- El agente buscó vulnerabilidades, accedió a una aplicación y continuó explorándola de forma autónoma tras conseguir credenciales válidas.
- La AEPD advierte de un nuevo escenario de ciberseguridad ante sistemas capaces de encadenar acciones sin intervención continua.
La Agencia Española de Protección de Datos ha recibido por primera vez la notificación de una brecha de seguridad en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial capaz de realizar diferentes acciones de forma autónoma. El incidente abre un nuevo escenario en el ámbito de la ciberseguridad ante herramientas que pueden analizar sistemas, tomar decisiones y continuar actuando sin una intervención humana constante.
Según la información comunicada a la AEPD por la organización afectada, el agente comenzó buscando vulnerabilidades en una aplicación y consiguió acceder utilizando un inicio de sesión válido. Una vez dentro, continuó explorando diferentes funciones del sistema y logró realizar acciones sobre información almacenada.
Entre las operaciones detectadas se encontraba la modificación de datos personales y el acceso a facturas. La secuencia muestra una de las principales diferencias entre este tipo de sistemas y las herramientas tradicionales de inteligencia artificial: los agentes pueden recibir un objetivo general y ejecutar sucesivamente distintas tareas para intentar alcanzarlo.
La Agencia subraya que la información disponible procede de la notificación presentada por la entidad afectada y que el incidente todavía debe analizarse en profundidad. El caso tampoco significa que el modelo de inteligencia artificial utilizado ni la empresa que lo desarrolla hayan sido comprometidos.
Los agentes de IA combinan modelos capaces de interpretar instrucciones con herramientas que les permiten interactuar con aplicaciones, consultar información o ejecutar determinadas acciones. Esta capacidad está impulsando nuevos usos en empresas y servicios digitales, pero también obliga a revisar las medidas de seguridad cuando estos sistemas pueden acceder a información sensible.
La AEPD considera especialmente relevante limitar los permisos concedidos a cada usuario o aplicación, reforzar la autenticación y mantener sistemas capaces de detectar accesos anómalos. Una credencial válida puede convertirse en una vía de entrada especialmente problemática si permite alcanzar más información de la necesaria.
El incidente se produce en un momento de rápida expansión de los agentes de inteligencia artificial y plantea nuevos retos tanto para grandes organizaciones como para pequeñas empresas y profesionales que utilizan servicios digitales. La capacidad de automatizar tareas puede multiplicar la productividad, pero también permite que un ataque avance con mayor rapidez cuando encuentra una vulnerabilidad o consigue acceso a una cuenta.
