Esta semana la Agencia Española de Protección de Datos ha hecho algo que llevaba meses anunciándose en foros técnicos y en informes que casi nadie lee: ha recibido la primera notificación oficial de una brecha de datos ejecutada con un agente de inteligencia artificial. No es un simulacro, no es un paper académico y no es una demo de red team. Es un incidente real, con datos personales tocados y facturas consultadas, y lo han contado medios como RTVE, elDiario.es y ABC.
Según la notificación que ha analizado la AEPD, un tercero utilizó un agente apoyado en un modelo de lenguaje conocido para buscar vulnerabilidades en archivos genéricos, hacer login correctamente, explorar la aplicación de forma autónoma y, una vez dentro, modificar datos personales y acceder a facturas. El relato encaja con lo que ya veníamos viendo fuera de España: agentes que encadenan fases del ataque sin que un humano pulse Enter en cada paso. Lo novedoso no es la técnica; es que por fin alguien con capacidad sancionadora lo ha metido en un expediente.
Y aquí es donde empiezo a ponerme nervioso, porque mientras la AEPD pide revisar los análisis de riesgo, en Silicon Valley la conversación va por otro carril. OpenAI, Anthropic y Google DeepMind anuncian que hablan de crear un organismo de estándares voluntario, estilo FINRA, para calmar los ánimos tras semanas de «código rojo» en los laboratorios. CNBC lo resume bien: competidores feroces que de repente se abrazan cuando el regulador público empieza a oler sangre. Me suena a lo de siempre: autoregulación cuando conviene, aceleración cuando no mira nadie.
La AEPD, por su parte, ha sido prudente. Insiste en que la información procede de la organización afectada, que aún hay que investigar y que usar un modelo conocido no implica que el proveedor esté comprometido. Correcto. Pero Francisco Pérez Bes, director adjunto del organismo, deja claro en su blog que el escenario cambia: ya no basta mencionar «phishing» o «malware» en una matriz de riesgos copiada de un PDF de 2019. Hay que contemplar explícitamente ataques asistidos por agentes autónomos, con otra velocidad, otro alcance y otra capacidad de adaptación en tiempo real.
¿Cuántas pymes españolas han actualizado su registro de actividades de tratamiento esta semana? Te lo digo yo: casi ninguna. Siguen preocupadas por si el RGPD les obliga a tener un banner de cookies decente, mientras el vector de ataque ya no es el estafador que escribe mal el castellano, sino un agente que prueba rutas, interpreta respuestas del servidor y corrige la estrategia solo. En mi experiencia, el delegado de protección de datos de muchas empresas medianas sigue sin saber qué es un agente de IA más allá del chatbot de atención al cliente que le vendieron en enero.
Tampoco ayuda el ruido mediático. Cada titular grita «primer ataque con IA en España» y debajo hay tres párrafos repetidos de la nota de la AEPD. Lo que falta es contexto operativo. ¿Qué controles fallaron? ¿Había MFA? ¿El agente explotó una vulnerabilidad conocida sin parchear? ¿Cuánto tardó la organización en detectarlo? De eso no sabemos nada, y sin esos datos la alerta se convierte en miedo genérico que luego nadie traduce a checklist.
Lo que sí podemos sacar en claro es incómodo para quien vende IA como producto plug-and-play. Un agente no es un correo de suplantación; es un operador que encadena herramientas. Si tu web, tu panel de administración o tu API REST tienen fallos clásicos — credenciales filtradas, endpoints sin rate limit, plugins desactualizados — el agente los encontrará más rápido que un pentester junior porque no se cansa y no tiene vergüenza. Y si encima le das acceso a herramientas internas «para automatizar tareas», estás regalando manos robóticas a quien consiga engañar al prompt.
En paralelo, los laboratorios hablan de desacelerar modelos frontera mientras compiten por lanzar agentes más capaces para desarrolladores y empresas. Sam Altman dice que hay dos formas de que la IA salga mal y pide auditorías independientes; Dario Amodei pide ir más despacio. Bonito. Pero el incidente que ahora estudia la AEPD no parece haber salido de un modelo experimental reservado a investigadores: habla de un «conocido modelo de lenguaje» usado como instrumento. Es decir, tecnología accesible, no ciencia ficción.
Desde la perspectiva de alguien que monta y mantiene webs para terceros, el mensaje es bastante directo. La capa de cumplimiento RGPD no es un trámite separado de la seguridad técnica; se acaba de juntar con la superficie de ataque de la IA generativa. Si tu análisis de riesgos no menciona agentes autónomos, no está actualizado, punto. Y si tu proveedor de hosting te vende «IA integrada» sin explicarte qué datos toca, qué logs guarda y quién responde si un agente mal configurado empieza a scrapear tu backoffice, estás comprando humo con sello futurista.
Tampoco creo que la solución pase por prohibir la IA en la empresa. Eso ya es imposible. Pero sí por tratar los agentes como lo que son: software con privilegios, no juguetes de productividad. Principio de mínimo privilegio, revisión humana en acciones sensibles, segmentación de entornos, registros que permitan reconstruir qué hizo el agente y en qué orden. Cosas viejas, sí. Lo nuevo es que ahora las necesitas porque el atacante también las usa.
La AEPD ha hecho bien en sacar el aviso sin alarmismo estadístico: una notificación no es una tendencia, pero sí una señal. El problema es que las señales se acumulan — Hugging Face, RubyGems, ahora una organización española — y la respuesta institucional sigue yendo a remolque del marketing de los laboratorios. Mientras tanto, Infobae recuerda algo que conviene no olvidar: aunque el agente actuara de forma autónoma en varias fases, una persona eligió el objetivo y lo puso en marcha. La IA no se levantó sola un lunes por la mañana con ganas de hackear; alguien la orientó. Eso no quita gravedad al incidente, pero sí debería orientar dónde poner los controles primero: identidades, accesos, supervisión y respuesta rápida cuando algo se desvía.
Me quedo con una sensación agridulce. Por fin un regulador español mete en el expediente lo que llevábamos discutiendo en círculos técnicos. Pero si la reacción de tu empresa es mandar un correo interno diciendo «no usar ChatGPT para datos de clientes» y nada más, habremos aprendido poco. El agente ya está en el campo de batalla. La pregunta no es si llegará a tu sector, sino si tu última revisión de seguridad distingue entre un atacante humano y uno que no necesita dormir.
Si mañana tu proveedor de hosting te ofreciera un agente de IA que gestione actualizaciones, copias de seguridad y respuesta a incidentes por 29 euros al mes, pero la cláusula de responsabilidad excluyera cualquier daño causado por decisiones autónomas del agente, ¿lo activarías en producción sin auditoría previa?
Fuentes
- RTVE: La autoridad española de protección de datos notifica el primer ataque ejecutado por un agente de IA
- elDiario.es: La Agencia de Protección de Datos detecta el primer ataque ejecutado por un agente de IA en España
- ABC: España investiga el primer ciberataque realizado por un agente de IA en el país
- Infobae: La AEPD analiza un posible ataque ejecutado con un agente de IA
- CNBC: OpenAI, Google, Anthropic discussing collaboration on AI safety issues