La Agencia Española de Protección de Datos (AEPD) ha recibido la primera notificación de una brecha de datos personales en la que el ataque habría sido ejecutado mediante un agente de inteligencia artificial. Según la información comunicada por la organización afectada, el agente utilizó un conocido modelo de lenguaje, accedió correctamente al sistema y después buscó vulnerabilidades de forma autónoma hasta conseguir modificar datos personales y acceder a facturas. La Agencia advierte de que el incidente todavía debe analizarse y que la notificación no demuestra que el modelo utilizado ni la infraestructura de su proveedor hayan sido comprometidos.
Las claves del primer ciberataque agéntico notificado a la AEPD en 30 segundos
- La AEPD recibió una brecha en la que un agente de IA habría encadenado distintas fases del ataque.
- Tras un acceso correcto, habría buscado vulnerabilidades de forma autónoma hasta acceder a facturas y modificar datos personales.
- La información procede de la organización afectada y aún debe analizarse.
- No hay evidencia de que el modelo de IA empleado estuviera comprometido.
- El CCN ya advierte de que la IA ofensiva permite automatizar ataques y reducir sus tiempos de ejecución.
El caso tiene una particularidad importante. La AEPD no está anunciando el descubrimiento de una nueva vulnerabilidad ni atribuyendo el ataque a un determinado grupo. Tampoco identifica públicamente a la organización afectada o al modelo de lenguaje empleado.
Lo que considera relevante es el grado de autonomía que habría alcanzado el software durante el ataque.
Los modelos generativos llevan tiempo utilizándose para preparar phishing, analizar código, traducir campañas fraudulentas o ayudar a localizar vulnerabilidades. En este incidente, según la notificación recibida por la Agencia, el sistema habría dado un paso más: utilizar herramientas y adaptar sus siguientes acciones en función de lo que encontraba.
Del hacker ayudado por ChatGPT al agente que ejecuta tareas
La diferencia puede parecer pequeña, pero técnicamente cambia bastante el escenario.
En un ataque asistido por inteligencia artificial continúa existiendo normalmente una persona que mantiene el control directo de las diferentes etapas. Puede preguntar a un modelo cómo interpretar determinado código, solicitar ayuda para crear un script o analizar los resultados de una herramienta.
Un agente introduce un nivel adicional de automatización.
Puede recibir un objetivo, dividirlo en tareas, utilizar herramientas, ejecutar acciones, comprobar qué ha ocurrido y decidir qué hacer después. La persona puede seguir definiendo el objetivo y supervisando la operación, pero ya no necesita intervenir manualmente en cada paso.
Eso es precisamente lo que habría ocurrido en el incidente comunicado a la AEPD.
Según la descripción publicada por Francisco Pérez Bes, adjunto a la Presidencia de la Agencia, el atacante comenzó buscando vulnerabilidades en archivos genéricos y realizó posteriormente un inicio de sesión correcto.
Una vez dentro, el agente habría continuado buscando autónomamente vulnerabilidades en la aplicación. Después de localizar una vía aprovechable, consiguió modificar datos personales y acceder a facturas.
La AEPD utiliza deliberadamente términos condicionales. Los hechos proceden de la notificación presentada por la organización y tendrán que ser analizados antes de alcanzar conclusiones definitivas.
Ese matiz también afecta al modelo de lenguaje.
Que un atacante utilice un determinado LLM no significa que haya vulnerado ese modelo, que el proveedor haya sufrido una intrusión o que la herramienta se haya desarrollado para realizar ciberataques.
Es comparable a utilizar un navegador, un intérprete de Python o una herramienta administrativa durante una intrusión: identificar el software utilizado no demuestra que exista una vulnerabilidad en él.
La IA no inventa el ataque, comprime sus tiempos
El aspecto probablemente más interesante del caso no está en descubrir una nueva categoría de ciberamenaza.
Las etapas descritas son conocidas: buscar vulnerabilidades, conseguir acceso, ampliar el conocimiento sobre el sistema y alcanzar información que no debería estar disponible.
Lo que cambia es la velocidad a la que pueden encadenarse.
El Centro Criptológico Nacional (CCN) llegó a una conclusión parecida en junio al publicar su guía de buenas prácticas frente al modelo de IA ofensiva. El organismo advierte de que estas tecnologías pueden reducir la complejidad técnica y permitir campañas más rápidas, automatizadas y a mayor escala.
La diferencia puede apreciarse comparando ambos modelos de forma simplificada:
| Ataque principalmente manual | Ataque apoyado en agentes |
|---|---|
| El operador inspecciona resultados | El agente puede analizar resultados |
| Decide manualmente el siguiente paso | Puede seleccionar nuevas acciones |
| Ejecuta herramientas una a una | Puede encadenar herramientas |
| El ritmo depende del operador | Puede trabajar a velocidad de máquina |
| Escalar requiere más trabajo humano | Parte del trabajo puede replicarse |
| La adaptación exige intervención | Puede reajustar acciones según resultados |
Esto no significa que un agente sea capaz de comprometer automáticamente cualquier infraestructura.
Sigue necesitando encontrar alguna oportunidad aprovechable: una vulnerabilidad, una credencial válida, una mala configuración, permisos excesivos o alguna otra debilidad.
Pero puede cambiar radicalmente el tiempo disponible para reaccionar.
Un administrador que anteriormente podía disponer de horas entre distintas fases de una intrusión puede encontrarse con varias de ellas ejecutadas de forma consecutiva en minutos.
El CCN considera precisamente que la IA ofensiva obliga a revisar procesos de seguridad diseñados alrededor de velocidades humanas. También recomienda acelerar la gestión de vulnerabilidades, proteger especialmente las identidades y credenciales, revisar la cadena de suministro y gobernar el uso de agentes.
Una contraseña válida puede ser mucho más peligrosa en manos de un agente
El incidente descrito por la AEPD contiene otro detalle que puede pasar desapercibido: hubo un login correcto.
La Agencia no proporciona suficiente información para determinar cómo se obtuvieron las credenciales ni qué mecanismo de autenticación estaba implantado, por lo que no sería correcto concluir que la contraseña fue robada mediante IA.
Lo importante es qué ocurre después de conseguir acceso.
Una cuenta comprometida con permisos excesivos siempre ha sido peligrosa. Pero un agente puede utilizarla para explorar servicios y aplicaciones con una velocidad muy superior a la de un operador humano.
La situación puede ser todavía más delicada con claves API, tokens y cuentas de servicio.
Estos elementos están diseñados precisamente para que máquinas y aplicaciones actúen automáticamente. Si un atacante consigue una credencial con demasiados permisos, puede utilizarla para recorrer diferentes servicios antes de que una organización identifique el comportamiento anómalo.
Por eso el modelo tradicional de “usuario autenticado equivale a usuario legítimo” resulta cada vez menos suficiente.
Las organizaciones necesitan observar también qué hace esa identidad después de autenticarse.
Un inicio de sesión correcto seguido inmediatamente por búsquedas masivas, accesos inusuales, cambios de información o consultas incompatibles con el comportamiento normal debería poder activar controles sin esperar a que una persona revise los registros.
El SOC también tendrá que responder a velocidad de máquina
Aquí aparece probablemente la consecuencia práctica más importante.
Si los atacantes automatizan reconocimiento, análisis y explotación, mantener una defensa basada principalmente en personas mirando alertas puede generar una diferencia de velocidad difícil de compensar.
La AEPD no plantea eliminar la supervisión humana. Al contrario, señala que continúa siendo necesaria.
Pero sostiene que debe acompañarse de detección, contención y respuesta capaces de trabajar con suficiente rapidez.
Eso afecta directamente a los centros de operaciones de seguridad (SOC).
Un sistema defensivo puede necesitar bloquear temporalmente un token, aislar una sesión, exigir una nueva autenticación o limitar determinados permisos antes de que un analista humano haya completado toda la investigación.
La automatización defensiva tampoco está exenta de riesgos.
Bloquear automáticamente una cuenta legítima puede detener un proceso empresarial. Aislar incorrectamente un servidor puede provocar una interrupción. Una detección mal configurada puede generar miles de falsos positivos.
Por eso la cuestión no consiste simplemente en responder a agentes atacantes con agentes defensivos, sino en decidir qué acciones pueden automatizarse, cuáles necesitan autorización humana y cuáles deben poder revertirse rápidamente.
Una sola notificación no demuestra una oleada de ataques con IA
El titular del caso necesita también una precaución estadística.
Es la primera notificación de estas características recibida por la AEPD, pero eso no significa que sea el primer ataque realizado mediante agentes de IA en España.
Tampoco demuestra que exista una oleada.
La propia Agencia lo advierte expresamente: una primera notificación no permite establecer una tendencia estadística.
Las organizaciones no siempre conocen exactamente qué herramientas utilizó un atacante. En muchos incidentes resulta complicado reconstruir incluso las acciones realizadas, y determinar si detrás de ellas había una persona, un script convencional o un agente de IA puede ser todavía más difícil.
Por eso este caso tiene más valor como señal que como estadística.
La AEPD recibió solo en febrero de 2026 288 notificaciones de brechas de datos personales, de las que 183 indicaban un origen externo y 164 un carácter malintencionado. Esas cifras permiten poner en perspectiva una única notificación relacionada con un agente de IA.
No hay datos suficientes para afirmar que los agentes representen ya una proporción relevante de los incidentes.
Sí existe suficiente evidencia para considerarlos dentro de los análisis de riesgo.
El RGPD no cambia porque el atacante utilice inteligencia artificial
Para las empresas aparece además una consecuencia jurídica.
El Reglamento General de Protección de Datos (RGPD) obliga a notificar una brecha a la autoridad competente cuando sea probable que suponga un riesgo para los derechos y libertades de las personas. La comunicación debe realizarse sin dilación indebida y, cuando corresponda, en un máximo de 72 horas desde que la organización tiene constancia de la brecha.
Utilizar IA durante el ataque no cambia esas obligaciones.
Lo que puede cambiar es la evaluación previa del riesgo.
La AEPD considera que las organizaciones deberían incorporar expresamente los ataques asistidos o ejecutados mediante IA a sus análisis, porque la automatización puede modificar la probabilidad, velocidad y alcance de un incidente.
También obliga a revisar procedimientos.
Un plan de respuesta que presuponga que un atacante necesitará horas para inspeccionar manualmente varios sistemas puede quedarse corto si determinadas tareas se realizan automáticamente.
El CCN ya está trasladando esta preocupación al sector público. En julio incorporó a INÉS, su solución de gobernanza de ciberseguridad, un mecanismo para que organismos sujetos al Esquema Nacional de Seguridad (ENS) evalúen su preparación frente a amenazas potenciadas por IA.
La llegada de los agentes ofensivos no invalida, sin embargo, las medidas tradicionales.
Aplicar parches, limitar privilegios, proteger credenciales, segmentar sistemas, registrar actividad, controlar proveedores y minimizar los datos almacenados continúan siendo medidas fundamentales. La IA puede acelerar una intrusión, pero necesita encontrar algo que explotar.
El primer caso notificado a la AEPD resulta interesante precisamente por eso. No presenta una misteriosa IA capaz de hackear cualquier sistema por sí misma. Describe una tecnología que habría automatizado y encadenado técnicas conocidas hasta conseguir acceder a información real.
La diferencia parece pequeña sobre el papel. Para un equipo de seguridad puede ser enorme: el adversario ya no tiene necesariamente que trabajar al ritmo de una persona.
