La Agencia Española de Protección de Datos (AEPD) publicó el 14 de septiembre lo que describe como la primera notificación de una brecha de datos personales en la que el atacante fue un agente de inteligencia artificial operando de forma autónoma: encontró vulnerabilidades, inició sesión y modificó datos personales y facturas sin recibir instrucciones paso a paso de un humano.
Según el aviso de la AEPD, el agente atacante "inició una búsqueda de vulnerabilidades en archivos genéricos, y realizó un login correcto" contra la aplicación de la organización afectada. Una vez dentro, "comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación", lo que finalmente le permitió modificar datos personales y acceder a facturas. La agencia no identifica a la organización afectada ni el modelo de IA usado por el atacante — una práctica habitual en este tipo de notificaciones.
Lo que distingue este incidente de un ataque automatizado convencional (un script o un bot con reglas fijas) es que el agente planificó tareas intermedias, usó herramientas y ajustó su comportamiento según lo que iba encontrando, sin necesitar instrucciones detalladas para cada paso. Es el mismo patrón de "planificar, actuar, observar, ajustar" que hace útiles a los agentes de IA en tareas legítimas — aplicado aquí a intrusión y explotación de vulnerabilidades.
El aviso plantea recomendaciones concretas: incorporar explícitamente los ataques asistidos o ejecutados por IA en los análisis de riesgo de cada tratamiento de datos, revisar los tiempos de respuesta ante amenazas asumiendo que ahora pueden moverse más rápido que un atacante humano, fortalecer los controles de identidades digitales y credenciales, e implementar detección y respuesta automatizadas en lugar de depender solo de supervisión manual — sin abandonar los fundamentos clásicos de minimización de datos, control de accesos y supervisión de proveedores.
Carlos Montiel es arquitecto de soluciones IA empresarial. Implementa LLMs, Agentes, RAG y orquestadores en empresas de Guatemala y Latinoamérica. Contáctalo para una consultoría.
Contactar a Carlos Montiel