजीकरण के बीच के अंतर को पाटता है।

अध्ययन ने सिस्टम में निर्मित सुरक्षा उपायों के महत्व पर भी प्रकाश डाला। जब शोधकर्ताओं ने सख्त बाधाओं के बिना लैंग्वेज मॉडल का परीक्षण किया, तो इसने अक्सर सिंटैक्टिक रूप से अमान्य कोड या अनावश्यक गद्य (प्रोज़) से भरे सुधार उत्पन्न किए। सख्त फॉर्मेटिंग नियमों को लागू करके और तथ्यात्मक डेटा के लिए एक सत्यापित लुकअप टेबल का उपयोग करके, सिस्टम ने वैध कोड स्निपेट और सटीक कंट्रोल मैपिंग उत्पन्न करने में 100 प्रतिशत सफलता दर हासिल की। यह सुझाव देता है कि ऐसे सिस्टमों की विश्वसनीयता केवल मॉडल की बुद्धिमत्ता से नहीं, बल्कि उसके आसपास की सावधानीपूर्वक डिज़ाइन की गई वर्कफ़्लो से आती है।

यद्यपि सिस्टम ने मजबूत परिणाम दिखाए, शोधकर्ता इसकी सीमाओं को लेकर भी सतर्क रहे। फ्रेमवर्क वर्तमान में सुरक्षा नियंत्रणों के एक विशिष्ट सेट और क्लाउड संसाधनों पर केंद्रित है, और यह कोड को तैनात (डिप्लॉय) करने से पहले संचालित होता है, जिसका अर्थ है कि यह उन मुद्दों का पता नहीं लगा सकता जो तैनाती के बाद लाइव सिस्टम में किए गए परिवर्तनों से उत्पन्न होते हैं। इसके अतिरिक्त, सिस्टम के परीक्षण के लिए उपयोग किया गया 'ग्राउंड ट्रुथ' स्वचालित ह्यूरिस्टिक्स और मैनुअल इंजेक्शन के संयोजन से प्राप्त किया गया था, जो वास्तविक दुनिया के वातावरण के हर पहलू को पूरी तरह से कैप्चर नहीं कर सकता है। इन सीमाओं के बावजूद, यह अध्ययन एक सम्मोहक 'प्रूफ ऑफ कॉन्सेप्ट' प्रदान करता है। यह दिखाता है कि नियम-आधारित इंजन की अडिग सटीकता को लैंग्वेज मॉडल्स की लचीली तर्क क्षमता के साथ जोड़कर, एक ऐसा अनुपालन विश्लेषण उपकरण बनाया जा सकता है जो अत्यधिक सटीक और मानव ऑपरेटरों के लिए वास्तव में उपयोगी है। यह कार्य एक ऐसे मार्ग का सुझाव देता है जहाँ स्वचालित सुरक्षा उपकरण केवल समस्याओं को ढूंढते ही नहीं, बल्कि टीमों को विश्वास के साथ उन्हें समझने और हल करने में मदद भी करते हैं।