A autoridade espanhola de proteção de dados, conhecida como AEPD, divulgou em 15 de setembro de 2026 um caso considerado o primeiro vazamento de dados conhecido relacionado à atuação de um agente de inteligência artificial.
Segundo a autoridade, um agente baseado em um grande modelo de linguagem identificou vulnerabilidades em um sistema, conseguiu acessar a infraestrutura, modificou dados pessoais e visualizou informações relacionadas a cobranças.
IA começa a participar de ataques reais
O caso chama atenção porque a atividade teria ocorrido com um nível reduzido de intervenção humana. Em vez de uma pessoa executar manualmente todas as etapas de uma invasão, o agente de IA teria participado da identificação de vulnerabilidades e da execução das ações.
A AEPD destacou que o modelo utilizado e a infraestrutura de seu fornecedor não foram comprometidos e que não há indicação de que a tecnologia tenha sido desenvolvida especificamente para atividades maliciosas.
O que muda para a cibersegurança
A principal preocupação para empresas está no aumento da velocidade. Ferramentas de inteligência artificial podem analisar grandes quantidades de informações e automatizar tarefas que anteriormente exigiam bastante tempo de um atacante.
Isso pode reduzir o tempo disponível para uma organização detectar uma invasão e responder ao incidente.
Empresas precisam revisar permissões
O crescimento dos agentes autônomos reforça a necessidade de controlar cuidadosamente credenciais, APIs, sistemas integrados e permissões.
Uma aplicação com acesso excessivo pode representar um risco significativo caso seja utilizada de maneira indevida.
Monitoramento passa a ser ainda mais importante
Registros de acesso, autenticação multifator, princípio do menor privilégio e monitoramento de comportamentos anormais são mecanismos importantes para identificar atividades suspeitas.
Para empresas que utilizam inteligência artificial internamente, também é necessário definir quais informações podem ser acessadas pelos agentes e quais dados devem permanecer protegidos.
Um novo desafio para empresas
O caso espanhol mostra que os riscos relacionados à IA já não estão restritos a cenários teóricos. Agentes capazes de executar tarefas de forma autônoma aumentam a necessidade de combinar inteligência artificial com controles sólidos de segurança.
Quanto maior a autonomia de um sistema, mais importante se torna limitar suas permissões, registrar suas ações e monitorar seus acessos.