AEPD registra el primer ciberataque con un agente de IA en España

Qué ha pasado

La Agencia Española de Protección de Datos (AEPD) ha confirmado que investiga la primera notificación de brecha de datos personales en España ejecutada por un agente de inteligencia artificial. El caso fue comunicado por la propia empresa afectada, cuya identidad no se ha hecho pública, y la Agencia todavía debe completar el análisis técnico, según recoge Xataka.

Lo que se sabe hasta ahora, según el comunicado de la AEPD recogido por ABC:

El ataque se ejecutó con un "conocido modelo de lenguaje" del que no se ha trascendido el nombre. La Agencia aclara que el hecho de usar un modelo conocido no implica que el modelo o la infraestructura de su proveedor estén comprometidos, ni que la herramienta haya sido diseñada para delinquir.
El agente de IA empezó explorando vulnerabilidades en archivos genéricos y logró iniciar sesión en el sistema. Una vez dentro, siguió buscando fallos de forma autónoma y encontró al menos uno que le permitió modificar datos personales y acceder a facturas.
La AEPD no explica cómo se obtuvieron las credenciales iniciales. Ese punto sigue abierto en la investigación.

Es importante leer el caso con un matiz que la propia Agencia repite en su comunicado: "esta primera notificación no permite afirmar una tendencia estadística", en palabras de Francisco Pérez Bes, adjunto de la AEPD, recogidas por Estrella Digital. Aun así, Pérez Bes lo describe como una "señal relevante" de que los ataques apoyados en IA "han dejado de ser un riesgo teórico".

🤖 La IA no es solo para leer sobre ella

En la comunidad la aplicamos: automatización, agentes IA y herramientas reales para emprender, no solo para informarte.

👥 Aplicarla en la comunidad

Por qué la AEPD habla de "cambio cualitativo"

Un agente de IA no es un chatbot: recibe un objetivo, lo divide en subtareas, usa herramientas, ejecuta código, consulta fuentes y modifica su estrategia según lo que encuentra. La AEPDresume en su comunicado que un agente "puede recibir un objetivo, planificar tareas intermedias, utilizar herramientas, ejecutar código, consultar fuentes, interpretar resultados y modificar su actuación, de forma autónoma, en función de lo que encuentra".

Ese salto, según la Agencia, convierte a la IA de asistente del atacante humano en atacante virtual autónomo. Las implicaciones concretas, también recogidas en el comunicado:

Velocidad: el agente puede analizar varios archivos en paralelo, probar distintas vías de entrada y adaptar su comportamiento.
Escala: si consigue una cuenta, clave o token con demasiados permisos, salta entre servicios antes de que el equipo de seguridad detecte la anomalía.
Categorías obsoletas: "malware", "phishing" o "acceso no autorizado" como etiquetas genéricas dejan de describir bien el riesgo, porque la probabilidad, velocidad y alcance del incidente cambian con esta automatización.

Google ya había avisado: la tendencia es global

El caso español no cae en el vacío. Apenas una semana antes, Google Threat Intelligence Group (GTIG) publicó su Q3 2026 AI Threat Tracker, donde documenta que los grupos criminales y de espionaje están dejando de experimentar con IA para pasar a operaciones reales con agentes, según reporta Help Net Security.

Tres hallazgos del informe que importan al fundador:

Campaña de seis horas: un actor financieramente motivado usó credenciales cloud robadas para desplegar un framework multi-agente autónomo que planificó, construyó y ejecutó una campaña masiva de robo de credenciales en menos de seis horas. Miles de credenciales de terceros quedaron comprometidas, y el atacante operaba desde la propia infraestructura cloud de la víctima, lo que hacía pasar el tráfico como legítimo.
Framework "Recon": GTIG descubrió un servidor de comando y control que alojaba un sistema de reconocimiento y gestión de credenciales con más de 23.800 secretos en tiempo real, incluyendo API keys de servicios cloud y de IA.
Estado-nación probando armas similares: un actor vinculado a China usó Gemini para diseñar un framework de pentesting automatizado, y otro usó herramientas como Claude, Codex o Gemini para escribir exploits, generar spear-phishing y depurar errores con ayuda de Burp Suite y Phalanx.

GTIG es claro: "no se han observado aún pipelines totalmente autónomos desplegados en producción", pero advierte de una "maduración gradual del oficio" que apunta exactamente hacia ese escenario. John Hultquist, analista jefe de GTIG, resumió el riesgo así, según Help Net Security: "los criminales gravit hacia ataques más rápidos de lo que podemos responder".

A esto se suma que, según ABC, OpenAI reconoció en julio que algunos de sus modelos más competentes protagonizaron ciberataques exitosos durante pruebas —incluyendo uno contra Hugging Face— y que Anthropic y Meta también reconocieron episodios parecidos en los últimos meses.

¿Qué significa esto para tu startup?

El caso español todavía no es una tendencia confirmada, pero el resto de señales —GTIG, OpenAI, Anthropic, Meta— sí lo es. Para una startup hispanohablante, la pregunta no es "¿me va a tocar a mí?" sino "¿cuánto tardaré en ver un agente intentando entrar en mis sistemas?". Sobre todo si manejas credenciales, datos de clientes, integraciones cloud o workflows con agentes propios.

Tres acciones concretas para esta semana:

Revisa el análisis de riesgos de tu tratamiento de datos. La AEPD pide expresamente incluir los ataques asistidos o ejecutados con IA como categoría propia, no como una nota al pie dentro de "malware". Si tu DPA (Delegado de Protección de Datos) o tu equipo legal sigue usando plantillas de 2024, este es el mes para actualizarlas.
Cuestiona el principio de mínimos privilegios. El caso muestra el patrón clásico: un login válido lleva a un agente con permisos suficientes para tocar datos personales y facturas. Auditoría rápida: qué cuentas de servicio, tokens y API keys tienen más permisos de los que necesitan, especialmente en CRM, facturación y almacén de datos.
Diseña para la velocidad, no para la jornada laboral. Los procedimientos de respuesta a incidentes "de 24 a 72 horas" están pensados para atacantes humanos. Un agente opera en minutos. La AEPD pide "revisar los tiempos de respuesta"; en la práctica, eso significa alertas automatizadas con respuesta automatizada (revocación de tokens, aislamiento de cuenta, rollback) y un runbook que no dependa de que alguien llegue a la oficina.

Como contexto de escala, la AEPD recibió 2.765 notificaciones de brechas de datos personales en 2025 —el 80% del sector privado y el 20% del sector público— según la nota de prensa oficial publicada el 23 de enero de 2026. Los responsables que notificaron emitieron además más de 200 millones de comunicaciones a personas afectadas. La vía de entrada más común en las grandes brechas de 2025 fue, precisamente, credenciales comprometidas en VPNs corporativas o aplicaciones web —el mismo vector que describe el caso del agente de IA en España.

Cómo encuadrar la defensa, según la AEPD y el CCN

La AEPD no pide nada exótico. Pide volver a los fundamentos, pero a una velocidad nueva:

Conocer los tratamientos que manejas.
Minimizar los datos y limitar los accesos.
Corregir vulnerabilidades con rapidez.
Controlar a los proveedores.
Estar preparado para responder.

El Centro Criptológico Nacional (CCN), citado tanto por la AEPD como por ABC, va un paso más allá en su guía de buenas prácticas: recomienda reforzar los controles esenciales, acelerar la gestión de vulnerabilidades, proteger las identidades, controlar la cadena de suministro y gobernar el uso de agentes. Si tu startup usa agentes internos —de soporte, de ventas, de operaciones— esa última cláusula te toca directamente: la superficie de ataque ya no es solo tu código, también son tus agentes.

El mensaje de fondo coincide con el de GTIG: la defensa ya no se mide en expertos, sino en automatización bien gobernada. Como recordó Hultquist en Help Net Security, los atacantes están eligiendo ataques "más rápidos de lo que podemos responder". La única forma de cerrar esa ventana es responder en la misma unidad de tiempo.