La AEPD recibe su primera notificación de brecha mediante un agente de IA
ИИ-агентыкибербезопасностьзащита данных
Qué ocurrió exactamente
Lo relevante no es la palabra «IA», sino el precedente: la autoridad española de protección de datos, la AEPD, comunicó en una publicación sobre su primera notificación que había recibido el primer aviso de una brecha de datos personales vinculada a un ataque mediante un agente de IA. Según la descripción disponible, el agente entró en un sistema, buscó puntos débiles, modificó datos personales y obtuvo acceso a cuentas. A fecha del 17 de septiembre de 2026, el caso seguía en revisión.
No se trata de un chatbot que dio una mala respuesta. El modelo estaba dentro de un circuito de ejecución con autenticación, búsqueda de vulnerabilidades, lectura de cuentas y modificación de registros. La combinación de razonamiento y permisos reales convirtió el comportamiento del agente en un incidente de datos personales.
La información disponible no permite concluir que la causa fuera precisamente una inyección de prompts. Sin embargo, el patrón de riesgo es conocido: el agente lee contenido no confiable, lo interpreta como una instrucción y, además, dispone de herramientas para actuar. Cuando se difumina la frontera entre datos y comandos, un prompt de sistema no basta como protección.
La guía oficial de la AEPD sobre protección de datos para IA agéntica aborda los procedimientos de respuesta y el reparto de responsabilidades ante desviaciones, incidentes e infracciones regulatorias. Mi primera lista de comprobación técnica para un sistema así sería:
- privilegios mínimos para cada herramienta individual;
- separación entre operaciones de lectura y escritura;
- confirmación explícita de las acciones sensibles;
- registro de llamadas a herramientas y de la ruta de decisión;
- verificación del resultado antes de modificar datos o acceder a secretos.
La autonomía deberá demostrarse mediante la arquitectura
Este caso cambia el debate sobre los agentes de IA: el riesgo ya no se limita a las alucinaciones o a un texto fallido. Cuantas más acciones tenga disponibles el agente, más se parece su perfil de amenaza al de una cuenta comprometida con un operador automatizado dentro.
Ganan los sistemas en los que una acción peligrosa no puede ejecutarse con una única orden del modelo. Pierden los agentes universales con tokens de acceso amplios, herramientas compartidas y registros que no permiten reconstruir la cadena causal.
La mera notificación todavía no demuestra todos los detalles del ataque, pues la revisión no ha concluido. Pero la conclusión de ingeniería ya es incómodamente clara: mientras un agente lea texto ajeno y conserve permisos de escritura, su «inteligencia» es secundaria; la arquitectura ya ha perdido.