भारतीय प्रतिभूति और विनिमय बोर्ड

Securities and Exchange Board of India

परिपत्र / CIRCULAR

HO/13/19/12(1)2026-ITD-1_CIMGI/10873/2026

05.05.2026

प्रति, To,

सभी ऑल्टिनेटटव इनवेस्टमेंट फं ड (एआईफ) All Alternative Investment Funds (AIFs)

सभी बकैं ि टू इश्यूऔि सल्े फ-सटटिफाइड सस ंडीके ट बैंक (एससीएसबी) All Bankers to an Issue (BTI) and Self-Certified Syndicate Banks (SCSBs)

सभी क्लीयरिंग कािपोिेशन All Clearing Corporations

सभी कलेक्क्टव इनवेस्टमेंट स्कीमें (सीआईएस) All Collective Investment Schemes (CIS)

सभी क्रे डडट िेटटंग एजेंससयााँ (सीआिए) All Credit Rating Agencies (CRAs)

सभी कस्टोडडयन All Custodians

सभी डडबेंचि ट्रस्टी (डीटी) All Debenture Trustees (DTs)

सभी डडपॉक्िटिी All Depositories

सभी डेससग्नेटेड डडपॉक्िटिी पाटटिससपेंट (डीडीपी) All Designated Depository Participants (DDPs)

सभी डडपॉक्िटिी पाटटिससपेंट (डडपॉक्िटिीि के जरिए) All Depository Participants through Depositories

सभी ननवेश सलाहकाि (आईए) / अनसु धं ान ववश्लेषक (आिए) All Investment Advisors (IAs) / Research Analysts (RAs)

सभी के वाईसी िक्जस्ट्रेशन एजेंससयााँ (के आिए) All KYC Registration Agencies (KRAs)

सभी मचेंट बैंकि (एमबी) All Merchant Bankers (MBs)

सभी म्यचू ुअल फंड (एमएफ) / असेट मैनेजमेंट कं पननयााँ (एएमसी) All Mutual Funds (MFs)/ Asset Management Companies (AMCs)

सभी पोटिफोसलयो प्रबंधक All Portfolio Managers

सभी िक्जस्ट्राि टू इश्यूऔि शेयि ट्रांसफि एजेंट (आिटीए) All Registrar to an Issue and Share Transfer Agents (RTAs)

सभी स्टॉक ब्रोकि (एक्सचेंजों के जरिए) All Stock Brokers through Exchanges

सभी स्टॉक एक्सचेंज All Stock Exchanges

सभी वेंचि कै वपटल फं ड (वीसीएफ) All Venture Capital Funds (VCFs)

---

महोदय/महोदया, Dear Sir/Madam,

विषय: खामियों (वल्नरेबिमलटी) का पता लगाने के सलए आए नए-नए एडवांस्ड एआई टूल (जैसे Mythos) के संबंध में एडवाइििी Subject: Advisory on Emerging Advanced Artificial Intelligence (AI) Tools for Vulnerability Detection (like Mythos)

क. खाममयों (वल्नरेबिमलटी) का पता लगाने वाले नए-नए एआई टूल (जैसे Claude Mythos) आने लगे हैं, जजनकी िदौलत ववननयममत (रेग्यलू ेटेड) एटं टटटयों के सामने नए-नए जोखखमों की आशंकाएँ पैदा हो रही हैं। जैसा कक ये टूल िड़ी तेज़ी से और िडे पैमाने पर काम करते हैं, तो यह ममु ककन है कक इनकी िदौलत जोखखमों की आशंका भ़ी काफी िढ़ जाए । इसके अलावा, यह भ़ी ममु ककन है कक डाटा की गोपऩीयता भ़ी खतरे में आ जाए, ऐजललके शन की ववश्वसऩीयता पर भ़ी सवाल खडा हो, और तो और उसके नत़ीजों को लेकर भ़ी भरोसा न हो ।

A. The rapid evolution of emerging technologies including AI-driven vulnerability identification tools (E.g. Claude Mythos) has introduced new dimensions of risks for Regulated Entities. Such tools may give rise to heightened risk exposure by enabling identification and potential exploitation of existing vulnerabilities using speed and scale. It may also introduce concerns relating to data confidentiality, application integrity and reliability of outputs.

ख. जैसा कक मसक्यरूरटीज़ माकेट की समचू ़ी व्यवस्था में सभ़ी माकेट पाटटिमसपेंट्स का एक-दसू रे से सरोकार भ़ी रहता है और उनकी एक-दसू रे पर ननभरि ता भ़ी रहत़ी है, इस़ीमलए यह जरूरी है कक इनकी खाममयों (वल्नरेबिमलटी) को दरू करने, जानकारी एक दसू रे से साझा करने और इन पर नज़र रखने / इनका आकलन करने के मलए एक साझा प्रयास ककया जाए, ताकक कहीं ऐसा न हो कक ककस़ी एक जगह या ककस़ी एक पर अगर आँच आए तो उसका असर ताश के पत्तों की तरह दसू री जगह या दसू रों पर भ़ी बिखरता नज़र आए ।

B. Due to the interconnectedness and interdependency of market participants in the Securities Market Ecosystem, a periodic coordinated approach for vulnerability management, information sharing and monitoring/assessment is required to prevent a cascading impact.

ग. उपरोक्त के मद्देनज़र, एक कायि-दल (टास्क फोसि), जजसका नाम cyber-suraksha.ai है (ईमेल आईड़ी: project-cyber-suraksha.ai@sebi.gov.in) िनाया गया है, जजसमें MIIs, QRTAs, सभ़ी QREs और दसू रे संिंधित स्टेकहोल्डसि के प्रनतननधियों को शाममल ककया गया है । इस कायि-दल के मख्ु य कायि इस प्रकार हैं:

C. In view of the above, a task force, namely cyber-suraksha.ai, (email id: project-cyber-suraksha.ai@sebi.gov.in) has been constituted comprising representatives from MIIs, QRTAs, all QREs, and other related stakeholders with the following mandate to:

i. िारीकी से यह जाँचना कक एआई वाले मॉडल से साइिर सरुक्षा को लेकर क्या-क्या जोखखम हो सकते हैं और ऐसे मॉडल की वजह से पैदा हो सकने वाले जोखखमों से ननपटने के मलए एकसमान ऩीनत ननिाररत करना । i. Closely examine the cybersecurity risks posed by AI based models and devise a uniform mitigation strategy against the risks posed by such models.

ii. अगर ककस़ी खतरे की आशंका की कोई जानकारी ममले, तो उसे साझा करना; खाममयों (वल्नरेबिमलटी) को दरू करने के मलए अपनाए जाने वाले िेहतरीन तरीकों की जानकारी साझा करना; यह जानकारी साझा करना कक खतरों से कै से ननपटा जाए। ii. Facilitate sharing of threat intelligence, best practices on vulnerability management, use cases and playbooks to respond to the threat vector etc.

iii. मसक्यरूरटीज़ माकेट में साइिर सरुक्षा की व्यवस्था को और पख्ु ता करने के मलहाज से साइिर हमलों की, गडिड़ी की हो रही कोमशशों की या िडे हमलों की तत्काल सचू ना देना, खाममयों (वल्नरेबिमलटी) आटद की तत्काल सचू ना देना । iii. Report on a priority basis, cyber incidents or malicious activities, significant attack vectors, information on vulnerabilities etc. that may be relevant to strengthen the cyber security posture of the securities markets.

iv. यह सम़ीक्षा करना कक थडि पाटी ऐललीके शन सववसि प्रोवाइडसि (सचू ़ी में शाममल वेंडरों सटहत) के यहाँ साइिर सरुक्षा की व्यवस्था कै स़ी है । iv. Review the cyber security posture of the third party application service providers including empaneled vendors.

घ. Mythos जैसे एआई ललेटफॉमि की वजह से पैदा हो सकने वाले जोखखमों की सम़ीक्षा करने और उनसे ननपटने के मलए उठाए जाने वाले कदमों के िारे में चचाि करने के मलए MIIs और QRTAs के साथ कायि-दल (टास्क फोसि) cyber-suraksha.ai की एक िैठक िलु ाई गई थ़ी । कायि-दल (टास्क फोसि) की इस िैठक में हुए ववचार-ववमशि के आिार पर, एक एडवाइज़री संलग्नक-क (Annexure-A) के रूप में संलग्न है ।

D. A meeting of the task force cyber-suraksha.ai was convened (with MIIs and QRTAs) to review the risks posed by AI platforms like Mythos and discuss the mitigation measures. Based on the consultation with the said task force, an advisory is enclosed at Annexure-A.

ङ. इस एडवाइज़री के साथ-साथ सेि़ी के लागू पररपत्रों (सकुिलस) [जजनमें साइिर सरुक्षा और साइिर हमलों से ननपटने की क्षमता के ढाँचे के संिंि में जारी ककया गया पररपत्र शाममल है] और सेि़ी द्वारा िाद में समय-समय पर ककए जाने वाले अपडेट पर भ़ी अवश्य गौर ककया जाए ।

E. This advisory should be read in conjunction with the applicable SEBI circulars (including but not limited to Cybersecurity and Cyber Resilience framework) and any subsequent updates issued by SEBI from time to time.

च. यह पररपत्र (सकुिलर) भारत़ीय प्रनतभनूत और ववननमय िोडि अधिननयम, 1992 (सेि़ी एक्ट, 1992) की िारा 11(1) [जो मसक्यरूरटीज़ माकेट में ननवेश करने वाले ननवेशकों के टहतों की रक्षा करने और मसक्यरूरटीज़ माकेट के ववकास को िढ़ावा देने और उसे ववननयममत (रेग्यलू ेट) करने से संिंिित है] के तहत प्रदान की गई शजक्तयों का प्रयोग करते हुए जारी ककया जा रहा है ।

F. This circular is issued in exercise of powers conferred under Section 11 (1) of the Securities and Exchange Board of India Act, 1992, to protect the interests of investors in securities and to promote the development of, and to regulate the securities market.

भवदीया Yours Faithfully,

ममता िॉय Mamata Roy उप महाप्रबंधक Deputy General Manager दिूभाष / Phone: 022-26449599 ईमेल / Email: mamtar@sebi.gov.in

---

Annexure-A

1. Update all operating systems and applications with the latest patches on immediate basis to mitigate any identified/known vulnerabilities. As an interim measure for the vulnerabilities where patches are not available, virtual patching can be considered for protecting systems and networks.

2. Conduct Vulnerability Assessment (Using conventional and suitable AI based Vulnerability Assessment Tools where possible) and undertake security audits on a regular/continuous basis in accordance with Cyber Security and Cyber Resilience Framework of SEBI.

3. Engage with the respective RE’s third party vendors to release timely patches and deploy them appropriately. Exchanges and Depositaries shall direct their empaneled application vendors (providing COTS solution to respective members) to undertake comprehensive assessment of the risks arising from the use of AI-led vulnerability detection models. Based on the assessment, vendors shall implement appropriate safeguards including updating patch, VAPT, continuous monitoring, hardening measures etc.

4. Change Management: Any change in the systems (including minor changes) should encompass full documentation, thorough impact analysis, structured review, rigorous testing and secure deployment to ensure operational resilience and system stability.

5. API Security: a) Inventory of all APIs and the applications using the APIs should be updated regularly. b) Ensure strong authentication and authorization mechanisms to enable secure verification of end-user client identity as well as limit the information access/ transfer to users/ systems based on least privilege. c) API rate limiting and throttling to prevent and detect abuse. d) Connections through APIs to be strictly on a whitelist-based approach.

6. SOC Monitoring: a) Regular day-to-day monitoring of the systems and networks must be carried out vigorously. SOC alerts should be adequately examined including the low-priority alerts. b) Implement enhanced security orchestration and Automated Response (SOAR) playbooks integrated with Security Incident and Event Management (SIEM) solutions, after thorough testing wherever feasible. c) The Market SOC (M-SOC), established by NSE and BSE, which serves as a centralized security platform, provides 24x7 real-time monitoring and threat detection across digital infrastructure. In the view of enhanced risks posed by AI-driven attacks, all eligible REs (not on boarded with any M-SOC) shall expedite the onboarding. d) MIIs are required to conduct awareness and handholding programs, including periodic workshops to ensure a smooth onboarding process and integration with M-SOC.

7. Risk Assessment: The Cyber Security and Cyber Resilience Framework (CSCRF) of SEBI has mandated periodic Risk Assessment of the REs including their Third Party Service Providers to enhance visibility and conduct a reasonably accurate assessment of the overall cybersecurity risk posture. Risk assessment shall include comprehensive scenario-based testing for assessing risks (including both internal and external risks) related to cybersecurity in REs’ IT environment. The capability of AI based models may also be considered as one of the risk scenarios.

---