मायक्रोसॉफ्टने 19 ऑक्टोबर 2026 रोजी कार्यालयांमध्ये काम करणाऱ्या कृत्रिम बुद्धिमत्ता एजंटांसाठी नवीन सुरक्षा नियंत्रणांची घोषणा केली. संस्थेच्या माहितीला आणि उपकरणांना प्रवेश असलेला एआय एजंट चुकून किंवा बाहेरील हल्ल्यामुळे अयोग्य काम करू शकतो, असा कंपनीचा इशारा आहे. या धोक्यासाठी मायक्रोसॉफ्टने पर्सेप्शन सुरक्षा प्रणालीतील साधनांचा विस्तार जाहीर केला.
एआय एजंट हा आतल्या कर्मचाऱ्यासारखा धोका का?
मायक्रोसॉफ्ट सुरक्षा विभागाचे उपाध्यक्ष नदीम अब्दो यांनी 19 ऑक्टोबरच्या अधिकृत ब्लॉगमध्ये एआय एजंटांचा वापर वाढल्याचे स्पष्ट केले. एखादा एजंट संगणकीय कोड लिहू शकतो, खर्चाची नोंद तपासू शकतो आणि विविध कार्यालयीन सेवांमध्ये काम करू शकतो. अशा कामासाठी त्याला कंपनीची माहिती, वापरकर्त्यांची खाती किंवा अंतर्गत उपकरणे वापरण्याची परवानगी दिली जाऊ शकते. त्यामुळे बाहेरील हल्लेखोराप्रमाणेच आतल्या प्रणालीतून होणाऱ्या चुकीच्या कृतीकडे लक्ष देणे गरजेचे आहे. मायक्रोसॉफ्ट या परिस्थितीला एजंटिक इनसाइडर असे संबोधते. याचा अर्थ प्रत्येक एआय एजंट स्वतःहून वाईट हेतूने काम करतो असा नाही. चुकीचा आदेश, दिशाभूल करणारी माहिती किंवा चोरी झालेल्या परवानग्यांमुळेही धोकादायक कृती होऊ शकते. कंपनीच्या म्हणण्यानुसार संस्था स्वतः तयार केलेल्या एजंटांवर अनेकदा जास्त विश्वास ठेवतात. म्हणून मानव कर्मचारी आणि स्वयंचलित साधने यांच्या प्रवेश अधिकारांची वेगळी पाहणी आवश्यक आहे. संस्थेच्या सुरक्षिततेची जबाबदारी केवळ एजंट बनवणाऱ्या कंपनीवर टाकता येणार नाही.
पर्सेप्शन सुरक्षा प्रणालीमध्ये काय बदल?
मायक्रोसॉफ्टने पर्सेप्शन नावाच्या एजंट सुरक्षा उपक्रमाचा विस्तार केला आहे. स्वतंत्र सुरक्षा निरीक्षण करणारे गार्डियन एजंट्स, कार्यरत प्रणालींचे संकेत गोळा करणारी साधने आणि बदलत्या जोखमीनुसार नियंत्रण लावण्याची पद्धत यांचा यात समावेश आहे. कंपनीच्या अधिकृत निवेदनानुसार प्रोजेक्ट पर्सेप्शन आणि एजंट 365 यांच्यात संकेत आणि माहितीची देवाणघेवाण केली जाते. यामुळे माहिती तंत्रज्ञान विभाग आणि सुरक्षा कर्मचारी एआय एजंट कोणता आहे, त्याची जबाबदारी कोणाची आहे आणि त्याला कोणती परवानगी आहे हे पाहू शकतात. सुरक्षा वर्तनात संशयास्पद बदल दिसल्यास प्रवेशाचे अधिकार कमी करण्याचे उद्दिष्ट आहे. मात्र ही कंपनीच्या प्रस्तावित आणि विकसित होत असलेल्या सुविधांची माहिती आहे. प्रत्येक संस्थेतील सर्व एआय हल्ले तात्काळ रोखले जातील असा स्वतंत्र पुरावा नाही. सुरक्षा निरीक्षण आणि प्रत्यक्ष प्रवेश बंद करणे ही वेगवेगळी कामे आहेत. कोणते नियंत्रण स्वयंचलित असावे याबाबत संस्थेची स्वतःची नियमावली महत्त्वाची ठरेल.
कमी अधिकार देण्याची पद्धत का महत्त्वाची?
सुरक्षाविषयक संकेतस्थळ सिक्युरिटीवीकने 20 ऑक्टोबर रोजी मायक्रोसॉफ्टच्या घोषणेचे स्वतंत्र विश्लेषण केले. त्यानुसार कंपनी एआय एजंटाला प्रत्येक कामासाठी आवश्यक तेवढेच अधिकार देण्यावर भर देते. उदाहरणार्थ, फक्त अहवाल वाचण्यासाठी वापरल्या जाणाऱ्या साधनाला आर्थिक रक्कम पाठवण्याचा अधिकार आवश्यक नसतो. त्याचप्रमाणे ग्राहकांच्या नोंदी पाहणाऱ्या यंत्रणेला त्या पुसून टाकण्याची परवानगी देण्याची गरज नसते. याला किमान आवश्यक प्रवेश या सुरक्षा तत्त्वाशी जोडता येते. मायक्रोसॉफ्टने एजंटांबाबत जोखीम सातत्याने मोजण्याची आणि तिच्या प्रमाणानुसार परवानग्या बदलण्याची कल्पना मांडली आहे. तथापि एखादा एजंट चुकीचा निष्कर्ष काढत असतानाच त्याचे सर्व अधिकार अचूकपणे कमी केले जातील याची खात्री नाही. काम अर्धवट राहू नये आणि सुरक्षा राखली जावी यांत योग्य समतोल ठेवावा लागतो. कोणत्या कामासाठी मानवी मान्यता आवश्यक आहे याबद्दल संस्थेने आधीच नियम ठरवावेत. अतिरिक्त अधिकार दिल्यास चूक किंवा हल्ल्याचा संभाव्य परिणाम वाढू शकतो.
अनपेक्षित सूचना आणि बनावट माहितीचे संकट
द इंडिपेंडंटने 20 ऑक्टोबरच्या वृत्तात एआय एजंट संस्थेच्या आतील यंत्रणांमध्ये अनपेक्षित धोका ठरू शकतो असे स्पष्ट केले. बाहेरून आलेल्या दस्तऐवजात किंवा संदेशात एजंटाला दिशाभूल करणाऱ्या सूचना असू शकतात. अशा मजकुराला कामाच्या अधिकृत आदेशाप्रमाणे मानल्यास तो चुकीची माहिती पाठवू शकतो किंवा नको असलेली कृती करू शकतो. या प्रकाराला प्रॉम्प्ट इंजेक्शन म्हणून ओळखले जाते. मायक्रोसॉफ्टच्या अधिकृत ब्लॉगमध्ये एजंटांच्या बदलत्या संदर्भामुळे सुरक्षा नियंत्रण महत्त्वाचे असल्याचे म्हटले आहे. कंपनीच्या घोषणेमुळे एखादी विशिष्ट भारतीय संस्था हॅक झाल्याचा पुरावा मिळत नाही. त्यामुळे काल्पनिक उदाहरणाला प्रत्यक्ष घडलेली घटना म्हणून मांडू नये. संस्थांनी बाहेरील दस्तऐवजांमधील मजकूर आणि मान्यताप्राप्त कामाचे आदेश यांत स्पष्ट फरक ठेवावा. संवेदनशील निर्णयांसाठी मानवी पडताळणी आवश्यक ठरू शकते. एजंटाच्या कृतींच्या नोंदी उपलब्ध असल्यास पुढील तपासणी करणे सोपे होऊ शकते.
भारतीय कार्यालयांनी आता काय तपासावे?
कंपनीने 19 ऑक्टोबर रोजी नव्या नियंत्रणांची घोषणा केली असली तरी सर्व सुविधा प्रत्येक ग्राहकासाठी एकाच दिवशी उपलब्ध होतील असे स्पष्ट नाही. एआय एजंट वापरणाऱ्या संस्थांनी त्यांच्या सर्व एजंटांची यादी तयार करावी. प्रत्येक एजंट कोणत्या खात्यातून काम करतो, कोणत्या माहितीला प्रवेश आहे आणि त्याला कोण थांबवू शकतो हे स्पष्ट असावे. आर्थिक व्यवहार, ग्राहक माहिती आणि कर्मचारी नोंदी यांवरील बदलांसाठी स्वतंत्र मानवी मंजुरीची व्यवस्था ठेवणे उपयुक्त ठरेल. चुकीचा आदेश दिल्यावर एजंट कोणती कृती करतो याची चाचणी नियंत्रित वातावरणात घ्यावी. मायक्रोसॉफ्टने एजंटांची ओळख, परवानग्या, माहिती आणि नेटवर्क यांवर एकत्रित नियंत्रणाची गरज व्यक्त केली आहे. मात्र एखादे सुरक्षा उत्पादन बसवले म्हणजे चुकीच्या मानवी निर्णयांचा धोका संपत नाही. पुढील काळात पर्सेप्शनमधील नवी साधने कोणत्या ग्राहकांसाठी उपलब्ध होतात, त्यांच्या चाचणीचे निकाल काय आहेत आणि सुरक्षा नियंत्रणांच्या मर्यादा कशा स्पष्ट होतात याकडे लक्ष राहील.
स्रोत
- मायक्रोसॉफ्ट सुरक्षा ब्लॉग — 19 ऑक्टोबर 2026
- सिक्युरिटीवीक — 20 ऑक्टोबर 2026
- द इंडिपेंडंट — 20 ऑक्टोबर 2026
- मायक्रोसॉफ्ट ईएमईए — 19 ऑक्टोबर 2026