Il primo incidente notificato in cui un agente di IA esegue l’attacco

Un evento operativo, non più soltanto un rischio teorico

Il 14 settembre 2026 l’Agencia Española de Protección de Datos ha reso pubblica la prima notifica ricevuta di una violazione di dati personali nella quale l’attacco sarebbe stato eseguito mediante un agente di intelligenza artificiale.

L’autorità non ha annunciato una sanzione né concluso l’accertamento. Ha documentato l’esistenza di una notifica formale e l’avvio dell’analisi del caso.

Secondo la ricostruzione pubblicata dalla AEPD, un soggetto terzo avrebbe utilizzato un agente basato su un noto modello linguistico per concatenare più fasi dell’azione offensiva con un intervento umano limitato.

L’agente avrebbe:

• individuato autonomamente vulnerabilità;
• ottenuto accesso al sistema interessato;
• modificato dati personali;
• consultato informazioni di fatturazione;
• concatenato diverse fasi dell’attacco.

La AEPD precisa che non vi sono indicazioni, allo stato, di una compromissione del modello sottostante o dell’infrastruttura del fornitore. Non risulta inoltre che il sistema fosse stato originariamente progettato per finalità malevole.

Reuters ha confermato il 15 settembre il contenuto essenziale della comunicazione dell’autorità spagnola.

Che cosa è verificato e che cosa resta aperto

Fatti verificati

• La AEPD ha ricevuto una notifica formale di violazione di dati personali.
• Nella notifica l’attacco è attribuito all’impiego di un agente di IA da parte di un soggetto terzo.
• L’agente avrebbe svolto più fasi operative, dalla ricerca delle vulnerabilità all’accesso e alla modifica dei dati.
• L’autorità considera rilevante il limitato intervento umano nell’esecuzione delle attività.
• L’esame della violazione è ancora in corso.

Elementi non ancora accertati

• l’identità dell’organizzazione colpita e del modello utilizzato;
• la configurazione tecnica dell’agente e il livello effettivo di autonomia;
• il numero degli interessati e le categorie di dati coinvolte;
• l’attribuzione definitiva delle responsabilità;
• l’esistenza di violazioni del GDPR, dell’AI Act o di altre norme applicabili.

L’autonomia tecnica non trasferisce la responsabilità alla macchina

Il caso non trasforma l’agente in un soggetto giuridico responsabile. L’autonomia operativa descrive il modo in cui il sistema esegue azioni; non elimina le responsabilità delle persone e delle organizzazioni che hanno definito finalità, configurazione, strumenti, credenziali, limiti e supervisione.

Le linee guida della AEPD sull’Intelligenza Artificiale agentica avevano già chiarito che l’interazione tra modello, memoria, motori di pianificazione, strumenti e servizi esterni amplia la superficie di attacco.

Questa interazione può inoltre generare nuove vulnerabilità o amplificare quelle esistenti. L’incidente notificato porta tale impostazione dal piano preventivo a quello operativo.

La questione decisiva: ricostruire la catena dell’azione

Quando un agente può interrogare servizi, richiamare strumenti, conservare memoria e modificare sistemi esterni, il solo log finale non è sufficiente.

Per comprendere e governare l’incidente occorre collegare l’identità dell’agente alla versione del modello, alle istruzioni ricevute, alle autorizzazioni disponibili, agli strumenti invocati e alle singole azioni eseguite.

È il problema affrontato dal QEN Framework: rendere ricostruibile il percorso che collega fonti, criteri, evidenze, decisioni e autorità umana.

Nel caso degli agenti, la tracciabilità deve estendersi oltre l’output e comprendere l’intera sequenza operativa.

Che cosa devono verificare oggi le organizzazioni

• Inventario degli agenti: quali sistemi possono operare autonomamente e su quali ambienti.
• Identità e autorizzazioni: credenziali, privilegi, API, strumenti e dati accessibili a ciascun agente.
• Limiti operativi: azioni vietate, soglie, ambienti esclusi e condizioni di arresto.
• Registrazione degli eventi: istruzioni, piani, chiamate agli strumenti, output, errori, modifiche e interventi umani.
• Correlazione dei segnali: capacità di aggregare eventi distribuiti che, considerati singolarmente, potrebbero apparire non materiali.
• Escalation e notifica: criteri per classificare l’incidente, informare DPO, CISO, terzi e autorità e preservare le evidenze.
• Decisione di ripresa: responsabilità e prove necessarie prima di riattivare l’agente o rilasciare una nuova versione.

Un AI Governance Assessment può stabilire se ruoli, controlli, evidenze e processi di escalation siano adeguati al rischio.

Il servizio Cognitive Logic di Explainability & Decision Traceability affronta invece la capacità di ricostruire fonti, passaggi, verifiche e responsabilità quando un’azione supportata dall’IA deve essere spiegata, contestata o sottoposta ad audit.

Perché il caso supera la soglia dell’International Watch

Non siamo davanti a una nuova legge o a una decisione sanzionatoria. Siamo però davanti a un evento ufficialmente notificato che modifica il quadro operativo della governance: un agente avrebbe partecipato direttamente all’esecuzione di una violazione di dati, svolgendo più fasi con supervisione umana limitata.

Per l’International Watch di Cognitive Logic, il valore del caso non sta nella forza evocativa della formula “attacco autonomo”, ma nella possibilità di distinguere il fatto verificato, le attribuzioni ancora aperte e le conseguenze concrete per controllo, documentazione e responsabilità.