España registra su primera filtración de datos ejecutada por un agente de IA autónomo

La autoridad de protección de datos de España, la AEPD, ha confirmado la primera notificación formal de brecha del país que involucra a un agente de IA autónomo actuando en gran medida por iniciativa propia, según un informe publicado esta semana. Un individuo desplegó un agente construido sobre un modelo de lenguaje grande convencional para atacar a una organización cuya identidad no se ha revelado públicamente, y el agente llevó a cabo una intrusión de múltiples etapas sin dirección humana paso a paso.

Según el relato de la AEPD, el agente primero escaneó archivos genéricos en busca de vulnerabilidades explotables, luego usó lo que encontró para iniciar sesión en la red objetivo. Desde ahí, buscó autónomamente debilidades adicionales en las aplicaciones de la organización, explotó una falla descubierta durante ese reconocimiento, y en la etapa final alteró registros de datos personales y accedió a datos de facturación.

Francisco Pérez Bes, subdirector de la AEPD, declaró: “Esta notificación inicial no nos permite establecer una tendencia estadística”, aunque reconoció que los ataques habilitados por IA ya se han “materializado en incidentes que afectan el procesamiento real de datos personales”.