Los bancos hacen bien en bloquear agentes de IA, pero los muros no son un plan

¿Le darías a un desconocido la contraseña de tu banca online porque te promete optimizar tus ahorros? En esencia, eso es lo que ocurre cada vez que un agente entra con las credenciales del propio cliente, y por eso la noticia de que los bancos estadounidenses cierran la puerta merece menos indignación de la que está recibiendo.

Esto es lo que se ha publicado. Axios informó de que grandes bancos de EE. UU. están detectando agentes de IA de terceros no autorizados que operan dentro de las cuentas de los clientes. Reuters se hizo eco de que los grandes bancos llevan tiempo bloqueando a esos agentes para que no operen dentro de las cuentas ni hagan transacciones. Banking Exchange afirma que Bank of America y Citigroup los han restringido, sumándose a JPMorgan, y el New York Post usa la palabra «pesadilla» en su titular.

El bloqueo es defendible porque nadie sabe responder a cuatro preguntas básicas

Un banco tiene que saber quién actúa, con la autoridad de quién, qué puede hacer en ese momento y qué pruebas quedarán después. No es un planteamiento nuestro; se parece mucho a cómo describe el problema el libro blanco de Ping Identity. Añade un detalle que explica los nervios de los bancos: un agente puede trabajar de forma asíncrona, encadenar muchas herramientas y emitir peticiones que, por separado, parecen válidas mientras el conjunto de la secuencia se aparta de lo que quería el cliente.

Un inicio de sesión con contraseña no puede expresar nada de eso. No puede decir «consulta mi saldo, pero nunca muevas dinero», ni distinguir a una persona de un script. Si un agente entra con las credenciales de un cliente, el banco ve al cliente. A nuestro juicio, un equipo antifraude que se niega a seguir el juego está haciendo su trabajo.

La responsabilidad es la otra mitad. El documento del simposio de la Consumer Bankers Association señala que la Electronic Fund Transfer Act fijó reglas claras, incluidos límites a la responsabilidad del consumidor en muchas transacciones no autorizadas. Sostenemos que esas reglas se pensaron para personas y tarjetas, no para un chatbot que decide «ayudar». Mientras no se aclare quién asume la pérdida cuando un agente interpreta mal una instrucción, los bancos tienen todos los incentivos para decir que no. Nosotros también lo diríamos.

Pero las prohibiciones generales son un jardín vallado disfrazado

Aquí nos separamos de quienes aplauden el bloqueo. Bloquear es un parche, no una estrategia. El riesgo es que la «seguridad» acabe siendo la excusa para que cada banco construya su propio agente, sus propios socios aprobados y su propio peaje.

El contexto regulatorio da una idea de lo real que es ese riesgo. La norma de la sección 1033 de la CFPB, ultimada en octubre de 2024, obligaría a las entidades a poner los datos del consumidor a disposición de terceros autorizados, pero Socure señala que está en litigio y en revisión por parte de la nueva dirección de la CFPB. Añade que la norma no impide que los bancos cobren comisiones de acceso, un punto que sigue muy debatido. Con una base legal tan frágil, creemos que los bancos tienen poca presión para abrirse y muchos motivos para mantener a los clientes dentro de sus propios canales.

Mientras tanto, el mercado no espera. Invela informó en agosto de que Plaid y Sierra permiten que agentes de IA conecten cuentas bancarias y actúen sobre los datos en plena conversación. Open Banking Tracker ya mantiene un directorio de bancos que lanzan servidores propios del Model Context Protocol. Es decir, el acceso autorizado de agentes no es ciencia ficción; algunas entidades lo están construyendo.

Cómo debería ser un estándar autorizado

Nuestra propuesta es fácil de enunciar y difícil de ejecutar. Los agentes deberían tratarse como actores gobernados, que es el lenguaje que usa Ping: una identidad propia, un vínculo verificable con el cliente y permisos limitados por finalidad, alcance, duración y riesgo. Consultar un saldo, preparar una transferencia y liberar fondos deberían ser niveles de permiso distintos, con aprobación humana para los que tengan consecuencias. La revocación debería ser inmediata y cada petición debería dejar un rastro de auditoría.

Es, básicamente, la lección de la banca abierta aplicada de nuevo. Sustituir el intercambio de credenciales por API con permisos era un objetivo de la oleada anterior, y los agentes ponen a prueba si el sector hablaba en serio. Konsentus sostiene que la IA agéntica desafía los modelos estáticos de consentimiento de la PSD2; si el consentimiento pensado para flujos puntuales ya cruje, entregar una contraseña a un bot es una causa perdida.

Nuestro veredicto

Si eres cliente, no des tus credenciales bancarias a ningún agente, por útil que parezca la demostración. Si eres un banco, mantén los bloqueos hasta que puedas ofrecer algo mejor, y publica un calendario para ese algo. Si desarrollas agentes, deja de fingir que acceder a la pantalla es una funcionalidad.

Los bloqueos son la respuesta correcta a corto plazo. Pero si dentro de un año la única forma de usar un agente con tu dinero es la que te vende tu banco, el sector habrá resuelto un problema de seguridad creando un problema de competencia. Reguladores y bancos deberían aspirar a un estándar compartido, no a una colección de jardines.