৪৫৫টি জরুরি কল ব্যর্থ হয়েছিল।
কেউ নজর রাখছিল না।

Optus-এর বিভ্রাটের সঙ্গে চারটি মৃত্যুকে যুক্ত করা হয়েছে। আর এটা এখনো ঘটছে। ক্যানবেরার যে রাতটা আমি কোনোদিন ভুলব না, তার পর ছত্রিশ বছর কেটে গেছে, তবু শিক্ষাটা বদলায়নি: উত্তরটা প্রায় সবসময় আগে থেকেই ঘরের ভেতরে থাকে। শুধু কাউকে তাকাতে হয়।

Bill Apró · ২২ অক্টোবর ২০২৬

G’day. এক কাপ কফি বানিয়ে আরাম করে বসুন। এই লেখাটা অন্য দিনের চেয়ে লম্বা, আর অন্য দিনের চেয়ে জরুরিও।

১৯৯০ সালের ১৪ ফেব্রুয়ারির ভোররাত। ক্যানবেরায় (Canberra) একটা শীতাতপনিয়ন্ত্রিত ঘর, কাজের টেবিলে আধখোলা একটা মডেম, আর এমন একটা সমস্যা যাকে দেশের প্রত্যেক বিশেষজ্ঞ আমাকে অসম্ভব বলে দিয়েছিলেন। প্রায় এক সপ্তাহ ধরে আমি এর পেছনে লেগে ছিলাম, দিনে আঠারো ঘণ্টা, কোড লিখছিলাম আর সেটাকে ব্যর্থ হতে দেখছিলাম। কেউ বলতে পারছিল না কীভাবে করতে হবে। না Telecom, তখনকার সরকারি টেলিফোন কোম্পানি। না সেই প্রকৌশলীরা, যাঁরা হার্ডওয়্যার বানিয়েছিলেন। না সেই লোকগুলো, যারা ম্যানুয়াল লিখেছিল।

সেই সপ্তাহের কোনো এক সময়ে আমি এক ঘণ্টার জন্য হাল ছেড়ে দিলাম। বাইরে গেলাম, ঘাসের ওপর শুয়ে পড়লাম, ওপরে তাকালাম। গ্রীষ্মের একটা ঠান্ডা রাত ছিল, ক্যানবেরায় আমার কাছে যেমন প্রায়ই হতো, আর আকাশ ভরা ছিল তারায়। আমি সেখানে শুয়ে ছিলাম ঠিক যেভাবে শিখেছিলাম নামাজিরায় (Namatjira)। সেটা ওয়েন্টওয়ার্থের (Wentworth) বাইরে, বার্কিন্দজি (Barkindji) জনগোষ্ঠীর ভূমিতে একটি আদিবাসী সম্প্রদায়, যেখানে বন্ধুরা আমাকে শিখিয়েছিলেন, কোনো প্রশ্নের সঙ্গে লড়াই না করে তার সঙ্গে বসে থাকতে। রাত সাড়ে বারোটায় উঠে আবার ভেতরে গেলাম। ভোর তিনটার মধ্যে আমি সেটা করে ফেলেছিলাম, যেটা নাকি করা যায় না।

এটা আমি বড়াই করার জন্য বলছি না। বলছি, কারণ এর পরে যা আসছে, তা বোঝানোর এটাই আমার জানা একমাত্র উপায়।

উত্তরটা পুরো সময় ঘরের ভেতরেই ছিল। যন্ত্রপাতিতে, কোডে, লগে। দরকার ছিল শুধু এমন একজনকে, যে চোখ সরিয়ে নেবে না, আর এতটা জেদ, যাতে সবাই বাড়ি চলে যাওয়ার পরও তাকিয়ে থাকা যায়।

এবার এটাকে এর পাশে রাখুন।

২০২৫ সালের ১৮ সেপ্টেম্বর রাত ২টা ৪০ মিনিটে উত্তরটা আবার ঘরের ভেতরে ছিল। ছিল কল ব্যর্থ হওয়ার এমন এক হারে, যা কমার বদলে বাড়ছিল। ছিল এমন এক আঞ্চলিক বিভ্রাটে, যা জাতীয় গড়ের ভেতরে মিলিয়ে যাচ্ছিল। সেদিন সকালের দিকে, ছিল আতঙ্কিত গ্রাহকদের ফোনে। কেউ তাকায়নি। পরের কয়েক দিনে যা ঘটেছিল, তার সঙ্গে চারটি মৃত্যুকে যুক্ত করা হয়।

এটা একই গল্প, দুবার বলা।

যে রাতে ০০০ নিস্তব্ধতায় বেজে গিয়েছিল

অস্ট্রেলিয়ায় জরুরি নম্বর হলো Triple Zero: ০০০। এটাই আমাদের ৯৯৯, আমাদের ১১২। কেউ শ্বাস নিতে না পারলে, বাড়িতে আগুন লাগলে, দরজায় অচেনা কেউ দাঁড়ালে আপনি এই নম্বরেই ফোন করেন। যে রাতে দরকার পড়ে, তার আগে এর কথা মাথাতেই আসে না। আর এটা যে সাড়া দেবে না, সে কথা কেউ কল্পনাও করে না।

২০২৫ সালের ১৮ সেপ্টেম্বর, প্রায় চৌদ্দ ঘণ্টা ধরে, এটি সাড়া দেয়নি। সবার জন্য নয়। Optus-এর গ্রাহকদের জন্য। Optus অস্ট্রেলিয়ার দ্বিতীয় বৃহত্তম টেলিকম কোম্পানি। ক্ষতিগ্রস্ত এলাকা ছিল দক্ষিণ অস্ট্রেলিয়া, পশ্চিম অস্ট্রেলিয়া, নর্দার্ন টেরিটরি এবং নিউ সাউথ ওয়েলসের সুদূর পশ্চিমের কিছু অংশ।

ওই সময়ে Optus নেটওয়ার্ক দিয়ে করা ৬০৫টি জরুরি কলের মধ্যে ৪৫৫টি সংযুক্ত হয়নি।

পরের কয়েক দিনে চারটি মৃত্যুকে এই বিভ্রাটের সঙ্গে যুক্ত করা হয়। দক্ষিণ অস্ট্রেলিয়ায় আট সপ্তাহ বয়সী একটি ছেলেশিশু; পুলিশ পরে জানায়, বিভ্রাটের কারণে তার মৃত্যু হওয়ার সম্ভাবনা কম। দক্ষিণ অস্ট্রেলিয়ায় ৬৮ বছর বয়সী এক নারী। পশ্চিম অস্ট্রেলিয়ায় ৭৪ বছর বয়সী এক পুরুষ, যাঁর মৃত্যুর বিষয়টি রাজ্যের করোনারের (মৃত্যুর কারণ তদন্তকারী কর্মকর্তা) কাছে পাঠানো হয়। পার্থে (Perth) ৪৯ বছর বয়সী এক পুরুষ, পুলিশ তাঁর খোঁজখবর নিতে গিয়ে যাঁকে পায়। সেই বছরের ডিসেম্বরে প্রকাশিত স্বাধীন পর্যালোচনা বিভ্রাটটিকে দুটি মৃত্যুর সঙ্গে যুক্ত করেছে।

চূড়ান্ত সংখ্যা যা-ই হোক, এক মুহূর্তের জন্য ওই পরিবারগুলোর কথা ভাবুন। জীবনের সবচেয়ে খারাপ মিনিটে কেউ একজন ফোন তুলেছিলেন, সেই একমাত্র নম্বরটি ডায়াল করেছিলেন যা সবসময় কাজ করার কথা, আর কিছুই পাননি।

একটা কথা পরিষ্কার করে বলি। এটা সাইবার হামলা ছিল না। কেউ ভেতরে ঢুকে পড়েনি। এটা ছিল একটা ফায়ারওয়াল আপগ্রেড, যা ভুল পথে গিয়েছিল, আর যা করেছিল কোম্পানি ও তার ঠিকাদার নিজেরাই। সাইবার অপরাধ নিয়ে লেখায় আমি এটা বলছি, কারণ যে গাফিলতি এই বিভ্রাটকে তেরো ঘণ্টা চলতে দিয়েছিল, সেই একই গাফিলতি অপরাধীদের নেটওয়ার্কের ভেতরে অগোচরে বসে থাকতে দেয়। তথ্যটা থাকে। ক্ষমতাধর কেউ সেদিকে তাকায় না।

প্রযুক্তিগতভাবে কী ভুল হয়েছিল

ড. Kerry Schott-এর নেতৃত্বে হওয়া স্বাধীন পর্যালোচনা যা পেয়েছে, তা এই। যতটা সম্ভব সহজ করে বলছি।

Optus তাদের ফায়ারওয়ালে আঠারোটি আপগ্রেডের পরিকল্পনা করেছিল। ফায়ারওয়াল হলো সেই ব্যবস্থা, যা নিয়ন্ত্রণ করে কোন ট্রাফিক নেটওয়ার্কের ভেতর দিয়ে যেতে পারবে। প্রথম পনেরোটি কোনো ঝামেলা ছাড়াই হয়ে যায়। ষোলোতমটি করা হয় ঠিকাদার Nokia-র সঙ্গে, ১৮ সেপ্টেম্বর রাত প্রায় সাড়ে বারোটায় কাজ শুরু হয়।

অন্তত দশ রকমভাবে এতে গোলমাল হয়:

নির্দেশনা ভুল ছিল। Optus কাজটির জন্য Nokia-কে ভুল নির্দেশনা দেয়।
ভুল পদ্ধতি ব্যবহার করা হয়। Nokia ২০২২ সালের একটি কার্যপদ্ধতি (Method of Procedure) অনুযায়ী কাজ করে, যা তারা আগে কখনো ব্যবহার করেনি। এই আপগ্রেডের জন্য সেটি ছিল ভুল।
কাজটিকে “কোনো প্রভাব নেই” হিসেবে চিহ্নিত করা হয়। Nokia ধরে নেয়, এতে নেটওয়ার্ক ট্রাফিকে কোনো প্রভাব পড়বে না।
কাজটিকে “জরুরি” হিসেবে চিহ্নিত করা হয়। এই তকমার মানে ছিল, স্বাভাবিক প্রকৌশল পর্যালোচনা বাদ পড়ে যায়।
একটি নিরাপত্তা ধাপ বাদ দেওয়া হয়। যে পদ্ধতি যন্ত্রগুলোকে আলাদা করে এবং একটি গেটওয়ে লক করে, যাতে ট্রাফিক ভুল দিকে পাঠানো না যায়, সেটি ব্যবহার করা হয়নি। আগের ছয়টি আপগ্রেডেও এটি ব্যবহার করা হয়নি।
প্রকৌশলীরা পরিকল্পনা সভায় অনুপস্থিত ছিলেন, যেখানে কাজের প্রভাব মূল্যায়ন করার কথা ছিল।
সতর্কসংকেত দেখা গিয়েছিল, কিন্তু খতিয়ে দেখা হয়নি, না Nokia, না Optus।
রাত ২টা ৪০ মিনিটে কাজের পরের একটি পরীক্ষায় দেখা যায়, ব্যর্থ কলের হার কমছে না, বাড়ছে। পর্যালোচনার ভাষায়: “অসংগতিটি ধরা পড়েনি।”
নজরদারি ব্যবস্থা এটা দেখতেই পারছিল না। Optus দেখছিল সারা দেশের মোট কলের হিসাব। একটি অঞ্চলের বিভ্রাট জাতীয় গড়ের ভেতরে হারিয়ে যায়। Triple Zero কল তো ওই নজরদারিতে অন্তর্ভুক্তই ছিল না।
বিকল্প ব্যবস্থাও মানুষকে বাঁচাতে পারেনি। অস্ট্রেলিয়ায় আপনার নিজের নেটওয়ার্ক জরুরি কল বহন করতে না পারলে, আপনার ফোনের অন্য অপারেটরের নেটওয়ার্কে চলে যাওয়ার কথা (একে “camp on” বলে)। এভাবে মাত্র ৬৬ জন কল করতে পেরেছিলেন। কিছু ফোনের নেটওয়ার্ক বদলাতে ৪০ থেকে ৬০ সেকেন্ড লেগেছে। ড. Schott যেমন বলেছেন: “জরুরি অবস্থায় মানুষ এতক্ষণ লাইনে অপেক্ষা করবে, এমন সম্ভাবনা কম।”

শেষ পর্যন্ত Optus যখন বুঝতে পারল কী ঘটেছে, তখন কয়েক মিনিটেই এটা ঠিক হয়ে গেল।

ধরতে তেরো ঘণ্টা। সারাতে কয়েক মিনিট।

যে জরুরি সাড়াগুলো ব্যর্থ হলো

এই অংশটা আমি কিছুতেই মন থেকে সরাতে পারি না।

সকাল প্রায় ৯টা থেকে গ্রাহকেরা Optus-এর কল সেন্টারে ফোন করে জানাচ্ছিলেন, তাঁদের জরুরি কল কাজ করছে না। এর মধ্যে অন্তত পাঁচটি কল কখনো ঠিকমতো ওপরে, ব্যবস্থা নিতে পারেন এমন কারও কাছে পৌঁছানো হয়নি। দুপুর প্রায় ১টা ৩০ মিনিটে একজন গ্রাহক সরাসরি Optus-এর সঙ্গে যোগাযোগ করেন। ১টা ৫০ মিনিটে দক্ষিণ অস্ট্রেলিয়া পুলিশ উদ্বেগ জানায়। কেবল তখনই আপগ্রেড থামানো হয় এবং পরিবর্তন ফিরিয়ে নেওয়া হয়।

আর ঠিক করার পরেই কেবল Optus জরুরি পরিষেবা ও নিয়ন্ত্রক সংস্থাগুলোকে জানায়। পশ্চিম অস্ট্রেলিয়া পুলিশকে জানানো হয় রাত ৯টার একটু পরে। প্রধান নির্বাহী পরে স্বীকার করেন, দক্ষিণ অস্ট্রেলিয়ার প্রিমিয়ারের (রাজ্য সরকারের প্রধান) দপ্তরকে জানানো হয়েছিল একটি সংবাদ সম্মেলনের সঙ্গে একই সময়ে। দক্ষিণ অস্ট্রেলিয়ার পুলিশ কমিশনার বলেন, কলকারীদের খোঁজ নিতে যাতে তাঁর কর্মকর্তারা যেতে পারেন, সে জন্য তাঁকে নিজে প্রধান নির্বাহীর কাছে কলকারীদের তথ্য চাইতে হয়েছিল, আর প্রথমে তাঁকে দেওয়া হয় শুধু কয়েকটি এলাকার নামের তালিকা।

পরে অস্ট্রেলিয়ার সিনেটের এক তদন্তে উঠে আসে, Optus সেদিন পরিচালনা পর্ষদের এগারোটি সভা করেছিল। প্রধান নির্বাহী অভিযোগগুলো ওপরে না পাঠানোর জন্য নিচের স্তরের কর্মীদের দায়ী করেন।

আমি অস্ট্রেলিয়ান ফেডারেল পুলিশে (Australian Federal Police) তেরো বছর কাটিয়েছি। এই ধরন আমি এত বার দেখেছি যে গুনে শেষ করতে পারব না। প্রায় কখনোই এমন হয় না যে কেউ জানত না। তথ্যটা ঘরের ভেতরেই ছিল: রাত ২টা ৪০ মিনিটের আপগ্রেড-পরবর্তী পরীক্ষায়, কল সেন্টারের রেকর্ডে, আতঙ্কিত গ্রাহকদের ফোনে। শুধু তা কখনো এমন কারও কাছে পৌঁছায়নি, যাঁর হাতে ব্যবস্থা নেওয়ার ক্ষমতা আর মনোযোগ দুটোই ছিল।

এটা প্রযুক্তির ব্যর্থতা নয়। এটা পরিচালনার ব্যর্থতা। আর এটা ঘটেছে এমন এক কোম্পানিতে, যারা সেদিন পরিচালনা পর্ষদের এগারোটি সভা করেছিল।

এটা নতুন নয়

২০২৩ সালের নভেম্বরে Optus-এর দেশজুড়ে এক বিভ্রাটেও Triple Zero কল বন্ধ হয়ে গিয়েছিল, আর তখনকার প্রধান নির্বাহী পদত্যাগ করেন। ২০২৫ সালের সেপ্টেম্বরের পর প্রধান প্রযুক্তি কর্মকর্তা প্রতিষ্ঠান ছাড়েন। ২০২৬ সালের জুলাইয়ে অস্ট্রেলিয়ার যোগাযোগ নিয়ন্ত্রক ACMA, জরুরি কলে প্রবেশাধিকার নিশ্চিত করার নিয়ম ১,০০৫ বার লঙ্ঘনের অভিযোগে Optus Mobile-কে ফেডারেল কোর্টে (Federal Court) তোলে।

আর এটা শুধু Optus-এর ব্যাপার নয়। ২০২৪ সালের মার্চে Telstra-র Triple Zero পরিষেবা বন্ধ হয়ে যায়। এ বছরের জুলাইয়ে Telstra-র রক্ষণাবেক্ষণের এক ভুলে তাদের নেটওয়ার্ক বসে যায়, আর ৬০৪টি জরুরি কল প্রথম চেষ্টায় সংযুক্ত হয়নি। গত নভেম্বরে একটি মৃত্যুকে এমন এক Triple Zero কলের সঙ্গে যুক্ত করা হয়, যা TPG-র নেটওয়ার্কে একটি পুরোনো Samsung ফোন থেকে ব্যর্থ হয়েছিল।

আমি এটা Optus বা অন্য কারও ক্ষতি করার জন্য লিখছি না। লিখছি, কারণ এই ধরনটা প্রাতিষ্ঠানিক। Optus-এর মতো সম্পদশালী একটি কোম্পানি যদি দুবার এভাবে ব্যর্থ হতে পারে, তাহলে প্রশ্নটা এই নয় যে Optus কী ভুল করেছে। প্রশ্নটা হলো, ব্যবস্থা কী করতে দেয়।

২০২৩ সালের বিভ্রাটের পর সিনেটের একটি কমিটি দেখতে পায়, Triple Zero নেটওয়ার্কের ওপর কোনো একটি সংস্থারও কার্যকর তদারকি নেই। প্রতিটি অপারেটর কেবল নিজের নেটওয়ার্ক দেখে। সবাই হাতির নিজের নিজের অংশটুকু হাতড়াচ্ছিল, আর তার মাশুল দিয়েছে জনগণ।

আর আমি বারবার শুনি, শীর্ষ কর্তারা বলছেন, এটা আর কখনো ঘটবে না। এটা ঘটে গেছে। আশ্বাস দেওয়া হয়, তারপর আবার ঘটে।

যেগুলোর কথা আমরা কখনো শুনি না

এটা শুধু অস্ট্রেলিয়ার ব্যাপার নয়।

এ বছর হাঙ্গেরিতে আর গোটা ইউরোপে বিভ্রাট হয়েছে, যেগুলোকে “কারিগরি সমস্যা” বলে ব্যাখ্যা করা হয়েছে, তারপর আর কখনো ব্যাখ্যা করা হয়নি। আমি চল্লিশ বছরেরও বেশি সময় ধরে এই পেশাকে দেখছি। কখনো কখনো “কারিগরি সমস্যা” আর “নির্ধারিত রক্ষণাবেক্ষণ” একেবারে সত্যি। কখনো কখনো এগুলো এমন কথা, যা কোনো প্রতিষ্ঠান আঁকড়ে ধরে যখন সে আপনাকে বলতে চায় না আসলে কী ঘটেছে। বাইরে থেকে বোঝা যায় না কোনটা কোনটা। যাদের বিরুদ্ধে আমি কিছু প্রমাণ করতে পারব না, সেসব কোম্পানির নাম আমি বলব না।

যা বলতে পারি, তা হলো এই পেশায় একটা গোটা জীবন আমাকে কী শিখিয়েছে। অনেক অনুপ্রবেশ কখনো সেই প্রতিষ্ঠান নিজে ধরতে পারে না, যেখানে অনুপ্রবেশ ঘটেছে। পরে সেগুলো ধরা পড়ে, কোনো গবেষক, সাংবাদিক, গ্রাহক, নিয়ন্ত্রক, কিংবা অসাবধান হয়ে পড়া কোনো অপরাধীর মাধ্যমে। যাঁরা ঘটনা-প্রতিক্রিয়ার কাজ করেন, তাঁরা একটি সহজ ধারণা থেকে শুরু করেন: আপনার সিস্টেমে ইতিমধ্যে অনুপ্রবেশ ঘটেছে, শুধু আপনি এখনো জানেন না। আমি বাজি ধরতে রাজি, আজ রাতেও হাঙ্গেরিতে, অস্ট্রেলিয়ায়, ব্রিটেনে, যুক্তরাষ্ট্রে এমন সিস্টেম চলছে যেখানে অনুপ্রবেশ ঘটে গেছে, আর মালিকেরা তার কিছুই জানেন না।

যেগুলোর কথা আমরা কখনো শুনি না, সেগুলোই সবচেয়ে গুরুত্বপূর্ণ।

হ্যাকিংয়ের যে বদল আমি নিজের চোখে দেখেছি

এই অংশটা আজকের বিতর্কে খুব কম মানুষই নিজে পার করেছেন।

আমি যখন শুরু করি, আশির দশকের গোড়ায়, তখন হ্যাকার মানে ছিল এমন কেউ, যে একটা প্রোগ্রামকে আরও ভালোভাবে চালাতে পারে। যে একটা শর্টকাট খুঁজে বের করে। যে কৌতূহল থেকে, আর পারে বলেই, একটা সিস্টেমকে উন্নত করে। শব্দটার মানে ছিল নির্মাতা। মানে ছিল গ্যারেজে খুটখাট করা সেই লোক, যে জিনিসটাকে প্রস্তুতকারকের চেয়েও ভালো চালিয়ে দিত।

আমি সেটা বদলে যেতে দেখেছি, আর তাতে বেশি সময় লাগেনি। কয়েক বছরের মধ্যেই সেই একই দক্ষতা, একই কৌতূহল, ডাকা না হলেও কোথাও ঢুকে পড়ার সেই একই ইচ্ছা, ব্যবহার হতে লাগল চুরি, প্রতারণা আর চাঁদাবাজিতে। যন্ত্রটা নিরপেক্ষ ছিল। উদ্দেশ্য বদলে গেল। আর প্রতিষ্ঠানগুলো বছরের পর বছর পিছিয়ে রইল, কারণ তাদের মাপকাঠি তৈরি হয়েছিল আগের পৃথিবীর জন্য।

আমরা আবার সেই জায়গায় দাঁড়িয়ে, আর এবার সবকিছু আরও দ্রুত ঘটছে।

এআই এজেন্ট তৈরি হয়েছিল কঠিন ও বৈধ কাজের জন্য: এমন হিসাব যা কোনো মানুষ সারা জীবনেও শেষ করতে পারবে না, সাপ্লাই চেইন চালানো, হামলাকারীদের আগে দুর্বলতা খুঁজে বের করা। অপরাধীরা ইতিমধ্যেই একই ধরনের হাতিয়ার ব্যবহার করছে। দূর ভবিষ্যতে নয়। এখন। একই সক্ষমতা, ভিন্ন উদ্দেশ্য।

আর এ বছর আমরা দেখেছি, পেছনে কোনো অপরাধী না থাকলেও একটা এজেন্ট যেখানে যাওয়ার কথা নয় সেখানে ঢুকে পড়লে কী হয়। জুনে OpenAI-এর একটি এজেন্ট Medicare Statistics Reporting Service-এ ঢুকে পড়ে, যা অস্ট্রেলিয়ার সরকারি স্বাস্থ্যব্যবস্থা Medicare-এর পরিসংখ্যান পোর্টাল, আর এমন ফাইলে পৌঁছে যায় যা প্রকাশ্য হওয়ার কথা ছিল না। জুনেই OpenAI-এর একটি মডেল নিউ সাউথ ওয়েলসের এমন একটি ওয়েব অ্যাপ্লিকেশনে ঢোকে, যেখানে আগুনের পুরোনো ঘটনার তথ্য আছে। দুই সরকারই বলছে, মনে হচ্ছে কোনো ব্যক্তিগত তথ্যে ঢোকা হয়নি। কিন্তু প্রধানমন্ত্রী Medicare-এর ঘটনাটি প্রকাশ করেন সেপ্টেম্বরে গিয়ে, এবং সরকারকে জানাতে OpenAI কত দেরি করেছে তার সমালোচনা করেন। নিউ সাউথ ওয়েলস সরকারকে জানানো হয় ১ অক্টোবর।

জুন থেকে সেপ্টেম্বর। জুন থেকে অক্টোবর। যাদের দরকার, তাদের কাছে সতর্কসংকেত পৌঁছাতে মাসের পর মাস লেগেছে।

আগেও বলেছি: যন্ত্র একটা আয়না, আর বিপদ সেই হাতে, যে হাত তা ধরে আছে।

এই সপ্তাহে: হ্যাকিং

এই সপ্তাহে আমরা মুদ্রার উল্টো পিঠ দেখলাম।

২০২৬ সালের ২১ অক্টোবর PHP Foundation, PHP-তে দুটি গুরুতর ত্রুটির কথা প্রকাশ করে। PHP হলো সেই প্রোগ্রামিং ভাষা, যার ওপর বিশ্বের ওয়েবসাইটগুলোর বিশাল একটা অংশ দাঁড়িয়ে আছে। ত্রুটি দুটির শনাক্তকারী নম্বর CVE-2026-109618 ও CVE-2026-109619, আর দুটিকে একসঙ্গে নাম দেওয়া হয়েছে php2shell। যে সার্ভারে প্যাচ বসানো হয়নি, সেখানে এগুলো আক্রমণকারীকে দূর থেকে নিজের কোড চালাতে দেয়: সহজ কথায়, যন্ত্রটির নিয়ন্ত্রণ নিয়ে নিতে দেয়।

ত্রুটিটি প্রায় চৌদ্দ বছর ধরে PHP-র ভেতরে লুকিয়ে ছিল। এর একটি সীমিত রূপ ২০২৪ সালে পাওয়া গিয়েছিল, কিন্তু তখন সেটাকে গুরুত্বপূর্ণ মনে করা হয়নি।

তারপর, আগস্টে, পুরো ত্রুটিটা ধরা পড়ল। ক্যালিফোর্নিয়ার রেড-টিমিং প্রতিষ্ঠান Calif (যারা দুর্বলতা খুঁজতে ইচ্ছে করে সিস্টেমে আক্রমণ চালায়), যারা OpenAI-এর Patch the Planet উদ্যোগের আওতায় কাজ করে, ১ আগস্ট OpenAI-এর GPT-5.6 Sol ব্যবহার করে প্রথম সমস্যাটি খুঁজে পায়। Google-এর মালিকানাধীন নিরাপত্তা প্রতিষ্ঠান Wiz ১৯ আগস্ট আলাদাভাবে এটি খুঁজে পায়, Google ও OpenAI-এর এআই মডেল আর নিজেদের হাতিয়ার ব্যবহার করে। ফরাসি প্রতিষ্ঠান Quarkslab-ও এই উদ্যোগে যুক্ত ছিল।

আর সবচেয়ে জরুরি কথাটা এই। তারা এটা প্রকাশ করেনি।

প্রায় এগারো সপ্তাহ ধরে তারা PHP Foundation, Cloudflare ও যুক্তরাষ্ট্রের সরকারি সংস্থাগুলোর সঙ্গে চুপচাপ কাজ করেছে, যাতে সমাধান আর ঘোষণা একসঙ্গে আসে। প্রকাশের দিন PHP Foundation একটি জরুরি প্যাচ ছাড়ে এবং ওয়েবসাইটের মালিকদের বলে, এখনই তা বসাতে, নয়তো যতক্ষণ না পারছেন, ততক্ষণ সাইট অফলাইনে রাখতে।

এটাই সঠিক পথ। এআই তাদের খুঁজতে সাহায্য করেছে। সিদ্ধান্তগুলো ছিল তাদের নিজেদের: তাকানো, যারা ঠিক করতে পারে তাদের জানানো, আর সমাধান তৈরি না হওয়া পর্যন্ত অপেক্ষা করা।

কিন্তু একই জ্ঞান দুধারী তলোয়ার। Palo Alto Networks ২ কোটি ২৬ লাখ সম্ভাব্য ঝুঁকিপূর্ণ সিস্টেম চিহ্নিত করেছে। Wiz বলছে, ইন্টারনেটের ৭০ শতাংশ এতে আক্রান্ত। নেদারল্যান্ডস ও ফিনল্যান্ডের সরকারি সংস্থাগুলো সতর্কতা হিসেবে ওয়েবসাইট অফলাইনে নিয়েছে। অস্ট্রেলিয়ায়, ঝুঁকি সামলানোর সময় cyber.gov.au এবং অন্য সরকারি ওয়েবসাইটগুলো সাময়িকভাবে বন্ধ ছিল। Cloudflare এরই মধ্যে প্রাথমিক হামলার খবর দিচ্ছে। আর OpenAI নিজেই বলেছে, একই সক্ষমতা “আক্রমণকারীদেরও দ্রুত আক্রমণাত্মক টুল ও এক্সপ্লয়েট তৈরিতে সাহায্য করতে পারে।”

একটি আবিষ্কার। দুটি উদ্দেশ্য। গবেষকেরা ফাটলটা বন্ধ করা বেছে নিয়েছেন। অপরাধীরা ইতিমধ্যে সেটা খোলার চেষ্টা করছে। যন্ত্রটা কোনোটাই বেছে নেয়নি।

ধরনটা

দুটি গল্প পাশাপাশি রাখুন।

দুটিতেই সতর্কবার্তা আগেভাগেই ছিল। Optus-এ, রাত ২টা ৪০ মিনিটে বাড়তে থাকা ব্যর্থতার হারে আর গ্রাহকদের ফোনে। PHP-তে, ২০২৪ সালে পাওয়া ত্রুটির সীমিত রূপে। দুটিতেই মানুষ তা দেখেছে, আর অন্য কিছুর ঘাড়ে চাপিয়ে দিয়েছে।

পার্থক্যটা হলো এর পরে কী ঘটল।

একটিতে মানুষ তাদের হাতিয়ার আর মনোযোগ সমস্যার দিকে তাক করেছে, আর চৌদ্দ বছরের পুরোনো একটি ফাটল খুঁজে পাওয়া গেছে, মেরামত হয়েছে, এবং গুছিয়ে ঘোষণা করা হয়েছে।

অন্যটিতে ক্ষমতাধর কেউ নজর রাখছিল না। অসংগতিটা জাতীয় গড়ের ভেতরে চাপা পড়ে রইল, কল সেন্টারের সতর্কবার্তা কোথাও পৌঁছাল না, আর যাঁদের Triple Zero দরকার ছিল, মাশুল দিলেন তাঁরাই।

এটাই শিক্ষা। যন্ত্র নয়। মনোযোগ। ক্ষমতা। সেই মানুষ, যাঁর নাম সিদ্ধান্তের গায়ে লেখা।

যে প্রহরী ছিল না

Optus-এ কোনো কৃত্রিম বুদ্ধিমত্তা জড়িত ছিল না। আমার আসল কথাটা ঠিক এখানেই।

কল্পনা করুন, ওই আপগ্রেডের পাশাপাশি নিরাপত্তাব্যবস্থা হিসেবে একটি এআই এজেন্ট চলছে। সিদ্ধান্ত নিচ্ছে না। নেটওয়ার্কে হাত দিচ্ছে না। নিজে নিজে কাজ করার জন্য ছেড়ে দেওয়া সেই “এজেন্টিক” ব্যবস্থাগুলোর একটিও নয়। একজন প্রহরী, যার কাজ একটাই, আর সেটা ঠিক করে দিয়েছে মানুষ:

জরুরি কলগুলোর ওপর নজর রাখো, অঞ্চল ধরে ধরে, মিনিটে মিনিটে। যে মুহূর্তে সেগুলো সংযুক্ত হওয়া বন্ধ হবে, কাজ থামানোর ক্ষমতা আছে এমন নির্দিষ্ট নামের একজন মানুষকে সতর্ক করো।

রাত ২টা ৪০ মিনিটে সে ক্লান্ত হয় না। বাড়তে থাকা ব্যর্থতার হারকে সে আপগ্রেডের পর থিতু হওয়ার ব্যাপার বলে ধরে নেয় না। একটি রাজ্যের জরুরি অবস্থাকে সে জাতীয় মোটের ভেতরে মিলিয়ে দেয় না। পাঁচটি ফোনকলের জন্য বসকে বিরক্ত করার দরকার নেই, এমন সিদ্ধান্তও সে নেয় না। যেদিকে নজর রাখতে বলা হয়েছে, সে সেদিকেই নজর রাখে, আর প্রতিবার জানিয়ে দেয়।

রাত ২টা ৪০ মিনিটে তথ্যটা সেখানেই ছিল। এমন একজন প্রহরী তা পড়তে থাকত।

কিন্তু প্রহরী একা উত্তর নয়। সে আরও ভালো একজোড়া চোখ, যাতে রাত ২টা ৪০ মিনিটে যে তথ্য আগে থেকেই ঘরের ভেতরে ছিল, তা ২টা ৪১ মিনিটে ব্যবস্থা নেওয়ার ক্ষমতা আছে এমন কারও কাছে পৌঁছায়। উত্তর হলো সেই মানুষ, যাঁর হাতে লাগাম; সেই রেকর্ড, যা দেখায় কাকে কখন জানানো হয়েছিল; আর সেই নিয়ম, যা প্রহরীকে বাধ্যতামূলক করে।

যন্ত্রের নিজের কোনো উদ্দেশ্য নেই। জরুরি কল সংযুক্ত হলো কি না, তাতে তার কিছু যায় আসে না। মানুষ তাকে যা করতে ঠিক করে দেয়, সে তা-ই করে। এটা দুর্বলতা নয়। এটাই পুরো সুযোগ। এর মানে, বেছে নেওয়ার ভার আমাদের হাতে।

আমার প্রস্তাব

আমি শুধু এখানেই এ কথা বলছি না। ২০২৬ সালের সেপ্টেম্বরে Intuitus Corp-এর পক্ষ থেকে আমি অস্ট্রেলিয়া সরকারের Triple Zero Legislative and Regulatory Review-তে (জরুরি নম্বর-সংক্রান্ত আইন ও বিধিমালার পর্যালোচনা) একটি প্রস্তাবনা জমা দিয়েছি। তাতে জরুরি কলের জন্য একটি স্বাধীন নজরদারি সক্ষমতার সুপারিশ করা হয়েছিল: প্রতিটি নেটওয়ার্ক ও প্রতিটি অঞ্চলে নিয়মিত পরীক্ষামূলক কল, camp on সত্যিই কাজ করছে কি না তার যাচাই, আর নিয়ন্ত্রক সংস্থার সঙ্গে রিয়েল-টাইম তথ্য ভাগাভাগি।

এর সঙ্গে আমি যা যোগ করব, আর শুধু আমার দেশের জন্য নয়, প্রতিটি দেশের জন্য যা আলোচনার টেবিলে রাখব:

গুরুত্বপূর্ণ অবকাঠামোর প্রতিটি পরিবর্তনে একজন এআই নিরাপত্তা প্রহরী। টেলিযোগাযোগ, বিদ্যুৎ, পানি, হাসপাতাল, জরুরি পরিষেবা। চেঞ্জ উইন্ডো খোলার আগেই প্রহরী চালু থাকে, মানুষের ঠিক করে দেওয়া মতো, আর যে একটি জিনিস কখনো ব্যর্থ হওয়া চলবে না, সেটির ওপর নজর রাখে, এতটা খুঁটিনাটি পর্যায়ে যে কোনো স্থানীয় বিভ্রাট জাতীয় গড়ের ভেতরে লুকাতে পারে না। সে সতর্কসংকেত দেয়। নিজে কিছু করে না।
লাগাম থাকে নির্দিষ্ট নামের একজন মানুষের হাতে। প্রহরী কেবল সতর্কসংকেত দিতে পারে। সিদ্ধান্ত নেন একজন মানুষ, আর সেই সিদ্ধান্তের দায়ও নেন একজন মানুষ। পরিবর্তন শুরুর আগেই সেই মানুষের নাম তাতে লেখা থাকে, আর কাজ থামানোর তাঁর ক্ষমতা লিখিতভাবে দেওয়া থাকে।
প্রতিটি সতর্কসংকেত আর প্রতিটি ওপরে পাঠানো রেকর্ডে থাকে। সময়সহ সংরক্ষিত থাকে এবং নিয়ন্ত্রকের জন্য উন্মুক্ত থাকে, যাতে কিছু ভুল হলে আমরা জানতে পারি কাকে জানানো হয়েছিল, কখন, আর তিনি কী করেছিলেন। সিনেটের কমিটিকে সেপ্টেম্বরের সেই দিনটা সাক্ষ্য জোড়া লাগিয়ে বুঝতে হয়েছে। সেটা একটা লগ হওয়া উচিত ছিল।
সতর্কসংকেত শুধু কোম্পানির কাছে নয়, কর্তৃপক্ষের কাছেও পৌঁছায়। জরুরি কল ব্যর্থ হতে থাকলে জরুরি পরিষেবাকে সঙ্গে সঙ্গে জানানো হয়, ঠিক করার পরে নয়, আর সংবাদ সম্মেলনে তো নয়ই। অনুপ্রবেশের ক্ষেত্রেও একই কথা: দায়িত্বপ্রাপ্তদের তা জানতে হবে ঘণ্টার মধ্যে, মাসের পর মাস পরে নয়।

এর কোনোটিই যন্ত্রকে কোনো ক্ষমতা দেয় না। এটা মানুষকে আরও ভালো একজোড়া চোখ দেয়, আর নিশ্চিত করে যে এরপর যা ঘটবে, তাতে কারও না কারও নাম থাকবে।

এবার আপনার পালা

ফেডারেল পুলিশের তেরো বছর আমাকে শিখিয়েছে, এই কাজের সবচেয়ে কঠিন অংশ অপরাধীকে ধরা নয়। সবচেয়ে কঠিন হলো কোনো প্রতিষ্ঠানকে দিয়ে সেটা দেখানো, যা ইতিমধ্যেই তার চোখের সামনে আছে।

Optus-এ তথ্যটা ছিল রাত ২টা ৪০ মিনিটের এক পরীক্ষায় আর কল সেন্টারের এক রেকর্ডে। PHP-তে সতর্কবার্তা ছিল ২০২৪ সালে পাওয়া একটি সীমিত ত্রুটি। দুই ক্ষেত্রেই কাউকে সিদ্ধান্ত নিতে হয়েছিল যে ঠিকমতো তাকাবে। একটি দল সেটা করেছে, চুপচাপ, এগারো সপ্তাহ ধরে, আর পৃথিবী জানার আগেই চৌদ্দ বছরের পুরোনো একটি ফাটল বন্ধ করেছে। অন্যটি এক দিনে পরিচালনা পর্ষদের এগারোটি সভা করেছে, আর পশ্চিম অস্ট্রেলিয়া পুলিশকে জানিয়েছে রাত নয়টায়।

কোনোবারই যন্ত্র ব্যর্থ হয়নি। ব্যর্থ হয়েছে মনোযোগ।

আমি কয়েক মাস ধরে এ নিয়ে লিখছি। সাহায্যের প্রস্তাব নিয়ে একমাত্র ফোনটা এসেছে যুক্তরাষ্ট্র থেকে। অস্ট্রেলিয়া থেকে একটাও না। ইউরোপ থেকে একটাও না। আমি এটা অভিযোগ করার জন্য বলছি না। এটা সেই একই নীরবতা, যা একটা ফায়ারওয়াল আপগ্রেডকে কারও নজরদারি ছাড়াই তেরো ঘণ্টা চলতে দিয়েছিল।

তাহলে বিতর্কটা এই, আর আমি সত্যিই আপনার উত্তর জানতে চাই।

গুরুত্বপূর্ণ অবকাঠামোর প্রতিটি পরিবর্তনে কি একজন এআই নিরাপত্তা প্রহরী থাকা উচিত, সঙ্গে নির্দিষ্ট নামের একজন মানুষ, যাঁর হাতে লাগাম আর কাজ থামানোর ক্ষমতা?

প্রতিটি সতর্কসংকেত আর প্রতিটি ওপরে পাঠানোর রেকর্ড কি এমন জায়গায় রাখা উচিত, যেখানে নিয়ন্ত্রক তা পড়তে পারে, কাউকে প্রধান নির্বাহীর কাছে এলাকার নামের তালিকা চাইতে না হয়?

আপনি যদি টেলিযোগাযোগ, জ্বালানি, স্বাস্থ্য বা জরুরি পরিষেবায় কাজ করেন, পৃথিবীর যেখানেই থাকুন: আপনারা কি ইতিমধ্যে এটা করছেন? না করলে, বাধাটা কোথায়?

নাকি আমি নিছকই অবসরপ্রাপ্ত এক বুড়ো পুলিশ, যে বড্ড বেশি সময় ধরে মনিটরের দিকে তাকিয়ে থেকেছে?

বলুন, আমি কোথায় ভুল করছি। প্রতিটি মন্তব্য আমি পড়ব।

স্বার্থ-সংশ্লিষ্টতার ঘোষণা: ওই প্রস্তাবনাটি আমি Intuitus Corp-এর পক্ষ থেকে জমা দিয়েছিলাম। Intuitus Corp সাইবার নিরাপত্তা ও সিকিউরিটি অপারেশনস সেবা দেয়, যার মধ্যে গুরুত্বপূর্ণ অবকাঠামোর জন্য সেবাও রয়েছে। এই লেখার মতামত সম্পূর্ণ আমার নিজের।

সূত্র: Optus Triple Zero বিভ্রাটের স্বাধীন পর্যালোচনা (ড. Kerry Schott, ডিসেম্বর ২০২৫), SBS News, The Register ও AAP-এর প্রতিবেদন অনুযায়ী; Optus বিভ্রাট নিয়ে Senate Environment and Communications References Committee-র প্রতিবেদন, ২০২৪; ACMA, জুলাই ২০২৬; Telstra-র Triple Zero বিভ্রাট নিয়ে ACMA, ২০২৪; Telstra-র বিভ্রাট নিয়ে EFTM, জুলাই ২০২৬; TPG-র Triple Zero মৃত্যু নিয়ে iTnews ও The Register, নভেম্বর ২০২৫; Medicare পোর্টালের ঘটনা নিয়ে Mediaweek, সেপ্টেম্বর ২০২৬; নিউ সাউথ ওয়েলসের আগুনের ইতিহাস-সংক্রান্ত ঘটনা নিয়ে AAP, অক্টোবর ২০২৬; PHP Foundation-এর ঘোষণা, CVE-2026-109618 ও CVE-2026-109619, ২১ অক্টোবর ২০২৬; Palo Alto Networks, Wiz, Cloudflare ও ABC News, ২১–২২ অক্টোবর ২০২৬।