La AEPD ha confirmado esta semana el primer caso conocido de una organización española comprometida por un agente de IA que además alteró registros de datos personales. No hablamos de phishing clásico: el sistema actuó con autonomía, encadenando accesos legítimos hasta llegar a información que no debía tocar. Como ingeniera de seguridad me preocupa que la mayoría de organizaciones ni siquiera monitoriza qué hacen sus agentes entre dos checkpoints.