A Axencia Española de Protección de Datos notifica o primeiro ataque dun axente de IA

A Axencia Española de Protección de Datos recibiu a primeira notificación dunha brecha de datos privados na que o incidente foi executado mediante un axente de intelixencia artificial que utilizou para iso un coñecido modelo de linguaxe.

Acceso a facturas 

O axente de IA, segundo fontes da AEPD, iniciou unha procura de vulnerabilidades en arquivos xenéricos e realizou un inicio de sesión (login) correcto e unha vez accedeu ao sistema, comezou a buscar, de forma autónoma, vulnerabilidades na aplicación, o que, unha vez conseguido, permitiulle modificar datos privados e acceder a facturas.

O organismo que vela pola protección dos datos privados sinalou que, antes de chegar a ningunha conclusión, a información dispoñible procede da notificación presentada pola organización afectada e que deberá ser obxecto da correspondente análise.

"O relevante desde a perspectiva da protección de datos é que un terceiro utilizaría un axente de IA como instrumento para encadear exitosamente distintas fases do ataque", sinalou a AEPD.

Os ataques con IA deixaron de ser teóricos

Esta primeira notificación non permite afirmar, aclarou, unha tendencia estatística, aínda que si constitúe un sinal significativo de que os ataques apoiados en intelixencia artificial deixaron de ser un risco teórico e empezan a materializarse en incidentes que afectan a tratamentos reais de datos privados.

A utilización de intelixencia artificial en actividades maliciosas non é nova e demostrouse que, aplicadas a un ciberataque, estas capacidades poden facilitar a automatización de actividades ilícitas.

A aparición de axentes de IA introduce, con todo, un cambio cualitativo, xa que un axente pode recibir un obxectivo, planificar tarefas intermedias, utilizar ferramentas, executar código, consultar fontes, interpretar resultados e modificar a súa actuación, de forma autónoma, en función do que atopa.

A intelixencia artificial reduce o tempo de reacción de técnicas maliciosas 

O organismo asegurou que a IA non crea novas ameazas, pero si aumenta a velocidade, escala e capacidade de adaptación de técnicas maliciosas xa coñecidas, reducindo o tempo dispoñible para detectalas e contelas.

"A importancia desta notificación, ademais de pola tecnoloxía empregada, radica en modificar o escenario da xestión de riscos", explicou nun blog da Axencia o director adxunto, Francisco Pérez Bes.

En primeiro lugar, confirma a necesidade de incorporar expresamente os ataques asistidos ou executados mediante IA ás análises de riscos dos tratamentos; non basta con incluír unha referencia xenérica a malware, phishing ou acceso non autorizado, pois esta automatización pode modificar substancialmente a probabilidade, a velocidade e o alcance do incidente.

Ademais, obriga a revisar os tempos de resposta, xa que os procedementos deseñados para ataques executados manualmente poden resultar insuficientes cando un axente analiza simultaneamente múltiples activos, proba distintas vías de acceso e adapta o seu comportamento con rapidez.

A supervisión humana debe apoiarse en mecanismos de detección 

Finalmente, este ataque evidencia que a seguridade dos tratamentos non pode depender unicamente da intervención manual, e que a supervisión humana continúa sendo imprescindible, pero debe apoiarse en mecanismos de detección, contención e resposta capaces de operar coa rapidez suficiente, asegurou o director adxunto da Axencia.

A chegada dos axentes de IA ao ámbito ofensivo debe impulsar, ao seu xuízo, unha revisión inmediata dos modelos de seguridade e protección de datos.