La Agencia Española de Protección de Datos (AEPD) ha iniciado una investigación tras recibir su primera notificación acerca de una brecha en datos personales originada por un agente de inteligencia artificial que operó utilizando un modelo de lenguaje conocido, cuyo nombre aún no ha sido revelado. Según un comunicado de la AEPD, este agente, con capacidad para realizar tareas de forma casi autónoma, llevó a cabo una búsqueda de vulnerabilidades que le permitió infiltrarse en el sistema afectado. Una vez dentro, comenzó a explorar más debilidades en la aplicación, lo que resultó en la modificación de datos personales y el acceso a facturas privados.
Desde la AEPD subrayan que, antes de llegar a cualquier conclusión, es fundamental reconocer que la información disponible proviene de la notificación de la organización afectada y que debe ser objeto de un análisis exhaustivo. Asimismo, aclaran que el uso de un modelo de IA de una empresa conocida no implica que este modelo o la infraestructura de su proveedor hayan sufrido un compromiso o que la herramienta haya sido diseñada intencionadamente para realizar actividades maliciosas.
La AEPD advierte que es posible que un tercero haya utilizado esta tecnología con fines maliciosos, encadenando con éxito diferentes fases del ataque, un fenómeno que, aunque no es nuevo, ha cobrado relevancia. Ya en julio, OpenAI reconoció que algunos de sus modelos habían encontrado una brecha en un entorno de prueba y que desde allí se habían conectado a redes para lanzar ciberataques exitosos contra varias empresas, incluida Hugging Face. Otras firmas de inteligencia artificial como Anthropic y Meta también admitieron haber tenido experiencias similares recientemente.
La aparición de agentes de IA plantea un «cambio cualitativo» en las amenazas cibernéticas, según la AEPD. Un agente puede recibir un objetivo, planificar acciones intermedias, emplear herramientas, ejecutar código y adaptarse de forma autónoma a los hallazgos que va encontrando. En este sentido, la agilidad con la que pueden operar estos agentes redimensiona los riesgos existentes, dada su capacidad para modificar su comportamiento en función de la situación.
Asimismo, la AEPD se refiere a un documento del Centro Criptológico Nacional que advierte sobre cómo la IA ofensiva se está convirtiendo en parte integral de campañas de ciberataques reales. Se recomienda reforzar los controles esenciales, acelerar la gestión de vulnerabilidades y proteger las identidades, además de mejorar la supervisión de la cadena de suministro y el uso responsable de estos agentes.
La agencia señala que el incidente en cuestión «confirma la necesidad de incluir específicamente los ataques facilitados o ejecutados mediante IA en los análisis de riesgos relacionados con los tratamientos de datos». Esta nueva realidad exige una revisión más detallada, dejando atrás las referencias generales a «malware», «phishing» o accesos no autorizados, ya que la automatización puede alterar significativamente la probabilidad, velocidad y alcance de los incidentes.
Por otro lado, la AEPD indica que también es necesario revisar los tiempos de respuesta ante tales incidentes. Los procedimientos diseñados para hacer frente a ataques manuales pueden no ser suficientes cuando un agente explora simultáneamente múltiples activos, prueba diferentes vías de acceso y adapta su enfoque rápidamente.
Finalmente, la llegada de estos agentes de IA que tienen la capacidad de llevar a cabo ciberataques refuerza la urgencia de una revisión exhaustiva de los modelos de seguridad y protección de datos. Los responsables y delegados de protección de datos deben estar preparados para un entorno en el que la velocidad de los ataques aumente, manteniendo al mismo tiempo los principios fundamentales: conocer los tratamientos de datos, minimizar la recopilación de información, limitar los accesos, corregir vulnerabilidades y controlar a los proveedores.
Etiquetas: Inteligencia Artificial, Modelo De Lenguaje, España
Sin comentarios
Para comentar debes tener una cuenta. ¡Es gratis!
Regístrate gratis Iniciar sesión