IA é associada a ataque com fuga de dados em Espanha

A Agência Espanhola de Proteção de Dados (AEPD) recebeu a primeira notificação de uma violação de dados pessoais em Espanha alegadamente executada através de um agente de Inteligência Artificial (IA). A entidade ressalva, contudo, que ainda não investigou o incidente nem confirmou a utilização de IA nos moldes descritos pela organização afetada.

Segundo a informação comunicada à AEPD, o agente, suportado por um modelo de linguagem conhecido, começou por procurar vulnerabilidades em ficheiros genéricos e conseguiu autenticar-se nos sistemas da organização. Depois de obter acesso, terá passado a procurar autonomamente outras falhas nas aplicações.

“O agente atacante começou a procurar vulnerabilidades em ficheiros genéricos e conseguiu iniciar sessão”, explica a AEPD. “Depois de obter acesso ao sistema, começou a procurar autonomamente vulnerabilidades na aplicação. Após encontrá-las, conseguiu modificar dados pessoais e aceder a faturas”, aponta agência.

A notificação não significa que o modelo utilizado ou a infraestrutura do respetivo fornecedor tenham sido comprometidos, nem que o sistema tenha sido desenvolvido para facilitar atividades maliciosas. A própria AEPD sublinha esta distinção ao analisar as implicações do incidente.

Para a autoridade espanhola, a IA não introduz necessariamente novas ameaças, mas pode aumentar a velocidade, a escala e a capacidade de adaptação dos ataques que, por sua vez, reduz o tempo disponível para deteção e resposta.

A utilização de agentes capazes de analisar ativos, testar diferentes métodos de acesso e adaptar o comportamento de forma simultânea leva a AEPD a defender uma revisão dos modelos de gestão de risco. Procedimentos concebidos para ataques conduzidos manualmente podem revelar-se insuficientes perante este nível de automação.

A agência chama também a atenção para a proteção das identidades digitais e credenciais. Contas comprometidas, chaves de API ou tokens com permissões excessivas podem permitir que agentes automatizados acedam rapidamente a diferentes serviços e ampliem o impacto de uma intrusão.

“A chegada dos agentes de IA ao domínio ofensivo deve levar a uma revisão imediata dos modelos de segurança e proteção de dados”, alerta a AEPD.

Apesar de o caso constituir a primeira notificação deste género recebida pela autoridade espanhola, a participação efetiva de um agente autónomo de IA no ataque permanece por confirmar e depende da investigação ao incidente.