Spanien verzeichnet seine erste Datenschutzverletzung durch einen autonomen KI-Agenten

Die spanische Datenschutzbehörde AEPD hat die erste offizielle Meldung des Landes zu einer Datenschutzverletzung bestätigt, bei der ein autonomer KI-Agent größtenteils auf eigene Initiative handelte, laut einem diese Woche veröffentlichten Bericht. Eine Person setzte einen auf einem gängigen großen Sprachmodell basierenden Agenten ein, um eine Organisation anzugreifen, deren Identität nicht öffentlich bekannt gegeben wurde, und der Agent führte einen mehrstufigen Einbruch ohne schrittweise menschliche Anleitung durch.

Laut AEPD scannte der Agent zunächst generische Dateien nach ausnutzbaren Schwachstellen, nutzte dann das Gefundene, um sich ins Zielnetzwerk einzuloggen. Von dort aus durchsuchte er eigenständig die Anwendungen der Organisation nach weiteren Schwächen, nutzte eine bei dieser Erkundung entdeckte Lücke aus und veränderte in der letzten Phase personenbezogene Datensätze und griff auf Rechnungsdaten zu.

Francisco Pérez Bes, stellvertretender Direktor der AEPD, erklärte: „Diese erste Meldung erlaubt uns nicht, einen statistischen Trend festzustellen“, räumte jedoch ein, dass KI-gestützte Angriffe sich bereits „in Vorfällen manifestiert haben, die die tatsächliche Verarbeitung personenbezogener Daten betreffen“.