AI से बने वेब ऐप्स संवेदनशील डेटा को खुल्लमखुल्ला उजागर कर रहे हैं

ये apps मिली कैसे

RedAccess ने बताया कि खोज प्रक्रिया आश्चर्यजनक रूप से सीधी थी। रिपोर्ट में नामित platforms users को कंपनियों के अपने domains पर apps host करने देते हैं, न कि users के नियंत्रित domains पर। फिर शोधकर्ताओं ने उन domains को target करने वाली साधारण Google और Bing searches, और कुछ अन्य search terms का उपयोग करके बड़ी संख्या में AI-built apps पहचान लीं।

यह विवरण platform providers और इन tools का आंतरिक उपयोग करने वाले संगठनों, दोनों के लिए चिंता का विषय होना चाहिए। इससे पता चलता है कि exposed apps web के किसी छिपे कोने में नहीं थे। वे सामान्य search methods से खोजे जा सकते थे। एक बार discoverable होने पर, authentication की अनुपस्थिति या कमजोरी सीधे data exposure का रास्ता बन जाती है।

यह बड़ा organizational problem क्यों हो सकता है

Zvi ने leak pattern का वर्णन असाधारण रूप से तीखी भाषा में किया, कहा कि organizations vibe-coding applications के ज़रिए private data उजागर कर रही हैं और यह दुनिया में sensitive information को किसी के लिए भी खोल देने वाले अब तक के सबसे बड़े events में से एक है। security disclosures के साथ अक्सर आने वाली rhetoric को छोड़ भी दें, तो underlying pattern महत्वपूर्ण है।

कंपनियों के भीतर AI development tools के फैलाव ने software creation को अब traditional engineering teams तक सीमित नहीं रहने दिया है। Product managers, analysts, marketers, और operations staff अब prompt और deploy button के साथ internal tools या customer-facing prototypes बना सकते हैं। इससे software कौन लिख रहा है, यह बदलता है, लेकिन software क्या उजागर कर सकता है, यह नहीं बदलता।

यदि कोई कर्मचारी AI-built app को internal data से जोड़कर default settings के साथ publish कर देता है, तो किसी malicious attacker के perimeter breach किए बिना भी पूर्ण data leak हो सकता है। application ही breach बन जाती है।

समस्या के पीछे का सांस्कृतिक बदलाव

यह कहानी आंशिक रूप से technical है, लेकिन आंशिक रूप से cultural भी। AI coding platforms को immediacy के आधार पर बेचा जाता है। वे वादा करते हैं कि software उसी तरह बनाया जा सकता है जैसे presentations या documents बनाए जाते हैं: जल्दी, iterative तरीके से, और बिना ज्यादा specialized training के। यह वादा शक्तिशाली है, खासकर उन organizations में जो तेज़ experimentation चाहती हैं।

लेकिन software केवल एक creative artifact नहीं है। यह एक access surface भी है। जितना आसान apps बनाना होगा, उतना ही आसान insecure apps को बड़े पैमाने पर बनाना हो जाएगा। उस अर्थ में, Wired की रिपोर्ट किसी isolated vendor issue की बजाय shadow IT की एक नई श्रेणी पर शुरुआती चेतावनी की तरह पढ़ी जाती है।

जब hosting, deployment, और discoverability एक ही workflow में built-in हों, तो समस्या और बढ़ जाती है। यदि कोई user कुछ ही मिनटों में app बना सकता है, data connect कर सकता है, और उसे एक major platform domain पर publish कर सकता है, तो governance को upstream आना होगा। Deployment के बाद security review शायद बहुत देर से हो।

आगे क्या होना चाहिए

रिपोर्टिंग हर named platform से formal response नहीं देती, इसलिए सबसे defensible takeaway किसी एक company से बड़ा होना चाहिए। AI app-building ecosystems को authentication और data exposure के लिए मजबूत defaults चाहिए। Users को इस बारे में साफ warnings चाहिए कि क्या public हो जाता है। और organizations को prompt-based app builders को वास्तविक software development environments की तरह मानना चाहिए, न कि harmless productivity tools की तरह।

बड़ा सबक सीधा है। जब app creation instantaneous हो जाती है, तो security optional या assumed नहीं रह सकती। AI software tooling में असली breakthrough सिर्फ़ इस पर नहीं मापा जाएगा कि वह code कितनी तेज़ी से publish कर सकती है। वह इस पर मापा जाएगा कि क्या वह inexperienced builders को अपना data उसके साथ publish करने से रोक सकती है।

यह लेख Wired की रिपोर्टिंग पर आधारित है। मूल लेख पढ़ें.