La AEPD de España recibe el primer informe de una filtración de datos impulsada por IA

La Agencia Española de Protección de Datos (AEPD) afirma que ha recibido su primera notificación de una filtración de datos presuntamente ejecutada por un agente de IA basado en un modelo de lenguaje grande conocido. La agencia todavía no ha investigado el incidente ni ha verificado la información.

La organización que informó del incidente afirmó que el agente buscó vulnerabilidades en archivos genéricos, inició sesión en sus sistemas y examinó aplicaciones en busca de otros problemas de seguridad. En las fases finales del ataque, supuestamente modificó datos personales y accedió a facturas y otros documentos financieros.

La AEPD indicó que la notificación demuestra que las filtraciones de datos relacionadas con la IA ya no son meramente teóricas. La agencia señaló que la IA no crea nuevas amenazas, pero puede aumentar la velocidad, la escala y la capacidad de adaptación de los ciberataques, además de reducir el margen de tiempo para responder. Los modelos de seguridad deben tener en cuenta los ataques asistidos por IA y los impulsados por IA, ya que los procedimientos diseñados para incidentes manuales podrían resultar insuficientes.

La AEPD también destacó la importancia de reforzar la seguridad de la identidad digital y las credenciales. Los agentes pueden usar cuentas comprometidas, claves de API o tokens con permisos excesivos para acceder a varios servicios a velocidad de máquina. La agencia pidió detección, contención y respuesta rápidas junto con supervisión humana.

Aunque se confirme el uso de IA autónoma, la AEPD afirma que eso no significaría necesariamente que el modelo, la infraestructura de su proveedor o el diseño previsto del modelo hayan sido comprometidos o creados para operaciones cibernéticas maliciosas.