La AEPD alerta del primer ciberataque ejecutado por un agente de IA que logró detectar fallos, modificar datos personales y acceder a facturas de una organización.

Vivimos en una era dominada por la IA y cada vez dependemos más de ella, hasta el punto que no podemos estudiar o hacer nuestro trabajo si no es con ayuda de la inteligencia artificial. Estamos llegando a un punto donde el ser humano se está acomodando e incluso aceptando que todo va a ser controlado por la IA tarde o temprano. Por otro lado, esta nos hace temer sobre un futuro sin trabajo y a la vez no podemos pararla con esos avances que resultan entre sorprendentes y peligrosos. Ahora tendríamos lo que podría convertirse como el primer ciberataque notificado por una empresa y provocado por un agente de IA, el cual tenía como objetivo buscar vulnerabilidades y acabó modificando datos personales, según informa la AEPD.

La IA generativa apareció hace unos años y tras ver la capacidad de creación y resolución de los modelos, pasamos a algo que interesaba más desde el punto de vista de la productividad, los agentes. Estos tienen como objetivo hacer las tareas de una IA, pero con la diferencia de que pueden ser autónomos, así que una vez les das las instrucciones, se ponen a trabajar en ello. Esto fue considerado una gran ventaja y a la vez un inconveniente, pues agravaba aún más los problemas de la IA tradicional y lo peor de todo era si perdían el control.

La Agencia Española de Protección de Datos (AEPD) ha notificado el primer caso de un ataque de brecha de seguridad de datos realizado por un agente de IA

Los modelos de IA de OpenAI se encuentran entre los más avanzados del mundo y fueron noticia hace un par de meses debido a que lograron "escaparse del entorno de pruebas" siendo así uno de los primeros casos, si no el primero, de "rebeldía" de agentes. Más adelante vimos agentes de IA de Anthropic que acabaron hackeando 3 organizaciones cuando les ordenaron buscar unos documentos. Ahora tendríamos el que sería el primer caso de un ataque de agentes de IA que ha causado una brecha de seguridad y precisamente ha pasado en España, pues esto ha sido notificado por la Agencia Española de Protección de Datos, la AEPD.

La AEPD ha mencionado que todo comenzó con la orden por parte de una empresa a un agente de IA para que buscara vulnerabilidades en una serie de archivos. Para ello tuvo que realizar el login en la cuenta, acceder al sistema y comenzó a encontrar vulnerabilidades de forma autónoma. El problema es que una vez en plena libertad acabó accediendo a facturas y modificó datos personales, algo que no estaba en las normas ni tampoco tenía que ver con la búsqueda de vulnerabilidades.

La AEPD considera que los agentes de IA pueden hacer ataques sin supervisión humana, pero es pronto para determinar la gravedad de lo ocurrido

Aunque esto puede ser preocupante, la AEPD dice que aún deben analizar el incidente con más precisión para sacar conclusiones definitivas. Si bien se trata de una violación de seguridad, también ha dicho que la infraestructura del proveedor no se vio comprometida ni tampoco el modelo de IA en sí. Sobre este no han mencionado que modelo es, pero sí que es ampliamente usado y conocido, así que probablemente será de Anthropic u OpenAI.

Básicamente, tenemos el caso de uso de un agente de IA para conseguir hacer múltiples fases de un ataque sin apenas intervención humana, lo cual a nuestro parecer es realmente peligroso, pues podría cambiar la forma en la que los ciberdelincuentes y hackers acceden a las brechas de seguridad. La agencia no ha dado fecha de cuando se revisará todo, pero asumimos que será dentro de poco, pues España es uno de los mayores defensores de la IA segura en Europa.