De Spaanse privacytoezichthouder AEPD heeft de eerste officiële melding ontvangen van een datalek dat zou zijn veroorzaakt door een autonome AI-agent. Een organisatie, die niet bij naam wordt genoemd, meldde het incident nadat een aanvaller een AI-agent op basis van een bekend groot taalmodel had ingezet om het eigen systeem binnen te dringen.
Volgens de melding zocht de AI-agent eerst naar kwetsbaarheden in generieke bestanden en wist daarmee in te loggen op het systeem. Eenmaal binnen ging de agent zelfstandig verder met het zoeken naar zwakke plekken in de applicatie zelf. Toen die gevonden waren, paste de agent persoonsgegevens aan en kreeg hij toegang tot facturen. Welke sector het treft, hoeveel mensen zijn geraakt en welk taalmodel werd gebruikt, maakt de AEPD niet bekend. De toezichthouder heeft de melding nog niet geverifieerd of onderzocht.
De AEPD benadrukt dat AI geen nieuwe dreigingen creëert, maar bestaande aanvallen wel sneller, groter en flexibeler maakt, waardoor verdedigers minder tijd krijgen om te reageren. Dat het model is misbruikt, betekent volgens de toezichthouder niet automatisch dat de infrastructuur van de aanbieder is gecompromitteerd of dat het model bewust is ontworpen voor kwaadaardig gebruik. De toezichthouder spreekt van een keerpunt: aanvallen met AI-agenten zijn niet langer theoretisch en vragen om een directe herziening van bestaande beveiligings- en privacymodellen.
Voor Nederlandse organisaties die AI-agenten inzetten, laat deze zaak zien dat de AVG-meldplicht onverkort geldt zodra persoonsgegevens zijn gewijzigd of ingezien, ongeacht of een mens of een AI-systeem de aanval uitvoerde. Wie AI-agenten koppelt aan interne systemen doet er goed aan toegangsrechten te beperken, inloggedrag te monitoren op afwijkende patronen en een meldprocedure klaar te hebben liggen. De Autoriteit Persoonsgegevens verwacht namelijk dezelfde termijn van 72 uur, ongeacht de aard van de aanvaller.
Bron: BleepingComputer
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.