La IA ya empezó a atacar por su cuenta: el caso de España que cambia el escenario de la ciberseguridad

Un organismo oficial español recibió la primera notificación de una brecha de datos en la que un agente de inteligencia artificial habría identificado vulnerabilidades, ingresado a un sistema, modificado información personal y consultado facturas con una intervención humana limitada. El episodio todavía está bajo investigación, pero marca un cambio de escenario: la IA ya no solamente puede ayudar a un atacante, sino también ejecutar buena parte de la cadena de ataque.

Por Ignacio Álvarez Alcorta para NLI

La imagen de una inteligencia artificial utilizada para cometer un ciberataque dejó hace tiempo de pertenecer exclusivamente al terreno de la ciencia ficción. Lo que acaba de ocurrir en España, sin embargo, introduce una diferencia sustancial: ya no se trata solamente de una persona que utiliza una IA para escribir código malicioso, buscar información o encontrar una vulnerabilidad, sino de un agente capaz de encadenar distintas acciones y avanzar dentro de un objetivo con un grado reducido de supervisión humana. La Agencia Española de Protección de Datos (AEPD) informó esta semana que recibió la primera notificación de una brecha de datos personales en la que un agente de inteligencia artificial habría participado de manera autónoma en diferentes fases del ataque. La investigación continúa y la propia agencia advierte que se trata de un caso aislado, pero la señal tecnológica es difícil de ignorar.

De asistente a operador

Según la información proporcionada por la organización afectada a la AEPD, el agente utilizó un modelo de lenguaje de gran escala para identificar debilidades, consiguió iniciar sesión en el sistema y posteriormente buscó vulnerabilidades en una aplicación. Una vez localizada una falla, habría podido modificar datos personales y acceder a registros vinculados con facturación. La agencia española no identificó públicamente ni a la organización afectada ni al modelo de lenguaje utilizado, y aclaró que el hecho de que un determinado modelo haya sido utilizado durante el ataque no significa que ese modelo haya sido comprometido ni que su infraestructura haya sido vulnerada. Tampoco implica que la herramienta haya sido diseñada por su desarrollador con fines maliciosos.

La precisión es importante porque permite entender qué cambió realmente. Una IA generativa tradicional responde a una solicitud: redacta un texto, analiza un documento, escribe código o propone una solución. Un agente de IA, en cambio, puede recibir un objetivo, dividirlo en tareas, utilizar herramientas externas, evaluar los resultados obtenidos y continuar con nuevos pasos. En un entorno ofensivo, esa diferencia transforma radicalmente las posibilidades. El atacante humano ya no necesariamente tiene que decidir cada movimiento: puede establecer un objetivo y dejar que el sistema explore caminos posibles, descarte los que fracasan y continúe por aquellos que parecen ofrecer mejores resultados.

La AEPD subrayó precisamente ese aspecto. De acuerdo con la información difundida por la agencia y recogida por Reuters, el elemento novedoso del caso reside en que una tercera persona utilizó un agente de IA para ejecutar múltiples etapas de una intrusión con una intervención humana limitada. La autoridad española sostiene, además, que la inteligencia artificial no inventa necesariamente nuevas clases de amenazas: lo que hace es aumentar la velocidad, la escala y la capacidad de adaptación de técnicas que ya existen. El problema, por lo tanto, no es solamente qué puede hacer una IA, sino cuánto tiempo necesita para hacerlo y cuántos objetivos puede abordar simultáneamente.

El salto que preocupa a los especialistas

El episodio español no aparece en el vacío. Durante 2026 se acumularon señales de que los sistemas de inteligencia artificial están empezando a integrarse en operaciones ofensivas cada vez más complejas. Anthropic, la empresa creadora de Claude, informó en septiembre que durante los ocho meses anteriores había identificado y bloqueado operaciones en las que distintos actores intentaron utilizar sus modelos para actividades maliciosas. Los casos incluían operaciones cibernéticas, vigilancia, fraude, influencia y otras actividades ilícitas. La propia compañía reconoció que, a medida que aumentan las capacidades de los modelos, también crecen los riesgos derivados de su utilización por actores maliciosos.

Uno de los puntos más relevantes del informe es que la IA puede reducir la brecha entre un atacante con grandes recursos y operadores con conocimientos mucho más limitados. Anthropic señala que los modelos pueden acelerar tareas que abarcan prácticamente toda la cadena de una operación informática: reconocimiento, desarrollo de herramientas, procesamiento de información y explotación. En otras palabras, determinadas tareas que antes requerían especialistas diferentes pueden comenzar a ser coordinadas mediante sistemas automatizados.

Una investigación publicada por Unit 42, la división de inteligencia de amenazas de Palo Alto Networks, aporta otro ejemplo. Sus investigadores identificaron una campaña en la que un actor de habla china utilizó un sistema basado en IA para enumerar objetivos, buscar vulnerabilidades y realizar intentos de explotación sin intervención humana en cada paso. El operador utilizó DeepSeek mediante el framework Hermes Agent y combinó diferentes modelos y herramientas. La investigación determinó que el sistema podía buscar vulnerabilidades, consultar código de explotación disponible públicamente y modificar su estrategia cuando los primeros intentos fracasaban.

El experimento no significó que todas las víctimas fueran comprometidas automáticamente: Unit 42 señaló que varios intentos fallaron debido a configuraciones de seguridad y requisitos de autenticación. Pero justamente allí aparece una de las conclusiones más importantes. La cuestión ya no es si una IA puede intentar atacar un sistema, sino qué ocurre cuando encuentra uno que está mal configurado o posee una vulnerabilidad explotable. En determinados casos, el cuello de botella deja de estar en la capacidad del atacante para encontrar la falla y pasa a estar en la defensa de la infraestructura atacada.

Una carrera contra el tiempo

Durante décadas, la ciberseguridad funcionó sobre una lógica relativamente clara: los atacantes desarrollaban técnicas, los defensores las detectaban, se creaban parches y comenzaba nuevamente el ciclo. La inteligencia artificial introduce una aceleración que puede romper ese equilibrio. Si una máquina puede investigar vulnerabilidades durante las 24 horas, analizar enormes cantidades de información, probar distintas alternativas y modificar su estrategia en segundos, la velocidad de respuesta humana se convierte en un factor crítico.

Eso explica por qué el caso español tiene una importancia que excede ampliamente a la organización concreta afectada. La AEPD no está diciendo que las máquinas hayan adquirido voluntad propia ni que exista una inteligencia artificial que haya decidido atacar por iniciativa propia. El escenario es mucho más concreto y, justamente por eso, más preocupante: una persona puede poner un agente automatizado al servicio de un objetivo y permitir que el sistema ejecute una parte creciente de las decisiones operativas. El agente no necesita tener conciencia, deseos ni intenciones para producir consecuencias reales.

Hay además una segunda cuestión que empieza a adquirir dimensión política y regulatoria: quién responde cuando una cadena de decisiones parcialmente automatizada provoca un daño. Si un atacante utiliza una herramienta comercial, un modelo de lenguaje, un conjunto de aplicaciones externas y sistemas automáticos para ejecutar una intrusión, la responsabilidad jurídica no desaparece porque algunas decisiones hayan sido tomadas por software. Pero tampoco resulta sencillo trasladar los esquemas tradicionales de responsabilidad a sistemas capaces de actuar de manera dinámica y con cierto grado de autonomía.

España se encuentra particularmente expuesta a este debate porque su autoridad de protección de datos fue precisamente la primera en recibir este tipo de notificación. La AEPD insiste en que el caso todavía debe ser analizado y que una sola notificación no permite establecer una tendencia estadística. Pero también sostiene que el episodio demuestra que los ataques asistidos por inteligencia artificial ya están pasando del terreno de las hipótesis al de los incidentes que afectan sistemas reales y datos personales reales.

El problema, entonces, no es imaginar una rebelión de las máquinas. Es bastante más terrestre. La misma tecnología que puede automatizar una oficina, analizar información médica, programar una aplicación o gestionar una empresa también puede ser utilizada para acelerar una intrusión informática. Y cuanto mayor sea la autonomía que las empresas y organismos concedan a los agentes digitales, mayor será la necesidad de establecer límites, registros, mecanismos de supervisión y sistemas capaces de detenerlos cuando comiencen a comportarse de manera peligrosa.

La discusión sobre inteligencia artificial suele quedar atrapada entre dos extremos: quienes prometen una revolución tecnológica capaz de resolver prácticamente cualquier problema y quienes anuncian una futura rebelión de las máquinas. El episodio español obliga a mirar hacia un tercer escenario, mucho menos espectacular pero bastante más inmediato. No hace falta que una IA quiera conquistar nada para convertirse en una herramienta poderosa de ataque: alcanza con que alguien le entregue un objetivo, acceso a determinadas herramientas y suficiente autonomía para perseguirlo. El desafío de los próximos años será determinar hasta dónde queremos que lleguen esos agentes y, sobre todo, quién tendrá la capacidad efectiva de frenarlos cuando la automatización deje de ser una ventaja y empiece a convertirse en una amenaza.