Η Αρχή Προστασίας Δεδομένων (AEPD) της Ισπανίας έλαβε την πρώτη γνωστοποίηση περιστατικού παραβίασης προσωπικών δεδομένων, το οποίο αποδίδεται σε πράκτορα τεχνητής νοημοσύνης (AI agent) που αξιοποιούσε ένα ευρέως γνωστό μεγάλο γλωσσικό μοντέλο (LLM).
Σύμφωνα με πηγές της AEPD, ο πράκτορας τεχνητής νοημοσύνης ξεκίνησε έναν έλεγχο για ευπάθειες σε γενικά αρχεία, συνδέθηκε με επιτυχία και, μόλις απέκτησε πρόσβαση στο σύστημα, άρχισε να αναζητά αυτόνομα ευπάθειες στην εφαρμογή. Μόλις τις εντόπισε, κατάφερε να τροποποιήσει προσωπικά δεδομένα και να αποκτήσει πρόσβαση σε τιμολόγια.
Ο αρμόδιος φορέας για την προστασία των προσωπικών δεδομένων επισήμανε ότι, προτού εξαχθούν οποιαδήποτε συμπεράσματα, οι διαθέσιμες πληροφορίες προέρχονται από την κοινοποίηση που υπέβαλε ο εν λόγω οργανισμός και θα πρέπει να αναλυθούν.
Επιπλέον, η αρχή διευκρίνισε ότι η χρήση ενός συγκεκριμένου μοντέλου τεχνητής νοημοσύνης δεν σημαίνει ότι το μοντέλο ή η υποδομή του παρόχου του έχουν παραβιαστεί, ούτε ότι το εργαλείο σχεδιάστηκε για τη διεξαγωγή κακόβουλων δραστηριοτήτων. «Αυτό που έχει σημασία από την άποψη της προστασίας δεδομένων είναι ότι ένας τρίτος φαίνεται να χρησιμοποίησε έναν πράκτορα τεχνητής νοημοσύνης ως εργαλείο για να συνδέσει επιτυχώς τα διάφορα στάδια της επίθεσης», δήλωσε η AEPD.
Ο πραγματικός κίνδυνος που ενέχουν οι πράκτορες τεχνητής νοημοσύνης
«Η αρχική αυτή έκθεση δεν επαρκεί για να επιβεβαιώσει την ύπαρξη στατιστικής τάσης», διευκρίνισε. Ωστόσο, αποτελεί σημαντική ένδειξη ότι οι επιθέσεις με τη χρήση τεχνητής νοημοσύνης δεν συνιστούν πλέον απλώς έναν θεωρητικό κίνδυνο, αλλά αρχίζουν να εκδηλώνονται στην πράξη, επηρεάζοντας την επεξεργασία δεδομένων προσωπικού χαρακτήρα.
Η αξιοποίηση της τεχνητής νοημοσύνης για κακόβουλους σκοπούς δεν είναι νέο φαινόμενο. Ωστόσο, η χρήση της σε κυβερνοεπιθέσεις έχει καταδείξει ότι οι δυνατότητές της μπορούν να διευκολύνουν την αυτοματοποίηση παράνομων δραστηριοτήτων.
Σύμφωνα με την AEPD, τα μοντέλα παραγωγικής τεχνητής νοημοσύνης χρησιμοποιούνται εδώ και καιρό για τη σύνταξη μηνυμάτων ηλεκτρονικού «ψαρέματος» (phishing), τη μετάφραση εκστρατειών ηλεκτρονικής απάτης, την πλαστοπροσωπία, την ανάλυση κώδικα, αλλά και τον εντοπισμό ευπαθειών σε συστήματα.
Η εμφάνιση των πράκτορων τεχνητής νοημοσύνης, ωστόσο, σηματοδοτεί μια ποιοτική αλλαγή, καθώς σε έναν πράκτορα μπορεί να ανατεθεί ένας στόχος, να σχεδιάσει ενδιάμεσες εργασίες, να χρησιμοποιήσει εργαλεία, να γράψει κώδικα, να συμβουλευτεί πηγές, να ερμηνεύσει αποτελέσματα και να προσαρμόσει τη συμπεριφορά του, αυτόνομα, ανάλογα με τα ευρήματά του.
Ο οργανισμός έχει δηλώσει ότι η τεχνητή νοημοσύνη δεν δημιουργεί νέες απειλές, αλλά αυξάνει την ταχύτητα, την κλίμακα και την προσαρμοστικότητα ήδη γνωστών κακόβουλων τεχνικών, μειώνοντας έτσι το χρόνο που διατίθεται για τον εντοπισμό και τον περιορισμό τους.
Πώς μπορούμε να προετοιμαστούμε για το μέλλον;
Η σημασία αυτής της ανακοίνωσης, πέρα από την τεχνολογία που αφορά, έγκειται στο γεγονός ότι αλλάζει το τοπίο της διαχείρισης κινδύνων, όπως εξήγησε ο αναπληρωτής διευθυντής, Φρανθίσκο Πέρεθ Μπες, σε μια ανάρτηση στο blog της ιστοσελίδας του Οργανισμού.
Πρώτον, επιβεβαιώνει την ανάγκη να συμπεριληφθούν ρητά οι επιθέσεις που διευκολύνονται ή πραγματοποιούνται από την τεχνητή νοημοσύνη στις εκτιμήσεις κινδύνου των πράξεων επεξεργασίας δεδομένων, αφού δεν αρκεί η γενική αναφορά σε κακόβουλο λογισμικό, phishing ή μη εξουσιοδοτημένη πρόσβαση, καθώς αυτή η αυτοματοποίηση μπορεί να μεταβάλει σημαντικά την πιθανότητα, την ταχύτητα και την έκταση ενός συμβάντος.
Επιπλέον, απαιτείται επανεξέταση των χρόνων απόκρισης, καθώς οι διαδικασίες που έχουν σχεδιαστεί για επιθέσεις που εκτελούνται χειροκίνητα, ενδέχεται να αποδειχθούν ανεπαρκείς όταν ένας πράκτορας αναλύει ταυτόχρονα πολλαπλά στοιχεία, δοκιμάζει διαφορετικές οδούς πρόσβασης και προσαρμόζει γρήγορα τη συμπεριφορά του.
Τρίτον, ο Φρανθίσκο Πέρεθ Μπες επισήμανε ότι οι ψηφιακές ταυτότητες και τα διαπιστευτήρια αποκτούν ολοένα και μεγαλύτερη σημασία, καθώς ένας εισβολέας που αποκτά πρόσβαση σε έναν λογαριασμό, έναν κωδικό πρόσβασης ή ένα διακριτικό με υπερβολικά δικαιώματα μπορεί να ενεργεί με την ταχύτητα ενός υπολογιστή και να αποκτά πρόσβαση σε διάφορες υπηρεσίες πριν ο οργανισμός εντοπίσει οποιαδήποτε ανώμαλη συμπεριφορά.
Τέλος, η επίθεση αυτή αποδεικνύει ότι η ασφάλεια των πράξεων επεξεργασίας δεν μπορεί να βασίζεται αποκλειστικά στη χειροκίνητη παρέμβαση και ότι η ανθρώπινη εποπτεία παραμένει απαραίτητη, αλλά πρέπει να υποστηρίζεται από μηχανισμούς ανίχνευσης, περιορισμού και αντίδρασης που να είναι σε θέση να λειτουργούν με επαρκή ταχύτητα, δήλωσε ο αναπληρωτής διευθυντής του Οργανισμού.
Ένα άρθρο γραμμένο από RTVE.es / EFE (RTVE), που δημοσιεύθηκε αρχικά στις 16 Σεπτεμβρίου 2026, 01:55 (θερινή ώρα Κεντρικής Ευρώπης)
Πηγή:
