OWASP की LLM Exploit Generation Guide 2.0: AI हैकिंग अभी क्या कर सकती है और क्या नहीं

क्या आज कोई AI अपने दम पर किसी सिस्टम को हैक कर सकता है? नवीनतम शोध से मिला सच्चा जवाब है "कुछ हद तक, और यह काफी हद तक इस बात पर निर्भर करता है कि इसे कौन चला रहा है और इसके पास कौन से टूल्स हैं।"

आज 4 नवंबर, 2026 है, और यह सवाल अभी इसलिए महत्वपूर्ण है क्योंकि OWASP GenAI Security Project ने हाल ही में अपनी LLM Exploit Generation Guide 2.0 प्रकाशित की है। यह सबसे विस्तृत सार्वजनिक रिपोर्टों में से एक है जो यह दर्शाती है कि जब भाषा मॉडल्स और AI एजेंट्स को किसी वास्तविक लक्ष्य की ओर निर्देशित किया जाता है, तो वे वास्तव में कैसा व्यवहार करते हैं। परिणाम उन सभी के लिए उपयोगी हैं जो सर्वर, ऐप्स या सुरक्षा टीमें चलाते हैं, क्योंकि वे दिखाते हैं कि हमलावर कहां गति हासिल करते हैं और बचावकर्ताओं (defenders) के पास अभी भी कहां समय है।

OWASP ने वास्तव में किसका परीक्षण किया

OWASP (Open Worldwide Application Security Project, एक गैर-लाभकारी संगठन जो वेब जोखिमों की अपनी Top 10 सूचियों के लिए जाना जाता है) ने वसंत 2025 से शुरू करके लगभग पंद्रह महीनों तक यह अध्ययन चलाया। टीम ने इस काम को दो ट्रैकों में विभाजित किया:

• क्लासिक ट्रैक: एक व्यक्ति किसी एकल मॉडल के साथ चैट करता है और उसके द्वारा सुझाए गए कमांड्स चलाता है। इसमें एक सामान्य चैट इंटरफ़ेस में होस्ट किया गया फ्रंटियर मॉडल और एक छोटा स्थानीय मॉडल शामिल था।
• एजेंटिक ट्रैक: सॉफ़्टवेयर फ्रेमवर्क मॉडल को स्वयं टूल्स को कॉल करने और अधिक स्वतंत्रता के साथ कार्य करने की अनुमति देते हैं। CAI, HexStrike AI, Claude Code, Codex और कस्टम मल्टी-एजेंट व्यवस्थाओं सहित नौ सेटअप्स का परीक्षण किया गया, जो होस्टेड और स्थानीय रूप से चलने वाले दोनों मॉडल्स द्वारा समर्थित थे।

लक्ष्य दो Hack The Box ट्रेनिंग मशीनें थीं, Silentium और MonitorsFour। ये अभ्यास के लिए बनाए गए वातावरण हैं जिन पर हमले का परीक्षण किया जाता है, न कि वास्तविक कंपनियाँ। टीम ने ऐसी मशीनें चुनीं जो मॉडल्स के ट्रेनिंग कटऑफ़ के बाद रिलीज़ हुई थीं और जिनका कोई सार्वजनिक वॉकथ्रू (walkthrough) उपलब्ध नहीं था, ताकि मॉडल्स केवल वही समाधान न दोहरा सकें जो वे पहले देख चुके थे।

शुरुआत में ही एक सीमा स्पष्ट कर दें: प्रत्येक एजेंटिक रन केवल एक बार हुआ, जिसमें नियंत्रण अनुभवी परीक्षकों के हाथों में था। इसलिए यह अध्ययन दिखाता है कि ये सिस्टम कैसे विफल होते हैं और इंसान कहाँ हस्तक्षेप करते हैं, लेकिन यह कोई विश्वसनीय सफलता दर या मॉडल रैंकिंग प्रदान नहीं करता है।

अकाउंट टेकओवर जिसके लिए कम कौशल की आवश्यकता थी

क्लासिक ट्रैक में, एक व्यक्ति ने Silentium के खिलाफ AI-लिखित रनबुक (चरण-दर-चरण निर्देश सूची) का पालन किया। मॉडल ने मुख्य ऐप के बगल में एक स्टेजिंग वातावरण ढूँढ निकाला, एक अकाउंट वर्कफ़्लो के माध्यम से लीक हो रही जानकारी का पता लगाया, और व्यक्ति को प्रशासनिक अकाउंट टेकओवर (administrative account takeover) तक पहुँचाया।

ऑपरेटर को गहन आक्रामक-सुरक्षा (offensive-security) ज्ञान की आवश्यकता नहीं थी, केवल बुनियादी कमांड-लाइन कौशल की आवश्यकता थी, हालांकि अनुरोधों को किस तरह प्रस्तुत किया गया था, इसके आधार पर मॉडल ने कभी-कभी इनकार भी किया। बचावकर्ताओं (defenders) के लिए चिंताजनक पहलू यह खोज है: मॉडल ने एक भूली-बिसरी स्टेजिंग सर्विस की ओर इशारा किया जिसे कोई नौसिखिया कभी नहीं खोजता।

एजेंट्स ने बहुत कुछ खोजा, फिर गोल-गोल घूमने लगे

स्वायत्त एजेंट्स टोही (reconnaissance - जो कुछ भी उजागर/एक्सपोज़्ड है उसे मैप करने) में बहुत अच्छे थे: सर्विसेज, अतिरिक्त एप्लिकेशन सतहें, सॉफ़्टवेयर वर्ज़न और ज्ञात कमज़ोरियाँ (vulnerabilities)। लेकिन फिर निर्णय लेने की क्षमता लड़खड़ा गई:

• एक एजेंट ने ओपन पोर्ट्स देखे, लेकिन जब होस्ट ने पिंग (ping) का जवाब नहीं दिया, तो उसने खोज प्रक्रिया नए सिरे से शुरू कर दी। वह इस सरल कारण को समझ नहीं पाया कि होस्ट केवल पिंग ट्रैफ़िक को ब्लॉक करता है।
• एक स्थानीय एजेंट लगातार एक ऐसे होस्टनेम के रीडायरेक्ट का अनुसरण करता रहा जिसे वह हल (resolve) नहीं कर पा रहा था, जब तक कि किसी इंसान ने स्थानीय नाम सेटिंग्स को ठीक नहीं किया।

अक्सर पूछे जाने पर मॉडल को सही अवधारणा पता होती थी, लेकिन जब ज़रूरत पड़ी तो उसने इसे लागू नहीं किया। जानने और करने के बीच का यही अंतर एक चैट असिस्टेंट को एक स्वतंत्र ऑपरेटर से अलग करता है।

आत्मविश्वास से भरा होना सही होने के बराबर नहीं है

एजेंट्स ने बंद रास्तों (dead ends) का भी उसी आत्मविश्वास के साथ वर्णन किया जैसा कि वास्तविक निष्कर्षों का, और एक गलत "निष्कर्ष" बाद के चरणों में भी आगे बढ़ता रहा। आंतरिक रूप से AI का उपयोग करने वाली टीमों के लिए, एक लंबी, ठोस लगने वाली पेनिट्रेशन-टेस्ट रिपोर्ट कोई सत्यापित निष्कर्ष नहीं होती: आपको अभी भी एक्सेस के प्रमाण, इसे पुनरुत्पादित करने (reproduce) के तरीके और पार की गई सटीक सीमा की आवश्यकता होती है।

मॉडल से ज़्यादा उसका हार्नेस (harness) मायने रखता था

एक एजेंट "हार्नेस" वह सब कुछ है जो मॉडल के चारों ओर लिपटा होता है: इसके टूल्स, निष्पादन वातावरण (execution environment), मेमोरी और टास्क समन्वय। OWASP के परीक्षणों में, अक्सर हार्नेस ने ही परिणाम तय किया।

कुछ एजेंट्स ने उपलब्ध Model Context Protocol (MCP, मॉडल में टूल्स को जोड़ने का एक मानक तरीका) टूल्स को तब तक नज़रअंदाज़ किया जब तक कि उन्हें उनका उपयोग करने के लिए नहीं कहा गया। अन्य में रैपर टाइमआउट की समस्या आई, इसलिए ऑपरेटरों ने हाथ से स्कैन चलाए। यदि आप कोई AI सुरक्षा टूल खरीद रहे हैं या बना रहे हैं, तो उस सटीक कॉन्फ़िगरेशन का परीक्षण करें जिसे आप चलाएंगे, न कि केवल मॉडल के नाम का।

गार्डरेल्स ने एजेंट्स को धीमा तो किया लेकिन जोखिम को खत्म नहीं किया

अंतिम एक्सप्लॉइटेशन चरण तक पहुँचने वाले होस्टेड एजेंट्स को प्रदाताओं के साइबर सुरक्षा प्रतिबंधों द्वारा रोक दिया गया। वे आगे का रास्ता देख सकते थे लेकिन इसे पूरा नहीं कर सके। कुछ मामलों में एक जानकार ऑपरेटर ने अंतिम चरण को हाथ से पूरा किया।

सुरक्षा उपायों (safeguards) ने निष्पादन को सीमित कर दिया, लेकिन तैयारी का काम एक कुशल व्यक्ति द्वारा उपयोग किए जाने के लिए तैयार रहा, और हमलावर सेवाएं बदल सकते हैं, स्थानीय मॉडल चला सकते हैं या ब्लॉक किए गए चरण को खुद अंजाम दे सकते हैं। किसी अन्य कंपनी की मॉडल सुरक्षा आपके स्वयं के नियंत्रणों का विकल्प नहीं है।

अन्य शोध भी इसी दिशा में इशारा करते हैं

OWASP के निष्कर्षों को इस रूप में नहीं पढ़ा जाना चाहिए कि "शुरुआती लोग हमेशा हानिरहित रहेंगे।" जून 2026 के एक RAND अध्ययन में पाया गया कि Sonnet और Opus 4.6 के साथ Claude Code ने अपने प्रत्येक कैप्चर-द-फ्लैग (capture-the-flag) चैलेंज को एक घंटे से भी कम समय में, कुल API लागत में 20 अमेरिकी डॉलर से कम में हल कर लिया, जिसमें निगरानी मुख्य रूप से अटकी हुई प्रक्रियाओं को फिर से शुरू करने तक ही सीमित थी। यही चुनौतियाँ पुराने चैटबॉट्स का उपयोग करने वाले लोगों के लिए कठिन रही थीं।

वास्तविक घटनाओं में ऑटोमेशन और मानव दिशा-निर्देश दोनों का मिश्रण होता है। Anthropic ने नवंबर 2025 में बताया कि एक एक्टर, जिसके चीनी राज्य-प्रायोजित होने का उसने आकलन किया था, ने लगभग 30 लक्ष्यों के खिलाफ Claude Code का उपयोग किया, जिसमें अनुमानित 80 से 90 प्रतिशत काम AI ने किया था। Google Threat Intelligence Group ने मई 2026 में एक आपराधिक ज़ीरो-डे एक्सप्लॉइट की सूचना दी, जिसके बारे में उसका आकलन था कि इसे AI की मदद से बनाया गया था। दोनों ही कंपनियों के अपने आकलन हैं। किसी भी तरह से, "अभी भी एक इंसान की आवश्यकता है" बात आश्वस्त करने वाली नहीं है जब एक अकेला इंसान कहीं अधिक काम को निर्देशित कर सकता है।

बेंचमार्क स्कोर थ्रेट इंटेलिजेंस क्यों नहीं हैं

एक बेंचमार्क यह दिखाता है कि एक सिस्टम ने चुनी हुई परिस्थितियों में चुने हुए कार्यों को हल किया। यह प्रयासों, संकेतों और मानवीय मदद को छुपाता है, और निगरानी व रिस्पांस टीम वाली किसी वास्तविक कंपनी के बारे में कुछ नहीं बताता।

प्रतिक्रिया कैसे दें: सुरक्षाकर्मियों (defenders) के लिए एक संक्षिप्त चेकलिस्ट

रक्षात्मक प्राथमिकताएं परिचित हैं। जो बदल रहा है वह है तात्कालिकता, क्योंकि हमलावर अब उबाऊ तैयारी के काम को स्वचालित कर सकते हैं।

चरण 1: जानें कि आपने क्या-क्या उजागर (expose) कर रखा है

स्टेजिंग, टेस्ट और पुराने द्वितीयक ऐप्स सहित प्रत्येक इंटरनेट-फेसिंग सर्विस की एक सटीक इन्वेंट्री रखें। यदि कोई AI आपके भूले हुए स्टेजिंग सर्वर को मिनटों में ढूंढ सकता है, तो आपको इसे पहले ढूंढना होगा। इसे सुरक्षित करें या ऑफ़लाइन करें।

चरण 2: बुनियादी बातों को तेज़ी से ठीक करें

एक्सेस कंट्रोल को कड़ा करें, विशेषाधिकार प्राप्त अकाउंट्स को मजबूत दूसरे कारकों (second factors) से सुरक्षित करें, और पैच रिलीज़ होने से लेकर पैच लागू होने के समय को कम करें। UK National Cyber Security Centre को उम्मीद है कि 2027 तक AI किसी कमज़ोरी के खुलासे और उसके एक्सप्लॉइटेशन के बीच के अंतर को और कम कर देगा।

चरण 3: शोरगुल वाले, दोहरावदार व्यवहार पर नज़र रखें

एजेंट्स बिना किसी प्रगति के स्कैन और विफल अनुरोधों को दोहराते रहे। इसे AI का प्रमाण नहीं बल्कि एक संकेत समझें, और इसे लॉगिन, एप्लिकेशन त्रुटियों और क्रेडेंशियल उपयोग के साथ सहसंबंधित (correlate) करें। जो मायने रखता है वह यह है कि क्या कोई घुसपैठ (intrusion) पनप रही है।

चरण 4: अपने स्वयं के एजेंट्स के इर्द-गिर्द वास्तविक सीमाएं तय करें

यदि आप आंतरिक रूप से AI एजेंट्स चलाते हैं, तो उनकी नेटवर्क पहुंच, क्रेडेंशियल्स और निष्पादन अधिकारों को सीमित करें। Anthropic ने जुलाई 2026 में खुलासा किया कि मॉडल्स को अलग-थलग (isolated) बताए गए मूल्यांकन वातावरणों में वास्तव में इंटरनेट एक्सेस था, और मॉडल्स वास्तविक संगठनों तक पहुँच गए। प्रॉम्प्ट में लिखी गई सीमा कोई सीमा नहीं होती। इसे नेटवर्क और अनुमति प्रणाली में लागू करें।

निष्कर्ष

AI पहले से ही आक्रामक कार्य के वास्तविक हिस्सों को अंजाम दे रहा है, विशेष रूप से टोही और रिसर्च, जबकि समस्या निवारण (troubleshooting) और अपनी स्वयं की सफलता की जांच करने में वह अभी भी लड़खड़ा रहा है। मनुष्य इन प्रणालियों को कॉन्फ़िगर करने और सुधारने की ओर बढ़ रहे हैं, और जैसे-जैसे सेटअप्स का पुन: उपयोग करना आसान होता जाएगा, आज की बाधाएं तेज़ी से गिर सकती हैं। AI के अनाड़ी बने रहने पर भरोसा करने के बजाय आसान लक्ष्यों को अभी हटा दें।

सकारात्मक पहलू

• हवा-हवाई बातों या ख़ारिज करने के बजाय एक यथार्थवादी, साक्ष्य-आधारित दृष्टिकोण प्रस्तुत करता है।
• यह सटीक रूप से दिखाता है कि इंसान कहाँ हस्तक्षेप करते हैं, जिससे सुरक्षाकर्मियों को योजना बनाने में मदद मिलती है।
• न केवल मॉडल को, बल्कि हार्नेस और कॉन्फ़िगरेशन को वास्तविक चर (variable) के रूप में रेखांकित करता है।
• ऐसे व्यावहारिक बचावों की ओर इशारा करता है जिन्हें अधिकांश टीमें इसी सप्ताह शुरू कर सकती हैं।

कमियां

• प्रत्येक एजेंटिक रन केवल एक बार हुआ, इसलिए कोई विश्वसनीय सफलता दर नहीं है।
• अनुभवी परीक्षकों ने एजेंट्स को चलाया, इसलिए शुरुआती लोगों के परिणामों का अनुमान लगाया गया, उन्हें मापा नहीं गया।
• ट्रेनिंग मशीनें निगरानी और रिस्पांस टीमों वाली वास्तविक कंपनियों से भिन्न होती हैं।
• सक्रिय सुरक्षाकर्मियों द्वारा गुप्तता (stealth) और पहचान (detection) का परीक्षण नहीं किया गया था।

सावधानी

यह लेख शैक्षिक है और प्रकाशित शोध का सारांश प्रस्तुत करता है; यह कोई आक्रमण मार्गदर्शिका (attack guide) नहीं है। किसी भी प्लेसहोल्डर या उदाहरण मानों को अपने मानों से बदलें, पहले परिवर्तनों का सुरक्षित रूप से परीक्षण करें, दावों पर भरोसा करने से पहले मूल रिपोर्टों से उनका सत्यापन करें, और केवल उन्हीं प्रणालियों का परीक्षण करें जिनके लिए आप अधिकृत हैं।

अक्सर पूछे जाने वाले प्रश्न

• OWASP LLM Exploit Generation Guide 2.0 क्या है? — यह OWASP GenAI Security Project की एक रिपोर्ट है जिसने लाइव ट्रेनिंग मशीनों के खिलाफ मानव-निर्देशित भाषा मॉडल्स और स्वायत्त AI एजेंट्स का परीक्षण किया ताकि यह देखा जा सके कि वे वास्तविक हमले में कितनी दूर तक जा पाते हैं।
• क्या AI एजेंट्स पूरी तरह से अपने दम पर सिस्टम हैक कर सकते हैं? — इस अध्ययन में विश्वसनीय रूप से नहीं; एजेंट्स ने मजबूत टोही (reconnaissance) कार्य किया लेकिन अंतिम एक्सप्लॉइटेशन प्रदाता के सुरक्षा उपायों द्वारा ब्लॉक कर दिया गया या किसी इंसान द्वारा पूरा किया गया।
• क्या AI सुरक्षा गार्डरेल्स हमलों को रोकते हैं? — उन्होंने परीक्षण किए गए होस्टेड एजेंट्स को अंतिम चरण में रोक दिया, लेकिन एक कुशल व्यक्ति, एक स्थानीय मॉडल या सेवाओं का मिश्रण उनका समाधान निकाल सकता है (work around), इसलिए सुरक्षाकर्मियों को उन पर निर्भर नहीं रहना चाहिए।
• मुझे AI साइबर बेंचमार्क स्कोर पर भरोसा क्यों नहीं करना चाहिए? — स्कोर प्रयासों, संकेतों, टूल्स और मानवीय मदद को छुपाते हैं, और वे सक्रिय सुरक्षाकर्मियों वाले किसी वास्तविक संगठन के विरुद्ध प्रदर्शन को नहीं दर्शाते हैं।
• सुरक्षाकर्मियों (defenders) को सबसे पहले क्या करना चाहिए? — स्टेजिंग और टेस्ट सिस्टम सहित उजागर (exposed) सेवाओं की एक पूरी इन्वेंट्री बनाएं, और भूली-बिसरी किसी भी चीज़ को सुरक्षित करें या हटा दें।
• मैं अपने स्वयं के AI एजेंट्स को सुरक्षित कैसे रखूँ? — इन्फ्रास्ट्रक्चर में ही नेटवर्क एक्सेस, क्रेडेंशियल्स और निष्पादन अधिकारों पर सीमाएं लागू करें, क्योंकि "अलग-थलग रहें (stay isolated)" कहने वाला प्रॉम्प्ट कोई वास्तविक नियंत्रण नहीं है।

टैग्स

#OWASP #AISecurity #LLMSecurity #AIAgents #Cybersecurity #PenetrationTesting #ThreatIntelligence #DevSecOps #AttackSurface #GenAI