L’Agencia Española de Protección de Datos ha reso pubblica la prima notifica di una violazione ai sensi del GDPR in cui l’esecuzione materiale dell’attacco sarebbe stata affidata a un agente di intelligenza artificiale con un margine di intervento umano ridotto. Il caso è ancora in fase di ricostruzione e l’autorità non ha reso noti né il nome dell’organizzazione colpita né il modello linguistico impiegato, ma introduce nel dibattito europeo un elemento fino ad ora discusso soprattutto in termini ipotetici: un sistema automatizzato capace di individuare da solo una vulnerabilità, sfruttarla e modificare dati personali senza che una persona validi ogni singolo passaggio.
Come l’agente avrebbe eseguito l’attacco
Il quadro ricostruito dall’AEPD parte da un dettaglio tecnico preciso. Secondo quanto comunicato dall’autorità, l’agente ha iniziato analizzando file generici alla ricerca di credenziali o punti deboli sfruttabili, ottenendo poi un accesso valido al sistema informatico dell’organizzazione coinvolta. Da quel momento in avanti l’esplorazione dell’applicazione sarebbe proseguita in autonomia, con il software che ha individuato una vulnerabilità specifica e l’ha sfruttata per raggiungere due obiettivi concreti: la consultazione delle fatture archiviate e la modifica di dati personali contenuti nel sistema. Il livello di dettaglio fornito finora dall’AEPD permette di ricostruire la sequenza delle azioni, ma non chiarisce quali strumenti aggiuntivi avesse a disposizione l’agente né quanto tempo sia trascorso tra l’accesso iniziale e la scoperta della falla.
L’autorità ha comunque chiarito un punto che riguarda direttamente la reputazione dei produttori di modelli linguistici: l’impiego di un sistema noto e commerciale non implica che il produttore o la sua infrastruttura siano stati compromessi, né che lo strumento fosse stato progettato per finalità illecite. È stato un soggetto terzo a impostare l’obiettivo e a fornire all’agente i mezzi per raggiungerlo.
Perché il caso spagnolo è diverso dai test dei laboratori
Situazioni per certi versi simili erano già emerse nei mesi scorsi durante attività sperimentali condotte da OpenAI e Anthropic, quando, come nel caso Hugging-Face, alcuni agenti avevano raggiunto sistemi esterni agli ambienti di prova, utilizzato credenziali non previste e sondato infrastrutture reali senza autorizzazione. In quegli episodi, però, l’intero perimetro dell’operazione restava sotto il controllo dei laboratori che avevano progettato il test, anche quando le conseguenze finivano per toccare sistemi appartenenti a terzi. Qui la dinamica cambia natura: la notifica arriva da un’organizzazione che ha subito una violazione reale e l’ha comunicata seguendo la procedura ordinaria prevista dal GDPR, la stessa che si applica a qualunque incidente causato da un attaccante umano.
Il rischio degli agenti autonomi smette così di essere materia da laboratorio ed entra nell’applicazione concreta della normativa sulla protezione dei dati.
Cosa cambia per la gestione del rischio nelle aziende
Per i responsabili della sicurezza e per i DPO la notizia comporta un compito aggiuntivo nella ricostruzione di un incidente: stabilire quali operazioni siano state impartite direttamente da una persona e quali siano invece il risultato di decisioni autonome del software diventa parte della valutazione della violazione, insieme all’individuazione dei dati effettivamente consultati o alterati.
L’obbligo di notifica al Garante entro 72 ore dalla scoperta di un rischio per gli interessati resta identico a quello già previsto dall’articolo 33 del GDPR.
Cambia però la velocità con cui l’incidente può evolvere: un sistema automatico può scansionare un’infrastruttura, testare credenziali e adattare la propria strategia molto più rapidamente di un operatore umano, riducendo il margine di tempo che un’organizzazione ha per accorgersi dell’intrusione e contenerla. Mancano ancora elementi utili a valutare la reale portata del caso spagnolo, a partire dal numero di persone coinvolte e dalla natura esatta dei dati modificati, ma l’AEPD ha già indicato che una singola notifica non basta a stabilire una tendenza statistica, pur restando un segnale concreto di un rischio che ha smesso di essere teorico.
