Primeiro agente de IA autônomo registrado em brecha real na Espanha

Este não é um incidente convencional de vazamento nem de ransomware. É um caso de segurança de IA com notificação regulatória formal: a organização vítima acionou o artigo 33 do RGPD (notificação de brecha à autoridade supervisora dentro de 72 horas) declarando como vetor um agente de IA autônomo. A AEPD acolheu a notificação e a divulgou proativamente — escolha deliberada do regulador para sinalizar ao mercado, não obrigação legal de publicação.

O que a AEPD ADMITE: recebeu a notificação, a publicou e diz que o caso demonstra que ataques assistidos por IA 'deixaram de ser risco teórico'. O que a AEPD NÃO afirma: que a investigação está concluída, que os fatos foram verificados de forma independente, ou que o agente atuou de fato sem qualquer supervisão humana. A cautela explícita de Francisco Pérez Bes — 'a informação disponível procede da notificação da organização afetada e deverá ser objeto de análise' — é um distanciamento regulatório claro que boa parte da cobertura internacional ignorou ou minimizou.

O ponto técnico mais delicado é a cadeia de ataque como descrita: scan de arquivos genéricos acessíveis, login bem-sucedido com credenciais (origem não esclarecida — credenciais vazadas? força bruta? engenharia social prévia?), descoberta autônoma de vulnerabilidade na aplicação, modificação de dados pessoais e leitura de faturas. A sequência é plausível com agentes baseados em LLM equipados com ferramentas de acesso a sistema de arquivos e execução de chamadas de API. Mas 'plausível' não é 'verificado'. O SecurityWeek levantou três hipóteses alternativas que nenhuma fonte descartou: (1) jailbreak dos guardrails do modelo para viabilizar ações ofensivas; (2) ambiente de teste ou staging mal configurado, com dados reais; (3) pentest não autorizado ou mal atribuído. Cada hipótese implica um ator diferente e uma cadeia de responsabilidade diferente.

A questão da responsabilidade é o ângulo mais relevante do ponto de vista regulatório e ainda não foi respondida. Se o agente atuou dentro dos limites operacionais do LLM (sem jailbreak), a responsabilidade recai sobre quem o configurou e operou. Se houve jailbreak, a questão é se o provedor do modelo adotou salvaguardas razoáveis. A AEPD antecipou isso ao declarar explicitamente que o uso do modelo não implica que o provedor ou sua infraestrutura foram comprometidos — mas essa declaração protege o provedor do modelo, não necessariamente o operador do agente, que é o responsável do tratamento.

Contexto que a cobertura dominante subestimou: a AEPD recebeu só em fevereiro de 2026 um total de 288 notificações de brechas de dados pessoais, das quais 183 com origem externa e 164 com caráter malicioso. Esta é uma em

288. O regulador reconhece explicitamente que 'esta primeira notificação não permite afirmar uma tendência estatística'. A narrativa de 'primeira brecha por IA' tem peso simbólico real, mas não deve ser lida como evidência de uma onda — ao menos não ainda.

Dados pessoais de titulares não quantificados foram modificados e faturas foram acessadas por terceiro não autorizado, configurando brecha sob o artigo 32 e 33 do RGPD. A organização vítima cumpriu a obrigação de notificação. O impacto concreto sobre os titulares — quais dados, quantos, se houve exfiltração ou apenas leitura — não foi divulgado. A AEPD não revelou o nome da organização, o setor, o LLM utilizado nem o número de registros afetados. Do ponto de vista regulatório, o impacto imediato é a abertura formal de um processo de análise pela AEPD que pode resultar em sanção administrativa. Do ponto de vista sistêmico, a notificação estabelece o primeiro caso formal sob o RGPD em que um agente de IA figura como vetor declarado, o que deve pressionar revisões de análise de risco em organizações submetidas à supervisão da AEPD.