Protección de Datos notifica el primer ataque ejecutado por un agente de IA
Chronological coverage
- First seen15 Sept, 10:32
Protección de Datos notifica el primer ataque ejecutado por un agente de IA
Madrid, 15 sep (EFE).- La Agencia Española de Protección de Datos ha recibido la primera notificación de una brecha de datos personales en la que el incidente ha sido ejecutado mediante un agente de inteligencia artificial que utilizó para ello un conocido modelo de lenguaje. El agente de IA, según fuentes de la AEPD, inició una búsqueda de vulnerabilidades en archivos genéricos, y realizó un inicio de sesión ('login) correcto y una vez accedió al sistema, comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación, lo que, una vez conseguido, le permitió modificar datos personales y acceder a facturas. El organismo que vela por la protección de los datos personales ha señalado que, antes de llegar a ninguna conclusión, la información disponible procede de la notificación presentada por la organización afectada y que deberá ser objeto del correspondiente análisis. Asimismo, la utilización de un concreto modelo de IA tampoco implica que el modelo o la infraestructura de su proveedor hayan sido comprometidos ni que la herramienta haya sido diseñada para desarrollar actividades maliciosas, ha aclarado el organismo. "Lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque", ha señalado la AEPD. Esta primera notificación no permite afirmar, ha aclarado, una tendencia estadística, aunque sí constituye una señal significativa de que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y empiezan a materializarse en incidentes que afectan a tratamientos reales de datos personales. La utilización de inteligencia artificial en actividades maliciosas no es nueva, y se ha demostrado que, aplicadas a un ciberataque, estas capacidades pueden facilitar la automatización de actividades ilícitas. De hecho, según la AEPD, desde hace tiempo se emplean modelos generativos para redactar mensajes de 'phishing', para traducir campañas fraudulentas, suplantar identidades, analizar código o facilitar la búsqueda de vulnerabilidades. La aparición de agentes de IA introduce, sin embargo, un cambio cualitativo, ya que un agente puede recibir un objetivo, planificar tareas intermedias, utilizar herramientas, ejecutar código, consultar fuentes, interpretar resultados y modificar su actuación, de forma autónoma, en función de lo que encuentra. El organismo ha asegurado que la IA no crea nuevas amenazas, pero sí aumenta la velocidad, escala y capacidad de adaptación de técnicas maliciosas ya conocidas, reduciendo el tiempo disponible para detectarlas y contenerlas. La importancia de esta notificación, además de por la tecnología empleada, radica en modificar el escenario de la gestión de riesgos, ha explicado en un blog de la Agencia el director adjunto, Francisco Pérez Bes. En primer lugar, confirma la necesidad de incorporar expresamente los ataques asistidos o ejecutados mediante IA a los análisis de riesgos de los tratamientos; no basta con incluir una referencia genérica a malware, phishing o acceso no autorizado, pues esta automatización puede modificar sustancialmente la probabilidad, la velocidad y el alcance del incidente. Además, obliga a revisar los tiempos de respuesta, ya que los procedimientos diseñados para ataques ejecutados manualmente pueden resultar insuficientes cuando un agente analiza simultáneamente múltiples activos, prueba distintas vías de acceso y adapta su comportamiento con rapidez. En tercer lugar, ha precisado Pérez Bes, aumenta la importancia de las identidades digitales y de las credenciales, ya que un agente que obtiene una cuenta, una clave o un 'token' con permisos excesivos puede operar a la velocidad de una máquina y acceder a diferentes servicios antes de que la organización detecte un comportamiento anómalo. Finalmente, este ataque evidencia que la seguridad de los tratamientos no puede depender únicamente de la intervención manual, y que la supervisión humana continúa siendo imprescindible, pero debe apoyarse en mecanismos de detección, contención y respuesta capaces de operar con la rapidez suficiente, ha asegurado el director adjunto de la Agencia. La llegada de los agentes de IA al ámbito ofensivo debe impulsar, a su juicio, una revisión inmediata de los modelos de seguridad y protección de datos. EFE
Infobae•Newsroom Infobae
:format(jpg)/f.elconfidencial.com%2Foriginal%2F75c%2F5f0%2F7c7%2F75c5f07c7d4d8223a4922065548b220a.jpg)
Follow-up15 Sept, 15:21Denuncian el primer ataque ejecutado por un agente de IA en España
El incidente se ha conocido gracias a la Agencia de Protección de Datos, que recibió la notificación por parte de la organización que fue víctima del ataque al verse datos personales comprometidos
El Confidencial•M. MC.
Follow-up15 Sept, 18:22La Agencia de Protección de Datos detecta el primer posible ataque perpetrado por un agente de IA en España
La institución recibió una noficación en la que se señala que un actor utilizó un conocido modelo de IA para acceder a datos de facturación de un tercero Leer
El Mundo•José M. Rodríguez Silva
Follow-up15 Sept, 18:46La Agencia de Protección de Datos detecta el primer ataque ejecutado por un agente de IA en España
En un momento de mucha tensión con la IA a nivel global, el organismo público ha anunciado que ha recibido la primera notificación de una brecha de datos personales en la que el incidente ha sido ejecutado mediante un agente a través de un modelo de lenguaje ¿Se puede 'frenar' la IA? Por qué el resto del mundo desconfía del plan de Silicon Valley La Agencia Española de Protección de Datos ha recibido la primera notificación de una brecha de datos personales en la que el incidente ha sido ejecutado mediante un agente de inteligencia artificial que utilizó para ello un conocido modelo de lenguaje. El agente de IA, según fuentes de la AEPD, inició una búsqueda de vulnerabilidades en archivos genéricos, y realizó un inicio de sesión ('login) correcto y una vez accedió al sistema, comenzó a buscar, de forma autónoma, vulnerabilidades en la aplicación, lo que, una vez conseguido, le permitió modificar datos personales y acceder a facturas. El organismo que vela por la protección de los datos personales ha señalado que, antes de llegar a ninguna conclusión, la información disponible procede de la notificación presentada por la organización afectada y que deberá ser objeto del correspondiente análisis. Asimismo, la utilización de un concreto modelo de IA tampoco implica que el modelo o la infraestructura de su proveedor hayan sido comprometidos ni que la herramienta haya sido diseñada para desarrollar actividades maliciosas, ha aclarado el organismo. “Lo relevante desde la perspectiva de la protección de datos es que un tercero habría utilizado un agente de IA como instrumento para encadenar exitosamente distintas fases del ataque”, ha señalado la AEPD. Una señal significativa Esta primera notificación no permite afirmar, ha aclarado, una tendencia estadística, aunque sí constituye una señal significativa de que los ataques apoyados en inteligencia artificial han dejado de ser un riesgo teórico y empiezan a materializarse en incidentes que afectan a tratamientos reales de datos personales. La utilización de inteligencia artificial en actividades maliciosas no es nueva, y se ha demostrado que, aplicadas a un ciberataque, estas capacidades pueden facilitar la automatización de actividades ilícitas. De hecho, según la AEPD, desde hace tiempo se emplean modelos generativos para redactar mensajes de phishing , para traducir campañas fraudulentas, suplantar identidades, analizar código o facilitar la búsqueda de vulnerabilidades. Un cambio cualitativo La aparición de agentes de IA introduce, sin embargo, un cambio cualitativo, ya que un agente puede recibir un objetivo, planificar tareas intermedias, utilizar herramientas, ejecutar código, consultar fuentes, interpretar resultados y modificar su actuación, de forma autónoma, en función de lo que encuentra. El organismo ha asegurado que la IA no crea nuevas amenazas, pero sí aumenta la velocidad, escala y capacidad de adaptación de técnicas maliciosas ya conocidas, reduciendo el tiempo disponible para detectarlas y contenerlas. La importancia de esta notificación, además de por la tecnología empleada, radica en modificar el escenario de la gestión de riesgos, ha explicado en un blog de la Agencia el director adjunto, Francisco Pérez Bes. En primer lugar, confirma la necesidad de incorporar expresamente los ataques asistidos o ejecutados mediante IA a los análisis de riesgos de los tratamientos; no basta con incluir una referencia genérica a malware, phishing o acceso no autorizado, pues esta automatización puede modificar sustancialmente la probabilidad, la velocidad y el alcance del incidente. Además, obliga a revisar los tiempos de respuesta, ya que los procedimientos diseñados para ataques ejecutados manualmente pueden resultar insuficientes cuando un agente analiza simultáneamente múltiples activos, prueba distintas vías de acceso y adapta su comportamiento con rapidez. En tercer lugar, ha precisado Pérez Bes, aumenta la importancia de las identidades digitales y de las credenciales, ya que un agente que obtiene una cuenta, una clave o un token con permisos excesivos puede operar a la velocidad de una máquina y acceder a diferentes servicios antes de que la organización detecte un comportamiento anómalo. Finalmente, este ataque evidencia que la seguridad de los tratamientos no puede depender únicamente de la intervención manual, y que la supervisión humana continúa siendo imprescindible, pero debe apoyarse en mecanismos de detección, contención y respuesta capaces de operar con la rapidez suficiente, ha asegurado el director adjunto de la Agencia. La llegada de los agentes de IA al ámbito ofensivo debe impulsar, a su juicio, una revisión inmediata de los modelos de seguridad y protección de datos.
elDiario.es•EFE, elDiario.es
Latest15 Sept, 19:05La Agencia Española de Protección de Datos analiza un posible ataque ejecutado con un agente de IA
El organismo investiga el aviso, que describe una intrusión capaz de localizar fallos, acceder a una aplicación y alterar información de usuarios de forma autónoma