España registra la primera brecha ejecutada por una IA en plena ola de ciberataques autónomos
La AEPD recibe la primera notificación de un ciberataque a manos de una IA
Inteligencia Artificial | Foto de 123RF/aleksiamat
Comentarios
Con la multiplicación de casos por todo el mundo de ciberataques protagonizados por la inteligencia artificial, España no podía quedarse fuera. La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación en España de una brecha de datos atribuida a la IA.
Aunque el caso se sigue investigando y se desconoce la identidad de la empresa afectada, ya se conocen algunos detalles.
Según la AEPD el agente IA comenzó buscando vulnerabilidades en archivos genéricos hasta realizar un inicio de sesión correctamente. Una vez dentro del sistema, la IA comenzó con la búsqueda de fallos en la aplicación para acceder a datos personales y facturas.
La particularidad del caso está precisamente en esa capacidad para encadenar distintas fases de un ataque sin que una persona tenga que indicarle cada paso.
Si bien es cierto que el uso de la inteligencia artificial en los ciberataques no es nueva, cada vez es menos necesaria la intervención del ser humano. Según advierten organismos internacionales, los sistemas autónomos ya pueden redactar mensajes de phishing, traducir campañas fraudulentas, suplantar identidades, analizar código o detectar vulnerabilidades.
Un agente de IA añade una capa diferente. En lugar de limitarse a responder a las instrucciones de un usuario, puede recibir un objetivo, dividirlo en tareas, utilizar herramientas, ejecutar código, analizar los resultados y modificar sus siguientes acciones en función de lo que vaya encontrando.
Esa es la diferencia que la AEPD considera relevante en este primer caso: un tercero habría utilizado un agente como instrumento para encadenar con éxito diferentes etapas del ataque.
Sin embargo, la Agencia subraya que el uso de un modelo de IA concreto tampoco significa que ese modelo o la infraestructura de su proveedor hayan sido comprometidos.
La IA ataca con más velocidad y menos tiempo de reacción
Pese a esta primera alerta, la asociación se mueve con cautela, ya que no considera que la IA esté creando nuevas amenazas de ciberseguridad, sino que está acelerando y adaptando las que ya existen.
Para una empresa, la diferencia puede ser relevante. Un ataque que antes requería que una persona buscara vulnerabilidades, probara distintas vías de acceso y decidiera qué hacer a continuación puede incorporar ahora sistemas capaces de realizar algunas de esas tareas de manera automatizada.
Esto reduce el tiempo que tiene una organización para detectar una intrusión y contener sus efectos.
La AEPD recalca que esta primera notificación no permite hablar todavía de una tendencia estadística. Sí considera que constituye una señal significativa de que los ataques apoyados en inteligencia artificial han dejado de ser únicamente un riesgo teórico y comienzan a aparecer en incidentes que afectan a tratamientos reales de datos personales.
El caso se conoce además en un momento en el que los organismos reguladores de todos el mundo y las autoridades de ciberseguridad están aumentando la vigilancia tras casos tan sonados como los ataques de agentes de OpenAI a Hugging Face y RubyGems o las intrusiones de modelos de Anthropic en sistemas reales durante pruebas de seguridad.
En España, el Centro Criptológico Nacional ya ha advertido en una de sus guías sobre el cambio que supone la denominada IA ofensiva para la ciberseguridad y recomienda reforzar las barreras y el control sobre los agentes.
