Un agente de IA ha protagonizado un ciberataque en España. La AEPD nunca había visto uno
La Agencia Española de Protección de Datos (AEPD) ha recibido por primera vez la notificación de una brecha de datos personales en la que un agente de inteligencia artificial (IA) ha sido utilizado para ejecutar y controlar distintas fases de un ciberataque. Este evento marca un antes y un después en el ámbito de la ciberseguridad, ya que la amenaza teórica de la IA se ha convertido en una realidad palpable.
La empresa afectada, cuyo nombre no ha sido revelado, informó que el agente de IA comenzó su ataque buscando vulnerabilidades en archivos genéricos, logrando iniciar sesión en el sistema. Una vez dentro, continuó de manera autónoma buscando más vulnerabilidades, encontrando al menos una que le permitió modificar datos personales y acceder a facturas. Sin embargo, la AEPD aún debe analizar cómo se obtuvieron las credenciales para iniciar la sesión.
Este tipo de agentes de IA van más allá de ser simples chatbots, ya que pueden recibir peticiones para alcanzar objetivos, dividirlos en subtareas y ejecutar código para avanzar en su misión. Esto representa un salto cualitativo en la ciberseguridad, pues la IA no solo asiste a ciberatacantes humanos, sino que actúa de manera autónoma.
Google ha advertido recientemente sobre el uso de agentes de IA por parte de ciberdelincuentes y grupos de espionaje, que están dejando de ser experimentos para convertirse en herramientas poderosas. Su equipo de inteligencia de amenazas ha identificado grupos que usan modelos de IA para resolver problemas durante una intrusión, llegando incluso a robar credenciales con múltiples agentes en cuestión de horas.
La AEPD subraya la necesidad de que las empresas incluyan los ataques con agentes de IA en sus análisis de riesgos, ya que estos ataques se producen a una velocidad mucho mayor que los tradicionales. La supervisión humana sigue siendo crucial, pero la seguridad ya no puede depender únicamente de ella. El Centro Criptológico Nacional (CCN) ha publicado una guía de buenas prácticas para enfrentar estas amenazas emergentes.