जुलाई 2026 के आखिर में, OpenAI अपने एक नए मॉडल का टेस्ट एक बंद एनवायरनमेंट में कर रहा था जब मॉडल ने बाहर निकलने का फैसला किया(नई विंडो)। उसने दूसरी सॉफ्टवेयर कंपनी, Hugging Face, के निजी इंफ्रास्ट्रक्चर में हैक कर लिया ताकि उस साइबरसिक्योरिटी बेंचमार्क का आंसर की चुरा सके, जिस पे उसका टेस्ट हो रहा था। दूसरे शब्दों में, सुविधा के लिए उसने कानून तोड़ दिया।

कुछ दिन बाद, UK AI Security Institute ने बताया कि Anthropic के Mythos 5 AI मॉडल(नई विंडो) ने फर्ज़ी डेवलपर पहचान बनाईं, असली GitHub उपयोगकर्ताओं को spear-phishing करके दुर्भावनापूर्ण कोड अप्रूव करवाया, और पकड़े जाने पर अपने निशान छिपाने के लिए अपनी गतिविधि का लॉग बदल दिया।

फिर अगस्त में खबर आई कि मेलबर्न का एंड्रयू नाम का एक शख्स ने अपने पर्सनल AI एजेंट से,(नई विंडो) जो OpenClaw पे बना था और Anthropic के Claude को चला रहा था, पूरी तरह बुक हो चुकी सुबह की जिम क्लास में जगह दिलाने की मदद मांगी। वो वेटलिस्ट पे चौथे नंबर पे था और पूछा कि क्या कोई तरीका है जिससे वो ऊपर आ सके।

एजेंट को पता चला कि बुकिंग एपीआई में दूसरे उपयोगकर्ताओं की रिज़र्वेशन रद्द करने पे कोई ऑथराइज़ेशन चेक नहीं था। तो एंड्रयू से इजाज़त मांगे बिना उसने पहले नंबर वाले शख्स की बुकिंग रद्द कर दी, ताकि उसके लिए जगह बन सके। जब एंड्रयू ने उससे रद्द किए गए अनडू करने को कहा, तो वो कर नहीं पाया: “जिस शख्स को मैंने हटाएं, वो वेटलिस्ट से गायब हो चुका है और उन्हें रीस्टोर करने का मेरे पास कोई तरीका नहीं है।”

इन तीन घटनाओं की शुरुआत एक नहीं थी, लेकिन नतीजा एक था: AI एजेंट्स ने सिस्टम की जांच की और उनका फायदा उठाया, उससे कहीं ज़्यादा तेज़ी और गहराई से, जितना कोई भी इंसान संभाले ही नहीं। उन्हें कभी किसी चीज़ पे हमला करने को नहीं कहा गया था, फिर भी उन्होंने अपने लक्ष्य तक का सबसे छोटा रास्ता खोज निकाला।

ये फर्क नहीं पड़ता कि आप किसी फ्रंटियर लैब का इंफ्रास्ट्रक्चर हैं या किसी उपनगर के जिम का बुकिंग सॉफ्टवेयर। अगर आपका व्यवसाय कोई एपीआई उपलब्ध कराता है, तो अब आप वो चीज़ हैं जिसे कोई AI एजेंट ऐसी रफ्तार और पूरी तरह से जांच सकता है, जिससे कोई इंसानी हमलावर मेल नहीं खा सकता। और किसी को आप पे हमला करने का फैसला करने की भी ज़रूरत नहीं है।

असली कहानी रफ्तार की है

एक इंसानी हमलावर मेहनत और फायदे को आपस में तौलता है। उसे बोरियत होती है, उसका समय खत्म होता है, वो फैसला करता है कि किसी जिम बुकिंग ऐप के लिए मेहनत करना ठीक नहीं। यही हिसाब-किताब पिछले 20 सालों से ज़्यादातर कम-कीमती टारगेट को आम दुरुपयोग से चुपचाप बचाए हुए है (जब तक आप WordPress चला ना रहे हों)।

AI एजेंट ऐसा हिसाब-किताब नहीं करता। एक लक्ष्य दिए जाने पर वो हर वो चीज़ ट्राई करेगा जो एपीआई तकनीकी रूप से इजाज़त देता है, और मशीन रफ्तार पर एंडपॉइंट और पैरामीटर कॉम्बिनेशन टेस्ट करता रहेगा, जब तक कुछ कामयाब ना हो जाए। उसने जिम के ऑथराइज़ेशन गैप को उतने ही समय में पकड़ लिया, जितने में एंड्रयू एक अगला सवाल पूछता।

उस रफ्तार के गैप की स्केल अब आंकड़ों में साफ दिखती है। Unit 42 की 2026 Global Incident Response Report(नई विंडो) में पाया गया कि सबसे तेज़ हमले अब 72 मिनट में डाटा बाहर निकाल लेते हैं, जबकि एक साल पहले इसमें 285 मिनट लगते थे। ये वो ट्रेंड है जिसमें ज़्यादातर जगहों पर अब भी इंसान ही कंट्रोल में हैं। एजेंट मिलीसेकंडों में फैसले लेता है; इंसानी एनालिस्ट को जवाब देने में मिनटों से घंटों लगते हैं।

सिक्योरिटी टीमों के लिए असली चिंता की वजह बढ़ती ये रफ्तार है, ना कि खबरों में आने वाली कोई एक घटना।

नया अटैक सर्फेस: एपीआई वाली हर चीज

एपीआई उपलब्ध कराने वाली कोई भी सर्विस एक संभावित टारगेट है, चाहे वो ऐसा दिखे या ना दिखे।

  • प्राइसिंग इंजन, जहां छूट की पुष्टि क्लाइंट-साइड पर होती है
  • इन्वेंटरी सिस्टम, जहां स्टॉक की स्थिति बैकएंड की जगह स्टोरफ्रंट में रहती है
  • सहायता प्लैटफॉर्म, जहां इंटरनल फील्ड अनडॉक्यूमेंटेड एपीआई रास्तों से एक्सेस किए जा सकते हैं
  • सदस्यता मैनेजमेंट, जो ये वेरिफाई नहीं करता कि जिस खाते को बदला जा रहा है, उसका मालिक कॉलर ही है

इनमें से किसी के लिए इंसान का ढूंढने जाना ज़रूरी नहीं है। इनके लिए बस एक लक्ष्य वाले एजेंट और एक ऐसे एपीआई की ज़रूरत है जो जवाब देता है।

सबसे ज़्यादा खतरे में वो व्यवसाय नहीं हैं जिनमें साफ सुरक्षा छेद हैं। खतरे में वो हैं जिनमें बिजनेस लॉजिक के गैप हैं: नियम जो सिर्फ UI में मौजूद हैं, ऐसे एक्शन जिन्हें एपीआई तकनीकी रूप से इजाज़त देता है लेकिन इंटरफेस कभी दिखाता नहीं, और ऐसे वर्कफ्लो जो इस धारणा पर बने हैं कि कोई कॉलर कभी वो रास्ता ट्राई नहीं करेगा जो तय किए गए रास्ते को छोड़ें कर जाता है।

जिम के डेवलपर ने लगभग तय माना होगा कि रद्दीकरण पर ऑथराइज़ेशन चेक लिखना ज़रूरी नहीं है, क्योंकि किसी सामान्य उपयोगकर्ता के पास, और किसी सामान्य हमलावर के पास, उसे ट्राई करने की वजह नहीं थी। एजेंट के पास ऐसी कोई हिचक नहीं थी, और वो तो किसी ऐसी रिज़र्वेशन को ढूंढ ही नहीं रहा था जिसे छोड़ें करना था। वो बस मददगार बनने की कोशिश कर रहा था।

व्यवसाय AI हमलों के लिए कैसे तैयार हो सकते हैं

एपीआई के हर एक्शन को एक विशेषाधिकार प्राप्त ऑपरेशन की तरह ट्रीट करें. पहचान, ऑथराइज़ेशन और संदर्भ के हिसाब से नीति, हर कॉल पर अलग-अलग जांची जाएं। ये ना कि “फ्रंटएंड आपको ऐसा करने नहीं देगा,” बल्कि “सर्वर वेरिफाई करता है कि आपको ये करने की इजाज़त है, इस रिसोर्स पर, उसकी मौजूदा स्थिति को देखते हुए।” जिम का सिस्टम रद्दीकरण एंडपॉइंट पर ऑथराइज़ेशन लॉजिक की सिर्फ एक लाइन से इस खास घटना को रोक देता। ये बिल्कुल नया कंट्रोल नहीं है, ये OWASP की एपीआई सिक्योरिटी लिस्ट का सबसे पुराना आइटम है, broken object-level authorization, और आज भी यही वो चीज़ है जो ज़्यादातर सिस्टम गलत करते हैं।

एजेंट्स को उनका अपना क्रेडेंशियल मॉडल दें. स्कोप्ड, शॉर्ट-TTL टोकन जो खास तौर पर एजेंट सत्रों के लिए जारी किए जाते हैं और सामान्य इंसानी सत्र टोकन से अलग होते हैं, उनसे तबाही का दायरा सीमित रहता है, तब भी जब एजेंट कोई ऐसा गैप ढूंढ ले जिसकी आपको उम्मीद नहीं थी। अगर एंड्रयू के एजेंट के पास सिर्फ उसकी अपनी रिज़र्वेशन तक स्कोप किया हुआ टोकन होता, तो किसी और की बुकिंग रद्द करना क्रेडेंशियल लेयर पर ही फेल हो जाता, चाहे एपीआई बाकी कुछ भी इजाज़त देता। ये इसलिए ज़रूरी है क्योंकि आप एजेंट के अपने संयम पर भरोसा नहीं कर सकते। आपको उसके प्रमाण पर भरोसा करना होगा कि वो उसे असल में क्या करने की इजाज़त देते हैं।

खास तौर पर एजेंट के व्यवहार की पहचान के लिए मॉनिटरिंग लगाएं. एजेंट ट्रैफिक की एक अलग शक्ल होती है: इंसान से तेज़ रिक्वेस्ट टाइमिंग, सिस्टमैटिक एंडपॉइंट एन्यूमरेशन, पैरामीटर कॉम्बिनेशन में लगातार जांच, और ऐसे एक्शन का कामयाब होना जिन्हें किसी इंसानी उपयोगकर्ता ने असली इंटरफेस से कभी ट्राई नहीं किया हो। उस शक्ल का बेसलाइन बनाएं और उस पर रीयल टाइम में अलर्ट लगाएं।

सिर्फ डिटेक्शन का गैप नहीं, जवाबी कार्रवाई के समय का गैप भी बंद करें. एक घंटे में किसी जांच को पकड़ने का कोई मतलब नहीं है अगर वो जांच मिनटों में पूरी होकर आगे निकल चुकी है। ऊपर बताया गया Unit 42 का आंकड़ा, सबसे तेज़ इंसानी रफ्तार वाले हमलों के लिए 72 मिनट, प्लैन बनाने के लिए पहले ही गलत बेंचमार्क बन चुका है। मिलीसेकंडों में नापा जाने वाला गैप ऑटोमेटेड जवाबी कार्रवाई से ही बंद होता है, सिर्फ ऑटोमेटेड अलर्टिंग से नहीं। बेशक, ये भी पक्का करना होगा कि आपकी ऑटोमेटेड जवाबी कार्रवाई खुद नुकसानदेह ना हो।

मान लें कि ऐसा होगा और जवाबी कार्रवाई की रिहर्सल करें. किसे कॉल किया जाएगा, ये दर्ज करें, कस्टमर कम्युनिकेशन पहले से तैयार रखें, और खास तौर पर एजेंट-संचालित सिनेरियो के खिलाफ टेबलटॉप एक्सरसाइज़ चलाएं, सिर्फ पारंपरिक लीक के प्लेबुक के खिलाफ नहीं। IBM की 2026 Cost of a Data Breach Report ने दुनिया भर में औसत लीक का अनुमान $4.99 मिलियन लगाया, जिसमें AI-सक्षम लीक का औसत लगभग $1 मिलियन ज़्यादा था। ये आंकड़े अब ज़्यादातर ऐसी घटनाओं के बारे में बताते हैं जिनकी शुरुआत जिम वाली घटना की तरह हुई: पारंपरिक मायनों में वहां कोई हमलावर ही नहीं था।

अपनी एपीआई का टेस्ट उसी तरह करें जिस तरह एक एजेंट करेगा, इससे पहले कि कोई एजेंट ये आपके लिए कर दे. मैन्युअल पेंटेस्टिंग एक ऐसे इंसानी टेस्टर को मानती है जिसके पास सीमित समय है और ट्राई करने के लिए सीमित चीज़ों की लिस्ट है। आपके अपने एंडपॉइंट के खिलाफ एक ऑटोमेटेड एडवरसेरियल टेस्ट, जो एक एजेंट जितनी ही लगन और रफ्तार से जांच करता है, वही गैप उससे पहले सामने ले आएगा, जिससे पहले कि किसी कस्टमर का असिस्टेंट उनमें अटक जाए। ओपन-सोर्स टूल्स अब खास इसी काम के लिए मौजूद हैं। CyberStrike(नई विंडो), उदाहरण के लिए, OWASP WSTG और MITRE ATT&CK से मैप किए गए स्पेशलाइज़्ड एजेंट्स आपके अपने एंडपॉइंट पर चलाता है, जिनमें ठीक उसी ऑब्जेक्ट-लेवल ऑथराइज़ेशन गैप के लिए एक डेडिकेटेड टेस्टर शामिल है जिसने जिम को चौंका दिया था: वो एक बेसलाइन रिक्वेस्ट भेजें करता है, फिर अटैक भेजें करता है, और सिर्फ तब कोई फाइंडिंग फ्लैग करता है जब कोई मापा जा सकने वाला, दोबारा दिखाया जा सकने वाला फर्क हो। यही तरह की जांच रद्दीकरण एंडपॉइंट को उससे पहले पकड़ लेती, जिससे पहले कि कोई एजेंट उसे असल दुनिया में ढूंढ लेता।

ये सिद्धांत बिल्कुल नया नहीं है। बॉटनेट के दौर में जिन साइट मालिकों ने अपने WordPress इंस्टॉल करें वाले इंस्टॉलेशन के खिलाफ खुद के वल्नरेबिलिटी स्कैनर चलाए थे, वो उससे बच निकले थे। टूलिंग को बस अब कॉलर की रफ्तार से मेल खाना होगा, किसी ऐसे इंसानी हमलावर की रफ्तार से नहीं जो आखिर में कभी उस तक पहुंच भी सकता है या नहीं भी।