৪০টিরও বেশি ক্রিপ্টো প্রতিষ্ঠান এআই-এর নিরাপত্তা বিভাজন নিয়ে সতর্কবার্তা দিয়েছে

Bitcoin Policy Institute খোলা চিঠিটি প্রকাশ করেছে—শিরোনাম “Defenders Need the Frontier”—১০ অগাস্ট। স্বাক্ষরকারীদের মধ্যে রয়েছে Coinbase, Bitgo, Block, Blockstream, Anchorage Digital, ARK Invest, Bitwise, Foundry, Strategy, MARA, Galaxy, Trezor, এবং ডেভেলপার-সমর্থনকারী গ্রুপ যেমন Brink, Chaincode Labs, Btrust, OpenSats, এবং BTCPay Server।

আক্রমণকারী ও প্রতিরক্ষকদের মধ্যে এক দৌড়

এই অনুরোধের কেন্দ্রবিন্দু সাইবারসিকিউরিটিতে পরিবর্তিত বাস্তবতা। উন্নত AI সিস্টেম বিপুল পরিমাণ কম্পিউটার কোড স্ক্যান করতে পারে, সম্ভাব্য দুর্বলতা শনাক্ত করতে পারে, এবং কোনো ত্রুটি কাজে লাগানো যায় কি না তা পরীক্ষা করতে গবেষকদের সহায়তা করতে পারে।

এতে নিরাপত্তা রিভিউ দ্রুততর ও আরও গভীর হতে পারে। একই সঙ্গে আক্রমণও সস্তা এবং বৃহৎ পরিসরে চালানো সহজ হতে পারে। এই খবর আসে Coldcard-এর সাম্প্রতিক লঙ্ঘনের পর, যেখানে হার্ডওয়্যার ওয়ালেটটির ফার্মওয়্যার ত্রুটি শনাক্ত করতে AI সন্দেহভাজন ছিল—যা বিস্ফোরিত হওয়ার আগেই।

জোটটি বলছে, বড় AI ল্যাব ও তাদের নির্বাচিত অল্প কয়েকটি অংশীদার প্রায়ই এসব সক্ষমতা সম্পর্কে আগাম ধারণা পায়, কিন্তু ব্যাপকভাবে ব্যবহৃত ওপেন-সোর্স আর্থিক সফটওয়্যার রক্ষণাবেক্ষণকারীরা তা পায় না। চিঠিটির যুক্তি অনুযায়ী, শক্তিশালী টুলগুলো ব্যাপকভাবে পাওয়া যাওয়ার আগেই আক্রমণকারীরা এগুলোতে প্রবেশ, কপি, বা তুলনীয় সক্ষমতা তৈরি করার উপায় খুঁজে ফেলতে পারে।

চিঠিতে বলা হয়েছে, “ফ্রন্টিয়ার AI নিরাপত্তা গবেষণা ও সাইবার অপারেশন—দুইয়ের অর্থনীতিই বদলে দিচ্ছে।” এতে সতর্ক করা হয়েছে যে, বৈধ গবেষণার জন্য পাবলিক AI পণ্য ব্যবহার করতে গেলে প্রতিরক্ষকরা প্রায়ই নিরাপত্তাজনিত বিধিনিষেধের মুখে পড়েন, ফলে তাদের “গুরুত্বপূর্ণ নিরাপত্তা রিভিউয়ের জন্য কম সক্ষম ওপেন-ওয়েট বিকল্পের ওপর নির্ভর করতে হয়।”

ওপেন-ওয়েট মডেল হলো এমন AI সিস্টেম, যাদের অন্তর্নিহিত সফটওয়্যার বাইরের ডেভেলপাররা ডাউনলোড করে মানিয়ে নিতে পারেন। এগুলো উপকারী হতে পারে, তবে জোটটি বলছে—বড় ল্যাবগুলোর সবচেয়ে শক্তিশালী মডেলগুলোর সঙ্গে এগুলোর সমতা নাও থাকতে পারে। বাস্তব অর্থ পরিচালনা করে এমন জটিল সফটওয়্যার যখন ছোট একটি টিমকে পর্যালোচনা করতে হয়, তখন এই পার্থক্য গুরুত্বপূর্ণ হয়ে ওঠে।

কী ঝুঁকির মধ্যে

চিঠি অনুযায়ী, শুধু বিটকয়েনই ১ ট্রিলিয়ন ডলারের বেশি মূল্য সুরক্ষিত করে। বৃহত্তর ডিজিটাল-অ্যাসেট ব্যবস্থা ওয়ালেট, ক্রিপ্টোগ্রাফিক লাইব্রেরি, পেমেন্ট প্রসেসর, এক্সচেঞ্জ, কাস্টডি সার্ভিস, এবং লাইটনিং নেটওয়ার্ক টুল-এর জন্যও ওপেন-সোর্স সফটওয়্যারের ওপর নির্ভরশীল।

এই উপাদানগুলোর যেকোনো একটিতে ত্রুটি থাকলে গুরুতর পরিণতি হতে পারে। ডিজিটাল অ্যাসেট প্রায়ই বেয়ারার ইন্সট্রুমেন্টের মতো কাজ করে: ক্রিপ্টোগ্রাফিক ক্রেডেনশিয়ালগুলোর নিয়ন্ত্রণ মানেই হতে পারে তহবিলের নিয়ন্ত্রণ। একবার টাকা সরানো হলে, তা পুনরুদ্ধার কঠিন বা অসম্ভব হয়ে যেতে পারে।

এ কারণে সঞ্চয় ধরে রাখা ভোক্তা, বিটকয়েন পেমেন্ট গ্রহণকারী ব্যবসায়ী, এবং ক্লায়েন্টের সম্পদ সুরক্ষাকারী প্রতিষ্ঠানগুলোর জন্য দ্রুত শনাক্তকরণ বিশেষ গুরুত্বপূর্ণ। জোটটি যুক্তি দেয়, নিরাপত্তা দুর্বলতা শুধু সফটওয়্যার সিস্টেম নয়—অবসরভাতা অ্যাকাউন্ট, ব্যবসায়িক তহবিল, জরুরি সঞ্চয়, এবং প্রাতিষ্ঠানিক মূলধনকেও ঝুঁকিতে ফেলতে পারে।

চিঠিতে বলা হয়েছে, ছোট রক্ষণাবেক্ষণকারী টিমগুলোর মধ্যে চাপ ইতোমধ্যেই দৃশ্যমান। এতে বলা হয়েছে, Bitcoin Policy Institute এমন রিপোর্ট পেয়েছে যে উন্নত AI সক্ষমতা ব্যবহার করে দক্ষ আক্রমণকারীরা—সম্ভাব্য বিদেশি প্রতিপক্ষসহ—ওপেন-সোর্স ডেভেলপারদের ওপর চাপ বজায় রাখছে। এমনকি ব্যর্থ আক্রমণও সময় ও অর্থ খরচ করাতে পারে, যা রক্ষণাবেক্ষণকারীরা অন্যথায় সফটওয়্যার উন্নয়নে ব্যয় করতেন।

সাম্প্রতিক এক অডিট AI-এর প্রতিরক্ষামূলক শক্তি দেখিয়েছে

এই উদ্যোগের পেছনে রয়েছে আগস্টের শুরুতে “Bitcoin Red Team” নামে একটি স্বেচ্ছাসেবী প্রকল্প, যা AI-সহায়তাপ্রাপ্ত টুল ব্যবহার করে বিটকয়েন-সংশ্লিষ্ট কোড অডিট করেছিল। অংশগ্রহণকারীদের মধ্যে ছিলেন Cashu ডেভেলপার Calle এবং Anchorwatch CEO Rob Hamilton।

X-এ পোস্ট করা একটি প্রাথমিক স্ন্যাপশট অনুযায়ী, দলটি প্রায় ২৭.৫ ঘণ্টায় ৩৯০টি প্রকল্প পর্যালোচনা করে এবং আনুমানিক ৪,৯৬২টি ফাইন্ডিং জমা দেয়। এর মধ্যে ডজনখানেককে ক্রিটিক্যাল হিসেবে শ্রেণিবদ্ধ করা হয়, এবং শত শতকে উচ্চ-গুরুত্ব (high severity) হিসেবে বিবেচনা করা হয়। দলটি Moonshot-এর Kimi K3, OpenAI সিস্টেম, এবং Anthropic-এর Claude ভ্যারিয়েন্টসহ একাধিক AI সিস্টেম ব্যবহার করে; আর Opensats কম্পিউট খরচ—যা রিপোর্ট অনুযায়ী কয়েক দশ হাজার ডলার—ফান্ড করতে সহায়তা করে।

এ ধরনের ফাইন্ডিংগুলো স্বয়ংক্রিয়ভাবে নিশ্চিত দুর্বলতা নয়। AI-উৎপন্ন রিপোর্ট যাচাই, গুরুত্ব নির্ধারণ, এবং মেরামত সমন্বয়ের জন্য এখনও অভিজ্ঞ মানুষের প্রয়োজন। তবে প্রচেষ্টার ব্যাপ্তি দেখিয়েছে, জটিল কোড দ্রুত筛ন (sort through) করতে AI কীভাবে নিরাপত্তা গবেষকদের সহায়তা করতে পারে—যা অন্যথায় পরীক্ষা করতে অনেক বেশি সময় লাগতে পারত।

জোটটি বলছে, অ্যাক্সেস সীমাবদ্ধতার কারণে দলটি প্রাথমিক কাজে ব্যাপকভাবে উপলব্ধ মডেলগুলোর ওপর নির্ভর করতে বাধ্য হয়েছিল। তাদের বৃহত্তর যুক্তি হলো—যোগ্য প্রতিরক্ষকদের সর্বাধিক সক্ষম সিস্টেমগুলো ব্যবহারের সুযোগ থাকা উচিত, সেই সিস্টেমগুলো অপরাধী বা শত্রুভাবাপন্ন সরকারের সাধারণ টুল হয়ে ওঠার আগেই।

একটি বাস্তব লঙ্ঘন ঝুঁকির মাত্রা বাড়িয়েছে

BTCPay Server ২.৪.২-এর আগের সংস্করণগুলোতে প্রভাব ফেলা একটি গুরুতর ত্রুটি প্রকাশ করার পর বিতর্কটি আরও জরুরি হয়ে ওঠে। BTCPay হলো ওপেন-সোর্স সফটওয়্যার, যা ব্যবসায়ীদের বিটকয়েন পেমেন্ট গ্রহণে সহায়তা করে।

এই দুর্বলতা একটি অননুমোদিত (unauthenticated) রিমোট আক্রমণকারীকে LND-এর সংবেদনশীল অ্যাডমিনিস্ট্রেটর ক্রেডেনশিয়াল অর্জনের সুযোগ দিতে পারত—LND হলো বহুল ব্যবহৃত লাইটনিং নেটওয়ার্ক ইমপ্লিমেন্টেশন। ওই ক্রেডেনশিয়াল আক্রমণকারীকে সংযুক্ত ওয়ালেটগুলোর নিয়ন্ত্রণ দিতে পারত এবং তহবিল খালি করে দিতে সক্ষম করত। ত্রুটিটি সক্রিয়ভাবে কাজে লাগানো হয়েছিল, এবং কিছু অপারেটর ক্ষতির কথা জানান।

এই ঘটনাটি চিঠির যুক্তির একটি বাস্তব উদাহরণ দেয়। সূত্র রিপোর্ট অনুযায়ী, Bitcoin Red Team সদস্যরা ইস্যুটি বিশ্লেষণে সহায়তা করেছিলেন, আর Sparrow Wallet ডেভেলপার Craig Raw—প্রভাবিত হওয়ার পর—এটি শনাক্ত করতে গুরুত্বপূর্ণ ভূমিকা রাখেন। BTCPay বলেছে, বৃহৎ কোডবেস পর্যালোচনার খরচ কমিয়ে AI আক্রমণকারী ও প্রতিরক্ষকদের মধ্যে ভারসাম্য বদলে দিচ্ছে।

জোটটি উন্মুক্ত প্রকাশ (Open Release) চাইছে না

স্বাক্ষরকারীরা সবচেয়ে সাইবার-সক্ষম AI মডেলগুলোর জন্য অবাধ পাবলিক অ্যাক্সেস দাবি করছে না। বরং তারা এমন স্থায়ী বিশ্বস্ত-অ্যাক্সেস (trusted-access) প্রোগ্রাম চায়, যেখানে বৈধ নিরাপত্তা দায়িত্ব দেখাতে সক্ষম ব্যক্তি ও গ্রুপগুলো অন্তর্ভুক্ত হতে পারে।

তাদের প্রস্তাবিত প্রোগ্রামগুলো উপযুক্ত ক্ষেত্রে প্রি-রিলিজ সিস্টেমসহ উন্নত মডেলে আগাম, নিয়ন্ত্রিত অ্যাক্সেস দেবে। তারা দীর্ঘ সময় ধরে চলা AI টাস্কের জন্য পর্যাপ্ত কম্পিউটিং সক্ষমতা, ব্যক্তিগত বা এমবার্গো করা কোড পরিদর্শনের জন্য নিরাপদ পরিবেশ, এবং ল্যাবের সিকিউরিটি টিমের সঙ্গে সরাসরি যোগাযোগ চ্যানেলও চায়।

চিঠিতে বিশেষভাবে বলা হয়েছে, যোগ্যতা যেন শুধু বড় কোম্পানি ও সরকার পর্যন্ত সীমিত না থাকে। ছোট ননপ্রফিট, স্বাধীন রক্ষণাবেক্ষণকারী এবং স্বেচ্ছাসেবী ডেভেলপাররা প্রায়ই লক্ষ লক্ষ মানুষের ব্যবহৃত সফটওয়্যার সুরক্ষিত করেন—চিঠিতে বলা হয়েছে—তবু বিদ্যমান প্রোগ্রামে ঢোকার জন্য প্রয়োজনীয় সম্পদ বা প্রাতিষ্ঠানিক সম্পর্ক তাদের নাও থাকতে পারে।

চিঠিটি উপসংহারে বলে, “প্রতিরক্ষকদের ফ্রন্টিয়ার দরকার। অনুগ্রহ করে তাদের ন্যায্য একটি আগাম শুরু দিন।”

পরবর্তী কী হবে তা নির্ভর করবে শীর্ষ AI ল্যাবগুলো বিশেষায়িত সাইবারসিকিউরিটি অ্যাক্সেস প্রোগ্রাম সম্প্রসারণ করে কি না এবং তাদের যোগ্যতা নীতিতে ওপেন-সোর্স আর্থিক অবকাঠামোকে অন্তর্ভুক্ত করে কি না তার ওপর। চিঠিটি অতিরিক্ত স্বাক্ষরের জন্য খোলা রয়েছে, এবং বিটকয়েন ব্যবহারকারী, ব্যবসায়ী ও বিনিয়োগকারীদের ল্যাবগুলোর প্রতিক্রিয়া, নতুন অডিট ফলাফল, এবং AI-সহায়তাপ্রাপ্ত নিরাপত্তা রিভিউয়ের ওপর নির্ভর করা সফটওয়্যার প্রকল্পগুলোর আরও প্রকাশনার দিকে নজর রাখা উচিত।