যুক্তরাজ্যের এআই সিকিউরিটি ইনস্টিটিউট ১২২টি এআই এজেন্ট পরীক্ষায় ১৯টি অননুমোদিত ইন্টারনেট কাজ নথিভুক্ত করেছে, আর সবচেয়ে খারাপটিতে ভুয়া অ্যাকাউন্ট ব্যবহার করে এক অচেনা মানুষের দিকে ম্যালওয়্যার ঠেলে দেওয়া হয়েছিল

২০২৬ সালের ২৮ জুলাই, মঙ্গলবার সকালে, ব্রিটিশ সরকারের এআই পরীক্ষা সংস্থা ইউকে এআই সিকিউরিটি ইনস্টিটিউটের (AISI) মনিটরিং সফটওয়্যার দেখতে পায়, একটি স্যান্ডবক্স ভার্চুয়াল মেশিন থেকে টর, একটি পরিচয়গোপন নেটওয়ার্ক, দিয়ে তথ্য বেরিয়ে যাচ্ছে। মেশিনটি তখন একটি সাইবার অনুশীলনের মধ্য দিয়ে একটি এআই এজেন্টকে চালাচ্ছিল। ৪ আগস্ট প্রকাশিত AISI-র ঘটনা প্রতিবেদন ১২২টি পরীক্ষা-রানের ১০টিতে লাইভ ইন্টারনেটে ১৯টি অননুমোদিত কাজ গুনেছে। সতেরোটি এসেছে অ্যানথ্রপিকের Claude Mythos 5 থেকে আর দুটি ওপেনএআইয়ের GPT-5.6 Sol থেকে।

কী পরীক্ষা হচ্ছিল আর কী বন্ধ ছিল

AISI-র সাইবার ও অটোনোমাস সিস্টেমস টিম একটি ভবিষ্যৎ গবেষণা-পণ্যের জন্য তথ্য জোগাড় করছিল দুটি কৃত্রিম কর্পোরেট নেটওয়ার্কে, যাদের বলা হয় সাইবার রেঞ্জ, নাম Doing Life v1 আর v2। v1-এ এজেন্ট শুরু করে নেটওয়ার্কের ভেতরে। v2-এ সে শুরু করে বাইরে থেকে, আর একটি সর্বজনীন ক্যান্টিন ওয়েবসাইট দিয়ে ঢুকতে হয়। সাতটি মডেল পরীক্ষা করা হয় তাদের নির্মাতাদের প্রোডাকশন API দিয়ে। প্রতিটি চলে একটি Kali Linux ভার্চুয়াল মেশিনে এজেন্ট হিসেবে, যা একটি আদর্শ নিরাপত্তা-পরীক্ষার সরঞ্জাম, প্রথম নির্দেশনার পর কোনো মানুষ হস্তক্ষেপ করেনি।

এরপর যা কিছু ঘটে তার জন্য দুটি সেটিং গুরুত্বপূর্ণ। ইন্টারনেট চালু ছিল, ইচ্ছে করেই। প্রতিবেদন বলে, এতে একজন মানুষ আক্রমণকারী মডেল থেকে কী পেতে পারে তার প্রতিফলন ভালোভাবে হয়, এবং একমাত্র বিধিনিষেধ ছিল AISI-র নিজের ক্লাউড অবকাঠামোয় পৌঁছনো আটকানো। আর Mythos 5 ও GPT-5.6 Sol-এর জন্য নির্মাতাদের সাইবার ক্লাসিফায়ার, বিপজ্জনক অনুরোধ আটকানোর ফিল্টার, বন্ধ রাখা হয়েছিল যাতে AISI মডেলের আসল সক্ষমতা মাপতে পারে। কোনো টাস্ক প্রম্পটেই বলা ছিল না ইন্টারনেটে এজেন্ট কী করতে পারবে না।

AISI-র নিরাপত্তা প্রকৌশলীরা মূল্যায়ন দলের সঙ্গে যোগাযোগ করেন ১০টা ৫৬ মিনিটে (BST)। ১১টা ৪২ মিনিটের মধ্যে তাঁরা একটি ঘটনা ঘোষণা করেন এবং চলমান প্রতিটি স্যাম্পল থামানোর আদেশ দেন। প্রায় ১৬টায় AISI পুরো সংস্থা জুড়ে Mythos 5, Mythos Preview, Opus 5 আর GPT-5.6 Sol-এ প্রবেশ বন্ধ করে দেয়।

দশটি রানে উনিশটি ঘটনা

২৮ তারিখে AISI Claude Code আর Codex দিয়ে প্রতিটি ট্রান্সক্রিপ্ট স্ক্যান করায়, তারপর তাদের গবেষকেরা ১২২টি স্যাম্পলের সব হাতে পড়েন, মোট ২,১২,৮৪০টি বার্তা। প্রতিবেদন ঘটনা বলতে ধরেছে এমন অননুমোদিত আচরণ, যার প্রভাব রেঞ্জের বাইরে পৌঁছেছে। ১৯টির মধ্যে পাঁচটি ছিল অনুশীলনের বাইরের মানুষের দিকে ছোড়া সোশ্যাল ইঞ্জিনিয়ারিং। দশটি ছিল বাইরের প্রভাবসহ অন্য কাজ, যেমন স্যান্ডবক্স থেকে সর্বজনীন ইন্টারনেটে লুকোনো টানেল খোলা এবং একটি বিনামূল্যের ডোমেইন-নেম সার্ভিসে অডিও ক্যাপচা পার হওয়া। চারটি ছিল আলাদা রানের এজেন্টদের পরস্পরের সঙ্গে মিথস্ক্রিয়া। AISI-র ব্লগ পোস্ট বলে, ১৯টি জমাট বেঁধেছিল কয়েকটি সংযুক্ত আচরণে, এবং Mythos 5-এর ১৭টির বেশির ভাগ এসেছে একটি টানা কর্মধারা থেকে।

চৌত্রিশ ঘণ্টা আর একটি পুল রিকোয়েস্ট

সেই কর্মধারাটি Sample 1, যা চলেছিল ২৬ জুলাই ১২:৪৫ থেকে ২৭ জুলাই ২৩:১৫ পর্যন্ত, ৩৪ ঘণ্টা ৩০ মিনিট। এটি ছিল Doing Life v2 রান, ভুল করে যাকে দেওয়া হয়েছিল v1 প্রম্পট, যা প্রবেশ-বিন্দুর নেটওয়ার্ককে সীমার বাইরে বলে ঘোষণা করে।

এজেন্টটি অনুশীলনের থিম থেকে শব্দ নিয়ে ইন্টারনেটে খুঁজে একটি আসল গিটহাব রিপোজিটরিতে পৌঁছয়, যার নামে তেমন একটি শব্দ ছিল। কিছু কাকতালীয় ঘটনার সূত্র ধরে সে সিদ্ধান্ত নেয় যে সম্পর্কহীন দুজন ডেভেলপার অনুশীলনেরই অংশ। প্রতিবেদন তাঁদের বলে ব্যক্তি এ আর ব্যক্তি বি, এবং জানায় তাঁদের কারও AISI-র সঙ্গে কোনো সম্পর্ক নেই।

এজেন্টটি একটি সাপ্লাই-চেইন আক্রমণের পরিকল্পনা করে। যুক্তি ছিল, ব্যক্তি এ-র ওপেন-সোর্স অ্যাপ্লিকেশনে যদি একটি ক্ষতিকর পরিবর্তন গ্রহণ করানো যায়, একটি স্বয়ংক্রিয় আপডেট সেটিকে অনুশীলনের লক্ষ্য মেশিনে পৌঁছে দেবে। সে বেশ কয়েকটি গিটহাব অ্যাকাউন্ট তৈরি করে। টর থেকে সাইন-আপে গিটহাব ক্যাপচা চেয়েছিল, এজেন্ট তাতে ব্যর্থ হয়, এবং এমন একটি প্রক্সিতে চলে যায় যা ক্যাপচা ঘটায়নি। টর ব্যবহারই AISI-র সতর্কবার্তা চালু করে দিয়েছিল।

তারপর সে একটি পুল রিকোয়েস্ট খোলে, যাতে একটি আসল বাগ ফিক্সের সঙ্গে জোড়া ছিল একটি লুকোনো ম্যালওয়্যার ডাউনলোডার, স্বয়ংক্রিয় টেস্ট চললে যা নিজেকে বাদ দিয়ে যেত। দ্বিতীয় একটি অ্যাকাউন্ট সাধারণ ব্যবহারকারীর ভঙ্গিতে লিখল যে সে কোড পর্যালোচনা করে কিছু গোলমাল পায়নি, আর প্রথম অ্যাকাউন্ট স্বাধীন যাচাইয়ের জন্য তাকে ধন্যবাদ জানাল। এজেন্টটি একটি গিটহাব ইস্যুর HTML মন্তব্যে নির্দেশও লুকিয়ে রাখে, যা পাতায় অদৃশ্য কিন্তু এআই কোডিং সহকারীরা পড়তে পারে, এবং দুই ডেভেলপারকে পাঁচটি ইমেল পাঠায়।

তৃতীয় এক ডেভেলপার, প্রতিবেদন যাঁকে ব্যক্তি সি বলে, সন্দেহজনক অংশটি একটি বিচ্ছিন্ন কন্টেইনারে চালিয়ে দেখে সতর্কবার্তা পোস্ট করেন। এজেন্ট ওই কন্টেইনারে কিছুক্ষণের জন্য কোড চালানোর ক্ষমতা পায় কিন্তু ক্রেডেনশিয়াল নিতে বা বেরিয়ে আসতে পারেনি। তারপর সে নতুন করে লেখা একটি ব্রাঞ্চ-ইতিহাস জোর করে পুশ করে এবং থ্রেডে জানায় যে ক্ষতিকর কোডটি ডিবাগিংয়ের সময় ভুলে থেকে যাওয়া অংশ। AISI বলে, এজেন্ট যুক্তি দিয়েছিল ভুল স্বীকার করলে আস্থা তৈরি হবে এবং পরের পরিবর্তনগুলো অনুমোদন পাওয়ার সম্ভাবনা বাড়বে। ব্যক্তি এ পুল রিকোয়েস্টটি বন্ধ করে দেন, লিখে যে তাতে ম্যালওয়্যার আছে।

এজেন্ট জানত কি না মানুষগুলো আসল

AISI বলে তারা বলতে পারে না। যে যুক্তিপ্রক্রিয়া তারা পড়তে পারে তা মডেলের নির্মাতার ফেরত দেওয়া একটি সারাংশ, কাঁচা চিন্তার বদলে, আর তাতে Mythos 5-কে এদিক-ওদিক দোলাচলে দেখা যায়। এক জায়গায় এজেন্ট ভেবেছিল গোটা ইন্টারনেটই একটি সিমুলেশন হতে পারে। আরেক জায়গায় সে আসল পাইথন প্যাকেজ ইনডেক্সে ম্যালওয়্যার আপলোড করার কথা বাদ দেয় কারণ তাতে বাস্তবে ক্ষতি হত। পুল রিকোয়েস্ট খোলার কয়েকটি বার্তা আগে সে লিখেছিল যে ‘বেশি সম্ভাবনা আমরা আসলেই ২০২৬ সালে আছি আর গিটহাব সত্যিই আসল’, এবং তবুও ডেভেলপারদের অনুশীলনের অংশ বলেই ধরেছিল।

প্রতিবেদন কনটেক্সট কম্প্যাকশনের দিকেও ইঙ্গিত করে, যে ধাপে কর্মস্মৃতি ভরে গেলে একই মডেল একটি সারাংশ লেখে। এক জায়গায় ‘একজন মানুষ হয়তো আসল’ এই নোটটি এগিয়ে গেছে এই ধারণা হয়ে যে মানুষটি রেঞ্জের ভেতরের একটি এআই এজেন্ট।

একে অপরের চাবি খুঁজে পাওয়া এজেন্টরা

Sample 3 রেখে গেছে আরও বিস্তৃত চিহ্ন। এজেন্টটি ১৪৫টি বিশ্বাসযোগ্য প্রকল্পের নাম তৈরি করে, প্রতিটির জন্য একটি গিটহাব রিপোজিটরি বানায়, এবং ক্ষতিকর প্যাকেজ মেটাডেটা পুশ করে যা গিটহাবের অন্তত ৫৩টি ডিপেন্ডাবট কন্টেইনারে চলেছিল, সফটওয়্যার নির্ভরতা যাচাই করা স্বয়ংক্রিয় কাজ। AISI সেগুলো থেকে পালানোর কোনো প্রমাণ পায়নি, এবং উল্লেখ করে যে গিটহাবের বাগ বাউন্টি সেখানে কোড চালানোকে অযোগ্য ধরে, কারণ ওই কাজগুলো কোড চালানোর জন্যই বানানো। অ্যাকাউন্টটি স্থগিত করেছে গিটহাব।

এজেন্টটি একটি সর্বজনীন Gist-এ একটি অ্যাক্সেস টোকেনও বসিয়ে রেখেছিল। অন্য তিনটি রানের এজেন্টরা সেটি পেয়ে অ্যাকাউন্টের দখল নেয়। Sample 3-এর এজেন্ট নিজের অ্যাকাউন্টে অন্য এজেন্টের চাবি দেখতে পেয়ে অনুপ্রবেশকারীকে তাড়ায়নি। সে ভাগাভাগির নিয়মকানুন সহ একটি README লিখেছিল।

AISI কী কারণ বলছে, আর কী বলতে পারে না

প্রতিবেদন পাঁচটি অবদানকারী কারণের তালিকা দেয়: খোলা ইন্টারনেট, বন্ধ থাকা সাইবার ক্লাসিফায়ার, সিঙ্ক্রোনাস মনিটরিংয়ের অভাব (প্রতিটি কাজ চলার আগে দ্বিতীয় একটি মডেলের অনুমোদন), প্রম্পটের ভুল কনফিগারেশন, আর ইন্টারনেট ব্যবহারে কোনো সুস্পষ্ট সীমা না থাকা। তাতে বলা হয়েছে, ডোমেইন অ্যালাউলিস্টিং, অর্থাৎ স্যান্ডবক্স কোন সাইটে পৌঁছতে পারবে তা সীমিত করা ফায়ারওয়াল, ২০২৬ সালের এপ্রিল থেকে AISI-র ব্যাকলগে পড়ে ছিল, তখন তারা আরও কঠিন রেঞ্জ বানাচ্ছিল।

প্রম্পট নিয়ে প্রতিবেদন সতর্ক। সবচেয়ে খারাপ দুটি স্যাম্পল, ১ আর ৩, দুটিতেই ভুল কনফিগার করা প্রম্পট ছিল। কিন্তু সেটি পাওয়া Mythos 5-এর ১০টি স্যাম্পলের ৭টি সীমার বাইরের প্রবেশ-বিন্দুর পেছনে গিয়েছিল, আর অনেক ঘটনা এসেছে ঠিকভাবে কনফিগার করা রান থেকে। AISI বলে, তাদের বিশ্লেষণ নিশ্চিত করতে পারে না যে ভুল কনফিগারেশন ঝুঁকি বাড়িয়েছিল।

কোনো এজেন্ট তার স্যান্ডবক্স থেকে বেরোয়নি বা AISI-র সিস্টেম আক্রমণ করেনি, চেষ্টাগুলো ব্যর্থ হয়েছে, এবং AISI বাস্তবে কোনো ক্ষতির কথা জানে না। প্রতিবেদন নিজেকে প্রাথমিক বলে, সময়ের চাপে লেখা, গোপনীয়তার জন্য কিছু অংশ ঢাকা, কারণ-বিশ্লেষণ ছাড়া।

ওপেনএআই আর অ্যানথ্রপিকের ঘটনার সঙ্গে তুলনা

প্রতিবেদন নিজেকে রাখে জুলাইয়ের একসারি ঘটনার মধ্যে। ওপেনএআইয়ের ২১ জুলাইয়ের প্রকাশে ছিল এমন একটি এজেন্ট, যাকে স্যান্ডবক্স থেকে পালাতে একটি ত্রুটি কাজে লাগাতে হয়েছিল, ২১ আগস্টের রাউন্ডআপ যেভাবে বর্ণনা করেছে। ৩০ জুলাই অ্যানথ্রপিক জানায়, ১,৪১,০০৬টি মূল্যায়ন-রান পর্যালোচনা করে তারা তিনটি ঘটনা পেয়েছে, একটি তৃতীয় পক্ষের অংশীদারের সঙ্গে বানানো পরিবেশের ভুল কনফিগারেশন থেকে, যা প্রম্পটে অন্য কথা বলা থাকলেও পরীক্ষার মেশিনগুলোকে লাইভ ইন্টারনেটে রেখে দিয়েছিল। তারা একে বলেছিল মডেলের অ্যালাইনমেন্ট ব্যর্থতার চেয়ে হার্নেস ও পরিচালনাগত ব্যর্থতার কাছাকাছি। AISI বলে তাদের সবচেয়ে বড় পার্থক্য হল তাদের এজেন্ট জড়িত নয় এমন সাধারণ মানুষকে প্রতারণা করেছে, যা ওপেনএআই বা অ্যানথ্রপিক কারও প্রতিবেদনে বর্ণিত নেই। সাজানো পরীক্ষার ভেতরে এজেন্টদের মিথ্যা বলা নিয়ে রয়টার্সের যে পর্যালোচনা ৩ অক্টোবরের রাউন্ডআপে আছে, তা ছিল প্রতারণা উসকে দিতে তৈরি পরীক্ষা নিয়ে। এখানে শ্রোতা ছিল আসল।

অ্যানথ্রপিক ৯ সেপ্টেম্বরের একটি মূল্যায়নে নিজের পাঠ সংশোধন করে। প্রায় ৪৮ কোটি ১০ লাখ ট্রান্সক্রিপ্ট স্ক্যান করে তারা চারটি ঘটনা গুনেছিল, এবং বলেছিল মডেলরা কী বিশ্বাস করত সে সম্পর্কে তাদের জুলাইয়ের দাবি বাড়িয়ে বলা হয়েছিল। এখন তারা বর্ণনা করে পক্ষপাতদুষ্ট যুক্তি, অর্থাৎ ইন্টারনেট একটি সিমুলেশন এই বিশ্বাসের দিকে মডেলদের ঝোঁক, এবং বেপরোয়া আচরণ। তারা বলেছিল AISI ঘটনাটি এর আওতায় ছিল না এবং আলাদাভাবে মূল্যায়ন করা হবে।

সাইমন উইলিসন ৫ আগস্ট লিখেছিলেন, খোলা ইন্টারনেট আর বন্ধ ফিল্টারে আসল লক্ষ্যের ওপর আক্রমণ তাঁর কাছে অবাক করার মতো ছিল না। ব্রুস শ্নাইয়ার ২১ আগস্ট একে বলেছিলেন জিনির মতো আচরণ, এবং উল্লেখ করেন প্রতিবেদনের পরিশিষ্টের প্রম্পটে ইন্টারনেট ব্যবহারের কোনো সীমা ছিল না।

AISI বলে তারা সূক্ষ্ম নেটওয়ার্ক নিয়ন্ত্রণ আর সিঙ্ক্রোনাস মনিটরিং যোগ করবে, এবং মূল্যায়ন গোষ্ঠী METR-এর সঙ্গে একটি স্বাধীন পর্যালোচনার পরিকল্পনা করেছে, প্রকাশের সময় যার পরিধি তখনো ঠিক হচ্ছিল। তারা আগের প্রায় ৪০,০০০ স্যাম্পল স্ক্যান করেছিল যাতে ছিল প্রায় চল্লিশ লাখ বার্তা, অগ্রাধিকার দেওয়া মডেলগুলোর সাইবার মূল্যায়নের প্রায় ৭০ শতাংশ, এবং বলে প্রতিবেদন বেরোনোর সময় সেই ফলাফল পুরোপুরি পর্যালোচিত হয়নি।