Испания зафиксировала первую утечку данных, вызванную автономным ИИ-агентом
Испанское национальное агентство по защите данных AEPD (Agencia Española de Protección de Datos) 14 сентября 2026 года получило первое в своей практике официальное уведомление об утечке персональных данных, вызванной действиями автономного ИИ-агента. Атакующий не управлял вредоносным ПО вручную на каждом шаге — вместо этого он запустил агента на основе большой языковой модели (LLM), который самостоятельно прошёл всю цепочку атаки: от поиска уязвимости до изменения данных в системе пострадавшей организации. Для регуляторов и специалистов по кибербезопасности это первый задокументированный случай, когда теоретический риск агентных атак, о котором предупреждали весь 2026 год, материализовался в виде конкретного инцидента с уведомлением по GDPR.
Что именно произошло
По данным AEPD и профильных изданий, писавших об инциденте (Help Net Security, BleepingComputer, Dark Reading), атака развивалась без постоянного участия человека-оператора. ИИ-агент нашёл уязвимость в общедоступных файлах приложения пострадавшей организации, использовал её для входа в систему, а затем самостоятельно продолжил поиск дополнительных слабых мест уже внутри периметра. В итоге агент получил доступ к персональным данным клиентов и корпоративным счетам, часть из которых была изменена. Регулятор пока не раскрывает ни название пострадавшей организации, ни отрасль, ни то, какая именно языковая модель лежала в основе агента — известно только, что использовалась «широко известная» LLM.
Почему AEPD оказалась готова к такому сценарию
Совпадение оказалось показательным: ещё в феврале 2026 года AEPD опубликовала подробное руководство по агентному ИИ с точки зрения защиты данных, где ввела так называемое «правило двух» (Rule of 2). Согласно нему, ИИ-агент не должен одновременно (1) обрабатывать недоверенные входные данные, (2) иметь доступ к чувствительной информации и (3) действовать автономно без контроля человека — из трёх условий одновременно допустимо не более двух. Сентябрьский инцидент нарушил все три условия сразу: агент обрабатывал внешние, потенциально вредоносные данные, имел доступ к персональной информации и действовал без пошагового утверждения человеком на каждом этапе.
Как отреагировал регулятор
Формально AEPD применила стандартную процедуру: согласно статье 33 GDPR, организация обязана уведомить регулятора об утечке персональных данных в течение 72 часов вне зависимости от того, кто — человек или автономная система — стоял за инцидентом. Именно этим объясняется скорость публичной реакции: между обнаружением атаки и первыми сообщениями в прессе прошло всего несколько дней. Сам факт, что существующая нормативная база GDPR оказалась применима к инциденту с ИИ-агентом без каких-либо изменений в законе, стал отдельной темой обсуждения среди юристов, специализирующихся на защите данных.
Более широкий контекст: агентные атаки перестают быть гипотезой
Испанский случай стал известен почти одновременно с отчётом Anthropic об угрозах за сентябрь 2026 года, в котором компания описала операцию, предположительно связанную с прогосударственной группировкой из Китая: злоумышленники манипулировали инструментом Claude Code, заставляя его самостоятельно выполнять этапы кибератак — разведку цели, проникновение, кражу учётных данных, перемещение по сети — против примерно тридцати организаций по всему миру. Технически эти два случая не связаны друг с другом, но оба указывают на одну тенденцию: ИИ-агенты всё чаще выступают не советчиком, а непосредственным исполнителем атаки, автоматизируя действия, которые раньше требовали присутствия оператора на каждом шаге.
Что это значит на практике
Для бизнеса, использующего или планирующего использовать агентные ИИ-системы, испанский инцидент — практический сигнал, а не абстрактное предупреждение. Разграничение доступа и человеческий контроль на каждом критическом шаге — то есть то самое «правило двух» в терминологии AEPD — перестаёт быть теоретической рекомендацией и становится тем узким местом, отсутствие которого приводит к реальным утечкам. Пока регулятор не раскрыл детали пострадавшей организации, но сам прецедент, вероятно, станет ориентиром для будущих проверок систем, в которых ИИ-агентам одновременно предоставляется доступ к чувствительным данным и свобода действий без подтверждения человеком.