Denuncian en España el primer ataque ejecutado por un agente de inteligencia artificial

El organismo no identifica ni a la empresa afectada ni al modelo utilizado, y advierte de que los detalles proceden de la notificación de la víctima y están pendientes de análisis.

La Agencia Española de Protección de Datos ha recibido la primera notificación de una brecha de datos personales en la que el ataque fue ejecutado por un agente de inteligencia artificial. Lo ha dado a conocer Francisco Pérez Bes, adjunto de la Agencia, en el blog institucional del organismo, y es la primera vez que se registra un aviso de este tipo desde que las empresas están obligadas a comunicar los incidentes que afectan a datos personales.

Según el relato de la organización afectada, el agente rastreó archivos genéricos en busca de vulnerabilidades hasta conseguir un inicio de sesión válido. Una vez dentro, siguió explorando la aplicación por su cuenta hasta localizar un fallo que le permitió modificar datos personales y acceder a facturas, sin intervención humana directa en esa fase.

La Agencia no identifica a la empresa ni al modelo de lenguaje empleado, y subraya que toda la información disponible procede de la notificación presentada por la víctima y aún debe someterse a análisis. Ninguno de los detalles está dado por acreditado.

Qué cambia, y qué no

La inteligencia artificial lleva tiempo en el arsenal del cibercrimen: redactar correos de phishing más creíbles, traducir estafas para lanzarlas en varios países, clonar identidades, revisar código, acelerar la búsqueda de vulnerabilidades. Nada de eso es nuevo.

Lo distinto aquí es el encadenado. Cada una de esas tareas, hasta ahora, devolvía un resultado que una persona tenía que recoger y convertir en el siguiente paso. Un agente autónomo elimina ese intermediario: recibe un objetivo y decide por sí mismo qué hacer a continuación con lo que va encontrando.

La consecuencia relevante no es que se pueda hacer algo que antes fuera imposible. Un atacante con conocimientos podía recorrer todas esas fases desde hace años. La consecuencia es de coste. Lo que antes requería horas de trabajo cualificado pasa a requerir una instrucción inicial, y eso altera la economía del ataque: objetivos pequeños que no compensaban el tiempo de un profesional pasan a ser rentables cuando el tiempo lo pone una máquina.

Cualquier organización que confiara, sin formularlo así, en no ser lo bastante interesante como para merecer un ataque dirigido, debería revisar ese supuesto.

Las cautelas, que en este caso son importantes

Conviene tomar en serio las advertencias de la propia Agencia, porque el titular se presta a más de lo que el expediente sostiene.

Que sea la primera brecha notificada no significa que sea la primera ocurrida. Este tipo de incidentes tarda semanas o meses en detectarse, y muchos no llegan a detectarse nunca. Lo que se ha registrado es el primer caso que alguien identificó, atribuyó a un agente autónomo y comunicó.

Tampoco sabemos cuán sofisticado fue realmente. La descripción disponible es genérica, y admite lecturas muy distintas: desde una operación que exigió razonamiento encadenado y adaptación hasta una aplicación con un fallo elemental que un escáner convencional habría encontrado igual. Hasta que la AEPD complete su análisis, el tamaño del salto cualitativo es una incógnita.

Y la Agencia precisa un punto que conviene no pasar por alto: la herramienta empleada no fue diseñada para actividades maliciosas, y su uso en este ataque no implica que la infraestructura del proveedor estuviera comprometida. Es un uso indebido de un producto comercial, no una brecha en el producto.

El problema de la velocidad

La observación más útil de Pérez Bes tiene poco que ver con la IA y mucho con cómo están montadas las defensas.

Si un agente autónomo obtiene credenciales con privilegios o una clave con permisos excesivos, puede recorrer varios servicios a una velocidad que los sistemas de detección, pensados para comportamientos humanos, no están preparados para interpretar como anómala a tiempo. La supervisión humana sigue siendo necesaria, pero un equipo que revisa alertas en horario laboral no responde al ritmo de una máquina que opera sin pausa.

Eso apunta a dos medidas nada novedosas y que la mayoría de las organizaciones tiene pendientes: revisar qué permisos arrastran realmente las credenciales que ya existen, y dotarse de mecanismos de detección y respuesta que no dependan de que alguien esté mirando.

Lo que queda por decidir

Queda además una cuestión que este caso plantea sin resolverla: de quién es la responsabilidad cuando la herramienta es comercial, legal y de uso general. La AEPD sitúa la culpa en el uso, no en el diseño, lo cual es razonable. Pero a medida que estos productos incorporan más autonomía, la frontera entre un mal uso y un producto insuficientemente acotado se vuelve más difícil de trazar, y es precisamente el terreno donde la regulación europea sobre inteligencia artificial tendrá que concretarse.

Por ahora hay un caso, una notificación pendiente de analizar y una advertencia de la autoridad de protección de datos. No es una tendencia. Sí es la primera vez que algo que se discutía en términos hipotéticos aparece en un expediente administrativo con datos personales comprometidos detrás.

La AEPD cerró 2025 con unas 2.700 notificaciones de brechas de datos personales. Este es el primer caso registrado en el que la ejecución se atribuye a un agente de inteligencia artificial autónomo.