Un agente autónomo de IA habría atacado a una empresa española

TechRadar informa de que la autoridad española de protección de datos ha dado a conocer su primera notificación de una brecha de datos personales que, según se ha informado, fue llevada a cabo por un agente autónomo de inteligencia artificial impulsado por un conocido modelo de lenguaje de gran tamaño.

Según Francisco Pérez Bes, presidente y adjunto de la Agencia Española de Protección de Datos (AEPD), el agente utilizó primero los archivos de acceso público del objetivo para iniciar sesión en su sistema. Una vez dentro, comenzó a buscar vulnerabilidades. Tras encontrar una, supuestamente utilizó esa debilidad para modificar datos personales y acceder a facturas.

Se conocen pocos detalles del incidente y hay una investigación exhaustiva en curso. Pérez Bes afirmó que el incidente no implica que el modelo de IA o la infraestructura del proveedor estuvieran comprometidos ni que fueran maliciosos por diseño. Aun así, calificó el ataque de significativo desde el punto de vista de la protección de datos, porque el agente encadenó varias etapas del ataque.

Pérez Bes también afirmó que las organizaciones deben tener en cuenta los ataques asistidos por IA y dirigidos por IA al evaluar los riesgos asociados al tratamiento de datos personales, y revisar sus tiempos de respuesta. Destacó la creciente importancia de las identidades y credenciales digitales: un agente con una cuenta o una clave de API puede operar a velocidad de máquina, analizar múltiples activos, probar distintas vías de ataque y adaptar rápidamente su comportamiento antes de que se detecte una actividad anómala.