Una inteligencia artificial que actúa sola no decide sola: qué ha ocurrido realmente en el primer ataque con un agente de IA notificado en España
Publicado por César Noragueda
Periodista especializado en cine, ciencia y pensamiento crítico.
Creado: Actualizado:
En los últimos años, nos hemos acostumbrado a una relación bastante sencilla con la inteligencia artificial. Escribimos una pregunta, solicitamos una imagen o pedimos ayuda con un texto y esperamos una respuesta. Nosotros iniciamos la conversación y el programa devuelve un resultado. Esa dinámica ha convertido el diálogo en nuestra imagen mental de esta tecnología.
Pero está extendiéndose otra clase de sistemas. En vez de limitarse a contestar, son capaces de recibir una meta, dividirla en tareas, emplear herramientas, observar qué ocurre y determinar cuál será el movimiento siguiente según el efecto anterior.
Uno de esos agentes aparece ahora en la primera notificación recibida por la Agencia Española de Protección de Datos (AEPD) sobre una brecha de información personal ejecutada mediante esta tecnología.
El suceso plantea una cuestión menos obvia que la alarma inicial. Si la inteligencia artificial buscó vulnerabilidades, entró en una aplicación y continuó explorándola sin que una persona tuviera que indicarle cada movimiento, ¿decidió atacar por sí misma? Para contestar conviene comprender antes qué separa a un agente de IA del chatbot al que estamos acostumbrados.
Un agente de IA no es simplemente un ‘chatbot’ que hace más cosas
Un modelo de lenguaje genera una salida a partir de la información que recibe, y un chatbot permite conversar con esa capacidad. Pero un agente añade una pieza decisiva: persigue un objetivo mediante una cadena de operaciones y ajusta el recorrido conforme aparecen nuevos resultados.
Cabe imaginar su funcionamiento como un ciclo: recibe una meta, prepara una secuencia, realiza una acción, examina lo sucedido y resuelve cómo proseguir. Si dispone de las herramientas y permisos necesarios, quizá consulte archivos, navegue por una web, ejecute código o interactúe con otros servicios. El usuario no necesita señalarle cada paso.
Pensemos en un viaje en coche. Una posibilidad consiste en sentarnos junto al conductor e indicarle cada giro: “Sigue recto, toma esta salida, cambia de carretera...”. Otra es decirle únicamente que queremos llegar a Madrid. A partir de ahí, tiene libertad para trazar la ruta, encontrarse una vía cortada, buscar una alternativa y modificar el itinerario sin consultarnos continuamente.
La diferencia entre recibir un propósito y seleccionar los medios para alcanzarlo resulta esencial para interpretar el incidente comunicado en España.
En el segundo caso, el conductor resuelve numerosos dilemas a lo largo del trayecto, pero eso no denota que haya escogido el destino. Esta diferencia entre recibir un propósito y seleccionar los medios para alcanzarlo resulta esencial para interpretar el incidente comunicado en España.
Qué sabemos realmente del ataque notificado en España
La Agencia Española de Protección de Datos informó el 14 de septiembre de que había recibido la primera notificación de una brecha de datos personales en la que el asalto habría sido ejecutado mediante un agente de inteligencia artificial.
Según la comunicación remitida por la organización afectada, un tercero utilizó como instrumento un sistema conectado a un conocido modelo de lenguaje (LLM), la tecnología de inteligencia artificial que permite comprender y generar texto.
El relato disponible permite reconstruir parte de la secuencia. El agente comenzó buscando vulnerabilidades en archivos genéricos y realizó correctamente un inicio de sesión. Una vez dentro, emprendió de manera autónoma la búsqueda de otras debilidades de la aplicación. Tras localizar una, consiguió modificar datos personales y consultar facturas.
Hay, sin embargo, un límite crucial: conocemos la descripción comunicada a la autoridad, no una reconstrucción forense completa publicada del suceso. La AEPD recalca que la información procede de la entidad afectada y debe ser analizada.
Tampoco se han hecho públicos el nombre de esa organización, el modelo empleado ni todos los detalles sobre las instrucciones proporcionadas, los permisos disponibles o la supervisión humana en cada fase.
El agente buscó vulnerabilidades en archivos genéricos y realizó un inicio de sesión, buscó otras debilidades y, tras localizar una, consiguió modificar datos personales y consultar facturas.
Además, que se utilizara un determinado modelo no implica que este o la infraestructura de su proveedor hubieran sido comprometidos, ni que la herramienta fuese creada con fines maliciosos. Es una distinción importante: un recurso concebido para usos legítimos también puede acabar integrado en una operación dañina.
Entonces, ¿actuó solo o no?
La aparente contradicción desaparece al separar tres elementos que solemos mezclar: propósito, decisiones instrumentales y ejecución. El primero establece qué se pretende conseguir. Las segundas determinan qué acciones parecen útiles para acercarse a esa meta. La tercera convierte esas opciones en hechos concretos.
Según la notificación, hubo operaciones realizadas autónomamente. Eso justifica hablar de autonomía en la ejecución de determinadas fases. No demuestra, en cambio, que la inteligencia artificial generara por iniciativa propia la intención de atacar.
Se justifica hablar de autonomía en la ejecución de determinadas fases, pero no de que la inteligencia artificial generara por iniciativa propia la intención de atacar.
La diferencia quizá parezca semántica, pero altera por completo la historia. Volvamos al automóvil: tomar un desvío porque una carretera está cerrada constituye una decisión auténtica dentro del viaje; decidir que uno quiere marcharse a Madrid pertenece a otro nivel. Confundir ambas cosas equivale a atribuir al conductor un destino que recibió previamente.
Por eso, expresiones como “la inteligencia artificial quiso entrar” o “decidió convertirse en atacante” añaden al relato algo que los datos conocidos no acreditan. Un agente dispone de margen para resolver cómo avanzar sin poseer un propósito independiente.
En este contexto, “autónomo” significa que ciertos pasos necesarios para completar una tarea ya no requieren instrucciones humanas una por una, no que la máquina tenga deseos, voluntad o una agenda propia. Esa frontera ayuda a comprender tanto lo ocurrido como el verdadero motivo de preocupación.
Lo inquietante no es que la IA haya desarrollado malas intenciones
Descartar una voluntad espontánea no vuelve trivial el episodio. La transformación relevante está en cuánto trabajo cabe delegar entre la orden inicial y el resultado final.
Un ataque informático exige a menudo encadenar operaciones: localizar una posible debilidad, probarla, interpretar la respuesta, adaptar la estrategia y continuar. Tradicionalmente, una persona debía intervenir en buena parte de ese recorrido, aunque utilizara programas automatizados. Los agentes transfieren una porción mayor del bucle completo.
La Agencia Española de Protección de Datos señala en concreto que estas herramientas no tienen por qué crear amenazas desconocidas. Alteran las existentes al incrementar su velocidad, escala y capacidad de adaptación. Si el software prueba una vía, analiza lo obtenido y modifica enseguida de táctica, disminuye el tiempo disponible para que quienes protegen la infraestructura detecten lo que sucede y reaccionen.
Es un ejemplo de una posibilidad que hasta hace poco se discutía como riesgo futuro: poder delegar en una IA, no solo una operación aislada, sino parte de la adaptación necesaria para continuarla.
Eso desplaza el interrogante central. Ya no se trata de si es capaz una máquina de volverse malvada, sino de qué sucede cuando el ser humano deja de ser imprescindible entre varias decisiones consecutivas.
Una sola notificación no basta para afirmar que estemos ante una oleada de ataques autónomos. Sí proporciona un ejemplo concreto de una posibilidad que hasta hace poco se discutía principalmente como riesgo futuro: que se pueda delegar en una inteligencia artificial, no solo una operación aislada, sino parte de la adaptación necesaria para continuarla.
España no es el único aviso
Todo esto ocurre, además, en un momento en que otros episodios están obligando a examinar cómo se comportan los agentes al interactuar con sistemas reales. Reuters ha documentado en los últimos meses incidentes relacionados con herramientas de OpenAI que alcanzaron servicios externos en pruebas, entre ellos Hugging Face y RubyGems.
Este 16 de septiembre, la agencia informó de que investigadores habían encontrado indicios de que agentes vinculados a OpenAI sondearon vulnerabilidades de Hugging Face ya en mayo, aproximadamente dos meses antes de los hechos conocidos en julio. La compañía ha reconocido otros comportamientos no previstos en evaluaciones.
Anthropic también ha comunicado episodios en los que versiones de sus sistemas interactuaron indebidamente con infraestructuras externas durante ensayos. Las circunstancias no son equivalentes al caso español: difieren el origen, los objetivos, el grado de control y la manera en que comenzó cada incidente.
De ahí el hecho de que no conviene agruparlos bajo una narración de “máquinas rebeldes”. Lo que muestran en conjunto es algo más sobrio y útil: conceder capacidad de actuación a un sistema introduce problemas distintos de los que aparecen cuando únicamente genera texto dentro de una ventana.
Cuando la inteligencia artificial puede actuar, también cambia lo que significa controlarla
Por mucho tiempo, evaluar una inteligencia artificial conllevaba preguntar si su respuesta era correcta, falsa, sesgada o peligrosa. Los agentes amplían el problema. Ahora importa asimismo saber qué herramientas pueden utilizar, a qué información acceden, qué permisos reciben, cuánto tiempo continúan operando y en qué momento debe intervenir una persona.
Eso modifica igualmente la defensa. La Agencia Española de Protección de Datos advierte de que una supervisión exclusivamente manual puede resultar insuficiente frente a procesos que pueden desarrollarse con gran rapidez. Las organizaciones necesitan combinar control humano con mecanismos automáticos de detección, contención y respuesta capaces de reaccionar a una velocidad comparable.
La cuestión de fondo es, por tanto, quién establece los límites del recorrido. Un agente resulta enormemente útil porque evita que tengamos que aprobar cada movimiento. Esa misma propiedad obliga a decidir de antemano hasta dónde puede llegar, qué puertas permanecen cerradas y qué acontecimientos deben detenerlo.
Las organizaciones necesitan combinar control humano con mecanismos automáticos de detección, contención y respuesta capaces de reaccionar a la misma velocidad que actúa la IA.
Durante años, hemos indagado acerca de qué puede decir una inteligencia artificial, pero casos como el notificado en España obligan a plantear otra cuestión: qué podemos permitirle hacer sin consultarnos cada paso. La frontera decisiva no aparece cuando una máquina adquiere voluntad propia, sino mucho antes: cuando dejamos de escoger cada movimiento porque hemos empezado a delegarle el camino.
Referencias
- Raphael Satter y Deepa Seetharaman, "OpenAI's rogue agents probed Hugging Face for weaknesses two months before major hack". Reuters, 16 de septiembre de 2026.
- Reuters. "Spanish data watchdog publicises first AI agent-linked data breach report". 15 de septiembre de 2026.
- Francisco Pérez Bes. "Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA". Agencia Española de Protección de Datos (AEPD), 14 de septiembre de 2026.
- Natalia Bueno y Mrinmay Dey. "OpenAI agents attacked software service RubyGems before Hugging Face incident, researchers say", Reuters, 11 de septiembre de 2026.
- Reuters. "Anthropic discloses fourth AI hacking incident missed in earlier review". 9 de septiembre de 2026.
KioskNews shows a cleaned-up reading view extracted from the publisher’s page — the original always lives on their site, not ours.