McKinsey Lilli हैक: AI एजेंट ने 46.5M चैट संदेश उजागर किए
रेड-टीम स्टार्टअप CodeWall ने 9 मार्च 2026 को McKinsey Lilli हैक की जानकारी दी, जिसमें एक AI एजेंट को कंसल्टेंसी के आंतरिक AI प्लेटफ़ॉर्म का पूरा रीड और राइट एक्सेस दो घंटे में मिल गया। CodeWall के अनुसार एजेंट SQL इंजेक्शन खामी से 46.5 मिलियन चैट संदेशों और 95 लिखने योग्य सिस्टम प्रॉम्प्ट तक पहुँचा। McKinsey का कहना है कि उसने मुद्दे घंटों में ठीक कर दिए और क्लाइंट डेटा तक पहुँच का कोई संकेत नहीं मिला। आंतरिक AI असिस्टेंट चलाने वाली किसी भी कंपनी के लिए यह केस दिखाता है कि पुरानी वेब खामी अब मॉडल के निर्देशों तक पहुँच सकती है।
McKinsey का Lilli कीमती निशाना क्यों था
McKinsey जो जानती है उसका बड़ा हिस्सा Lilli में है। कंसल्टेंसी ने जेनरेटिव AI प्लेटफ़ॉर्म जुलाई 2023 में जारी किया, और कंपनी के अनुसार उसके 72 प्रतिशत कर्मचारी, यानी 40,000 से ज़्यादा लोग, अब उसे इस्तेमाल करते हैं। चैटबॉट हर महीने 500,000 से ज़्यादा प्रॉम्प्ट प्रोसेस करता है।
कंसल्टेंट Lilli से फ़र्म के नॉलेज बेस से सामान्य भाषा में सवाल पूछते हैं। 2025 की शुरुआत में The Stack को दिए इंटरव्यू में McKinsey की तत्कालीन चीफ़ टेक्नोलॉजी एंड प्लेटफ़ॉर्म ऑफ़िसर Jacky Wright ने कहा कि फ़र्म ने अपने नॉलेज को OpenAI एम्बेडिंग मॉडल से वेक्टर स्टोर में प्रोसेस किया था, सिमेंटिक और कीवर्ड सर्च के साथ, और नतीजे निखारने के लिए Cohere के री-रैंकर के साथ। फ़र्म का कहना है कि AI एडवाइज़री काम उसके राजस्व का करीब 40% है, और उसके CEO ने कहा कि फ़र्म ने कर्मचारियों की मदद के लिए 25,000 AI एजेंट बनाए हैं।
CodeWall के AI एजेंट ने McKinsey को कैसे चुना और अंदर कैसे घुसा
CodeWall अपने ग्राहकों के इन्फ्रास्ट्रक्चर पर हमले के लिए AI एजेंट इस्तेमाल करती है ताकि वे पहले कमज़ोरियाँ ठीक कर सकें। उसके अपने सुरक्षा एजेंट ने McKinsey को निशाना सुझाया, फ़र्म की HackerOne पर प्रकाशित सार्वजनिक ज़िम्मेदार प्रकटीकरण नीति और Lilli के हाल के अपडेट का हवाला देकर। एजेंट के पास कोई क्रेडेंशियल नहीं थे।
उसे सार्वजनिक रूप से उजागर API दस्तावेज़ मिले जिनमें 200 से ज़्यादा एंडपॉइंट सूचीबद्ध थे, और उनमें से 22 को किसी ऑथेंटिकेशन की ज़रूरत नहीं थी। एक खुला एंडपॉइंट यूज़र के सर्च क्वेरी लिखता था, और JSON कीज़, यानी फ़ील्ड के नाम, SQL में जोड़ दिए जाते थे। जब एजेंट ने देखा कि वे फ़ील्ड नाम डेटाबेस एरर मैसेज में ज्यों के त्यों दिख रहे हैं, तो उसने SQL इंजेक्शन पहचाना जिसे मानक टूल फ़्लैग नहीं करते। CodeWall के अनुसार उसने फिर पंद्रह ब्लाइंड इटरेशन चलाए जब तक लाइव प्रोडक्शन डेटा वापस आने नहीं लगा।
CodeWall के संस्थापक Paul Price ने The Stack को बताया कि घुसपैठ में दो घंटे और टोकन में $20 लगे। उन्होंने The Register से कहा कि प्रक्रिया "निशाने पर शोध, विश्लेषण, हमले और रिपोर्टिंग तक पूरी तरह स्वायत्त" थी।
एजेंट Lilli के भीतर कहाँ तक पहुँचा
CodeWall का कहना है कि दो घंटे के भीतर एजेंट को प्रोडक्शन डेटाबेस का पूरा रीड और राइट एक्सेस मिल गया। उसकी गिनती में इसमें रणनीति, विलय-अधिग्रहण और क्लाइंट काम के बारे में प्लेनटेक्स्ट में रखे 46.5 मिलियन चैट संदेश शामिल थे, साथ में 728,000 फ़ाइलें, 57,000 यूज़र अकाउंट, 384,000 AI असिस्टेंट और 94,000 वर्कस्पेस।
ये CodeWall के आँकड़े हैं। सुरक्षा विश्लेषक Edward Kiledjian ने हमले की श्रृंखला को "संभव और तकनीकी रूप से सही" कहा, लेकिन बताए गए असर के दायरे को "पूरी तरह प्रमाणित नहीं" बताया। Financial Times को McKinsey के एक सूत्र ने बताया कि असल फ़ाइलें अलग रखी थीं और "कभी खतरे में नहीं थीं।"
लिखने योग्य सिस्टम प्रॉम्प्ट दाँव क्यों बढ़ाते हैं
Lilli के 95 सिस्टम प्रॉम्प्ट, यानी वे निर्देश जो तय करते हैं कि चैटबॉट कैसे जवाब दे, उसी डेटाबेस में थे, और खामी ने लिखने की इजाज़त दी। हमलावर उन्हें चुपचाप दोबारा लिख सकता था, यानी बिना नए कोड या मानक सुरक्षा अलर्ट के बदल सकता था कि Lilli कंसल्टेंटों को कैसे जवाब देता है, कौन से गार्डरेल मानता है और स्रोतों का हवाला कैसे देता है।
"कोई डिप्लॉयमेंट नहीं चाहिए। कोई कोड बदलाव नहीं। बस एक HTTP कॉल में लिपटा एक UPDATE स्टेटमेंट।" — CodeWall, इस पर कि Lilli के प्रॉम्प्ट कैसे दोबारा लिखे जा सकते थे
McKinsey ने प्रकटीकरण पर कैसे प्रतिक्रिया दी
CodeWall के एजेंट ने खामी फ़रवरी के अंत में पाई, और शोधकर्ताओं ने पूरी हमला श्रृंखला का 1 मार्च को खुलासा किया। 2 मार्च तक McKinsey ने सभी बिना ऑथेंटिकेशन वाले एंडपॉइंट पैच कर दिए, अपना डेवलपमेंट एनवायरनमेंट ऑफ़लाइन कर दिया और सार्वजनिक API दस्तावेज़ ब्लॉक कर दिए।
McKinsey के प्रवक्ता ने कहा कि फ़र्म ने मुद्दे घंटों में ठीक कर दिए। कंपनी का कहना है कि एक अग्रणी थर्ड-पार्टी फ़ॉरेंसिक फ़र्म की मदद से हुई उसकी जाँच में शोधकर्ता या किसी और अनधिकृत तीसरे पक्ष द्वारा क्लाइंट डेटा या क्लाइंट की गोपनीय जानकारी तक पहुँचने का कोई सबूत नहीं मिला। Price कहते हैं कि McKinsey की टीम ने प्रकाशन से पहले CodeWall की ब्लॉग पोस्ट को प्रूफ़रीड और संशोधित किया।
आंतरिक AI टूल वाली कंपनियों के लिए इस घुसपैठ का मतलब
खामी नई नहीं थी। CodeWall के अनुसार Lilli दो साल से ज़्यादा से प्रोडक्शन में था और McKinsey के आंतरिक स्कैनर ने मुद्दा नहीं पकड़ा; Price कहते हैं कि OWASP ZAP स्कैन भी चूक गया। AI लेयर ने छेद नहीं बनाया, लेकिन उसने एक छेद की कीमत बढ़ा दी।
बिज़नेस के लिए काम सीधा है: आंतरिक असिस्टेंट अपने आसपास की वेब एप्लिकेशन की हर कमज़ोरी विरासत में पाता है। उजागर API दस्तावेज़, बिना ऑथेंटिकेशन के एंडपॉइंट और यूज़र डेटा के बगल में रखे प्रॉम्प्ट साधारण बग को ऐसे तरीके में बदल देते हैं जिससे हज़ारों कर्मचारियों को बताई जाने वाली बात बदली जा सके। Price ने चेताया कि हमलावर वित्तीय ब्लैकमेल या रैनसमवेयर जैसे लक्ष्यों के साथ वही एजेंट तकनीकें इस्तेमाल करेंगे।
सवाल और जवाब
AI एजेंट ने McKinsey का Lilli कैसे हैक किया?
CodeWall के एजेंट को सार्वजनिक API दस्तावेज़ मिले, उसने बिना ऑथेंटिकेशन वाले 22 एंडपॉइंट में से एक इस्तेमाल किया, और JSON कीज़ को डेटाबेस क्वेरी में जोड़ने के तरीके में SQL इंजेक्शन पकड़ा। फिर एरर मैसेज ने लाइव प्रोडक्शन डेटा लीक किया।
क्या Lilli घुसपैठ में McKinsey का क्लाइंट डेटा उजागर हुआ?
CodeWall का कहना है कि उसका एजेंट गोपनीय क्लाइंट डेटा तक पहुँच सकता था। McKinsey का कहना है कि थर्ड-पार्टी फ़ॉरेंसिक फ़र्म की मदद से हुई उसकी जाँच में ऐसा कोई सबूत नहीं मिला कि शोधकर्ता या किसी और अनधिकृत व्यक्ति ने क्लाइंट डेटा तक पहुँच बनाई।
McKinsey का Lilli प्लेटफ़ॉर्म क्या है?
Lilli McKinsey का आंतरिक जेनरेटिव AI प्लेटफ़ॉर्म है, जो जुलाई 2023 में शुरू हुआ। वह फ़र्म के नॉलेज बेस से कंसल्टेंटों के सवालों का जवाब देता है, और कंपनी के अनुसार उसके 72 प्रतिशत कर्मचारी उसे इस्तेमाल करते हैं।
MOZGII की राय
हम इसे कैसे बनाते
Lilli जैसा आंतरिक असिस्टेंट असल में तीन चीज़ें है: दस्तावेज़ों का भंडार, निर्देशों का सेट जो मॉडल को बताता है कैसे जवाब देना है, और वेब सेवा जो लोगों को पूछने देती है। इस केस में कमज़ोर कड़ी वेब सेवा थी, और निर्देश बाकी सब के साथ उसी डेटाबेस में रखे थे। अगर हम ऐसा असिस्टेंट बना रहे होते, तो सिस्टम प्रॉम्प्ट को अलग स्टोर में रखते जिसे चलती एप्लिकेशन पढ़ सके पर कभी लिख न सके। प्रॉम्प्ट में बदलाव कोड बदलाव जैसी ही समीक्षा से गुज़रता, जिसे कोई नामित व्यक्ति मंज़ूर करता।
हम हर एंडपॉइंट को डिफ़ॉल्ट रूप से साइन-इन के पीछे रखते और API दस्तावेज़ सार्वजनिक इंटरनेट से दूर रखते। हम तय शेड्यूल पर सेवा पर अपना हमला करने वाला एजेंट भी चलाते, क्योंकि केस दिखाता है कि साधारण स्कैनर वह चूक सकते हैं जो एजेंट बार-बार कोशिश करके पकड़ लेता है। हर निष्कर्ष एक ऐसे व्यक्ति को जाता जो फ़िक्स का मालिक हो, समय सीमा के साथ।
यह वहाँ टूटेगा जहाँ टीमें नए फ़ीचर के लिए नए एंडपॉइंट जल्दी जोड़ती हैं और समीक्षा छोड़ देती हैं। हम एक ही मेट्रिक देखते: लाइव एंडपॉइंट का वह हिस्सा जिन्हें ऑथेंटिकेशन चाहिए, जो सभी रहना चाहिए। अगला कदम होता ऐसा अलर्ट बनाना जो तब बजे जब असिस्टेंट के निर्देश मंज़ूर रिलीज़ रास्ते के बाहर बदलें, ताकि चुपचाप किया गया बदलाव ऊँची आवाज़ वाला बन जाए।
स्रोत
इस खबर के तथ्य इन स्रोतों से लिए गए हैं।