La Agencia Española de Protección de Datos (AEPD) recibió una notificación sobre una brecha de seguridad en la que un agente de inteligencia artificial habría participado de manera autónoma en distintas etapas del ataque.
De acuerdo con la información comunicada por la organización afectada, el sistema comenzó buscando posibles vulnerabilidades en archivos y posteriormente consiguió ingresar a una aplicación mediante unas credenciales válidas. Una vez dentro, el agente continuó analizando el sistema hasta encontrar fallos que le permitieron modificar información personal y consultar facturas.
La AEPD aclaró que el caso aún se encuentra sujeto a análisis y que los datos disponibles proceden del reporte presentado por la entidad afectada. Por esta razón, todavía no pueden establecerse conclusiones definitivas sobre el alcance de la brecha.
El organismo tampoco reveló qué modelo de lenguaje fue empleado. Además, explicó que utilizar un determinado modelo de IA no significa que el sistema o la infraestructura de su proveedor hayan sido vulnerados, ni que la herramienta haya sido creada para realizar actividades ilícitas.
La agencia considera que el incidente muestra un nuevo desafío para la protección de datos, debido a que los agentes de IA pueden realizar varias tareas de manera automatizada y adaptar sus acciones según la información que encuentran.
Ante este tipo de situaciones, la AEPD plantea que las organizaciones incorporen los posibles ataques realizados o asistidos por inteligencia artificial dentro de sus evaluaciones de seguridad y revisen sus mecanismos para detectar y responder rápidamente ante una intrusión.
