परिपत्र / CIRCULAR
HO/13/19/12(1)2026-ITD-1_CIMGI/10873/2026 05.05.2026
To,
प्रति,
All Alternative Investment Funds (AIFs)
सभी ऑल्टिनेटटव इनवेस्टमेंट फंड )एआईफ(
All Bankers to an Issue (BTI) and Self-
सभी बकैं ि टू इश्य ू औि सल्े फ-सटटिफाइड ससडं ीकेट
Certified Syndicate Banks (SCSBs)
बकैं )एससीएसबी(
All Clearing Corporations
सभी क्लीयरिगं कािपोिेशन
All Collective Investment Schemes (CIS)
सभी कलेक्क्टव इनवेस्टमेंट स्कीमें )सीआईएस(
सभी क्रेडडट िेटटगं एजेंससया ाँ )सीआिए( All Credit Rating Agencies (CRAs)
सभी कस्टोडडयन All Custodians
All Debenture Trustees (DTs)
सभी डडबेंचि ट्रस्टी )डीटी(
All Depositories
सभी डडपॉक्िटिी
All Designated Depository Participants
सभी डसे सग्नेटेड डडपॉक्िटिी पाटटिससपेंट )डीडीपी(
(DDPs)
सभी डडपॉक्िटिी पाटटिससपेंट )डडपॉक्िटिीि के All Depository Participants through
Depositories
जरिए(
All Investment Advisors (IAs) / Research
सभी ननवेश सलाहकाि )आईए( / अनसु धं ान
Analysts (RAs)
ववश्लेषक )आिए(
सभी केवाईसी िक्जस्ट्रेशन एजेंससयााँ )केआिए( All KYC Registration Agencies (KRAs)
सभी मचेंट बकैं ि )एमबी( All Merchant Bankers (MBs)
सभी म्यचू ुअल फंड )एमएफ( / असेट मनै ेजमेंट All Mutual Funds (MFs)/ Asset Management
Companies (AMCs)
कंपननयााँ )एएमसी(
All Portfolio Managers
सभी पोटिफोसलयो प्रबधं क
सभी िक्जस्ट्राि टू इश्य ू औि शये ि ट्रांसफि एजेंट All Registrar to an Issue and Share
Transfer Agents (RTAs)
)आिटीए(
All Stock Brokers through Exchanges
सभी स्टॉक ब्रोकि )एक्सचेंजों के जरिए(
सभी स्टॉक एक्सचेंज All Stock Exchanges
सभी वेंचि कैवपटल फंड )वीसीएफ( All Venture Capital Funds (VCFs)
पष्ृ ठ स.ं 1 (कुल पष्ृ ठ 7) Page 1 of 7
महोदय/महोदया, Dear Sir/Madam,
Subject: Advisory on Emerging Advanced
ववषय: खासमयों )वल्निेबबसलटी( का पता लगाने के
Artificial Intelligence (AI) Tools
सलए आए नए-नए एडवांस्ड एआई टूल for Vulnerability Detection (like
)जैसे Mythos( के सबं धं में एडवाइििी
Mythos)
A. The rapid evolution of emerging
क. खाममयों (वल्नरेबिमलटी) का पता लगाने वाले
technologies including AI-driven
नए-नए एआई टूल (जैस े Claude Mythos)
vulnerability identification tools (E.g.
आने लग े हैं, जजनकी िदौलत ववननयममत
Claude Mythos) has introduced new
(रेग्यलू ेटेड) एटं टटटयों के सामने नए-नए
dimensions of risks for Regulated Entities.
जोखखमों की आशकं ाएँ पदै ा हो रही हैं । जैसा
Such tools may give rise to heightened risk
कक ये टूल िड़ी तजे ़ी से और िड े पमै ाने पर
exposure by enabling identification and
काम करत े हैं, तो यह ममु ककन है कक इनकी
िदौलत जोखखमों की आशकं ा भ़ी काफी िढ़ potential exploitation of existing
जाए । इसके अलावा, यह भ़ी ममु ककन है vulnerabilities using speed and scale. It
कक डाटा की गोपऩीयता भ़ी खतरे में आ जाए,
may also introduce concerns relating to
ऐजललकेशन की ववश्वसऩीयता पर भ़ी सवाल
data confidentiality, application integrity
खडा हो, और तो और उसके नत़ीजों को लेकर
and reliability of outputs.
भ़ी भरोसा न हो ।
B. Due to the interconnectedness and
ख. जैसा कक मसक्यरू रटीज़ माकेट की समचू ़ी
interdependency of market participants in
व्यवस्था में सभ़ी माकेट पाटटिमसपेंट्स का
the Securities Market Ecosystem, a
एक-दसू रे से सरोकार भ़ी रहता है और उनकी
periodic coordinated approach for
एक-दसू रे पर ननभरि ता भ़ी रहत़ी है, इस़ीमलए
vulnerability management, information
यह जरूरी है कक इनकी खाममयों
sharing and monitoring/assessment is
(वल्नरेबिमलटी) को दरू करने, जानकारी एक-
दसू रे से साझा करने और इन पर नज़र रखन े required to prevent a cascading impact.
/ इनका आकलन करने के मलए एक साझा
प्रयास ककया जाए, ताकक कहीं ऐसा न हो कक
ककस़ी एक जगह या ककस़ी एक पर अगर आचँ
आए तो उसका असर ताश के पत्तों की तरह
दसू री जगह या दसू रों पर भ़ी बिखरता नज़र
आए ।
पष्ृ ठ स.ं 2 (कुल पष्ृ ठ 7) Page 2 of 7
C. In view of the above, a task force, namely
ग. उपरोक्त के मद्देनज़र, एक काय-ि दल (टास्क
cyber-suraksha.ai, (email id: project-
फोस)ि , जजसका नाम cyber-suraksha.ai है
(ईमेल आईड़ी: project-cyber- cyber-suraksha.ai@sebi.gov.in) has been
suraksha.ai@sebi.gov.in) िनाया गया है, constituted comprising representatives
जजसमें MIIs, QRTAs, सभ़ी QREs और दसू रे from MIIs, QRTAs, all QREs, and other
related stakeholders with the following
सिं धं ित स्टेकहोल्डस ि के प्रनतननधियों को
शाममल ककया गया है । इस काय-ि दल के mandate to:
मख्ु य काय ि इस प्रकार हैं:
i. िारीकी से यह जाँचना कक एआई वाल े i. Closely examine the cybersecurity risks
मॉडल से साइिर सरु क्षा को लेकर क्या- posed by AI based models and devise a
क्या जोखखम हो सकत े ह ैं और ऐस े मॉडल uniform mitigation strategy against the
की वजह से पदै ा हो सकन े वाले जोखखमों risks posed by such models.
से ननपटने के मलए एकसमान ऩीनत
ननिाररत करना ।
ii. अगर ककस़ी खतरे की आशकं ा की कोई ii. Facilitate sharing of threat intelligence,
best practices on vulnerability
जानकारी ममले, तो उस े साझा करना;
management, use cases and playbooks
खाममयों (वल्नरेबिमलटी) को दरू करने के
to respond to the threat vector etc.
मलए अपनाए जाने वाले िहे तरीन तरीकों
की जानकारी साझा करना; यह जानकारी
साझा करना कक खतरों से कैसे ननपटा
जाए।
iii. मसक्यरू रटीज़ माकेट में साइिर सरु क्षा की iii. Report on a priority basis, cyber
incidents or malicious activities,
व्यवस्था को और पख्ु ता करने के मलहाज
से साइिर हमलों की, गडिड़ी की हो रही significant attack vectors, information
कोमशशों की या िड े हमलों की तत्काल on vulnerabilities etc. that may be
सचू ना देना, खाममयों (वल्नरेबिमलटी) आटद relevant to strengthen the cyber security
की तत्काल सचू ना देना । posture of the securities markets.
iv. यह सम़ीक्षा करना कक थड ि पाटी ऐललीकेशन iv. Review the cyber security posture of the
third party application service providers
सववसि प्रोवाइडस ि (सचू ़ी में शाममल वेंडरों
including empaneled vendors.
सटहत) के यहाँ साइिर सरु क्षा की व्यवस्था
कैस़ी है ।
पष्ृ ठ स.ं 3 (कुल पष्ृ ठ 7) Page 3 of 7
D. A meeting of the task force cyber-
घ. Mythos जैस े एआई ललेटफॉम ि की वजह स े
suraksha.ai was convened (with MIIs and
पदै ा हो सकने वाल े जोखखमों की सम़ीक्षा करन े
QRTAs) to review the risks posed by AI
और उनसे ननपटने के मलए उठाए जाने वाल े
platforms like Mythos and discuss the
कदमों के िारे में चचाि करने के मलए MIIs
mitigation measures. Based on the
और QRTAs के साथ काय-ि दल (टास्क फोस)ि
consultation with the said task force, an
cyber-suraksha.ai की एक िठै क िलु ाई गई
advisory is enclosed at Annexure-A.
थ़ी । काय-ि दल (टास्क फोस)ि की इस िठै क
में हुए ववचार-ववमश ि के आिार पर, एक
एडवाइज़री सलं ग्नक-क )Annexure-A) के
रूप में सलं ग्न है ।
E. This advisory should be read in
ङ. इस एडवाइज़री के साथ-साथ सेि़ी के लाग ू
conjunction with the applicable SEBI
पररपत्रों (सकुिलस)ि [जजनमें साइिर सरु क्षा और
circulars (including but not limited to
साइिर हमलों से ननपटने की क्षमता के ढाचँ े
Cybersecurity and Cyber Resilience
के सिं िं में जारी ककया गया पररपत्र शाममल
framework) and any subsequent updates
है] और सेि़ी द्वारा िाद में समय-समय पर
issued by SEBI from time to time.
ककए जाने वाल े अपडटे पर भ़ी अवश्य गौर
ककया जाए ।
च. यह पररपत्र (सकुिलर) भारत़ीय प्रनतभनू त और
F. This circular is issued in exercise of
powers conferred under Section 11 (1) of
ववननमय िोड ि अधिननयम, 1992 (सेि़ी एक्ट,
the Securities and Exchange Board of
1992) की िारा 11(1) [जो मसक्यरू रटीज़
India Act, 1992, to protect the interests of
माकेट में ननवेश करने वाले ननवेशकों के टहतों
investors in securities and to promote the
की रक्षा करने और मसक्यरू रटीज़ माकेट के
development of, and to regulate the
ववकास को िढ़ावा देने और उसे ववननयममत
(रेग्यलू ेट) करने स े सिं धं ित है] के तहत प्रदान securities market.
की गई शजक्तयों का प्रयोग करत े हुए जारी
ककया जा रहा है ।
भवदीया Yours Faithfully,
ममता िॉय Mamata Roy
उप महाप्रबंधक
Deputy General Manager
दिू भाष / Phone: 022-26449599
ईमेल / Email: mamtar@sebi.gov.in
पष्ृ ठ स.ं 4 (कुल पष्ृ ठ 7) Page 4 of 7
Annexure-A
1. Update all operating systems and applications with the latest patches on
immediate basis to mitigate any identified/known vulnerabilities. As an interim
measure for the vulnerabilities where patches are not available, virtual patching
can be considered for protecting systems and networks.
2. Conduct Vulnerability Assessment (Using conventional and suitable AI based
Vulnerability Assessment Tools where possible) and undertake security audits
on a regular/continuous basis in accordance with Cyber Security and Cyber
Resilience Framework of SEBI.
3. Engage with the respective RE’s third party vendors to release timely patches
and deploy them appropriately. Exchanges and Depositaries shall direct their
empaneled application vendors (providing COTS solution to respective
members) to undertake comprehensive assessment of the risks arising from the
use of AI-led vulnerability detection models. Based on the assessment, vendors
shall implement appropriate safeguards including updating patch, VAPT,
continuous monitoring, hardening measures etc.
4. Change Management: Any change in the systems (including minor changes)
should encompass full documentation, thorough impact analysis, structured
review, rigorous testing and secure deployment to ensure operational resilience
and system stability.
5. API Security:
a) Inventory of all APIs and the applications using the APIs should be updated
regularly.
b) Ensure strong authentication and authorization mechanisms to enable
secure verification of end-user client identity as well as limit the information
access/ transfer to users/ systems based on least privilege.
c) API rate limiting and throttling to prevent and detect abuse.
d) Connections through APIs to be strictly on a whitelist-based approach.
पष्ृ ठ स.ं 5 (कुल पष्ृ ठ 7) Page 5 of 7
6. SOC Monitoring:
a) Regular day-to-day monitoring of the systems and networks must be carried
out vigorously. SOC alerts should be adequately examined including the
low-priority alerts.
b) Implement enhanced security orchestration and Automated Response
(SOAR) playbooks integrated with Security Incident and Event
Management (SIEM) solutions, after thorough testing wherever feasible.
c) The Market SOC (M-SOC), established by NSE and BSE, which serves as
a centralized security platform, provides 24x7 real-time monitoring and
threat detection across digital infrastructure. In the view of enhanced risks
posed by AI-driven attacks, all eligible REs (not on boarded with any M-
SOC) shall expedite the onboarding.
d) MIIs are required to conduct awareness and handholding programs,
including periodic workshops to ensure a smooth onboarding process and
integration with M-SOC.
7. Risk Assessment: The Cyber Security and Cyber Resilience Framework
(CSCRF) of SEBI has mandated periodic Risk Assessment of the REs including
their Third Party Service Providers to enhance visibility and conduct a
reasonably accurate assessment of the overall cybersecurity risk posture. Risk
assessment shall include comprehensive scenario-based testing for assessing
risks (including both internal and external risks) related to cybersecurity in REs’
IT environment. The capability of AI based models may also be considered as
one of the risk scenarios.
8. Implement system hardening by adopting secure configurations, disabling
unnecessary services and default accounts, and enforcing solutions like least
privilege, Zero Trust Network (ZTNA) to minimize the attack surface.
9. Periodically update Asset Inventory and Software Bill of Materials for all critical
applications including open source stack.
पष्ृ ठ स.ं 6 (कुल पष्ृ ठ 7) Page 6 of 7
10. MIIs and other Regulated Entities shall seek guidance from their respective IT
committees for mitigating risks emanating from AI-led vulnerability detection
models. Further, all REs need to prepare a long-term plan for usage of AI in
detection and autonomous/agentic mitigation. Also, undertake other measures
including recalibration of risks for AI accelerated threats, AI augmented SOC
transformation, and continuous vulnerability management using AI tools.
**********************
पष्ृ ठ स.ं 7 (कुल पष्ृ ठ 7) Page 7 of 7