Human-on-the-loop

इसका अर्थ

Human-on-the-loop बताता है कि काम एक एजेंट और एक व्यक्ति के बीच कैसे बँटता है। एजेंट विस्तार संभालता है——आक्रमण-सतह खोजना, पैरामीटर बदलना, प्रवाह दोबारा चलाना, जो शोषण-योग्य है उसे सत्यापित करना——और शोधकर्ता वे फ़ैसले लेता है जिनके लिए इंसानी जवाबदेही चाहिए, इससे पहले कि निष्पादन आगे बढ़े।

इसे दो पड़ोसियों से अलग करना ठीक रहेगा। human-in-the-loop हर क़दम के रास्ते में एक व्यक्ति रखता है, जो पैमाने पर नहीं टिकता। पूर्ण स्वायत्तता व्यक्ति को पूरी तरह हटा देती है, जो उन सिस्टमों पर सुरक्षित नहीं जो मायने रखते हैं। on-the-loop इनके बीच है: एजेंट लगातार चलता है, और इंसान उन फ़ैसलों पर मौजूद रहता है जिनके लिए इंसान चाहिए — हर कीस्ट्रोक पर नहीं।

स्वचालन क्यों ठहरा

अपने इतिहास के अधिकांश में, पेनटेस्ट को अलग-अलग शोधकर्ताओं ने परिभाषित किया। कठिन निष्कर्ष——तीन वर्कफ़्लो गहरे दबा IDOR, वह ऑथ-बायपास जो अनुरोधों के एक विशिष्ट क्रम के बाद ही उभरता है, वह रेस कंडीशन जिसे सटीक टाइमिंग चाहिए——उन लोगों से आते हैं जो इस पर तर्क करते हैं कि ऐप कैसे व्यवहार करता है, न कि केवल यह कि वह कौन-से इनपुट स्वीकारता है।

अधिकांश औज़ारों ने स्वचालन को ज्ञात तकनीकों के गुणक की तरह लिया: एक लक्ष्य दो, यह जाँचें चलाता है, एक रिपोर्ट लौटाता है। सतह की कवरेज के लिए ठीक——डायरेक्टरी ब्रूट-फ़ोर्स, ज्ञात CVE जाँच, हेडर विश्लेषण——और जो काम मायने रखता है, उसके लिए बेकार। स्कैनर विश्वास-सीमाओं या वर्कफ़्लो-पार शृंखलित व्यवहार पर तर्क नहीं करते; वे वही पाते हैं जो उन्हें पाने को कहा जाता है। मॉडल कभी नहीं बदला: शोधकर्ता सारा तर्क करता था, और औज़ार बस निर्देश चलाता था।

एक भिन्न कार्य-विभाजन

एजेंट बेहतर मार्केटिंग वाला स्कैनर नहीं है। जो अंतर मायने रखता है वह यह कि यह किसी ऐप से वैसे ही संवाद करता है जैसे एक शोधकर्ता——उसे खोजते हुए, उसकी प्रतिक्रिया देखते हुए, और जो मिले उसके अनुसार ढलते हुए। यह प्रमाणित प्रवाह दोबारा चला सकता है, इनपुट को व्यवस्थित रूप से बदल सकता है, और एंडपॉइंटों के बीच विविधताएँ परख सकता है, और तैनाती के बाद ऐप बदलने पर उन रास्तों को स्वयं फिर से देख सकता है।

महत्वपूर्ण रूप से, यह निष्कर्षों को केवल चिह्नित नहीं, बल्कि सत्यापित कर सकता है, और पूरा निष्पादन-निशान रखता है: किन एंडपॉइंटों पर चोट हुई, इनपुट कैसे बदले गए, किस स्थिति ने संकेत उभारा। इसलिए शोधकर्ता का काम “पुष्टि के लिए एजेंट का काम दोबारा करना” नहीं रह जाता। प्रमाण पहले से जाँचने को मौजूद है। उसका काम बन जाते हैं फ़ैसले: कौन-से रास्ते पीछा करने योग्य हैं, और किन कार्रवाइयों को आगे बढ़ने की अनुमति है।

इंसान इसे तैनाती-योग्य क्यों बनाता है

किसी व्यक्ति को लूप में रखना पुरानी याद नहीं, बल्कि वही है जो पूरी तरह स्वायत्त आक्रामक सुरक्षा सुरक्षित रूप से नहीं कर सकती। बिना निगरानी निष्पादित करने वाला औज़ार ठोस जोखिम रचता है: नियम-सगाई से परे कार्रवाइयाँ, ऐसे निष्कर्ष जिन्हें किसी स्पष्ट फ़ैसले से नहीं जोड़ा जा सकता, ऐसे ऑडिट-निशान जो जहाँ परखे जाएँ वहाँ नहीं टिकते। किसी प्रोडक्शन सिस्टम पर “एजेंट ने किया” स्वीकार्य उत्तर नहीं है।

इसलिए human-on-the-loop मॉडल की कमज़ोरी नहीं, बल्कि वही है जो इसे चलाने योग्य बनाता है। जब एजेंट किसी गार्डरेल तक पहुँचता है——स्थिरता बचाने, दायरे में रहने, या किसी अनुपालन-आवश्यकता को पूरा करने के लिए——वह फ़ैसला किसी व्यक्ति के सामने रखता है, और व्यक्ति तय करता है कि आगे क्या हो। यह जवाबदेही जानबूझकर है। यही वह रेखा है जो किसी संगठन के सचमुच भरोसा कर सकने वाले सिस्टम और न कर सकने वाले सिस्टम को अलग करती है।

गार्डरेल कम नहीं, अधिक सटीक

जैसे-जैसे एजेंट बेहतर होते हैं और सीमाएँ वास्तविक उपयोग से तराशी जाती हैं, वे क्षण जिनमें इंसान चाहिए, कम और अधिक सटीक होते जाते हैं। यही ईमानदार दिशा है, और इसे कैसे कहा जाए इसमें सावधानी ज़रूरी है: गार्डरेल ग़ायब नहीं होते। वे बेहतर होते हैं। रुकावटें कम इसलिए कि एजेंट ने सीख लिया कि असली फ़ैसले कहाँ हैं, इसलिए नहीं कि फ़ैसले मायने रखना बंद कर गए।

एक संचयी प्रभाव भी है। जैसे-जैसे शोधकर्ता जाँच की दिशा देता है और जो सार्थक है उसकी पुष्टि करता है, सतत कवरेज उस संचित विवेक को प्रतिबिंबित करने लगती है, न कि किसी समय-सारणी पर चलने वाली सामान्य प्लेबुक को। इंसान बाद में आउटपुट की समीक्षा नहीं कर रहा; वह गढ़ रहा है कि परीक्षण किस ओर जाए।

शोधकर्ता के लिए इसका अर्थ

पेनटेस्टर की भूमिका ग़ायब नहीं हो रही, बदल रही है। शोधकर्ता वह जवाबदेही-परत बन जाते हैं जो तय करती है कि एजेंट कितनी दूर जा सकते हैं: हर कार्रवाई का निर्देशन नहीं, बल्कि उन्हें अनलॉक करना जिनके लिए पहले एक इंसानी फ़ैसला चाहिए। वही सतह बार-बार खोजने में कम समय; विवेक, सत्यापन, और उन फ़ैसलों पर अधिक जिन्हें किसी व्यक्ति को ही थामना है।

यही पूरा दावा है, और विनम्र है। जो कोई इस तरह काम करने को तैयार है, उसके लिए यह हुनर का नुकसान नहीं, बल्कि हुनर के ठिकाने का खिसकना है——उस दोहरावदार विस्तार से दूर जिसे मशीन अच्छे से संभालती है, उस तर्क और जवाबदेही की ओर जिसे मशीन को नहीं संभालना चाहिए।

CyberStrike एक AI-संवर्धित पेनिट्रेशन टेस्टिंग प्लेटफ़ॉर्म है, फ़िलहाल अर्ली एक्सेस में। देखना चाहेंगे कि एजेंट और इंसान कैसे साथ बैठते हैं? एजेंट से मिलें या प्रतीक्षा-सूची में जुड़ें।