La Agencia Española de Protección de Datos (AEPD) ha recibido, de acuerdo con fuentes internas del organismo, la primera notificación de una brecha de datos personales que presuntamente fue ejecutada mediante un agente de inteligencia artificial. Este incidente representa un punto de inflexión que obliga a las organizaciones a incorporar este tipo de automatización en sus análisis de riesgos y a acelerar sus mecanismos de respuesta.
Según la notificación presentada ante la Agencia, el agente utilizó un modelo de lenguaje conocido para localizar fallos en archivos genéricos, iniciar sesión correctamente y explorar la aplicación de forma autónoma. Una vez identificada una vulnerabilidad, el sistema pudo modificar datos personales y consultar facturas de terceros.
El organismo ha advertido que la información proviene de la comunicación de la entidad afectada y deberá someterse al análisis correspondiente antes de llegar a conclusiones definitivas. También ha aclarado que el uso de un modelo concreto no implica que ese sistema ni la infraestructura de su proveedor hayan sido comprometidos, ni que la herramienta haya sido creada con fines maliciosos.
Hasta el momento no han trascendido las empresas implicadas ni el modelo utilizado, descrito únicamente como un “conocido modelo de lenguaje”. El reporte entregado a la AEPD sostiene que un tercero empleó un agente de IA para encadenar con éxito varias fases del ataque.
Impacto de los agentes de IA en la ciberseguridad
La AEPD ha subrayado que la inteligencia artificial ya se utilizaba en actividades ilícitas: los modelos generativos pueden redactar mensajes de suplantación de identidad, traducir campañas fraudulentas, analizar código y facilitar la búsqueda de vulnerabilidades. La novedad radica en la autonomía que ofrecen los agentes.
Un agente de IA puede recibir un objetivo, planificar tareas intermedias, emplear herramientas, ejecutar código, consultar fuentes, interpretar resultados y modificar su actuación según lo que encuentre. La Agencia sostiene que la inteligencia artificial no crea amenazas nuevas, pero incrementa la velocidad, la escala y la capacidad de adaptación de técnicas ya conocidas, y reduce el margen para detectarlas y contenerlas.
Esta primera comunicación no permite establecer una tendencia estadística, aunque la AEPD considera que es una señal de que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y han comenzado a afectar a tratamientos reales de datos personales.
Según explicó Francisco Pérez Bes, director adjunto de la Agencia, en un blog institucional, este episodio modifica el escenario de gestión de riesgos. Las organizaciones deben incluir expresamente los ataques asistidos o ejecutados mediante IA en sus evaluaciones, sin limitarse a referencias genéricas al software malicioso, la suplantación de identidad o los accesos no autorizados.
La investigación continúa en desarrollo.
Fuente: Infobae