Le banche fanno bene a bloccare gli agenti IA, ma i muri non sono un piano

Daresti a uno sconosciuto la password del tuo home banking perché promette di ottimizzare i tuoi risparmi? In sostanza è questo l'accordo ogni volta che un agente accede con le credenziali del cliente, ed è per questo che la notizia della porta chiusa dalle banche americane merita meno indignazione di quella che sta ricevendo.

Ecco cosa è stato riportato. Axios ha riferito che grandi banche USA stanno rilevando agenti IA di terze parti non autorizzati che operano dentro i conti dei clienti. Reuters ha poi precisato che le grandi banche bloccano questi agenti per impedire che operino nei conti ed effettuino transazioni. Secondo Banking Exchange, Bank of America e Citigroup li hanno limitati, unendosi a JPMorgan, e il New York Post usa la parola «incubo» nel titolo.

Il blocco è difendibile, perché nessuno sa rispondere a quattro domande di base

Una banca deve sapere chi agisce, con l'autorità di chi, che cosa può fare in quel momento e quali prove resteranno dopo. Non è una nostra formulazione; è vicina a come il white paper di Ping Identity descrive il problema. Aggiunge un dettaglio che spiega il nervosismo delle banche: un agente può lavorare in modo asincrono, concatenare molti strumenti ed emettere richieste che singolarmente sembrano valide mentre l'intera sequenza si discosta da ciò che il cliente voleva.

Un accesso con password non può esprimere nulla di tutto questo. Non può dire «controlla il mio saldo ma non spostare mai denaro» e non distingue una persona da uno script. Se un agente accede con le credenziali di un cliente, la banca vede il cliente. A nostro avviso, un team antifrode che rifiuta di stare al gioco fa il proprio lavoro.

La responsabilità è l'altra metà. Il documento del simposio della Consumer Bankers Association osserva che l'Electronic Fund Transfer Act ha fissato regole chiare, compresi limiti alla responsabilità del consumatore per molte transazioni non autorizzate. Sosteniamo che quelle regole siano state scritte pensando a persone e carte, non a un chatbot che decide di «aiutare». Finché non sarà chiaro chi sopporta la perdita quando un agente fraintende un'istruzione, le banche hanno ogni incentivo a dire no. Lo diremmo anche noi.

Ma i divieti generalizzati sono un giardino recintato sotto mentite spoglie

Qui ci separiamo dai fautori del blocco. Bloccare è un rimedio provvisorio, non una strategia. Il rischio è che la «sicurezza» diventi lentamente la giustificazione perché ogni banca costruisca il proprio agente, i propri partner approvati e il proprio casello.

Il quadro normativo suggerisce quanto sia concreto questo rischio. La regola della Section 1033 della CFPB, finalizzata nell'ottobre 2024, obbligherebbe gli istituti a rendere disponibili i dati dei consumatori a terze parti autorizzate, ma Socure osserva che è oggetto di contenzioso e di riesame da parte dei nuovi vertici della CFPB. Aggiunge che la regola non impedisce alle banche di applicare commissioni di accesso, punto ancora molto dibattuto. Con un fondamento giuridico così fragile, crediamo che le banche abbiano poche pressioni ad aprirsi e molte ragioni per tenere i clienti nei propri canali.

Nel frattempo il mercato non aspetta. Invela ha riferito in agosto che Plaid e Sierra consentono agli agenti IA di collegare conti bancari e agire sui dati nel corso di una conversazione. Open Banking Tracker tiene già un elenco di banche che rilasciano server Model Context Protocol proprietari. L'accesso autorizzato degli agenti non è quindi fantascienza; alcuni istituti lo stanno costruendo.

Come dovrebbe essere uno standard autorizzato

La nostra proposta è facile da enunciare e difficile da realizzare. Gli agenti dovrebbero essere trattati come attori governati, il linguaggio che usa Ping: un'identità distinta, un legame verificabile con il cliente e permessi limitati per scopo, ambito, durata e rischio. Leggere un saldo, preparare un bonifico e sbloccare fondi dovrebbero essere livelli di permesso diversi, con approvazione umana per quelli rilevanti. La revoca dovrebbe essere immediata e ogni richiesta dovrebbe lasciare una traccia di audit.

È in sostanza la lezione dell'open banking applicata di nuovo. Sostituire la condivisione delle credenziali con API basate su permessi era un obiettivo dell'ondata precedente, e gli agenti sono uno stress test per capire se il settore dicesse sul serio. Konsentus sostiene che l'IA agentica metta in discussione i modelli di consenso statici della PSD2; se il consenso pensato per flussi singoli scricchiola già, una password consegnata a un bot è senza speranza.

Il nostro verdetto

Se sei un cliente, non dare le tue credenziali bancarie a nessun agente, per quanto utile sembri la demo. Se sei una banca, mantieni i blocchi finché non potrai offrire qualcosa di meglio, e pubblica una tempistica per quel qualcosa. Se sviluppi agenti, smetti di far finta che l'accesso allo schermo sia una funzione.

I blocchi sono la risposta giusta nel breve periodo. Ma se tra un anno l'unico modo di usare un agente con i tuoi soldi sarà quello che ti vende la tua banca, il settore avrà risolto un problema di sicurezza creando un problema di concorrenza. Autorità e banche dovrebbero puntare a uno standard condiviso, non a una raccolta di giardini.