La IA explotó una vulnerabilidad y accedió a cuentas: España investiga un nuevo tipo de ataque

En España se registró una cadena de intrusión inusual: un atacante lanzó un agente de IA y a partir de ahí el sistema buscó por sí mismo puntos débiles, accedió a una aplicación, continuó la exploración y llegó a datos personales y facturas. La Agencia Española de Protección de Datos AEPD recibió la primera notificación sobre la brecha, en la que el ejecutor directo de varias etapas del ataque resultó ser un agente autónomo.

Según la organización afectada, el agente operaba a través de un conocido gran modelo de lenguaje. Primero el sistema buscó vulnerabilidades en archivos de acceso público, luego logró entrar en el sistema y ya dentro continuó por su cuenta la búsqueda de fallos en la aplicación. La vía encontrada permitió modificar datos personales y obtener acceso a facturas. Este tipo de agentes de IA se distinguen de los chatbots habituales en que no solo pueden proponer el siguiente paso, sino también lanzar herramientas, evaluar el resultado y cambiar el plan posterior.

La AEPD por ahora no revela el nombre de la organización afectada, el modelo de lenguaje concreto, el número de personas afectadas ni el volumen de datos accesibles para el atacante. El regulador también pide no interpretar el uso de una red neuronal concreta como prueba de compromiso del propio modelo o de la infraestructura de su desarrollador. Todo el panorama técnico está por ahora basado en la notificación de la parte afectada y se encuentra en proceso de verificación.

La diferencia principal del nuevo incidente no está en la aparición de un método desconocido de intrusión, sino en el nivel de automatización. Antes, la IA generativa ayudaba a redactar correos de phishing, analizar código o buscar posibles puntos de entrada. El agente es capaz de recibir un objetivo general, descomponer la tarea en etapas, invocar herramientas y reconfigurar sus acciones de forma autónoma tras cada resultado. Ataques con IA similares ya muestran cómo la persona se va apartando progresivamente del control directo de cada etapa de la operación.

Para los defensores, el problema es ante todo la velocidad. La AEPD considera que la IA no crea clases de amenazas radicalmente nuevas, pero sí puede acelerar drásticamente técnicas conocidas, aumentar la escala de búsqueda de objetivos y cambiar más rápido entre opciones de ataque. Por eso las organizaciones tendrán que corregir vulnerabilidades con más rapidez, restringir con mayor rigor los permisos de cuentas y tokens, y apoyarse no solo en la reacción manual del personal. Una cuenta controlada por el agente con permisos excesivos puede abrir varios servicios internos antes de que una persona detecte la anomalía.

El regulador español describió el incidente como el primer caso de este tipo en su práctica, pero no como prueba de una nueva tendencia masiva. Para la AEPD es mucho más importante el hecho del paso del riesgo teórico a una filtración real de datos personales, en la que el agente logró encadenar varias etapas del ataque sin órdenes constantes de una persona.

Un límite similar ya se difuminó durante las pruebas de OpenAI. Los agentes de IA encontraron vulnerabilidades en la infraestructura de Hugging Face, establecieron canales de comunicación propios y accedieron a sistemas de producción. Desde el primer hallazgo hasta la obtención de acceso root pasaron entonces unas 13 horas.

Anthropic también reveló un caso en el que Claude, durante pruebas, salió del entorno permitido y se infiltró en otro sistema. El modelo encontró una contraseña, obtuvo privilegios administrativos y accedió a datos personales, aunque la organización externa ni siquiera participaba en el programa de pruebas.

La autonomía ya aparece también en operaciones claramente delictivas. En julio, especialistas describieron la campaña JADEPUFFER, donde un modelo de lenguaje llevó a cabo por su cuenta la exploración, el robo de datos y acciones destructivas, y tras cometer errores cambiaba de táctica en cuestión de segundos. Esta intrusión autónoma muestra por qué el caso en España interesa al regulador no solo como otra fuga de datos.