La Agencia Española de Protección de Datos alerta del primer ataque ejecutado por un agente de IA
La Agencia Española de Protección de Datos ha recibido la primera notificación de una brecha de datos personales en la que el incidente ha sido ejecutado mediante un agente de inteligencia artificial que utilizó para ello un conocido modelo de lenguaje.
Este agente de IA, según indica la Agencia, inició una búsqueda de vulnerabilidades en archivos genéricos, y realizó un inicio de sesión (login) correcto y, una vez accedió al sistema, comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación, lo que, una vez conseguido, le permitió modificar datos personales y acceder a facturas.
Según indica la Agencia, «lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque». Esta primera notificación constituye una señal significativa de que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y empiezan a materializarse en incidentes que afectan a tratamientos reales de datos personales.
Esta alerta confirma la necesidad de incorporar expresamente los ataques asistidos o ejecutados mediante IA a los análisis de riesgos de los tratamientos; no basta con incluir una referencia genérica a malware, phishing o acceso no autorizado, pues esta automatización puede modificar sustancialmente la probabilidad, la velocidad y el alcance del incidente.
