La AEPD documenta el primer ciberataque autónomo ejecutado por un agente de IA en España
La Agencia Española de Protección de Datos (AEPD) ha documentado la primera brecha en España en la que un agente de inteligencia artificial planificó y ejecutó un ciberataque de forma autónoma. El sistema logró acceder a una organización utilizando credenciales válidas, explorar sus aplicaciones, modificar datos personales y consultar facturas sin que un operador humano tuviera que dirigir cada una de sus acciones.
El incidente, recogido en un informe elaborado por Francisco Pérez Bes, responsable del área de seguridad de la AEPD, supone el paso de los ataques asistidos por IA a un escenario más complejo: el de sistemas capaces de tomar decisiones sucesivas, adaptar su estrategia y continuar operando por sí mismos dentro de una red.
Un agente que buscó vulnerabilidades y cambió de estrategia
El modelo empleado era un sistema de lenguaje de gran tamaño, una tecnología capaz de interpretar instrucciones y generar respuestas mediante el análisis de enormes cantidades de texto. La identidad concreta del modelo no ha sido divulgada por la Agencia.
Según la documentación del caso, el agente comenzó examinando archivos genéricos del sistema objetivo en busca de vulnerabilidades. Tras encontrar una vía de acceso, completó un proceso de inicio de sesión con credenciales válidas. El informe no precisa cómo consiguió esas credenciales.
Una vez dentro de la red, la actividad no quedó limitada a una acción previamente programada. El agente siguió explorando la aplicación, identificó nuevos fallos de seguridad y los aprovechó para modificar información personal de usuarios y acceder a datos de facturación de la entidad afectada.
La diferencia resulta relevante porque un ataque convencional suele depender de decisiones humanas en cada etapa. El atacante debe elegir qué vulnerabilidades probar, cómo actuar cuando una vía de acceso falla o de qué manera desplazarse por la red después de obtener acceso. Un agente autónomo puede realizar esas tareas de forma continua y ajustar el siguiente movimiento a partir de los resultados obtenidos.
Más velocidad y menos margen para reaccionar
La inteligencia artificial no introduce necesariamente técnicas de ataque completamente nuevas. Su principal impacto está en la velocidad, la escala y la capacidad de adaptación. Un sistema automatizado puede probar numerosas variantes en poco tiempo, trabajar sin descanso y modificar su comportamiento en cuestión de segundos.
Esta aceleración reduce la ventana disponible para detectar y contener una intrusión. Mientras un analista de seguridad revisa una primera alerta, el agente puede haber completado varias fases del ataque, haber accedido a nuevos sistemas o haber alterado información.
El caso también muestra por qué la denominada IA agentiva plantea un reto distinto a los usos tradicionales de la inteligencia artificial. Un chatbot que responde a una consulta actúa dentro de una interacción limitada. Un agente, en cambio, puede recibir un objetivo, dividirlo en tareas, utilizar herramientas externas y evaluar los resultados para decidir qué hacer a continuación.
La obligación de notificar en un plazo de 72 horas
La organización afectada tuvo que comunicar la brecha a la AEPD en el plazo máximo de 72 horas desde que tuvo conocimiento de ella, tal como establece el Reglamento General de Protección de Datos (RGPD) cuando existe riesgo para los derechos y libertades de las personas.
La notificación a la autoridad no siempre implica que todos los detalles del incidente se hagan públicos. La normativa también exige valorar si las personas afectadas deben ser informadas directamente cuando el riesgo es elevado. En este caso, la AEPD no ha identificado públicamente a la entidad atacada ni ha detallado todos los mecanismos utilizados para acceder a sus sistemas.
La regulación europea de inteligencia artificial contempla además obligaciones específicas para determinados sistemas de alto riesgo. El artículo 73 del Reglamento de Inteligencia Artificial de la Unión Europea establece la comunicación de incidentes graves a las autoridades competentes por parte de los proveedores afectados. Estas obligaciones conviven con las del RGPD, que se centran en la protección de los datos personales y en la respuesta de las organizaciones responsables de su tratamiento.
La AEPD pide revisar los análisis de riesgo
La Agencia recomienda a responsables de tratamiento, encargados y delegados de protección de datos incorporar los ataques ejecutados o asistidos por IA como una categoría específica en sus mapas de riesgo.
Los análisis tradicionales suelen calcular la capacidad de respuesta tomando como referencia a un atacante humano. Ese supuesto ya no resulta suficiente cuando una herramienta puede descubrir vulnerabilidades, probar accesos y modificar su estrategia de manera automatizada.
- Revisar los permisos y credenciales con acceso a información personal.
- Aplicar autenticación multifactor y limitar las cuentas con privilegios elevados.
- Supervisar los accesos anómalos y los cambios masivos en bases de datos.
- Configurar respuestas automáticas para bloquear comportamientos sospechosos.
- Probar los planes de continuidad y notificación con escenarios de ataques automatizados.
SIEM y EDR deben actuar con mayor autonomía
Las herramientas de seguridad también tendrán que adaptarse. Los sistemas SIEM recopilan y relacionan eventos de múltiples equipos para generar alertas, mientras que las soluciones EDR supervisan ordenadores y servidores para detectar comportamientos maliciosos y responder ante ellos.
En un entorno con agentes autónomos, estas tecnologías no pueden limitarse a enviar avisos para que un analista los revise más tarde. Necesitan identificar patrones en tiempo real, aislar dispositivos comprometidos y revocar credenciales cuando exista una evidencia suficiente de intrusión.
La AEPD advierte de que este caso, por sí solo, no permite establecer una tendencia estadística. Sin embargo, confirma que la amenaza ya se ha materializado en España y que no debe considerarse una hipótesis futura.
La primera notificación de este tipo no demuestra que sea el primer ataque autónomo ocurrido en el país. Sí evidencia que una organización ha sufrido una brecha en la que un agente de IA actuó con capacidad de planificación y adaptación, con impacto sobre datos personales. Para las empresas, el mensaje es claro: la prevención y la respuesta deben diseñarse ahora para enfrentarse a atacantes que operan a una velocidad muy superior a la humana.
