La Agencia Española de Protección de Datos (AEPD) ha recibido por primera vez una notificación de una brecha de seguridad en la que un agente de inteligencia artificial habría participado de forma autónoma en distintas fases de un ciberataque. El organismo considera que el caso supone un cambio relevante en el escenario de la ciberseguridad, ya que la IA no se habría limitado a asistir a un atacante humano, sino que habría ejecutado diferentes acciones por su cuenta.
Según la información comunicada por la empresa afectada, el agente comenzó analizando archivos en busca de posibles vulnerabilidades y consiguió iniciar sesión en el sistema. Una vez dentro, continuó explorando posibles vías de acceso sin intervención humana constante. Finalmente, habría encontrado una vulnerabilidad que le permitió modificar datos personales y consultar facturas. La AEPD todavía debe analizar la información recibida y, por el momento, no ha detallado cómo se obtuvieron las credenciales utilizadas para acceder al sistema.
De asistente a actor autónomo
La diferencia respecto a un sistema de IA convencional está en su capacidad para recibir un objetivo, dividirlo en diferentes tareas, utilizar herramientas y adaptar sus siguientes pasos en función de lo que encuentra. En un escenario de ataque, esto permite automatizar procesos que hasta ahora requerían una intervención humana mucho mayor.
La AEPD considera que este tipo de incidentes marca un “cambio cualitativo” en materia de ciberseguridad. Un agente puede analizar numerosos archivos simultáneamente, probar diferentes vías de entrada y modificar su estrategia durante el proceso. El riesgo aumenta especialmente cuando consigue acceder a cuentas, claves o tokens con permisos elevados, ya que podría desplazarse entre distintos servicios antes de que los sistemas de seguridad detecten la actividad.
Una amenaza que empieza a dejar de ser teórica
El caso español se suma a otras señales internacionales sobre el uso de agentes de IA en actividades ofensivas. Google ha advertido de operaciones en las que modelos de inteligencia artificial han sido utilizados para resolver problemas durante intrusiones y automatizar diferentes fases de ataques. En uno de los casos citados, varios agentes consiguieron escalar privilegios y comprometer miles de credenciales en aproximadamente seis horas.
Ante este escenario, la AEPD plantea que las empresas incorporen los ataques ejecutados mediante agentes de IA en sus análisis de riesgos y no los consideren únicamente dentro de categorías tradicionales como el malware. La automatización permite elevar tanto la velocidad como la escala de las operaciones, mientras que el Centro Criptológico Nacional también ha alertado de este cambio de paradigma y ha publicado recomendaciones para reforzar la protección frente a estas nuevas amenazas.
Añadir ElConstitucional.es como fuente preferida de Google de forma gratuita.
Mantente informado de todas las noticias de última hora y con la mejor información. Contra la desinformación, por la democracia y los derechos sociales.
