本サイトの記事や画像は、AIが公的資料や複数の報道を基に事実関係を整理・再構成し制作したものです。[続きを表示]特定の報道内容や表現を再利用・要約することを目的としたものではありません。ただし、誤りや不確定な情報が含まれる可能性がありますので、参考の一助としてご覧いただき、実際の判断は公的資料や各出典元の原文をご確認ください。[私たちの取り組み]
スペインデータ保護庁（AEPD）は2026年9月14日（現地時間）、AIエージェントを使った攻撃が原因とされる個人データ侵害の届出を初めて受理したとブログで明らかにした。内容は被害組織の申告に基づくもので、AEPDはなお分析中としている。
「初」は侵害そのものではなく届出の受理
AEPDが「初」としているのは、この種の個人データ侵害について届出を受けたことだ。攻撃の各工程をAEPD自身が確認し終えたという意味ではない。
被害を受けた組織や使用された言語モデルの名称、影響を受けた人数などは公表されていない。AEPDは、よく知られた言語モデルを利用したAIエージェントだったとしている。
ログイン後にアプリの脆弱性を探索したと申告
届出によると、攻撃側のAIエージェントは汎用ファイルから脆弱性を探し、システムへのログインに成功した。その後、アプリケーション内の脆弱性を自律的に探索し、個人データを変更したほか、請求書にアクセスしたとされる。
AEPDは、第三者がAIエージェントを道具として使い、複数の攻撃工程を連続して実行したとされる点を重視している。
モデル提供者側の侵害を示すものではない
AEPDは、今回使われた言語モデルやその提供者が侵害を受けたことを示す証拠はないとしている。また、このモデル自体が悪意ある活動を目的に設計されたものではないと説明している。
9月24日時点で、被害組織名や使用モデル、被害規模などについてAEPDによる新たな公表は確認できない。
