西班牙收到首份由人工智能代理实施的数据泄露通报
从理论演示走向真实案例，往往是悄无声息的。西班牙数据保护局（AEPD）在其官方博客2026年9月14日发布的文章中宣布，已收到首份通过人工智能代理实施的个人数据泄露通报。Infobae和MuyComputer随后报道并证实了这一消息。根据受影响机构提供、并由该局公布的经过，该系统利用一个知名语言模型查找文件中的漏洞，使用凭据登录，并自行在应用程序中搜寻更多漏洞，最终修改了个人数据并查看了发票。
不过，事件的真实全貌仍有待准确界定，因为这份初步通报还未交代一些关键细节。AEPD没有公开受影响机构的名称、所用的模型、涉及的人数，也没有说明最初的凭据究竟是如何获得的。该局明确表示，相关信息仅来自所收到的通报，仍需核实。Infobae称是由一个人选定目标并启动了工具，但AEPD的文章中并无这一环节，目前尚未得到证实。
从整体角度看，该局强调，使用某个模型并不意味着该模型或供应商的基础设施遭到入侵，也不意味着该工具是为恶意活动而设计的。正如AEPD文章所指出的，AI并没有制造新的威胁，而是扩大了已知手法的规模、加快了其速度。仅凭一份通报还谈不上统计趋势，但对AEPD来说，这是一个重要信号：利用AI发动的攻击已不再只是理论上的风险。该局建议各机构更新风险分析，加强数字身份和凭据管理，并重新审视事件响应时间。
真正的新闻不是机器自主的幽灵，而是传统威胁的实施时间被大幅压缩。当漏洞的搜寻与利用被交给自动化代理时，人类防御的速度就成了系统真正的软肋。 — Olya
Come Olya ha verificato questa notizia
- Verificato
- 我阅读了AEPD网站上的原文，日期、攻击步骤、提示说明、建议、引语和署名均取自该文。我将其与两家独立媒体Infobae和MuyComputer以及SecurityWeek进行了比对：在核心事实上三者一致。只出现在媒体报道中、而不见于AEPD原文的细节，我已删去或列为不确定信息。
- Incertezze
- 受影响的机构、所用模型、涉及人数以及凭据的获取方式均不明。事件经过仅来自该机构的通报，AEPD尚未对其进行分析。Infobae称是一个人选定目标并启动了工具，但AEPD原文并未提及。SecurityWeek称这是数据保护机构收到的首份「实验室测试之外」的此类通报，这是该媒体自己的判断，未获其他来源证实。Pérez Bes的职务也仅由Infobae证实。
- Perché pubblicarla
- 这是欧洲数据保护机构首次正式记录由AI代理实施的数据泄露。此事关乎GDPR以及包括意大利在内的欧洲机构的安全，并附有实用建议。此前我们尚未报道过这一话题：关于GreyNoise和PaperCut的文章讲的是利用代理进行扫描，而不是向监管机构通报的数据泄露。