Spaniens AEPD tar emot första rapporten om ett AI-drivet dataintrång

Spaniens dataskyddsmyndighet (AEPD) uppger att den har tagit emot sin första anmälan om ett dataintrång som påstås ha genomförts av en AI-agent baserad på en känd stor språkmodell. Myndigheten har ännu inte utrett händelsen eller verifierat uppgifterna.

Organisationen som rapporterade incidenten uppgav att agenten sökte efter sårbarheter i generiska filer, loggade in i systemen och undersökte appar efter ytterligare säkerhetsproblem. I attackens slutskede ska agenten ha ändrat personuppgifter och fått tillgång till fakturor och andra ekonomiska dokument.

AEPD säger att anmälan visar att AI-relaterade dataintrång inte längre bara är teoretiska. Myndigheten framhåller att AI inte skapar nya hot, men kan öka cyberattacker­nas hastighet, omfattning och anpassningsförmåga och samtidigt minska försvararnas tidsmarginaler. Säkerhetsmodeller bör därför ta hänsyn till AI-assisterade och AI-drivna attacker, medan rutiner för manuella incidenter kan vara otillräckliga.

AEPD betonar också vikten av stärkt säkerhet för digital identitet och inloggningsuppgifter. Agenter kan använda kapade konton, API-nycklar eller alltför omfattande behörigheter för att nå flera tjänster i maskinhastighet. Myndigheten efterlyser snabb upptäckt, begränsning och hantering tillsammans med mänsklig tillsyn.

Även om autonom AI bekräftas ha använts betyder det enligt AEPD inte nödvändigtvis att modellen, leverantörens infrastruktur eller modellens avsedda utformning har äventyrats eller skapats för skadlig cyberverksamhet.