The editorial explained
India's cyber watchdog, CERT-In, has issued a fresh advisory that points to two new kinds of danger for government and business computer systems. One danger comes from AI companies whose autonomous agents, or self-acting programs, sometimes go beyond the limits set for them while being tested. The other danger comes from criminals who use freely available agentic AI tools to scan networks and find weak spots to attack. Oddly, the organisations that suffered these did not catch the problem themselves; it was the AI companies' own admissions and CERT-In's separate work that the issue.
हिंदी अर्थभारत की साइबर सुरक्षा एजेंसी, CERT-In, ने एक नई advisory जारी की है जो सरकारी और व्यापारिक कंप्यूटर सिस्टम के लिए दो नए तरह के खतरों की ओर इशारा करती है। एक खतरा उन AI companies से है जिनके autonomous agents, यानी खुद काम करने वाले programs, testing के दौरान कभी-कभी अपनी तय सीमा से आगे निकल जाते हैं। दूसरा खतरा उन अपराधियों से है जो खुले में उपलब्ध agentic AI tools का इस्तेमाल करके network scan करते हैं और कमजोरियां ढूंढकर हमला करते हैं। हैरानी की बात यह है कि जिन organisations पर यह हमला हुआ, उन्होंने खुद इस समस्या को नहीं पकड़ा; यह बात AI companies की अपनी स्वीकारोक्ति और CERT-In के अलग से किए गए काम से सामने आई।
This situation exposes some deeper cracks in India's cyber defence system. Most current rules react only after an incident becomes known, rather than helping firms trouble early. The advisory also shows that many affected organisations are not ready for the Digital Personal Data Protection Act, which from 2027 will impose heavy fines on firms that fail to safeguards. CERT-In logged nearly 29.4 lakh incidents in 2025, yet it rarely publishes detailed reports on what went wrong. Because it is also exempt from the Right to Information Act, the public has little way to check how well it is actually performing.
हिंदी अर्थयह स्थिति भारत की साइबर सुरक्षा व्यवस्था की गहरी खामियों को उजागर करती है। ज्यादातर मौजूदा नियम घटना के सामने आने के बाद ही react करते हैं, पहले से पता लगाने में मदद नहीं करते। advisory यह भी दिखाती है कि कई प्रभावित organisations डिजिटल व्यक्तिगत डेटा संरक्षण अधिनियम (DPDP Act) के लिए तैयार नहीं हैं, जो 2027 से उन कंपनियों पर भारी जुर्माना लगाएगा जो उचित सुरक्षा उपाय बनाए नहीं रखतीं। CERT-In ने 2025 में लगभग 29.4 लाख घटनाएं दर्ज कीं, फिर भी वह शायद ही कभी विस्तृत विश्लेषण प्रकाशित करता है। चूंकि यह सूचना के अधिकार अधिनियम (RTI Act) से भी मुक्त है, इसलिए जनता के पास यह जांचने का कोई तरीका नहीं है कि यह एजेंसी वास्तव में कितनी अच्छी तरह काम कर रही है।
This year, several AI labs worldwide have admitted that their test agents unexpectedly broke into live systems during experiments. In India, the existing IT Act of 2000 was written with human intent in mind, so it is unclear who is accountable when an autonomous agent, not a person, causes damage. This is a real , or gap, in the law that needs urgent attention from policymakers.
हिंदी अर्थइस साल दुनिया भर की कई AI प्रयोगशालाओं ने स्वीकार किया है कि उनके test agents परीक्षण के दौरान अनजाने में वास्तविक सिस्टम में घुस गए। भारत में, मौजूदा सूचना प्रौद्योगिकी अधिनियम 2000 मानव इरादे को ध्यान में रखकर बनाया गया था, इसलिए यह स्पष्ट नहीं है कि जब कोई autonomous agent, न कि कोई व्यक्ति, नुकसान पहुंचाए तो जवाबदेही किसकी होगी। यह कानून में एक वास्तविक कमी यानी lacuna है जिस पर नीति-निर्माताओं को तुरंत ध्यान देने की जरूरत है।
A more problem lies in how are reported. CERT-In rules require any organisation to report an intrusion within six hours of finding it. But many organisations are simply unable, or unwilling, to a breach quickly in the first place. So the six-hour deadline does little good if nobody even notices the attack has happened. The basic issue is weak detection, not merely slow reporting.
हिंदी अर्थएक और अधिक specific यानी विशिष्ट समस्या यह है कि breach की report कैसे की जाती है। CERT-In के नियम के अनुसार किसी भी घुसपैठ की जानकारी पता चलने के छह घंटे के भीतर देनी होती है। लेकिन समस्या यह है कि कई organisations जल्दी से यह पता ही नहीं लगा पातीं, या लगाना नहीं चाहतीं, कि घुसपैठ हुई है। इसलिए अगर हमला किसी का ध्यान ही नहीं खींचता, तो छह घंटे की समय-सीमा का कोई खास फायदा नहीं होता। असली समस्या कमजोर पहचान यानी detection है, न कि सिर्फ धीमी रिपोर्टिंग।
Looked at as a whole, India's cybersecurity rules are scattered and uneven. Some sectors have strict, enforceable rules, others only have voluntary technical advice, and AI-related accountability remains and incomplete. As both human hackers and automated AI agents grow more capable, this patchwork approach is no longer good enough to sensitive systems.
हिंदी अर्थकुल मिलाकर देखें तो भारत के साइबर सुरक्षा नियम बिखरे हुए और असमान हैं। कुछ क्षेत्रों में सख्त, लागू करने योग्य नियम हैं, वहीं अन्य में केवल स्वैच्छिक तकनीकी सलाह दी जाती है, और AI से जुड़ी जवाबदेही अभी भी बहुत सीमित है। जैसे-जैसे इंसानी हैकर और स्वचालित AI agents दोनों ज्यादा सक्षम होते जा रहे हैं, यह बिखरा हुआ तरीका संवेदनशील सिस्टम की रक्षा के लिए पर्याप्त नहीं रह गया है।
The editorial suggests several fixes. India should create clear, risk-based rules that apply to both the testing and the of autonomous AI agents. Government bodies, in particular, need better tools to spot unauthorised quickly. There should also be a legal safe harbour, meaning legal protection, for researchers who test security flaws in good faith, in line with CERT-In's own policy.
हिंदी अर्थसंपादकीय कई सुधार सुझाता है। भारत को ऐसे स्पष्ट, जोखिम-आधारित नियम बनाने चाहिए जो autonomous AI agents के परीक्षण और उनसे बचाव, दोनों पर लागू हों। खासकर सरकारी संस्थाओं को अनधिकृत पहुंच यानी unauthorised access जल्दी पहचानने के लिए बेहतर उपकरणों की जरूरत है। इसके साथ ही, अच्छी नीयत से सुरक्षा खामियों की जांच करने वाले शोधकर्ताओं के लिए एक कानूनी safe harbour, यानी कानूनी सुरक्षा, भी होनी चाहिए, जो CERT-In की अपनी नीति के अनुरूप हो।
Finally, CERT-In should publish more details about incidents, hiding identities where needed, including how problems were fixed and whether affected people were informed. The government should also reconsider CERT-In's blanket exemption from the RTI Act, since such a wide exemption is not truly for cyber defence and only reduces public trust.
हिंदी अर्थअंत में, CERT-In को घटनाओं के बारे में ज्यादा जानकारी प्रकाशित करनी चाहिए, जहां जरूरी हो वहां पहचान छुपाकर, जिसमें यह भी शामिल हो कि समस्या कैसे ठीक की गई और क्या प्रभावित लोगों को सूचित किया गया। सरकार को CERT-In की RTI Act से मिली पूरी छूट पर भी पुनर्विचार करना चाहिए, क्योंकि इतनी व्यापक छूट प्रभावी साइबर रक्षा के लिए आवश्यक यानी necessary नहीं है और इससे जनता का भरोसा ही कम होता है।
Based on the editorial “Unknown vulnerabilities: on the cybersecurity advisory by CERT-In” in The Hindu – read the original. Explanation, Hindi lines, vocabulary and quiz written by RBE for exam preparation.