Η κυβερνοασφάλεια περνά σε μια νέα, πολύ πιο δύσκολη φάση. Η ισπανική Αρχή Προστασίας Δεδομένων εξετάζει την πρώτη επίσημη αναφορά παραβίασης προσωπικών δεδομένων που φέρεται να εκτελέστηκε σε πολλαπλά στάδια από AI agent, με περιορισμένη ανθρώπινη παρέμβαση. Το κρίσιμο μήνυμα για την Ελλάδα είναι σαφές: οι άμυνες που βασίζονται σε χειροκίνητη αντίδραση και «ωράριο γραφείου» δεν επαρκούν απέναντι σε επιθέσεις που κινούνται με ταχύτητα μηχανής.
Τα βασικά σε 30’’
- Η ισπανική AEPD έλαβε αναφορά για AI agent που φέρεται να εντόπισε ευπάθειες, να συνδέθηκε σε σύστημα, να τροποποίησε προσωπικά δεδομένα και να απέκτησε πρόσβαση σε τιμολόγια.
- Η υπόθεση βρίσκεται ακόμη υπό διερεύνηση. Δεν κατονομάστηκαν ούτε η πληγείσα οργάνωση ούτε το μοντέλο τεχνητής νοημοσύνης.
- Δεν υπάρχει ένδειξη ότι παραβιάστηκε το ίδιο το μοντέλο ή η υποδομή του παρόχου του. Ένας τρίτος φέρεται να χρησιμοποίησε το εργαλείο ως επιθετικό μέσο.
- Το ποιοτικό άλμα είναι η αυτονομία: ο agent μπορούσε να σχεδιάζει ενδιάμεσα βήματα, να δοκιμάζει επιλογές και να προσαρμόζει τη δράση του.
- Για την Ελλάδα, η εξέλιξη αυξάνει την πίεση σε τηλεπικοινωνιακούς παρόχους, εταιρείες ICT, δημόσιους φορείς και επιχειρήσεις που υπάγονται στο NIS2 να αυτοματοποιήσουν την ανίχνευση και την απόκριση.
Τι ακριβώς συνέβη στην Ισπανία
Σύμφωνα με την ανακοίνωση της Agencia Española de Protección de Datos, ο επιτιθέμενος agent ξεκίνησε αναζητώντας ευπάθειες σε γενικά αρχεία. Πραγματοποίησε επιτυχή σύνδεση και, αφού απέκτησε πρόσβαση, συνέχισε αυτόνομα τον έλεγχο της εφαρμογής. Όταν εντόπισε αδυναμία, μπόρεσε να τροποποιήσει προσωπικά δεδομένα και να δει τιμολόγια.
Η λέξη-κλειδί είναι «φέρεται». Τα στοιχεία προέρχονται από τη γνωστοποίηση της ίδιας της πληγείσας οργάνωσης και ο ισπανικός επόπτης δεν έχει ολοκληρώσει την εξέταση. Μία υπόθεση δεν δημιουργεί ακόμη στατιστική τάση. Αποτελεί όμως ισχυρή ένδειξη ότι οι επιθέσεις με αυτόνομους agents μετακινούνται από τα εργαστήρια και τις προβλέψεις σε πραγματικά πληροφοριακά συστήματα.
Η AEPD διευκρίνισε επίσης κάτι κρίσιμο: η χρήση ενός γνωστού μεγάλου γλωσσικού μοντέλου δεν σημαίνει ότι το μοντέλο ή ο κατασκευαστής του παραβιάστηκαν, ούτε ότι η τεχνολογία σχεδιάστηκε για εγκληματική χρήση. Το υπό εξέταση σενάριο είναι ότι τρίτος αξιοποίησε τον agent για να συνδέσει διαδοχικές φάσεις μιας επίθεσης.
Γιατί ο AI agent αλλάζει τους κανόνες
Η γενετική τεχνητή νοημοσύνη χρησιμοποιείται ήδη για phishing, πλαστοπροσωπία, μετάφραση απατηλών μηνυμάτων, ανάλυση κώδικα και αναζήτηση ευπαθειών. Ο agent, όμως, δεν περιορίζεται στην παραγωγή μιας απάντησης. Μπορεί να λάβει έναν στόχο, να τον διασπάσει σε βήματα, να χρησιμοποιήσει εργαλεία, να εκτελέσει κώδικα, να αξιολογήσει τα αποτελέσματα και να αλλάξει τακτική.
Αυτό δεν δημιουργεί κατ’ ανάγκη εντελώς νέες απειλές. Πολλαπλασιάζει όμως την ταχύτητα, την κλίμακα και την προσαρμοστικότητα των ήδη γνωστών. Ένας άνθρωπος χρειάζεται χρόνο για να εξετάσει δεκάδες σημεία εισόδου. Ένας agent μπορεί να ελέγχει ταυτόχρονα πολλαπλά περιουσιακά στοιχεία, να δοκιμάζει διαφορετικές διαδρομές και να αξιοποιεί μια κλεμμένη ταυτότητα πριν προλάβει να ενεργοποιηθεί η χειροκίνητη διαδικασία συναγερμού.
Τα στοιχεία της έκθεσης Data Breach Investigations Report 2026 της Verizon δείχνουν το περιβάλλον μέσα στο οποίο εμφανίζεται η νέα απειλή: το 31% των παραβιάσεων ξεκινά πλέον από ευπάθειες λογισμικού, το 48% συνδέεται με ransomware και το 15% των διαφορετικών τεχνικών επίθεσης ενισχύεται ήδη από γενετική AI. Ο agent προσθέτει αυτονομία σε αυτή την επιτάχυνση.
Η ελληνική διάσταση: NIS2 και άμυνα με ταχύτητα μηχανής
Για την Ελλάδα, η ισπανική υπόθεση έρχεται σε μια στιγμή κατά την οποία το θεσμικό πλαίσιο περνά από τη θεωρία στην εφαρμογή. Η Εθνική Αρχή Κυβερνοασφάλειας έχει καταστήσει σαφές ότι η νέα Εθνική Στρατηγική 2026–2030 δίνει βάρος στην προστασία κρίσιμων υποδομών, στην ετοιμότητα, στην ασφαλή χρήση της τεχνητής νοημοσύνης και στην ενίσχυση των εθνικών και ευρωπαϊκών Κέντρων Επιχειρήσεων Ασφάλειας.
Η οδηγία NIS2 και ο ελληνικός εφαρμοστικός νόμος καλύπτουν, μεταξύ άλλων, ψηφιακές υποδομές, διαχείριση υπηρεσιών ICT, δημόσιο τομέα, ενέργεια, τράπεζες και υγεία. Στο νέο περιβάλλον δεν αρκεί ένα γενικό κεφάλαιο περί malware στο αρχείο διαχείρισης κινδύνων. Οι οργανισμοί πρέπει να εντάξουν ρητά τα σενάρια επιθέσεων που υποβοηθούνται ή εκτελούνται από AI agents.
Η ΕΑΚ συμμετέχει ήδη σε έργα όπως η αναβάθμιση του Ενοποιημένου Εθνικού SOC, η διασυνοριακή συνεργασία κέντρων ασφαλείας Ελλάδας, Κύπρου, Βουλγαρίας και Μάλτας, η προστασία δικτύων 5G και η ενίσχυση των μικρομεσαίων επιχειρήσεων. Η πραγματική δοκιμασία, πλέον, είναι αν αυτά τα συστήματα μπορούν να εντοπίζουν μηχανική ταχύτητα αναγνώρισης, πλευρικής κίνησης και κατάχρησης λογαριασμών.
Τι σημαίνει για COSMOTE Telekom, Vodafone και Nova
Οι μεγάλοι τηλεπικοινωνιακοί όμιλοι δεν είναι μόνο διαχειριστές κρίσιμων δικτύων. Είναι επίσης βασικοί προμηθευτές cloud, κυβερνοασφάλειας, συνδεσιμότητας και διαχειριζόμενων υπηρεσιών προς επιχειρήσεις και Δημόσιο. Η νέα απειλή αυξάνει ταυτόχρονα τον δικό τους επιχειρησιακό κίνδυνο και τη ζήτηση για υπηρεσίες SOC, διαχείριση ταυτοτήτων, zero-trust πρόσβαση, προστασία API και αυτοματοποιημένη απόκριση.
Για COSMOTE Telekom, Vodafone και Nova, το εμπορικό στοίχημα είναι να μετατρέψουν την κυβερνοασφάλεια από πρόσθετη υπηρεσία σε ενσωματωμένο στρώμα κάθε σύνδεσης και κάθε λύσης cloud. Το τεχνικό στοίχημα είναι δυσκολότερο: να αναγνωρίζουν όχι μόνο γνωστό κακόβουλο λογισμικό, αλλά ακολουθίες ενεργειών που φαίνονται μεμονωμένα νόμιμες και συνολικά σχηματίζουν μια αυτοματοποιημένη επίθεση.
Τι πρέπει να αλλάξουν οι επιχειρήσεις τώρα
Η πρώτη γραμμή άμυνας είναι οι ψηφιακές ταυτότητες. Κλεμμένοι κωδικοί, API keys και tokens με υπερβολικά δικαιώματα δίνουν σε έναν agent τη δυνατότητα να κινηθεί γρήγορα ανάμεσα σε υπηρεσίες. Χρειάζονται πολυπαραγοντικός έλεγχος, ελάχιστα αναγκαία δικαιώματα, σύντομη διάρκεια ζωής των tokens, διαχωρισμός κρίσιμων συστημάτων και συνεχής καταγραφή.
Η δεύτερη γραμμή είναι η αυτοματοποιημένη επιτήρηση. Οι ειδοποιήσεις πρέπει να συσχετίζονται σε πραγματικό χρόνο και να μπορούν να προκαλούν περιορισμό λογαριασμού, ανάκληση κλειδιού ή απομόνωση συστήματος χωρίς να περιμένουν την επόμενη εργάσιμη ημέρα. Η ανθρώπινη εποπτεία παραμένει απαραίτητη, αλλά πρέπει να υποστηρίζεται από μηχανισμούς που αντιδρούν στην ίδια χρονική κλίμακα με την επίθεση.
Τρίτη προτεραιότητα είναι οι ασκήσεις. Τα σχέδια αντιμετώπισης περιστατικών οφείλουν να δοκιμάζουν σενάρια στα οποία ο αντίπαλος αλλάζει τακτική γρηγορότερα από μια συμβατική ομάδα επίθεσης. Παράλληλα, οι διοικήσεις πρέπει να γνωρίζουν ποιος αποφασίζει τη διακοπή μιας υπηρεσίας, ποιος ενημερώνει την Αρχή Προστασίας Δεδομένων και πώς εκπληρώνεται η υποχρέωση γνωστοποίησης χωρίς να χαθεί πολύτιμος χρόνος.
Γιατί έχει σημασία
Η μεγάλη αλλαγή δεν είναι ότι η AI απέκτησε ξαφνικά «κακή πρόθεση». Είναι ότι ένας άνθρωπος μπορεί να της αναθέσει έναν κακόβουλο στόχο και να αυτοματοποιήσει μεγάλο μέρος της εκτέλεσης. Αυτό μειώνει το κόστος του επιτιθέμενου και αυξάνει το κόστος της άμυνας, ιδιαίτερα για μικρομεσαίες επιχειρήσεις που δεν διαθέτουν μόνιμη ομάδα ασφαλείας.
Για τους καταναλωτές, ο κίνδυνος αφορά δεδομένα, λογαριασμούς και υπηρεσίες που μπορούν να επηρεαστούν πριν γίνει αντιληπτή η εισβολή. Για τις επιχειρήσεις, αφορά κανονιστικές κυρώσεις, διακοπή λειτουργίας και απώλεια εμπιστοσύνης. Για το ελληνικό οικοσύστημα ICT, δημιουργεί μια αγορά ανάγκης: managed detection, SOC-as-a-service, έλεγχο ταυτοτήτων και ασφάλεια εφαρμογών προσαρμοσμένη στην εποχή των agents.
Τι να παρακολουθήσουμε
Το πρώτο ζητούμενο είναι το τελικό πόρισμα της ισπανικής Αρχής: ποια ήταν η αρχική πρόσβαση, πόσο αυτόνομα έδρασε ο agent και ποιο ήταν το πραγματικό εύρος της παραβίασης. Το δεύτερο είναι αν θα ακολουθήσουν παρόμοιες γνωστοποιήσεις σε άλλες ευρωπαϊκές χώρες. Και το τρίτο, καθοριστικό για την Ελλάδα, είναι αν οι φορείς του NIS2 θα επικαιροποιήσουν εγκαίρως τα μοντέλα κινδύνου και τους χρόνους απόκρισης. Ο αντίπαλος δεν χρειάζεται πλέον να κοιμάται. Η άμυνα δεν μπορεί να συνεχίσει να λειτουργεί σαν να το κάνει.