Cloudflare के टेस्ट में AI ने छोटे बग्स को जोड़कर बना दिए असली साइबर एक्सप्लॉइट

Cloudflare की सुरक्षा टीम ने हाल ही में Anthropic के Claude Mythos Preview नामक एक विशेष AI मॉडल का परीक्षण किया, जिसे खास तौर पर साइबर सुरक्षा अनुसंधान के लिए बनाया गया है। यह परीक्षण Anthropic के सीमित‑प्रवेश कार्यक्रम Project Glasswing के तहत किया गया, जहाँ मॉडल को 50 से अधिक आंतरिक और ओपन‑सोर्स कोड रिपॉज़िटरी पर चलाया गया।

परिणाम चौंकाने वाले थे: मॉडल सिर्फ कमजोरियाँ पहचानने तक सीमित नहीं रहा, बल्कि वह कई छोटी कमजोरियों को जोड़कर पूरा exploit chain बना सकता था और अपने‑आप proof‑of‑concept (PoC) कोड भी तैयार कर देता था। साथ ही, परीक्षण ने इसकी कुछ महत्वपूर्ण सीमाएँ भी उजागर कीं।

सिर्फ बग ढूँढना नहीं—उन्हें जोड़कर हमला बनाना

अधिकांश स्वचालित सुरक्षा टूल्स का काम होता है कोड में अलग‑अलग vulnerabilities ढूँढना। लेकिन Cloudflare ने देखा कि Mythos इससे आगे जा सकता है।

कोड का विश्लेषण करते समय मॉडल:

• कई कम गंभीर (low‑severity) कमजोरियाँ पहचान सकता था
• यह समझ सकता था कि ये कमजोरियाँ आपस में कैसे जुड़ सकती हैं
• और उन्हें मिलाकर एक पूरा exploit chain तैयार कर सकता था

मतलब यह कि मॉडल vulnerabilities को अलग‑अलग मुद्दों की तरह नहीं देखता, बल्कि यह सोच सकता है कि कोई हमलावर कई छोटी खामियों को मिलाकर वास्तविक हमला कैसे तैयार करेगा। यह क्षमता Cloudflare के runtime सिस्टम, प्रोटोकॉल कोड, कंट्रोल‑प्लेन और ओपन‑सोर्स प्रोजेक्ट्स में भी देखी गई।

सामान्यतः इस तरह का विश्लेषण अनुभवी सुरक्षा शोधकर्ताओं द्वारा किया जाता है।

AI द्वारा स्वतः Proof‑of‑Concept एक्सप्लॉइट बनाना

एक और महत्वपूर्ण खोज थी कि Mythos स्वतः PoC exploit कोड तैयार कर सकता है।

Cloudflare के अनुसार मॉडल:

• vulnerability को ट्रिगर करने वाला कोड लिख सकता है
• उसे परीक्षण वातावरण में compile और run कर सकता है
• आउटपुट या error का विश्लेषण कर सकता है
• और फिर अपने तरीके को बदलकर दोबारा प्रयास कर सकता है

इस तरह का iterative testing मॉडल को vulnerability खोजने से आगे बढ़कर वास्तविक exploit की पुष्टि करने में सक्षम बनाता है।

सुरक्षा टीमों के लिए PoC बनाना अक्सर वह चरण होता है जिससे यह साबित होता है कि कोई बग वास्तव में खतरनाक है। यदि यह काम स्वचालित हो जाए, तो कमजोरियों की प्राथमिकता तय करना कहीं तेज हो सकता है।

Mythos की उन्नत exploit‑analysis क्षमताएँ

Anthropic के अपने दस्तावेज़ बताते हैं कि Mythos Preview ने आंतरिक परीक्षणों में कई और क्षमताएँ भी दिखाईं, जैसे:

• वास्तविक ओपन‑सोर्स कोड में zero‑day vulnerabilities की पहचान
• closed‑source सॉफ्टवेयर के exploit techniques का reverse engineering
• N‑day vulnerabilities (जानी‑पहचानी लेकिन अभी तक पैच न हुई कमजोरियाँ) को वास्तविक exploit में बदलना

यह दर्शाता है कि मॉडल का लक्ष्य सामान्य कोडिंग सहायता नहीं बल्कि संरचित vulnerability analysis और exploit reasoning है।

सीमाएँ: False positives और असंगत सुरक्षा व्यवहार

हालाँकि क्षमताएँ प्रभावशाली थीं, लेकिन Cloudflare के परीक्षण में कुछ कमजोरियाँ भी सामने आईं।

False positives

कभी‑कभी मॉडल ऐसी vulnerabilities रिपोर्ट करता था जो वास्तव में exploit‑योग्य नहीं थीं। विशेष रूप से C या C++ जैसी memory‑unsafe भाषाओं में false positives अधिक दिखे। इसलिए अंतिम सत्यापन अभी भी मानव विशेषज्ञों को करना पड़ता है।

असमान refusal व्यवहार

एक और दिलचस्प बात यह रही कि मॉडल का सुरक्षा‑आधारित refusal व्यवहार हमेशा समान नहीं था।

कुछ मामलों में यह exploit path पहचान लेने के बाद भी उसे पूरा दिखाने से मना कर देता था, जबकि अन्य मामलों में यह आगे बढ़कर PoC बनाने तक पहुँच गया।

यह दिखाता है कि शक्तिशाली AI क्षमताओं और दुरुपयोग‑रोधी सुरक्षा उपायों के बीच संतुलन बनाना कितना कठिन है।

साइबर सुरक्षा के लिए इसका क्या मतलब है

Cloudflare के परीक्षण से एक बड़ा संकेत मिलता है: AI अब vulnerability research को पूरी तरह बदल सकता है।

रक्षात्मक पक्ष (defenders) के लिए ऐसे सिस्टम:

• जटिल vulnerability chains खोज सकते हैं
• exploitability को जल्दी सत्यापित कर सकते हैं
• और सुरक्षा टीमों को यह तय करने में मदद कर सकते हैं कि किस बग को पहले ठीक करना जरूरी है

लेकिन यही क्षमताएँ गलत हाथों में पड़ने पर खतरा भी बढ़ा सकती हैं। यदि AI बग ढूँढने से लेकर exploit तैयार करने तक की पूरी प्रक्रिया स्वचालित कर दे, तो उन्नत साइबर हमले शुरू करना कहीं आसान हो सकता है।

Cloudflare का निष्कर्ष यह था कि भविष्य में सिर्फ तेज़ी से पैच जारी करना पर्याप्त नहीं होगा। संगठनों को vulnerability management के लिए नई रणनीतियाँ अपनानी पड़ सकती हैं, क्योंकि हमलावर भी इसी तरह के AI टूल इस्तेमाल कर सकते हैं।

उभरती हुई “Dual‑Use” चुनौती

Claude Mythos Preview एक क्लासिक dual‑use technology का उदाहरण है।

• रक्षात्मक उपयोग में यह कमजोरियाँ पहले खोजकर सिस्टम को सुरक्षित बनाने में मदद कर सकता है।
• लेकिन आक्रामक उपयोग में यही तकनीक exploit विकास को तेज कर सकती है।

इसी वजह से Mythos Preview को अभी सार्वजनिक रूप से जारी नहीं किया गया है। इसे केवल चुनिंदा संगठनों के साथ Project Glasswing के तहत साझा किया जा रहा है ताकि इसे रक्षात्मक साइबर सुरक्षा परीक्षण में इस्तेमाल किया जा सके।

Cloudflare के प्रयोग से साफ संकेत मिलता है कि AI अब साधारण कोड‑सहायता से आगे बढ़कर पूरे vulnerability discovery और exploit reasoning स्टैक को संभालने की दिशा में बढ़ रहा है—और यही आने वाले वर्षों में साइबर रक्षा और साइबर हमलों दोनों को बदल सकता है।