La Agencia Española de Protección de Datos analiza un incidente en el que un agente de inteligencia artificial habría actuado de forma autónoma para localizar vulnerabilidades, acceder a un sistema y alterar datos personales. La Agencia Española de Protección de Datos analiza un incidente en el que un agente de inteligencia artificial habría actuado de forma autónoma para localizar vulnerabilidades, acceder a un sistema y alterar datos personales.
Por Escarlata Sánchez
Publicado •última actualización
La Agencia Española de Protección de Datos (AEPD) ha informado del que considera el primer ciberataque autónomo llevado a cabo por un agente de inteligencia artificial en España, un incidente que evidencia los nuevos riesgos que plantea esta tecnología para la ciberseguridad y la protección de datos.
PUBLICIDADPUBLICIDADSegún ha explicado la AEPD, el incidente comenzó cuando un agente de IA, apoyado en un conocido modelo de lenguaje, localizó brechas de seguridad y consiguió acceder al sistema de una entidad. Una vez dentro, el programa habría actuado sin intervención humana directa: buscó nuevas vulnerabilidades en la aplicación hasta conseguir alterar datos personales y acceder a facturas de la organización afectada.
La AEPD pide cautela y evaluará ahora el incidente a partir del informe presentado por la empresa afectada. La agencia aclara que la herramienta utilizada no fue diseñada para llevar a cabo actividades maliciosas, pero advierte de que el riesgo asociado al uso de la inteligencia artificial en ciberataques «ya es real».
Cómo los agentes de IA pueden cambiar los ciberataques
Aunque la inteligencia artificial lleva tiempo formando parte del arsenal de los ciberdelincuentes, la aparición de agentes de IA capaces de ejecutar tareas de forma autónoma supone un cambio significativo. Hasta ahora, los modelos de IA generativa se utilizaban principalmente para mejorar la redacción de correos de ‘phishing’, traducir estafas masivas, clonar identidades, revisar líneas de código o agilizar la búsqueda de vulnerabilidades.
Los agentes de inteligencia artificial van un paso más allá. A diferencia de las herramientas tradicionales, pueden recibir un objetivo y diseñar una estrategia para alcanzarlo, ejecutar diferentes procesos, interpretar las respuestas del sistema y modificar sus acciones en función de los obstáculos que encuentran.
La AEPD puntualiza que la inteligencia artificial no crea necesariamente nuevas amenazas, sino que puede aumentar de forma considerable la velocidad, el alcance y la capacidad de adaptación de ciberataques que ya existen. Esta aceleración puede reducir el margen de maniobra de las empresas para detectar y detener una intrusión antes de que los atacantes consigan acceder a información sensible.
La AEPD pide nuevos protocolos de ciberseguridad ante la IA
Más allá del salto tecnológico, el incidente pone de manifiesto la necesidad de revisar la gestión de los riesgos asociados a la inteligencia artificial, explica en el blog de la agencia Francisco Pérez Bes, director adjunto de la AEPD.
Según Pérez Bes, las auditorías de seguridad ya no pueden limitarse a amenazas tradicionales como el ‘malware’ o el ‘phishing’. También deben contemplar expresamente el uso de agentes autónomos, cuya capacidad para ejecutar acciones y adaptar su comportamiento puede modificar tanto la probabilidad como el impacto de un incidente de seguridad.
La aparición de estas herramientas obliga además a revisar los protocolos de contención. Los planes de respuesta diseñados principalmente para hacer frente a atacantes humanos pueden resultar insuficientes ante sistemas capaces de explorar múltiples vías de entrada y modificar su estrategia en tiempo real.
Pérez Bes también subraya la importancia de proteger las credenciales y las identidades digitales. Si un agente autónomo consigue unas credenciales privilegiadas o una clave con permisos excesivos, puede comprometer diferentes servicios a gran velocidad antes de que los sistemas de seguridad detecten un comportamiento anómalo.
¿Cómo pueden protegerse las empresas de los ciberataques con IA?
El caso analizado por la AEPD plantea también dudas sobre la capacidad de las defensas manuales para responder a la velocidad con la que puede actuar un agente de inteligencia artificial.
Aunque la supervisión humana continúa siendo fundamental, las empresas pueden necesitar mecanismos automáticos de detección y respuesta capaces de identificar comportamientos sospechosos y reaccionar con rapidez.
Para el director adjunto de la AEPD, la aparición de agentes de IA utilizados con fines ofensivos obliga a revisar las estrategias de ciberseguridad y protección de datos ante un escenario en el que los ataques pueden ser cada vez más rápidos, adaptativos y automatizados.
Tech-news | Euronews RSS
