- सार्वजनिक जांच के अनुसार OpenAI, अमेरिकी सरकार, और Persona से जुड़े इंफ्रास्ट्रक्चर में उपयोगकर्ताओं के पहचान डेटा की निगरानी और रिपोर्टिंग करने वाला ‘watchlistdb’ सिस्टम संचालित हो रहा है
- कोड से पुष्टि होती है कि यह सिस्टम face recognition, financial crime reporting (SAR/STR), politician similarity analysis, crypto address tracking सहित 269 verification procedures चलाता है
- Persona का सरकारी प्लेटफ़ॉर्म (
withpersona-gov.com) में FinCEN (अमेरिकी वित्त विभाग का Financial Crimes Enforcement Network) और FINTRAC (कनाडा का Financial Transactions and Reports Analysis Centre) को सीधे रिपोर्ट जमा करने की सुविधा शामिल है
- OpenAI की user verification process Persona के इंफ्रास्ट्रक्चर के ज़रिये की जाती है, और इस दौरान चेहरे और पहचान पत्र की images, biometric data, location data आदि एकत्र और संग्रहीत किए जाते हैं
- एक ही codebase का उपयोग private services और government surveillance systems दोनों में हो रहा है, जिससे AI services के उपयोग और राज्य निगरानी तंत्र के बीच की सीमा धुंधली हो गई है
जांच का अवलोकन
- शोधकर्ताओं ने विश्लेषण के लिए केवल Shodan, CT logs, DNS, HTTP headers, public source maps जैसी सार्वजनिक सामग्रियों का उपयोग किया
- स्पष्ट रूप से कहा गया है कि कोई illegal access या hacking नहीं हुई, और सारा डेटा सार्वजनिक सर्वरों से एकत्र किया गया
- जांच में
openai-watchlistdb.withpersona.com और openai-watchlistdb-testing.withpersona.com जैसे OpenAI-संबंधित subdomains मिले
- ये सर्वर Google Cloud (Kansas City) में स्थित हैं और Cloudflare protection के बिना स्वतंत्र रूप से संचालित हो रहे हैं
- certificate transparency logs के अनुसार ये नवंबर 2023 से 2 साल से अधिक समय से सक्रिय हैं
Persona इंफ्रास्ट्रक्चर और सरकारी कनेक्शन
- Persona एक San Francisco-आधारित identity verification company है, और उसकी सामान्य services Cloudflare के पीछे संचालित होती हैं
- लेकिन OpenAI के लिए watchlistdb instance अलग GCP सर्वर पर स्वतंत्र रूप से चलाया जा रहा है, इसलिए इसे high-risk data isolation के लिए dedicated infrastructure माना जा रहा है
withpersona-gov.com डोमेन एक FedRAMP-certified (अक्टूबर 2025) सरकारी deployment है, जिसमें
- FinCEN reporting, face recognition, financial data widgets, real-time user monitoring जैसी सुविधाएं शामिल हैं
- Okta-based login system और Cloudflare Access-protected area मौजूद हैं
ONYX deployment और source code exposure
- फरवरी 2026 में
onyx.withpersona-gov.com नाम का नया subdomain सामने आया
- यह ICE (अमेरिकी Immigration and Customs Enforcement) द्वारा इस्तेमाल किए जाने वाले Fivecast ONYX surveillance tool के समान नाम का उपयोग करता है
- कोड में सीधा संबंध नहीं मिला, लेकिन naming और infrastructure similarity की पुष्टि हुई
- इस सर्वर ने बिना authentication के 53MB का TypeScript source map सार्वजनिक रूप से उपलब्ध कराया
- internal code में SAR/STR reporting, face database, PEP (Politically Exposed Person) face comparison, crypto address monitoring जैसी सुविधाएं शामिल थीं
- 269 verification items और 13 प्रकार की tracking lists परिभाषित थीं
मुख्य सुविधाएं और data flow
- SAR (Suspicious Activity Report): FinCEN को सीधे भेजा जा सकता है, और status values (received, warning, rejected आदि) मैनेज की जा सकती हैं
- STR (Suspicious Transaction Report): FINTRAC को जमा किया जाता है, और Project SHADOW, LEGION जैसे intelligence codename tags जोड़े जा सकते हैं
- face database: डेटा अधिकतम 3 साल तक रखा जा सकता है, और selfie को list में जोड़कर दोबारा verification किया जा सकता है
- PEP face comparison: उपयोगकर्ता की selfie की राजनेताओं और सार्वजनिक अधिकारियों की तस्वीरों से similarity analysis की जाती है
- Chainalysis integration: crypto addresses के risk level का आकलन और लगातार monitoring
- OpenAI integration: सरकारी प्लेटफ़ॉर्म के भीतर AI Copilot (AskAI) फीचर, जो operators के काम में मदद करने वाला chat assistant है
कानूनी और नैतिक मुद्दे
- यह पुष्टि हुई कि OpenAI की identity verification policy (2025 में लागू) से पहले ही watchlist infrastructure चल रहा था
- biometric data retention period कोड में 3 साल बताई गई है, जबकि OpenAI ने 1 साल बताई थी
- Illinois BIPA (Biometric Information Privacy Act) के संभावित उल्लंघन की आशंका जताई गई
- Ukraine block policy इसमें शामिल है, जबकि वह कानूनी प्रतिबंध के दायरे में नहीं आती
- उपयोगकर्ताओं की पहुंच अस्वीकृति के कारण या appeal process बताए बिना रोकी जा सकती है
निष्कर्ष
- यह पुष्टि हुई कि Persona का एक ही codebase private AI service (OpenAI) और government surveillance तथा financial reporting systems दोनों में उपयोग हो रहा है
- कोड में FinCEN/FINTRAC reporting, face recognition, politician similarity analysis, crypto tracking जैसी surveillance-grade capabilities शामिल हैं
- सीधे data transfer path की पुष्टि नहीं हुई, लेकिन AI service के उपयोग की प्रक्रिया तकनीकी रूप से राज्य निगरानी ढांचे से जुड़ सकने वाली संरचना रखती है
- शोधकर्ताओं ने Persona और OpenAI से FedRAMP compliance verification और 18 बिंदुओं पर औपचारिक जवाब मांगा है, तथा आगे और खुलासे का संकेत दिया है
अभी कोई टिप्पणी नहीं है.