La inteligencia artificial se materializa en ciberamenaza real con el hackeo de la AEPD
La vulnerabilidad revelada por la AEPD se suma al tema de rabiosa actualidad sobre los peligros de la IA.
Estos días, la Agencia Española de Protección de Datos (AEPD) ha confirmado la recepción de la primera notificación de una brecha de datos personales en la que el ataque fue ejecutado por un agente de inteligencia artificial, que utilizó un conocido modelo de lenguaje para encadenar de forma autónoma distintas fases del ataque: desde el inicio de sesión y la búsqueda de vulnerabilidades, hasta la modificación de datos personales y el acceso a facturas.
Según la propia AEPD, este incidente no permite hablar todavía de una tendencia estadística, pero sí constituye una señal significativa de que los ataques apoyados en IA han dejado de ser un riesgo teórico para convertirse en una realidad que ya afecta a tratamientos reales de datos personales en España.
Para Juan Ignacio Ramallo, Country Manager Iberia de Stoïk, “Lo más preocupante no es la sofisticación técnica del ataque, sino la velocidad con la que se puede generar. Un agente de IA puede analizar simultáneamente múltiples vías de acceso a las compañías y probar distintas vulnerabilidades, lo que hace que las posibilidades se multipliquen en gran medida, algo que, un equipo humano sería imposible que pudiera llevar a cabo. Sin embargo, la IA sí que lo hace posible”.
El directivo concluye: “Además, a la hora de ser investigado, sería mucho más difícil llegar hasta el causante del ataque, ya que las acciones las ejecutaría una herramienta, por lo que los rastros que dejase serían genéricos y difíciles de atribuir a una persona”.
La supervisión humana ya no basta: “a la IA solo se le combate con IA”
Por su parte, Check Point Software Technologies), pionero y líder global en soluciones de ciberseguridad, asegura que la inteligencia artificial en el ámbito de la ciberdelincuencia ha dado un salto definitivo. Si hasta ahora los ciberdelincuentes utilizaban modelos generativos como herramienta de apoyo para redactar phishing o analizar código, la reciente notificación de la Agencia Española de Protección de Datos (AEPD) ha puesto de manifiesto una nueva realidad: los agentes de IA ya son capaces de ejecutar ciberataques de manera totalmente independiente y autónoma.
A diferencia de un atacante humano, condicionado por horarios y recursos limitados, un agente de IA opera de forma ininterrumpida. Estos sistemas están previamente entrenados e integrados con diversos motores de IA para ejecutar acciones. Una vez lanzados, analizan el entorno, prueban vías de acceso y adaptan su comportamiento sin necesidad de que un humano les dé instrucciones paso a paso.
Esta capacidad de reacción inmediata vuelve especialmente crítico el robo de credenciales o claves API. “Cuando un agente autónomo consigue una clave de acceso, la incorpora al instante como una variable más dentro de sus instrucciones preprogramadas: detecta la llave y prueba automáticamente todas las puertas que puede abrir en cuestión de segundos, alcanzando datos sensibles o facturas antes de que la empresa detecte la anomalía”, afirma Rafa López, Workspace Security Engineer de Check Point Software en España.
Ante esta aceleración de los tiempos de ataque, los procedimientos tradicionales y la respuesta manual de seguridad resultan insuficientes. “Las empresas deben conocer con precisión su grado de exposición para saber por dónde pueden ser atacadas, pero, sobre todo, han de incorporar herramientas de ciberseguridad con IA nativa. De lo contrario, nos encontramos en una guerra asimétrica donde las máquinas atacan y los humanos defienden. Hoy en día, a la IA solo se la combate con IA”, concluye Rafa López.
