Automated AI agent used to breach cybersecurity nonprofit DIVD

El Ins­ti­tu­to Neer­lan­dés de Di­vul­ga­ción de Vul­ne­ra­bi­li­da­des (DIVD), una or­ga­ni­za­ción sin fines de lucro com­pues­ta por in­ves­ti­ga­do­res de se­gu­ri­dad vo­lun­ta­rios que es­ca­nean in­ter­net para avi­sar sobre fa­llas, su­frió una vul­ne­ra­ción en sus sis­te­mas. Este in­ci­den­te re­pre­sen­ta la pri­me­ra in­tru­sión de este tipo en la his­to­ria de la or­ga­ni­za­ción tras va­rios años de fun­cio­na­mien­to sin in­ci­den­tes de este tipo.

La in­ves­ti­ga­ción en curso re­ve­ló que el ata­que fue eje­cu­ta­do de ma­ne­ra com­ple­ta­men­te au­tó­no­ma por un agen­te de in­te­li­gen­cia ar­ti­fi­cial que apro­ve­chó una vul­ne­ra­bi­li­dad téc­ni­ca en uno de los sis­te­mas. Los res­pon­sa­bles de la or­ga­ni­za­ción ca­li­fi­ca­ron la ofen­si­va como rui­do­sa y des­or­de­na­da, se­ña­lan­do que el agen­te tomó de­ci­sio­nes paso a paso a gran ve­lo­ci­dad pero con una ló­gi­ca de­fi­cien­te, co­me­tien­do erro­res no­to­rios como in­ter­fe­rir en sus pro­pias ac­cio­nes de su­plan­ta­ción me­dian­te fuer­za bruta con con­tra­se­ñas.

De­bi­do a que el agen­te dejó abun­dan­tes ras­tros e in­for­ma­ción de­ta­lla­da sobre sus de­ci­sio­nes, los in­ves­ti­ga­do­res pu­die­ron es­tu­diar el com­por­ta­mien­to del in­tru­so y de­du­cir que la in­te­li­gen­cia ar­ti­fi­cial es­ta­ba mal en­tre­na­da y con­fi­gu­ra­da. Tras de­tec­tar la bre­cha, la or­ga­ni­za­ción no­ti­fi­có a las au­to­ri­da­des po­li­cia­les, al or­ga­nis­mo de pro­tec­ción de datos y al cen­tro na­cio­nal de ci­ber­se­gu­ri­dad, mien­tras con­ti­núa ana­li­zan­do el im­pac­to y la fi­na­li­dad exac­ta del ata­que.