La Agencia Española de Protección de Datos ha registrado la primera notificación de una brecha de datos personales en la que el incidente habría sido ejecutado mediante un agente de IA. La organización afectada no ha sido identificada.
La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación de una brecha de datos personales en la que el incidente habría sido ejecutado mediante un agente de inteligencia artificial que utilizó un conocido modelo de lenguaje. La información, avanzada por muycomputer.com, procede de la organización afectada y todavía debe someterse al análisis correspondiente, según la propia agencia.
Según la notificación, el agente inició una búsqueda de vulnerabilidades en archivos genéricos y logró completar un inicio de sesión. Una vez dentro del sistema, continuó examinando de forma autónoma la aplicación hasta localizar nuevas vulnerabilidades, lo que después le permitió modificar datos personales y acceder a facturas.
La AEPD no ha identificado a la organización afectada, tampoco ha especificado qué modelo se utilizó, cómo se obtuvieron las credenciales ni cuántas personas pudieron verse afectadas. La agencia subraya que el uso de un determinado modelo no implica que ese modelo o la infraestructura de su proveedor hayan sido comprometidos, ni que la herramienta estuviera diseñada para actividades maliciosas.
«La amenaza no cambia necesariamente de naturaleza; lo que cambia es la velocidad, la escala y la capacidad de adaptación con la que puede desarrollarse»
La AEPD considera que este tipo de ataques deberá figurar de manera expresa en los análisis de riesgos asociados al tratamiento de datos personales. Los procedimientos pensados para incidentes ejecutados manualmente pueden quedarse cortos si un agente es capaz de examinar varios activos, probar diferentes vías de acceso y modificar su estrategia con rapidez.
La agencia también advierte de que aumenta el peso de las identidades digitales: una cuenta, una clave API o un token con permisos excesivos puede convertirse en una puerta de entrada peligrosa cuando quien los utiliza puede operar a velocidad de máquina. La supervisión humana sigue siendo necesaria, pero tendrá que apoyarse cada vez más en mecanismos automáticos de detección, contención y respuesta.
Esta primera notificación no significa que estemos ante el primer incidente real en el que interviene un agente de IA. En los últimos meses ya se han conocido casos en los que sistemas de este tipo han actuado sobre infraestructura real. Lo nuevo es que ese escenario ha llegado formalmente al sistema español de notificación de brechas de protección de datos.
La AEPD evita extraer conclusiones estadísticas a partir de un solo caso, pero sí considera que estamos ante una señal de que los ataques apoyados en IA han dejado de ser únicamente un riesgo teórico y empiezan a materializarse en tratamientos reales de datos personales. Las vulnerabilidades, las credenciales comprometidas y los accesos indebidos siguen siendo los mismos problemas que llevan años ocupando a los equipos de seguridad; lo que empieza a cambiar es cuánto puede suceder antes de que alguien tenga tiempo de reaccionar.
También te puede interesar
