By Dharmesh Prajapati

આર્ટિફિશિયલ ઇન્ટેલિજન્સ (AI), એપ્લિકેશન સિક્યોરિટી અને ક્લાઉડ ડેટા પ્રાઇવસીના ક્ષેત્રમાંથી વૈશ્વિક કોર્પોરેટ જગતને ચોંકાવનારા અને અત્યંત ગંભીર સમાચાર સામે આવ્યા છે. માઇક્રોસોફ્ટના પ્રખ્યાત એઆઈ આસિસ્ટન્ટ Microsoft 365 Copilot માં એક અત્યંત ખતરનાક સુરક્ષા ખામી (Vulnerability) મળી આવી હતી, જેને સાયબર સુરક્ષા સંશોધકોએ ‘SearchLeak’ નામ આપ્યું છે.

સુરક્ષા એજન્સી વારોનિસ થ્રેટ લેબ્સ (Varonis Threat Labs) ના અહેવાલ અનુસાર, આ કટોકટી એટલી ઘાતક હતી કે હેકર્સ માત્ર ૧-ક્લિક (પેરામીટર ઇન્જેક્શન) દ્વારા યુઝરના ઈમેલ્સ, ઓનડ્રાઈવ (OneDrive) ફાઇલો, શેરપોઇન્ટ (SharePoint) દસ્તાવેજો અને મીટિંગ નોટ્સ જેવા સંવેદનશીલ ડેટાને સદંતર ગુપ્ત રીતે ચોરી (Data Theft) કરી શકતા હતા. જો કે, માઇક્રોસોફ્ટે આ ખામીને તાત્કાલિક ધોરણે પેચ (સુધારો) કરી દીધી છે.

પેરામીટર-ટુ-પ્રોમ્પ્ટ (P2P) ઇન્જેક્શન કેવી રીતે કામ કરતું હતું?

આ ઘાતક એટેકની મોડસ ઓપરેન્ડી અને ટેકનિકલ આર્કિટેક્ચર અત્યંત જટિલ અને ત્રિ-સ્તરીય (Three-stage) હતું:

• માત્ર એક લિંકથી હુમલો: હેકર્સ ઇમેઇલ અથવા સ્લેક (Slack) ચેનલ દ્વારા ટાર્ગેટ યુઝરને એક સામાન્ય દેખાતી માઇક્રોસોફ્ટ કોપાયલોટ સર્ચની લિંક મોકલતા હતા. આ લિંકના ‘q’ પેરામીટર પાછળ એક ખાસ મેલિશિયસ પ્રોમ્પ્ટ (દુષિત કોડ) છુપાયેલો રહેતો હતો.
• ગાર્ડરેલ્સને બાયપાસ કરવા બિંગ (Bing) નો ઉપયોગ: માઇક્રોસોફ્ટની આંતરિક સુરક્ષા દિવાલ (Guardrails) ને તોડવા માટે હેકર્સે બિંગ સર્ચ એન્જિનના ઇમેજ ટેગ લિંક (<img>) નો સહારો લીધો હતો. આ ટેગ એઆઈ રિસ્પોન્સને એટલી ઝડપથી ટ્રિગર કરતો હતો કે સિસ્ટમને પ્રોમ્પ્ટ સેનિટાઇઝ કરવાનો સમય જ નહોતો મળતો. બિંગ માઇક્રોસોફ્ટનું પોતાનું હોસ્ટિંગ હોવાથી તે વ્હાઇટલિસ્ટેડ (Whitelisted) હતું, જેના લીધે બ્રાઉઝરની Content Security Policy (CSP) પણ નિષ્ક્રિય થઈ જતી હતી.
• MFA કોડ અને પાસવર્ડ્સ પણ લીક: આ હુમલા દ્વારા હેકર્સ વપરાશકર્તાના લેટેસ્ટ ઇમેઇલમાં આવેલા મલ્ટિ-ફેક્ટર ઓથેન્ટિકેશન (MFA) સિક્યોરિટી કોડ્સ અને પાસવર્ડ રીસેટ લિંક્સ સીધા પોતાના કંટ્રોલ સર્વર પર મેળવી શકતા હતા.

માઇક્રોસોફ્ટે આ ગંભીર બગને CVE-2026-42824 તરીકે ટ્રેક કરીને ‘ક્રિટિકલ’ શ્રેણીમાં મૂક્યો છે. આ ખામી સર્વર સાઇડથી ફિક્સ કરી દેવામાં આવી હોવાથી એન્ડ-યુઝરે કોઈ મેન્યુઅલ એક્શન લેવાની જરૂર નથી.

એઆઈ સિક્યોરિટી સરફેસ અને એન્ટરપ્રાઇઝ નેટવર્કિંગ (SEO Expert View)

એક આઈટી ઇન્ફ્રાસ્ટ્રક્ચર આધુનિકીકરણ પ્રોફેશનલ, સર્વર આર્કિટેક્ટ અને ટેકનિકલ એસઈઓ (SEO) વિશ્લેષક તરીકે, ‘SearchLeak’ એટેક એ સાબિત કરે છે કે આધુનિક LLM (Large Language Models) આધારિત એન્ટરપ્રાઇઝ આસિસ્ટન્ટ્સ અત્યારે સાયબર ગુનેગારો માટે સૌથી મોટો એટેક સરફેસ (Attack Surface) બની રહ્યા છે. જ્યારે પણ કોઈ એઆઈ એપ્લિકેશન એક્સટર્નલ ઇનપુટ્સ (લિંક્સ) ને ઇન્ટર્નલ ડેટા એક્સેસ સાથે કમ્બાઈન કરે છે, ત્યારે પ્રોમ્પ્ટ ઇન્જેક્શનનું જોખમ અસાધારણ રીતે વધી જાય છે. કોર્પોરેટ કંપનીઓએ તેમના આઈટી નેટવર્કમાં Zero-Trust AI Governance લાગુ કરવું જ પડશે, જેમાં પ્રોમ્પ્ટ આઇસોલેશન અને આઉટપુટ સેનિટાઇઝેશન અનિવાર્ય છે. ઉપરાંત, સિક્યોરિટી બ્રીચથી બચવા માટે બિનજરૂરી ડેટા એક્સપોઝરને મર્યાદિત રાખવું ડિજિટલ સિક્યોરિટીનો પાયાનો નિયમ છે.

વારોનિસના ડિરેક્ટર દોર યાર્ડેનીએ ચેતવણી આપી છે કે આ કોઈ એક સિંગલ સોફ્ટવેરની ખામી નથી, પરંતુ એઆઈ ઇન્ટિગ્રેશન ધરાવતી તમામ મોટી ક્લાઉડ સિસ્ટમ્સ માટે આ એક સાર્વત્રિક નવો ડિજિટલ ખતરો છે.

કનેક્ટ વિથ ધર્મેશ પ્રજાપતિ +91 7359585035 Call / WhatsApp

Website: ambeinfotech.com

Read more on newsforyou.live