Attaque par agent IA : l'AEPD reçoit la première notification de violation de ce type en Espagne

L'Agence espagnole de protection des données (AEPD) a reçu la première notification d'une violation de données personnelles qui aurait été exécutée au moyen d'un agent d'intelligence artificielle. Elle l'a annoncé dans un billet publié le 14 septembre 2026, signé de Francisco Pérez Bes, adjoint de l'agence. Rien n'est encore établi, et c'est justement ce qui rend le dossier intéressant pour un DPO : une autorité de contrôle européenne vient de recevoir sur son bureau ce qui relevait jusqu'ici du rapport d'éditeur et de la recommandation d'autorité.

Ce que l'AEPD a reçu, et ce qu'elle n'a pas établi

Le déroulé rapporté par l'agence tient en quelques lignes. L'agent attaquant a lancé une recherche de vulnérabilités sur des fichiers génériques, puis réussi une authentification. Une fois dans le système, il a cherché de façon autonome des vulnérabilités dans l'application, ce qui lui a permis de modifier des données personnelles et d'accéder à des factures.

L'AEPD entoure ce récit de réserves qu'il faut lire aussi attentivement que le récit lui-même. Elle écrit au conditionnel, et précise avant toute conclusion que l'information disponible « provient de la notification présentée par l'organisation affectée et devra faire l'objet de l'analyse correspondante ». Autrement dit, l'agence n'a rien instruit, rien qualifié, rien vérifié à ce stade.

Ce qu'elle ne dit pas est tout aussi net. L'organisation victime n'est pas nommée. Le modèle de langage ne l'est pas davantage, décrit seulement comme un modèle de langage connu. Aucun chiffre ne circule : ni nombre de personnes concernées, ni date de l'attaque, ni date de la notification. L'agence ajoute que le recours à un modèle donné n'implique ni que ce modèle ou l'infrastructure de son fournisseur aient été compromis, ni que l'outil ait été conçu pour des activités malveillantes. Enfin, elle refuse expressément d'y voir une tendance : une notification isolée ne permet pas d'affirmer une tendance statistique, écrit-elle.

Pourquoi c'est important

Le point de droit que l'AEPD isole est précis. Ce qui compte du point de vue de la protection des données, écrit-elle, c'est qu'un tiers aurait utilisé un agent d'IA comme instrument pour enchaîner avec succès les différentes phases de l'attaque. Il ne s'agit donc pas d'une IA devenue folle, mais d'un outil dans la main d'un attaquant. La question n'est pas celle de la responsabilité du fournisseur du modèle, elle est celle de la sécurité du traitement au sens de l'article 32, dont le curseur se déplace avec l'état de l'art des attaquants.

La seconde raison est procédurale. Ce dossier n'existe publiquement que parce qu'une organisation a rempli son obligation de notification à l'autorité de contrôle. C'est ce qui le distingue de ce que Leto a déjà couvert sur le sujet : le ransomware agentique JadePuffer était une découverte d'éditeur, et le plan en cinq étapes de l'ICO une recommandation d'autorité. Ici, c'est une violation de données réelle, sur un traitement réel, déclarée par le responsable de traitement lui-même.

L'AEPD resitue enfin le phénomène sans le dramatiser : l'IA ne crée pas de nouvelles menaces, écrit l'agence, mais elle augmente la vitesse, l'échelle et la capacité d'adaptation de techniques déjà connues, en réduisant le temps disponible pour les détecter et les contenir. Elle renvoie sur ce point au guide CCN-CERT BP/36 du Centre cryptologique national espagnol, consacré aux bonnes pratiques face à l'IA offensive.

Ce que ça change pour les organisations

L'agence tire quatre conséquences opérationnelles, qui se transposent telles quelles dans le quotidien d'un DPO d'ETI :

• Reprendre l'analyse de risques des traitements. Les attaques assistées ou exécutées par IA doivent y figurer expressément : une mention générique de malware, de phishing ou d'accès non autorisé ne suffit plus, puisque l'automatisation modifie la probabilité, la vitesse et l'ampleur de l'incident. C'est un passage à prévoir dans votre prochaine analyse d'impact.
• Revoir les délais de réponse. Des procédures conçues pour une attaque menée à la main peuvent se révéler insuffisantes face à un agent qui analyse plusieurs actifs en parallèle, teste différentes voies d'accès et adapte son comportement rapidement.
• Traiter les identités et les secrets comme un actif de premier rang. Un agent qui obtient un compte, une clé API ou un jeton aux permissions trop larges opère à la vitesse de la machine et peut atteindre plusieurs services avant que le comportement anormal ne soit détecté.
• Ne plus faire reposer la sécurité sur la seule intervention humaine. La supervision humaine reste indispensable, dit l'AEPD, mais elle doit s'appuyer sur des mécanismes de détection, de confinement et de réponse capables d'aller assez vite.

Ce que Leto en pense

Le plus instructif, dans ce billet, c'est la retenue de l'autorité. Une notification ne fait pas une tendance, l'AEPD le dit elle-même, et personne n'a encore vérifié le récit de la victime. Ce qui change pour un DPO n'est donc pas le catalogue des menaces, c'est l'horloge. Les fondamentaux que l'agence énumère pour finir sont d'ailleurs rigoureusement les mêmes qu'avant : connaître ses traitements, minimiser les données, limiter les accès, corriger les vulnérabilités, contrôler ses prestataires, être prêt à répondre. La différence tient au temps qu'il reste pour les appliquer, et à la qualité de la cartographie sur laquelle on s'appuie le jour où il faut décider en quelques heures s'il y a lieu de notifier. C'est ce travail de registre et de cartographie que Leto outille au quotidien, et qu'une démonstration suffit à montrer.

Sources

• AEPD, « Primera notificación de una brecha de datos personales causada por un ataque ejecutado mediante un agente de IA », 14 septembre 2026
• Infosecurity Magazine, Phil Muncaster, « AI Agent Carries Out Multi-Stage Data Theft Attack », 17 septembre 2026
• AEPD, « Lorenzo Cotino Hueso and Francisco Pérez Bes, appointed president and deputy, respectively, of the Spanish Agency for Data Protection », 26 février 2025