আইন আর নৈতিকতা — অনুমতি, দায়িত্বশীল প্রকাশ আর বাংলাদেশের আইন

১ · একই কাজ, দুই পরিণতি — অনুমতিই সীমারেখা

আপনি একজন তালার মিস্ত্রি। বাড়ির মালিক ডেকে বললেন, “দরজার তালাটা কত মজবুত, দেখে দিন।” আপনি তালা খুলে দেখালেন। মালিক খুশি, আপনি পারিশ্রমিক পেলেন। এবার একই মানুষ, একই যন্ত্র, একই দক্ষতা। শুধু বাড়িটি অচেনা, মালিক কিছু জানেন না। রাত দুটোয় একই তালা খুললেন। এবার আপনার পরিচয় বদলে গেল। দারোয়ান আপনাকে ধরলে “আমি তো শুধু দেখছিলাম” বললে কেউ শুনবে না।

সাইবার নিরাপত্তায়ও ঠিক তাই। Penetration testing মানে মালিকের লিখিত অনুমতি নিয়ে তাঁর system-এর দুর্বলতা খোঁজা। আর অনুমতি ছাড়া একই কাজ সাধারণত আইনের চোখে অনধিকার প্রবেশ। যন্ত্র একই, দক্ষতা একই। বদলায় একটি জিনিস: authorization, মানে কাজটি করার অধিকার।

নতুনরা তিনটি ভুল যুক্তি প্রায়ই দেন। “আমার উদ্দেশ্য ভালো ছিল।” “ডেটা তো চুরি করিনি।” “দরজা তো খোলাই ছিল।” তিনটিই বিপজ্জনক। উদ্দেশ্য ভেতরের জিনিস, বাইরের কেউ তা দেখতে পান না। আর system-এর মালিকের চোখে শুরুতে আপনার কাজ আর সত্যিকারের হামলা হুবহু একই দেখায়। তাঁকে তখনই incident response, মানে ঘটনায় সাড়া দেওয়ার কাজ, শুরু করতে হয়। এতে সত্যিকারের খরচ হয়, যদিও আপনি কিছু নেননি। ভালো উদ্দেশ্য শাস্তি কমাতে পারে কি না, সেটি আদালতের বিষয়। অনুমতির বিকল্প এটি নয়।

নিচের ছবিটি এই পর্বের কঙ্কাল। কোনো কাজ শুরুর আগে পাঁচটি ফটক পার হতে হয়। একটিতেও আটকালে আর এগোনো যায় না।

২ · লিখিত অনুমতিতে কী থাকে

মুখের কথা কেন যথেষ্ট নয়? ব্যাংকের লকার খুলতে শুধু “ম্যানেজার চেনেন” বললে হয় না। রেজিস্টার খাতায় সই লাগে, কারণ পরে প্রশ্ন উঠলে খাতাই প্রমাণ। অনুমতিপত্রও সেই খাতা। ঘটনার পরে যদি কেউ জিজ্ঞেস করেন “কে বলেছিল?”, তখন কাগজটিই আপনার পক্ষে কথা বলবে।

পেশাদার পরীক্ষায় এই কাগজের মূল অংশকে বলে scope, অর্থাৎ পরীক্ষার সীমানা। আর কীভাবে কাজ চলবে তার নিয়মকে বলে rules of engagement (RoE). নামগুলো প্রতিষ্ঠানভেদে বদলায়, বিষয়বস্তু প্রায় একই।

একটি ফাঁক প্রায়ই চোখ এড়ায়: অনুমতি যিনি দেন, system কি পুরোটাই তাঁর? কোম্পানির website থাকতে পারে অন্য hosting-এ, app চলতে পারে shared cloud-এ, পেমেন্ট যেতে পারে তৃতীয় পক্ষের কাছে। কোম্পানি নিজের অংশের অনুমতি দিতে পারে, অন্যের অংশের পারে না। তাই provider-এর নিজস্ব নিয়ম দেখতে হয়, দরকারে তাদের অনুমতিও নিতে হয়।

এবার একটি কাল্পনিক অনুমতিপত্র হাতে নিন। ধরুন “একটি কাল্পনিক অনলাইন বাজার” আপনাকে কাজ দিয়েছে। সব domain, নাম আর নম্বর বানানো। প্রতিটি ধাপে কাগজের এক টুকরো পড়ে একটি প্রশ্ন করুন।

Client   : Fictional Online Bazaar Ltd
Signed by: Head of Technology (system owner)
Tester   : Example Security Team
Ref      : AUTH-2026-014 (carry this letter)

In scope : shop.example.com
           *.staging.example.com
Excluded : pay.staging.example.com (third party)
Anything not listed is out of scope.

Start: 2026-11-08 22:00 Asia/Dhaka
End  : 2026-11-12 06:00 Asia/Dhaka
Hours: 22:00-06:00 only
Extension needs a new signed note.

Allowed  : web application review with test accounts
Forbidden: load testing, social engineering,
           physical entry, touching production data

Real personal data seen: stop, note the location,
do not copy, call the contact.
Evidence: encrypted store, deleted 30 days after report.

Duty contact: on-call engineer (24 hours)
Stop word   : either side may halt at any time.
Critical find: phone within 1 hour.

৩ · নিজে যাচাই করুন — “আমি কি এটি test করতে পারি?”

ছবি ৬.১-এর ফটকগুলো এবার কোডে লিখি। নিচের ছোট simulator আটটি বানানো পরিস্থিতিকে পরপর পরীক্ষা করে। কোনো network নেই, শুধু কয়েকটি true/false মান। শর্তের ক্রম খেয়াল করুন: প্রথম যে ফটকে আটকায়, উত্তর সেখানেই। ছবির পাঁচ ফটকের সাথে কোডে একটি বাড়তি শর্ত আছে: পদ্ধতিটি নিষিদ্ধ কি না।

// Toy decision helper. Not legal advice. All scenarios are invented.
function mayITest(s) {
  if (s.own) return 'GO    : your own system; still avoid other people\'s data';
  if (!s.written) return 'STOP  : no written permission';
  if (!s.signerOwnsSystem) return 'STOP  : signer cannot authorise this system';
  if (!s.inScope) return 'STOP  : target is out of scope';
  if (!s.inWindow) return 'WAIT  : outside the agreed time window';
  if (s.methodBanned) return 'STOP  : this method is forbidden by the rules';
  if (s.thirdPartyData) return 'PAUSE : third-party data; stop and call the contact';
  return 'GO    : inside the permission; keep notes';
}

const ok = { written: true, signerOwnsSystem: true, inScope: true,
             inWindow: true, methodBanned: false, thirdPartyData: false };
const scenarios = [
  ['A my laptop lab VM',            { own: true }],
  ['B friend said "check my shop"', { ...ok, written: false }],
  ['C manager signs, vendor hosts', { ...ok, signerOwnsSystem: false }],
  ['D signed, other subdomain',     { ...ok, inScope: false }],
  ['E signed, Friday night',        { ...ok, inWindow: false }],
  ['F signed, load test banned',    { ...ok, methodBanned: true }],
  ['G signed, real customer rows',  { ...ok, thirdPartyData: true }],
  ['H signed, all checks pass',     { ...ok }],
];
const tally = {};
for (const [name, s] of scenarios) {
  const verdict = mayITest(s);
  const word = verdict.split(' ')[0];
  tally[word] = (tally[word] || 0) + 1;
  console.log(name.padEnd(31), verdict);
}
console.log('tally:', JSON.stringify(tally));

Scope মেলানোতে আরেকটি ফাঁদ আছে। মানুষ ভাবে, “shop.example.com আছে, তাহলে api.shop.example.com-ও নিশ্চয় আছে।” না। নিচের ছোট matcher নিয়মটি কড়াভাবে মানে: বাদ দেওয়া তালিকা সবার আগে, তারপর ভেতরের তালিকা, আর তালিকায় না থাকলে বাইরে। একে বলে default deny.

// Toy scope matcher for a fictional programme. Exclusions always win.
const scope = {
  include: ['shop.example.com', '*.staging.example.com'],
  exclude: ['pay.staging.example.com'],
};
const hit = (pat, host) => pat.startsWith('*.')
  ? host.endsWith(pat.slice(1)) && host !== pat.slice(2)
  : host === pat;

function inScope(host) {
  if (scope.exclude.some(p => hit(p, host))) return 'OUT (excluded)';
  if (scope.include.some(p => hit(p, host))) return 'IN';
  return 'OUT (not listed)';
}

const hosts = [
  'shop.example.com',
  'api.shop.example.com',
  'dev.staging.example.com',
  'pay.staging.example.com',
  'staging.example.com',
  'mail.example.com',
];
for (const h of hosts) console.log(h.padEnd(26), inScope(h));

// Default-deny: anything not listed is out. Count it.
const inCount = hosts.filter(h => inScope(h) === 'IN').length;
console.log(`in scope: ${inCount} of ${hosts.length}`);

৪ · হঠাৎ ত্রুটি পেলে — কী করবেন, কী করবেন না

সবাই পরীক্ষক হতে চান না। কিন্তু যে কেউ দুর্ঘটনাক্রমে কিছু দেখে ফেলতে পারেন। রাস্তায় পড়ে থাকা মানিব্যাগের কথা ভাবুন। তুলে পরিচয়পত্র দেখে মালিককে ফেরত দেওয়া এক কথা। ভেতরের টাকা গুনে, ছবি তুলে, বন্ধুদের দেখানো আরেক কথা। আর “পাঁচ হাজার টাকা দিলে ফেরত দেব” বলা সম্পূর্ণ অন্য কথা।

ধরুন আপনি ভর্তি পরীক্ষার ফল খুঁজছেন। Search result-এ একটি কাল্পনিক কোচিং সেন্টারের একটি খোলা ফাইল এলো। লিংকে ক্লিক করতেই দেখলেন শিক্ষার্থীদের নাম আর মোবাইল নম্বরের তালিকা। আপনি কিছু ভাঙেননি। এবার প্রতিটি সিদ্ধান্তই আপনার।

৫ · Coordinated vulnerability disclosure — জানানো থেকে প্রকাশ

কোনো সফটওয়্যারে ত্রুটি পাওয়া গেলে তিনটি পক্ষের স্বার্থ জড়িত। যিনি পেলেন, যিনি ঠিক করতে পারেন, আর যাঁরা ব্যবহার করেন। শুধু চুপ থাকলে ব্যবহারকারী ঝুঁকিতে থাকেন, হয়তো অন্য কেউও ত্রুটিটি পেয়ে গেছে। সঙ্গে সঙ্গে সবাইকে বলে দিলে patch, মানে ত্রুটি সারানোর update, আসার আগেই সবাই ঝুঁকিতে পড়েন। মাঝের পথটির নাম coordinated vulnerability disclosure (CVD). পুরোনো নাম responsible disclosure, এখনো অনেকে এই নামই বলেন।

একটি প্রতিষ্ঠান যখন ঘোষণা করে “ত্রুটি পেলে এভাবে জানান”, সেটিকে বলে vulnerability disclosure policy (VDP). নিচে একটি কাল্পনিক লাইব্রেরি toy-parser-এর ত্রুটি ধরে পুরো পথটি দেখুন। সন্ধানকারীর নাম নীলা, তিনি নিজের কম্পিউটারে লাইব্রেরিটি চালিয়ে সমস্যাটি পেয়েছেন।

সময়সীমা: রীতি, আইন নয়

কত দিন অপেক্ষা করা উচিত, তার কোনো সার্বজনীন আইন নেই। আছে প্রতিষ্ঠানের ঘোষিত নীতি। CERT/CC তার নীতিতে বলে, রিপোর্ট সাধারণত প্রথম রিপোর্টের ৪৫ দিন পরে প্রকাশ হয়, তবে সক্রিয় হামলা বা বিষয়ের গুরুত্ব অনুযায়ী আগে-পরে হতে পারে। Google-এর Project Zero দলের নীতি ৯০+৩০: vendor-কে patch-এর জন্য ৯০ দিন, patch এলে তার ৩০ দিন পরে বিস্তারিত। হামলা ইতিমধ্যে চলছে এমন ক্ষেত্রে সময়সীমা ৭ দিন। অন্য দলের নীতি আলাদা হতে পারে। কোডে হিসাবটি দেখুন। ঘড়ি বানানো, তাই ফল সবসময় একই।

// Disclosure calendar on a fixed, simulated report date (no real clock).
const DAY = 86400000;
const report = Date.UTC(2026, 2, 2);               // 2 March 2026
const on = d => new Date(report + d * DAY).toISOString().slice(0, 10);

function plan(p) {
  if (p.exploited) return { publishDay: p.exploitedDays, why: 'active exploitation' };
  const fix = p.fixDay;
  if (fix !== null && fix <= p.deadline)
    return { publishDay: fix + p.afterFix, why: `fix on day ${fix}, then ${p.afterFix} days for users` };
  return { publishDay: p.deadline, why: 'deadline reached without a fix' };
}

const cases = [
  ['flat 45 days, no fix',     { deadline: 45, afterFix: 0,  fixDay: null }],
  ['90+30, fix on day 60',     { deadline: 90, afterFix: 30, fixDay: 60 }],
  ['90+30, fix on day 88',     { deadline: 90, afterFix: 30, fixDay: 88 }],
  ['90+30, no fix',            { deadline: 90, afterFix: 30, fixDay: null }],
  ['exploited in the wild',    { exploited: true, exploitedDays: 7 }],
];
console.log('report date:', on(0));
for (const [name, p] of cases) {
  const r = plan(p);
  console.log(name.padEnd(24), 'day', String(r.publishDay).padStart(3), on(r.publishDay), '-', r.why);
}

৬ · Bug bounty — আইনি পথ, তবে scope পড়েই

Bug bounty হলো প্রতিষ্ঠানের ঘোষণা: “এই সীমার ভেতরে, এই নিয়মে ত্রুটি খুঁজে জানালে পুরস্কার বা স্বীকৃতি দেব।” এটি জনসমক্ষে ঝোলানো একটি অনুমতিপত্রের মতো। VDP-তে সাধারণত পুরস্কার থাকে না, শুধু জানানোর পথ থাকে। Bug bounty-তে থাকে পুরস্কার। দুটিই অনুমতির একটি রূপ হতে পারে, যদি কথাগুলো সেভাবে লেখা থাকে।

আইনি ভরসার অংশটিকে বলে safe harbor ভাষা। অর্থাৎ প্রতিষ্ঠানের অঙ্গীকার: সৎ উদ্দেশ্যে নিয়ম মেনে গবেষণা করলে তারা সেটিকে অনুমোদিত ধরবে, আপনার বিরুদ্ধে আইনি ব্যবস্থা নেবে না। disclose.io নামের একটি উন্মুক্ত প্রকল্প এমন লেখার নমুনা রাখে। সেখানে “partial” আর “full” safe harbor আলাদা করা হয়েছে: প্রথমটি মামলা না করার অঙ্গীকার, দ্বিতীয়টি আগাম অনুমোদন। নিচের লেখাটি শুধু গঠন বোঝানোর জন্য আমাদের বানানো উদাহরণ, কোনো প্রতিষ্ঠানের নয়।

উদাহরণ (কাল্পনিক প্রোগ্রাম):
এই নীতি মেনে সৎ উদ্দেশ্যে করা গবেষণাকে আমরা অনুমোদিত বলে গণ্য করব
এবং এ জন্য আপনার বিরুদ্ধে আইনি ব্যবস্থা নেব না।
ভেতরে: shop.example.com
নিষিদ্ধ: সার্ভিস থামানো, অন্যের account বা ডেটায় প্রবেশ, মানুষকে ধোঁকা দেওয়া।
ব্যক্তিগত তথ্য দেখলে থামুন এবং জানান। ঠিক হওয়ার আগে প্রকাশ করবেন না।

Safe harbor-এর সীমা

• এটি শুধু প্রতিষ্ঠানের অঙ্গীকার। সরকার বা আদালত এতে বাঁধা নন। প্রতিষ্ঠান তৃতীয় পক্ষের হয়ে অনুমতিও দিতে পারে না।
• শর্ত ভাঙলে ঢাল থাকে না। একটি নিষিদ্ধ host, একটি নিষিদ্ধ পদ্ধতি, আর আপনি নীতির বাইরে।
• নিয়ম বদলায়। কাজ শুরুর দিনের নীতি পড়ুন, একটি কপি তারিখসহ রাখুন।
• স্থানীয় আইন আলাদা। বিদেশি প্রোগ্রামের ভাষা বাংলাদেশের আইনের ব্যতিক্রম তৈরি করে, এমন ধরে নেবেন না।

ভালো শিক্ষানবিশের পথ তাই: নিজের ল্যাব, বৈধ অনুশীলন প্ল্যাটফর্ম আর CTF (Capture the Flag, নিরাপত্তার নিয়মবদ্ধ প্রতিযোগিতা) দিয়ে শুরু। তারপর স্পষ্ট নীতিসহ প্রোগ্রাম। প্রোগ্রামে আপনি ঠিক কী করতে পারেন, পর্ব ৫০-এ আরও দেখবেন।

৭ · পেশাগত নৈতিকতা আর দায়িত্ব

আইন বলে কী করলে শাস্তি হবে। নৈতিকতা বলে কী করা উচিত। দুটির মাঝে ফাঁক থাকে। অনেক কাজ আইনে স্পষ্ট নয়, তবু ভুল। নিরাপত্তাকর্মীরা মানুষের গোপন জিনিসের চাবি হাতে পান, তাই এই পেশায় বিশ্বাসই পুঁজি। একবার হারালে চাকরিও যায়।

দুটি পরিচিত আচরণবিধি দেখি। এগুলো পেশাগত সংগঠনের নিয়ম, দেশের আইন নয়।

চারটি দৈনন্দিন দায়িত্ব

স্বার্থের সংঘাতের সমাধান সাধারণত সরল: আগে জানিয়ে দিন, আর সিদ্ধান্ত থেকে সরে দাঁড়ান। সন্দেহ হলে নিজেকে একটি প্রশ্ন করুন: কাজটি আগামীকাল client আর সহকর্মীরা দেখলে কি আপনি স্বচ্ছন্দ থাকবেন?

৮ · বাংলাদেশের আইন — ৩১ অক্টোবর ২০২৬ পর্যন্ত যাচাই

কোন আইন এখন চলছে

সংক্ষেপে: সাইবার অপরাধের প্রধান আইন এখন সাইবার সুরক্ষা আইন, ২০২৬ (২০২৬ সনের ৮১ নং আইন). গেজেটের তারিখ ১০ এপ্রিল ২০২৬. ধারা ১(২) অনুযায়ী এটি ২১ মে ২০২৫ তারিখে কার্যকর হয়েছে বলে গণ্য। পুরোনো নামগুলো অনেক লেখায় এখনো পাবেন, তাই বংশতালিকাটি জেনে রাখুন।

যে কথাটি এই পর্বের সাথে সরাসরি জড়িত

আইনের ধারা ২(১)(ফ) “বে-আইনি প্রবেশ” শব্দের সংজ্ঞা দেয়। শুরুর অংশটি গেজেট থেকে হুবহু:

“কোনো ব্যক্তি বা কর্তৃপক্ষের অনুমতি ব্যতিরেকে বা উক্তরূপ অনুমতির শর্ত লঙ্ঘনক্রমে কোনো কম্পিউটার বা ডিজিটাল ডিভাইস বা ডিজিটাল নেটওয়ার্ক বা ডিজিটাল তথ্য ব্যবস্থায় প্রবেশ”

সংজ্ঞাটি এরপর তথ্য আদান-প্রদানে বাধা, তথ্য বদল, তথ্য সংগ্রহ বা log মুছে ফেলার মতো কাজের কথাও বলে, আর বলে এটি “অনুপ্রবেশ বা হ্যাকিং নামেও অভিহিত হইবে।” লক্ষ করুন দুটি ভাগ: অনুমতি ছাড়া, অথবা অনুমতির শর্ত ভেঙে। সাধারণ পড়ায় দ্বিতীয় ভাগটিই scope-এর গুরুত্ব বোঝায়। অনুমতিপত্র থাকলেও শর্তের বাইরে গেলে আপনি এই সংজ্ঞার কাছাকাছি চলে আসতে পারেন। বাস্তবে কোনটি অপরাধ, তা ঠিক করেন আদালত।

কয়েকটি কথা মাথায় রাখুন। এক, “সহায়তা” শব্দটি আছে, তাই অন্যকে এই কাজে সাহায্য করলেও প্রশ্ন আসতে পারে। দুই, ধারা ১৭-তে সফটওয়্যার ডেভেলপার আর কৃত্রিম বুদ্ধিমত্তা টুলস ব্যবহারকারীর কথা আলাদা করে আছে। AI দিয়ে করলে দায় কমে, এমন ভাবার কারণ নেই। তিন, কোন system গুরুত্বপূর্ণ তথ্য পরিকাঠামো, তা ধারা ১৫ অনুযায়ী সরকার গেজেট প্রজ্ঞাপনে ঘোষণা করতে পারে। বাইরে থেকে আপনি হয়তো বুঝবেন না, আর এখানে দণ্ড বেশি। চার, যাচাইয়ের সময় ধারা ১৭ আর ১৮-এর লেখায় নিরাপত্তা গবেষকের জন্য আলাদা ছাড় আমাদের চোখে পড়েনি। তাই লিখিত অনুমতিই আপনার সবচেয়ে নিরাপদ পথ।

প্রতিষ্ঠানের দায়িত্ব আর জানানোর পথ

ধারা ৯(৪)-এর শর্তাংশ অনুযায়ী, কোনো সরকারি, বেসরকারি বা স্বায়ত্তশাসিত সংস্থা ও প্রতিষ্ঠানে সাইবার ইন্সিডেন্ট ঘটলে তারা অনতিবিলম্বে এজেন্সির আওতাধীন জাতীয় কম্পিউটার ইমার্জেন্সি রেসপন্স টিমকে অবহিত করবে। তাই দায়িত্বে থাকলে নিজের প্রতিষ্ঠানের incident plan-এ এই ধাপটি রাখুন। Incident response নিয়ে বিস্তারিত পর্ব ৬১-এ।

জাতীয় সাইবার সুরক্ষা এজেন্সির ওয়েবসাইটের NCERT মেনু cirt.gov.bd-তে নিয়ে যায়। সেটি BGD e-GOV CIRT-এর সাইট, যা নিজেকে জাতীয় CIRT বলে পরিচয় দেয়। সেখানে একটি Report Incident ফর্ম আছে। ফর্মটি মূলত incident জানানোর জন্য, সাইটে আলাদা vulnerability disclosure নীতি আমরা পাইনি। তবু প্রতিষ্ঠান সাড়া না দিলে এটিই সরকারি পথ। CIRT মানে এমন দল, যাঁরা নিরাপত্তা-ঘটনায় সাড়া দেন।

দুটি উপাত্ত আইন

ব্যক্তিগত তথ্য নিয়ে কাজ করলে আরও দুটি আইন জানা দরকার। ব্যক্তিগত উপাত্ত সুরক্ষা আইন, ২০২৬ (৬৩ নং) আর জাতীয় উপাত্ত ব্যবস্থাপনা আইন, ২০২৬ (৮০ নং), দুটিই গেজেটে ১০ এপ্রিল ২০২৬ তারিখের। প্রথমটির ধারা ১(৩) অনুযায়ী ধারা ২৩ আর ৩১ থেকে ৩৫ বাদে বাকি অংশ ৬ নভেম্বর ২০২৫ থেকে কার্যকর বলে গণ্য, আর ওই ধারাগুলো কার্যকর হবে আইন জারির ১৮ মাস পরে সরকারের গেজেট-নির্ধারিত তারিখে। দ্বিতীয়টি ৬ নভেম্বর ২০২৫ থেকে কার্যকর বলে গণ্য। পরীক্ষকের প্রমাণ বা log-এ মানুষের তথ্য থাকলে এই আইনগুলোও প্রাসঙ্গিক হতে পারে। বিস্তারিত পর্ব ৭০-এ।

৯ · বিশ্বের আইন — সংক্ষিপ্ত নোট

ইন্টারনেটের সীমান্ত নেই, আইনের আছে। বিদেশি system পরীক্ষা করলে সেই দেশের আইনও প্রশ্নে আসতে পারে। নিচের তিনটি পরিচিত নাম, সংক্ষেপে আর সাবধানে বলা। প্রতিটির বর্তমান অবস্থা নিজে দেখে নিন।

১০ · AI-এর যুগে আইন আর নৈতিকতা

আইনি প্রশ্নে AI সবচেয়ে আত্মবিশ্বাসী ভুল করে। এর জ্ঞান পুরোনো হতে পারে। বাংলাদেশের ক্ষেত্রে এটি খুব বাস্তব ঝুঁকি, কারণ অল্প কয়েক বছরে আইনের নাম একাধিকবার বদলেছে।

AI ব্যবহারের আগে চেকলিস্ট

• AI যে আইন বা ধারার নাম বলেছে, সরকারি উৎসে নিজে পড়েছি
• CVE নম্বর, মান আর মামলার নাম মূল উৎসে মিলিয়েছি
• Prompt-এ client-এর নাম, ব্যক্তিগত তথ্য বা secret দিইনি
• AI-এর পরামর্শে কোনো check বন্ধ করিনি, যেমন verify=False বা chmod 777
• AI-কে কখনো অনুমতিহীন system-এর বিরুদ্ধে সাহায্য চাইনি
• মানুষের ওপর প্রভাব ফেলে এমন সিদ্ধান্ত একজন মানুষই নিচ্ছেন