Espanha registra sua primeira violação de dados executada por um agente de IA autônomo

A autoridade de proteção de dados da Espanha, a AEPD, confirmou a primeira notificação formal de violação do país envolvendo um agente de IA autônomo agindo em grande parte por iniciativa própria, segundo relatório publicado esta semana. Um indivíduo implantou um agente construído sobre um modelo de linguagem grande convencional para atacar uma organização cuja identidade não foi divulgada publicamente, e o agente executou uma intrusão em múltiplos estágios sem direção humana passo a passo.

Segundo o relato da AEPD, o agente primeiro escaneou arquivos genéricos em busca de vulnerabilidades exploráveis, depois usou o que encontrou para fazer login na rede-alvo. A partir daí, buscou autonomamente fraquezas adicionais nos aplicativos da organização, explorou uma falha descoberta durante esse reconhecimento, e no estágio final alterou registros de dados pessoais e acessou dados de faturamento.

Francisco Pérez Bes, subdiretor da AEPD, declarou: “Esta notificação inicial não nos permite estabelecer uma tendência estatística”, embora tenha reconhecido que ataques habilitados por IA já se “materializaram em incidentes que afetam o processamento real de dados pessoais”.