L’Espagne enregistre sa première violation de données menée par un agent IA autonome

L’autorité espagnole de protection des données, l’AEPD, a confirmé la première notification officielle de violation du pays impliquant un agent IA autonome agissant en grande partie de sa propre initiative, selon un rapport publié cette semaine. Un individu a déployé un agent basé sur un grand modèle de langage courant pour attaquer une organisation dont l’identité n’a pas été divulguée publiquement, et l’agent a mené une intrusion en plusieurs étapes sans direction humaine pas à pas.

Selon le récit de l’AEPD, l’agent a d’abord scanné des fichiers génériques à la recherche de vulnérabilités exploitables, puis a utilisé ce qu’il a trouvé pour se connecter au réseau cible. De là, il a recherché de manière autonome des faiblesses supplémentaires dans les applications de l’organisation, exploité une faille découverte lors de cette reconnaissance, et dans la dernière étape, modifié des dossiers de données personnelles et accédé à des données de facturation.

Francisco Pérez Bes, directeur adjoint de l’AEPD, a déclaré : « Cette notification initiale ne nous permet pas d’établir une tendance statistique », tout en reconnaissant que les attaques activées par l’IA se sont désormais « matérialisées dans des incidents affectant le traitement réel de données personnelles ».