ग्राहक अनुभव प्लॅटफॉर्म दरवर्षी कोट्यवधी असंरचित परस्परसंवादांवर प्रक्रिया करतात: सर्वेक्षण फॉर्म, पुनरावलोकन साइट्स, सोशल फीड्स आणि कॉल सेंटर स्क्रिप्ट, या सर्व AI इंजिनमध्ये प्रवाहित होतात जे स्वयंचलित वर्कफ्लो चालवतात जे वेतन, CRM आणि पेमेंट सिस्टमला स्पर्श करतात. SOC कमांडर सूटमध्ये असे कोणतेही साधन नाही जे CX प्लॅटफॉर्मचे AI इंजिन काय घेते याचे परीक्षण करते आणि हल्लेखोरांनी हे शोधून काढले. ते त्यांना फीड करणाऱ्या डेटामध्ये विष टाकत आहेत आणि AI त्यांचे नुकसान करत आहे.
ऑगस्ट 2025 मधील Salesloft/Drift हॅकने हेच सिद्ध केले. हल्लेखोरांनी Salesloft च्या GitHub वातावरणाशी तडजोड केली, ड्रिफ्ट चॅटबॉटचे OAuth टोकन चोरले आणि Cloudflare, Palo Alto Networks आणि Zscaler यासह 700 हून अधिक संस्थांमधील Salesforce वातावरणात प्रवेश मिळवला. त्यानंतर त्याने AWS की, स्नोफ्लेक टोकन आणि प्लेन टेक्स्ट पासवर्डसाठी चोरलेला डेटा स्कॅन केला. कोणतेही मालवेअर प्रकाशित झाले नाही.
हे अंतर बहुतेक सुरक्षा नेत्यांच्या लक्षात येण्यापेक्षा जास्त आहे: 98% संस्थांकडे डेटा लॉस प्रिव्हेंशन (DLP) प्रोग्राम आहे, परंतु केवळ 6% संस्थांकडे समर्पित संसाधने आहेत, प्रूफपॉइंटच्या 2025 व्हॉइस ऑफ द CISO अहवालानुसार, ज्याने 16 देशांमधील 1,600 CISO चे सर्वेक्षण केले. CrowdStrike च्या 2025 थ्रेट हंटिंग अहवालानुसार, 81% प्रतिक्रियात्मक उल्लंघने आता मालवेअर ऐवजी कायदेशीर प्रवेश वापरतात. 2025 च्या पहिल्या सहामाहीत ढगांच्या प्रवेशाचा दर 136% वाढला.
“बहुतेक सुरक्षा संघ अजूनही अनुभव व्यवस्थापन प्लॅटफॉर्मला ‘टोही साधने’ म्हणून वर्गीकृत करतात, जे प्रोजेक्ट मॅनेजमेंट ॲप्लिकेशन सारख्याच जोखमीच्या पातळीवर आहे,” असाफ केरेन, क्वालट्रिक्सचे मुख्य सुरक्षा अधिकारी आणि PayPal मधील माजी CISO यांनी अलीकडील मुलाखतीत VentureBeat ला सांगितले. “हे एक मोठे चुकीचे वर्गीकरण आहे. हे प्लॅटफॉर्म आता एचआरआयएस, सीआरएम आणि नुकसान भरपाई इंजिनशी कनेक्ट झाले आहेत.” क्वालट्रिक्स एकट्या वार्षिक 3.5 अब्ज परस्परसंवादांवर प्रक्रिया करते, कंपनीच्या म्हणण्यानुसार 2023 पासून दुप्पट झाली आहे. एआयने वर्कफ्लोमध्ये प्रवेश केल्यावर इनपुट एकत्रित करण्याशी संबंधित पायऱ्या वगळणे संस्थांना परवडणारे नाही.
व्हेंचरबीटने हे अंतर बंद करण्यासाठी काम करणाऱ्या सुरक्षा नेत्यांच्या मुलाखती घेण्यात अनेक आठवडे घालवले. प्रत्येक संभाषणात नियंत्रणाचे सहा अपयश समोर आले.
सुरक्षा पॅकेज आणि एआय इंजिन दरम्यान सहा आंधळे स्पॉट्स
1. डीएलपी मानक API कॉलद्वारे जारी केलेला अनस्ट्रक्चर्ड ट्रेंड डेटा पाहू शकत नाही
बहुतेक DLP धोरणे संरचित वैयक्तिकरित्या ओळखण्यायोग्य माहिती (PII): नावे, ईमेल आणि पेमेंट माहितीचे वर्गीकरण करतात. ओपन-टेक्स्ट ग्राहक अनुभव प्रतिसादांमध्ये पगाराच्या तक्रारी, आरोग्य प्रकटीकरण आणि कार्यकारी टीका असतात. मानक PII पॅटर्नशी कोणतेही जुळत नाही. जेव्हा तृतीय-पक्ष एआय टूल डेटा खेचते, तेव्हा निर्यात एका रूटीन API कॉलसारखे दिसते. DLP कधीही चालू होत नाही.
2. अंतिम मोहिमेतील Zombie API टोकन अद्याप उपस्थित आहेत
उदाहरण: एमArketing ने सहा महिन्यांपूर्वी CX मोहीम सुरू केली आणि मोहीम संपली. परंतु CX प्लॅटफॉर्मला मानव संसाधन माहिती प्रणाली (HRIS), ग्राहक संबंध व्यवस्थापन (CRM) आणि पेमेंट सिस्टमशी जोडणारे OAuth टोकन कधीही रद्द केले गेले नाहीत. याचा अर्थ असा की प्रत्येक एक खुली बाजूकडील चळवळीचा मार्ग आहे.
जेपी मॉर्गन चेसचे मुख्य आयटी अधिकारी पॅट्रिक ऑप्ट यांनी त्यांच्या एप्रिल 2025 च्या खुल्या पत्रात या जोखमीकडे लक्ष वेधले आणि चेतावणी दिली की SaaS एकत्रीकरण मॉडेल टोकनद्वारे “प्रणालींमध्ये स्पष्ट एकल-घटक विश्वास” निर्माण करतात जे “अपुऱ्या प्रमाणात सुरक्षित आहेत… आणि चोरी आणि पुनर्वापरासाठी असुरक्षित आहेत.”
3. एआय इंजिनपर्यंत डेटा पोहोचण्यापूर्वी सार्वजनिक इनपुट चॅनेलमध्ये रोबोट्ससाठी कमी करण्याची यंत्रणा नसते
वेब ॲप्लिकेशन फायरवॉल वेब ॲप्लिकेशनच्या HTTP पेलोड्सची तपासणी करते, परंतु यापैकी कोणतेही कव्हरेज ट्रस्टपायलट पुनरावलोकन, Google नकाशे रेटिंग किंवा CX प्लॅटफॉर्म कायदेशीर इनपुट म्हणून अंतर्भूत केलेल्या ओपन-टेक्स्ट सर्वेक्षण प्रतिसादापर्यंत विस्तारित नाही. त्या वाहिन्यांना पूर आणणारी फसवी भावना आसपासच्या नियंत्रणासाठी अदृश्य आहे. VentureBeat ने सुरक्षा नेत्यांना आणि विक्रेत्यांना विचारले की CX AI इंजिनांना फीड करणाऱ्या सार्वजनिक डेटा स्त्रोतांसाठी इनपुट चॅनेलची अखंडता कोणी कव्हर करते का; असे दिसून आले की श्रेणी अद्याप अस्तित्वात नाही.
4. तडजोड केलेल्या CX प्लॅटफॉर्मवरून पार्श्व हालचाली प्रमाणीकृत API कॉल्सद्वारे ट्रिगर केल्या जातात
“विरोधक आत प्रवेश करत नाहीत, ते लॉग इन करतात,” डॅनियल बर्नार्ड, CrowdStrike चे मुख्य व्यवसाय अधिकारी, VentureBeat यांना एका खास मुलाखतीत सांगितले. “ही एक वैध लॉगिन प्रक्रिया आहे. त्यामुळे, तृतीय-पक्ष ISV दृष्टीकोनातून, तुमच्याकडे एक लॉगिन पृष्ठ आहे, तुमच्याकडे द्वि-घटक प्रमाणीकरण आहे. तुम्हाला आमच्याकडून आणखी काय हवे आहे?”
धोका मानवी आणि मानवेतर ओळखींना सारखाच आहे. बर्नार्ड यांनी वर्णन केले: “अचानक, टेराबाइट्स डेटा परदेशात निर्यात केला जात आहे. तो गैर-मानक वापर आहे. तो अशा ठिकाणी जात आहे जिथे वापरकर्ता यापूर्वी कधीही गेला नव्हता.” ए सुरक्षा माहिती आणि कार्यक्रम व्यवस्थापन (SIEM) प्रमाणीकरण यश पाहते. आणि तुम्हाला ही वर्तणूक बदल दिसत नाही. बर्नार्डने काय म्हटले ते लिहा "पोझिशन मॅनेजमेंट सॉफ्टवेअर" पार्श्व हालचाली ग्राहक अनुभव प्लॅटफॉर्म कव्हर करते, आणि सुरक्षा टीमने आधीच मंजूर केलेल्या कनेक्शनद्वारे घडते.
5. गैर-तांत्रिक वापरकर्त्यांना प्रशासकीय विशेषाधिकार आहेत आणि कोणीही त्यांचे पुनरावलोकन करत नाही
मार्केटिंग, एचआर आणि ग्राहक यश संघ ग्राहक अनुभव एकत्रीकरण तयार करतात कारण त्यांना गतीची आवश्यकता असते, परंतु SOC टीम ते कधीही पाहू शकत नाही. सुरक्षा सक्षम असणे आवश्यक आहे, किंवा काहीतरी संघ आजूबाजूला एकत्र येतात, किरिन म्हणतात. कोणतीही संस्था जी प्रत्येक CX प्लॅटफॉर्म एकत्रीकरणाची वर्तमान यादी तयार करू शकत नाही आणि त्यांच्यामागील प्रशासक क्रेडेन्शियल्स सावली प्रशासकाच्या समोर येते.
6. ओपन टेक्स्ट टिप्पण्या PII मास्क होण्यापूर्वी डेटाबेसमध्ये पोहोचतात.
कर्मचाऱ्यांचे सर्वेक्षण नावाने व्यवस्थापकांबद्दलच्या तक्रारी आणि वेतन आणि आरोग्य प्रकटीकरणांबद्दलच्या तक्रारी घेतात. ग्राहक अभिप्राय देखील उघड केला जातो: खाते तपशील, खरेदी इतिहास आणि सेवा विवाद. यापैकी काहीही संरचित PII वर्कबुकमध्ये येत नाही कारण ते विनामूल्य मजकूर म्हणून येते. उल्लंघन आढळल्यास, हल्लेखोर पार्श्व हालचालींच्या मार्गासह गुप्त वैयक्तिक माहिती प्राप्त करतात.
हे अंतर कोणाच्याही मालकीचे नाही
या सहा अपयशांमध्ये एक समान मूळ कारण आहे: Salesforce, ServiceNow आणि इतर एंटरप्राइझ प्लॅटफॉर्मसाठी SaaS सुरक्षा मुद्रा व्यवस्थापन परिपक्व झाले आहे. ग्राहक अनुभव प्लॅटफॉर्मला कधीही समान वागणूक मिळत नाही. कोणीही अनुभव व्यवस्थापन प्लॅटफॉर्ममध्ये वापरकर्त्याच्या क्रियाकलाप, परवानग्या किंवा कॉन्फिगरेशनचे परीक्षण करत नाही आणि डेटाच्या अनुपस्थितीकडे लक्ष देणाऱ्या एआय वर्कफ्लोवर धोरणे लागू करत नाही. जेव्हा बॉट-आधारित इनपुट किंवा विसंगत डेटा निर्यात CX ऍप्लिकेशन स्तरावर पोहोचते, तेव्हा काहीही त्यांना शोधत नाही.
सुरक्षा दल त्यांच्याकडे जे आहे ते प्रत्युत्तर देत आहेत. काही CX प्लॅटफॉर्म कॉन्फिगरेशन आणि परवानग्या कव्हर करण्यासाठी SSPM टूल्सचा विस्तार करतात. API सुरक्षा गेटवे ग्राहक अनुभव प्लॅटफॉर्म आणि डाउनस्ट्रीम सिस्टम दरम्यान टोकन स्कोप आणि डेटा फ्लोचे परीक्षण करून दुसरा मार्ग प्रदान करतात. ओळख-केंद्रित कार्यसंघ CX प्रशासक खात्यांवर CASB-शैली प्रवेश नियंत्रणे लागू करतात.
यापैकी कोणताही दृष्टीकोन CX-लेयर सुरक्षेला प्रत्यक्षात आवश्यक असलेल्या गोष्टी प्रदान करत नाही: अनुभव डेटा कोण ऍक्सेस करत आहे याचे सतत निरीक्षण करणे, पार्श्व रहदारीचे मार्ग बनण्यापूर्वी चुकीच्या कॉन्फिगरेशनमध्ये रिअल-टाइम दृश्यमानता आणि त्रैमासिक पुनरावलोकन चक्राची वाट न पाहता धोरण लागू करणारे स्वयंचलित संरक्षण.
या अंतरासाठी विशेषतः डिझाइन केलेले पहिले एकत्रीकरण पोश्चर मॅनेजमेंटला थेट CX लेयरशी जोडते, सुरक्षा कार्यसंघांना सॉफ्टवेअर क्रियाकलाप, कॉन्फिगरेशन आणि डेटा ऍक्सेसचे समान कव्हरेज देते जे त्यांना Salesforce किंवा ServiceNow कडून आधीच अपेक्षित आहे. CrowdStrike चे Falcon Shield आणि Qualtrics XM प्लॅटफॉर्म ही जोडी यामागे आहे. व्हेंचरबीटने मुलाखत घेतलेल्या सुरक्षा नेत्यांनी सांगितले की हे नियंत्रण ते स्वतः तयार करत आहेत – आणि झोप गमावत आहेत.
सुरक्षा पथके स्फोटाची व्याप्ती मोजत नाहीत
बहुतेक संस्थांनी तांत्रिक स्फोट त्रिज्या सेट केल्या आहेत. “पण व्यावसायिक स्फोट स्केल नाही,” केरेन म्हणाले. जेव्हा एआय इंजिन विषबाधा डेटावर आधारित भरपाई समायोजन ट्रिगर करते, तेव्हा नुकसान ही सुरक्षा घटना नसते. मशीनच्या वेगाने अंमलात आणलेला हा एक वाईट व्यवसाय निर्णय आहे. हे अंतर CISO, CIO आणि व्यवसाय युनिट मालक यांच्यामध्ये आहे. आज ते कोणाकडेच नाही.
“जेव्हा आम्ही व्यवसाय निर्णय घेण्यासाठी डेटा वापरतो, तेव्हा तो डेटा वैध असणे आवश्यक आहे,” केरिन म्हणाले.
ऑडिट करा आणि झोम्बी कोडसह प्रारंभ करा. येथूनच ड्रिफ्ट-स्केल भंग सुरू होतात. 30-दिवसांच्या पडताळणी कालावधीसह प्रारंभ करा. कृत्रिम बुद्धिमत्ता प्रतीक्षा करणार नाही.
