Hiszpańska Agencja Ochrony Danych odnotowała pierwsze naruszenie z udziałem agenta AI. Konto nadal należy do ofiary.

14 września 2026 r. hiszpański organ ochrony danych, Agencia Española de Protección de Datos (AEPD), opublikował wpis na blogu autorstwa Francisco Péreza Besa, w którym ujawniono, że organ otrzymał pierwsze zgłoszenie naruszenia ochrony danych osobowych, w którym wskazano, że incydent miał zostać przeprowadzony przez agenta AI działającego na znanym modelu językowym. Zgodnie z relacją, jaką poszkodowana organizacja przedstawiła regulatorowi, agent przeszukał ogólne pliki w poszukiwaniu słabych punktów, pomyślnie się zalogował, a następnie samodzielnie szukał luk w aplikacji, aż znalazł jedną, i wykorzystał ją do zmodyfikowania danych osobowych i dotarcia do faktur. AEPD nie podała nazwy organizacji, atakującego ani modelu i nie poinformowała, ile osób jest poszkodowanych. Źródła własne tego rekordu, stopień dotkliwości i ocena pewności znajdują się w archiwum incydentów AI, obok innych rekordów dotyczących wtargnięć z użyciem agentów AI, zarejestrowanych wokół niego.

Co agencja opublikowała i jakim głosem

Wpis jest krótki — liczy około 700 słów — a jego tytuł jest twierdzeniem, a nie ustaleniem: „Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA”. Treść jest ostrożniejsza niż tytuł. Tam, gdzie angielskojęzyczne relacje mówią, że naruszenie zostało przeprowadzone przez agenta, tekst hiszpański konsekwentnie używa trybu warunkowego: incydent habría sido ejecutado — zostałby wykonany — przez agenta AI, a strona trzecia habría utilizado agenta jako narzędzia. To gramatyka relacji otrzymanej, ale jeszcze niezweryfikowanej, a AEPD mówi to wprost: dostępne informacje „procede de la notificación presentada por la organización afectada y deberá ser objeto del correspondiente análisis” — pochodzą z powiadomienia złożonego przez dotkniętą organizację i wciąż wymagają analizy.

Zdanie, które zawiera rzeczywistą ocenę agencji, jest węższe niż zbudowane na nim nagłówki. „Istotne z perspektywy ochrony danych jest to, że osoba trzecia miałaby wykorzystać agenta AI jako narzędzie do skutecznego połączenia różnych faz ataku” — istotne z perspektywy ochrony danych jest to, że osoba trzecia miałaby użyć agenta AI jako instrumentu, by skutecznie połączyć odrębne fazy ataku. Nowością, którą wskazuje regulator, jest łączenie w łańcuch, a nie samo wtargnięcie: ataki wieloetapowe są stare, a AEPD poświęca cały akapit, by to stwierdzić. Nowe jest to, że jeden system otrzymał cel, a następnie samodzielnie planował zadania pośrednie, korzystał z narzędzi, wykonywał kod, odczytywał wyniki i zmieniał kurs.

Łańcuch, tak jak opisała go organizacja zgłaszająca

Opis włamania sporządzony przez AEPD składa się z czterech kroków i nie zawiera żadnych identyfikatorów technicznych. Agent „rozpoczął wyszukiwanie podatności w plikach ogólnych”, a następnie „wykonał poprawne logowanie”, czyli pomyślnie się zalogował. Po dostaniu się do systemu „zaczął autonomicznie wyszukiwać podatności w aplikacji”, a znalazłszy jedną, mógł modyfikować dane osobowe i uzyskiwać dostęp do faktur.

Dwa szczegóły w tym ciągu zdarzeń zasługują na chwilę uwagi, ponieważ relacje wtórne je wygładziły. Pliki opisano jako genéricos, czyli ogólne; relacja TechRadar Pro z 17 września przedstawia je jako „publicznie dostępne pliki” celu, co jest rozsądnym wnioskiem, ale nie tym, co napisała AEPD, a agencja nie mówi, czy pliki były dostępne bez uwierzytelnienia. Logowanie podano jako fakt — poprawne logowanie — bez wyjaśnienia, skąd pochodziły dane uwierzytelniające: pozyskane, odgadnięte, ponownie użyte czy wydane agentowi. We wpisie nie ma nic o tym, jak organizacja wykryła włamanie, czy cokolwiek wyeksfiltrowano ani czy agent po wejściu przemieszczał się bocznie. W publicznym zapisie ten łańcuch ma początek i koniec, a bardzo niewiele pomiędzy.

Co jest ustalone, a co nie

Ustalono na podstawie dokumentów źródłowych: AEPD otrzymała zgłoszenie naruszenia, które określa w ten sposób; opublikowała ten fakt na własnej stronie agencji w dniu 14 września 2026 r.; powyższy opis jest streszczeniem sporządzonym przez agencję na podstawie tego, co przekazała jej organizacja zgłaszająca; a oficjalne stanowisko agencji jest takie, że ataki wspierane przez AI przestały być ryzykiem teoretycznym i obecnie powodują incydenty dotykające rzeczywistego przetwarzania danych osobowych.

Nie ustalono, i to jest ta część, której dokumentacja nie może dostarczyć: czy wtargnięcie miało miejsce w opisany sposób. Żadne cytowane źródło — ani AEPD, ani żaden serwis — nie donosi o niezależnym badaniu technicznym dotkniętych systemów. Każda relacja prowadzi z powrotem do własnego powiadomienia organizacji. AEPD określa analizę jako w toku, a raport BleepingComputer z 16 września wprost stwierdza, że agencja nie zbadała ani nie zweryfikowała twierdzenia. Agencja nie ujawniła publicznie organizacji, atakującego ani modelu; hiszpańskojęzyczne relacje są w tym względzie jednoznaczne, a Infobae 15 września podało, że nie ujawniono ani zaangażowanych firm, ani modelu.

Brakuje również: jakiejkolwiek liczby poszkodowanych osób, jakiejkolwiek listy kategorii danych poza danymi osobowymi i fakturami, jakiegokolwiek stwierdzenia, że faktury zostały zabrane, a nie tylko wyświetlone, oraz jakichkolwiek wskazówek dotyczących sektora lub wielkości. Relacje prasowe nie wypełniły tych luk, ponieważ nie mogą; depesze agencyjne i prasa branżowa w całości wywodzą się z tego samego wpisu na blogu.

Model nie był stroną, której dotyczyło naruszenie, a agencja powiedziała to dwukrotnie.

Obydwa zastrzeżenia w poście mają charakter defensywny i oba zostały powtórzone przez wszystkich, którzy go omawiali. Pierwsze: korzystanie z konkretnego modelu AI nie oznacza, że model lub infrastruktura jego dostawcy zostały naruszone. Drugie: nie oznacza to również, że narzędzie zostało zaprojektowane do złośliwej działalności. Czytane razem, lokują one problem w wykorzystaniu przez atakującego systemu ogólnego przeznaczenia, a nie w samym systemie — rozróżnienie istotne dla każdego dostawcy, którego produkt nie został nazwany, oraz dla każdego czytelnika skłonnego potraktować to jako incydent związany z bezpieczeństwem modelu. Nic w przywołanych źródłach nie wskazuje na jailbreak, przejęty punkt końcowy ani zatruty model.

To, co konto faktycznie stwierdza na temat autonomii, jest węższe niż „AI zdecydowało się zaatakować”. Agentem posłużyła się strona trzecia; cel pochodził spoza niego. Gizmodo España, pisząc 17 września, ujęło tę różnicę w sposób, który wspiera tekst AEPD: kierowca może wybrać trasę, nie wybrawszy celu podróży, a autonomia w tym przypadku tkwi w trasie — którą podatność sondować, jakie działanie podjąć następnie — a nie w samej decyzji o ataku. Praktyczna konsekwencja jest ta, którą podkreśla regulator: pracę między wstępną instrukcją a ukończoną intruzją można obecnie delegować w coraz większych fragmentach.

Do jakich zmian regulator wezwał organizacje

AEPD wyciąga cztery wnioski i żaden z nich nie jest nowym obowiązkiem prawnym. Po pierwsze, analizy ryzyka dla przetwarzania danych powinny wprost wskazywać ataki wspomagane przez AI i wykonywane przez AI, ponieważ ogólne odniesienie do złośliwego oprogramowania, phishingu lub nieuprawnionego dostępu nie oddaje tego, jak automatyzacja zmienia prawdopodobieństwo, szybkość i zasięg incydentu. Po drugie, należy ponownie przeanalizować czasy reakcji: procedury zbudowane z myślą o ludzkim atakującym mogą nie być wystarczające, gdy agent analizuje jednocześnie kilka zasobów, testuje różne drogi wejścia i szybko się dostosowuje. Po trzecie, tożsamości i dane uwierzytelniające stają się punktem centralnym — agent mający konto, klucz API lub token z nadmiernymi uprawnieniami może działać z prędkością maszyny w różnych usługach, zanim ktokolwiek zauważy anomalne zachowanie. Po czwarte, nadzór człowieka pozostaje niezbędny, ale musi być wspierany przez wykrywanie, powstrzymywanie i reagowanie, które nadążają za tempem.

Post opiera to na krajowych wytycznych, a nie na własnych wymysłach. Cytuje CCN-CERT BP/36, „Buenas prácticas frente al modelo de IA ofensiva”, opublikowany przez hiszpańskie Narodowe Centrum Kryptologiczne (CCN), które AEPD podsumowuje jako ostrzeżenie, że ofensywna AI staje się zdolnością operacyjną wbudowaną w rzeczywiste kampanie, oraz jako zalecenie wzmocnienia podstawowych kontroli, szybszego zarządzania podatnościami, ochrony tożsamości, kontroli łańcucha dostaw i wyraźnego zarządzania korzystaniem z agentów. AEPD ostrzega również, że AI „no crea nuevas amenazas” — nie tworzy nowych zagrożeń — ale zwiększa szybkość, skalę i adaptacyjność technik, które są już znane. Ani post, ani relacja nie mówią, że hiszpański incydent obejmował jakąkolwiek konkretną technikę z tego przewodnika.

Jak to podróżowało i co właściwie wnosi relacja

Hiszpańska agencja prasowa EFE poinformowała o powiadomieniu 15 września, przypisując tę relację źródłom AEPD; RTVE opublikowała kopię materiału EFE 16 września pod wspólną sygnaturą RTVE.es / EFE. Bill Toulas z BleepingComputer opisał to tego samego dnia pod nagłówkiem, w którym zachowano słowo „alleged”, a Sead Fadilpašić z TechRadar Pro dołączył 17 września. Analiza dla klientów Ropes & Gray, opublikowana we wrześniu 2026 r., jest najbardziej merytorycznym dodatkiem prawnym: szczegółowo omawia, czego wymaga art. 32 RODO, w miarę jak modele zagrożeń uwzględniają zautomatyzowane wykrywanie podatności, oraz jakie założenia przyjmują art. 33 i 34 co do ustalania zakresu i śladów kryminalistycznych, gdy wtargnięcie jest planowane i realizowane z prędkością maszynową.

Żaden z tych serwisów nie podaje, że niezależnie zweryfikował to włamanie, i żaden tego nie twierdzi. Ich wartość polega na potwierdzeniu czegoś innego: że europejski regulator powiedział to, w tych słowach, w tej dacie, oraz że jego własne ujęcie jest warunkowe. Tam, gdzie tekst EFE utwardza warunkowość — tekst RTVE brzmi „ha sido ejecutado”, zostało wykonane, a nie „habría sido ejecutado” z bloga — zmiana pochodzi od agencji depeszowej, nie od samego regulatora. Materiał BleepingComputer również umieszcza tę sprawę obok innych zgłoszonych intruzji z użyciem agentów z 2026 r.; te porównania stanowią kontekst tego serwisu, nie część tego zapisu, i żadne z nich nie jest dowodem na to, co wydarzyło się w Hiszpanii.

Pytanie uzupełniające dotyczyło ogólnie ofensywnej AI, a nie tego przypadku

28 września AEPD opublikowała drugi wpis na blogu „IA ofensywna: kiedy sztuczna inteligencja przyspiesza ryzyko dla ochrony danych”, który nie aktualizuje wrześniowego powiadomienia. Jego argument jest szerszy: że „okno ekspozycji” między wykryciem luki a jej wykorzystaniem niemal zanika, że w przypadku systemów agentowych czas między początkowym dostępem a eksfiltracją danych może spaść do minut oraz że problem źródłowy ma charakter strukturalny — nieudokumentowane systemy legacy, niezałatane znane luki, zależność od łańcucha dostaw i akceptacja oprogramowania niezabezpieczonego z założenia. Economist & Jurist podsumował ten wpis w tym samym temacie pod nagłówkiem, że atak może dotrzeć do danych w ciągu minut. Sprawia to wrażenie, że agencja uogólnia na podstawie tej sprawy, zamiast o niej informować, i nie zawiera żadnego nowego faktu o hiszpańskiej organizacji.

Tak przedstawia się stan rzeczy na koniec października 2026 r. Konkretne, możliwe do zweryfikowania twierdzenia mają charakter proceduralny: organ regulacyjny otrzymał zgłoszenie, opisał je we wpisie na blogu, odmówił wskazania jakiejkolwiek strony i wykorzystał je do argumentowania, że oceny ryzyka powinny uwzględniać agentów. Twierdzenie, że autonomiczny agent faktycznie dokonał wtargnięcia, opiera się publicznie na relacji jednej organizacji skierowanej do jej organu nadzorczego. To, co mogłoby zmienić ten stan rzeczy — wskazany model, liczba poszkodowanych, opis techniczny lub decyzja egzekucyjna — nie pojawiło się. Do tego czasu wartością tego stanu rzeczy jest to, że organ ochrony danych stwierdził na piśmie, iż tym, co zmieniło sytuację, jest łańcuchowanie, oraz wezwał wszystkich administratorów danych w Hiszpanii do odpowiedniego planowania.