A Agência Espanhola de Proteção de Dados (AEPD) recebeu a “primeira notificação de uma violação de dados pessoais” feita com recurso a um agente de inteligência artificial (IA).

Os agentes de IA são ferramentas que recebem um objetivo e um determinado grau de autonomia para fazer pesquisas, interpretar dados e executar ações.

A AEPD recebeu o alerta da organização afetada — segundo a imprensa espanhola, não há pistas sobre quem terá sido. O ataque foi feito usando “um conhecido modelo de linguagem”.

Pela informação disponível até agora, “o agente iniciou uma pesquisa de vulnerabilidades em arquivos genéricos e teve um login correto”. Quando acedeu ao sistema, “começou a pesquisar, de forma autónoma, vulnerabilidades na aplicação e, quando a encontrou, alterou dados pessoais e acedeu a faturas”.

A intrusão ainda vai ser objeto de uma análise mais detalhada. A AEPD esclarece também que “a utilização de um determinado modelo de IA também não implica que o modelo ou a infraestrutura do seu fornecedor tenham sido comprometidos, nem que a ferramenta tenha sido concebida para realizar atividades maliciosas”.

Nos últimos meses, algumas das principais empresas de IA, como a Anthropic, OpenAI ou a Meta, revelaram que os seus agentes tiveram comportamentos inesperados e atacaram sistemas alheios. O caso mais conhecido é o ataque de cerca de 700 agentes da OpenAI à Hugging Face, revelado em julho.