Bancos têm razão em bloquear agentes de IA, mas muros não são um plano

Você entregaria a senha do seu internet banking a um desconhecido porque ele prometeu otimizar suas economias? No fundo, é esse o acordo toda vez que um agente faz login com as credenciais do próprio cliente, e por isso a notícia de que bancos americanos estão fechando a porta merece menos indignação do que está recebendo.

Eis o que foi noticiado. A Axios informou que grandes bancos dos EUA estão detectando agentes de IA de terceiros não autorizados operando dentro de contas de clientes. A Reuters repercutiu que grandes bancos vêm bloqueando esses agentes para que não operem dentro das contas nem façam transações. Segundo a Banking Exchange, Bank of America e Citigroup os restringiram, juntando-se ao JPMorgan, e o New York Post usa a palavra "pesadelo" na manchete.

O bloqueio é defensável, porque ninguém sabe responder a quatro perguntas básicas

Um banco precisa saber quem está agindo, com a autoridade de quem, o que pode fazer neste momento e que provas existirão depois. Essa não é uma formulação nossa; é parecida com a forma como o white paper da Ping Identity descreve o problema. Ele acrescenta um detalhe que explica o nervosismo dos bancos: um agente pode trabalhar de forma assíncrona, encadear muitas ferramentas e emitir solicitações que, isoladamente, parecem válidas, enquanto a sequência inteira foge do que o cliente queria.

Um login com senha não consegue expressar nada disso. Não diz "consulte meu saldo, mas nunca movimente dinheiro" e não distingue uma pessoa de um script. Se um agente entra com as credenciais de um cliente, o banco vê o cliente. Na nossa visão, uma equipe antifraude que se recusa a entrar no jogo está fazendo seu trabalho.

A responsabilidade é a outra metade. O documento do simpósio da Consumer Bankers Association observa que o Electronic Fund Transfer Act estabeleceu regras claras, incluindo limites à responsabilidade do consumidor em muitas transações não autorizadas. Defendemos que essas regras foram escritas pensando em pessoas e cartões, não em um chatbot que decide "ajudar". Até que se defina quem arca com o prejuízo quando um agente interpreta mal uma instrução, os bancos têm todo incentivo para dizer não. Nós também diríamos.

Mas proibições gerais são um jardim murado disfarçado

É aqui que nos separamos dos entusiastas do bloqueio. Bloquear é um paliativo, não uma estratégia. O risco é que a "segurança" vá se tornando a justificativa para cada banco criar seu próprio agente, seus próprios parceiros aprovados e seu próprio pedágio.

O pano de fundo regulatório dá uma ideia de como esse risco é real. A regra da Seção 1033 da CFPB, finalizada em outubro de 2024, obrigaria as instituições a disponibilizar dados do consumidor a terceiros autorizados, mas a Socure observa que ela está sob disputa judicial e em reconsideração pela nova liderança da CFPB. Também diz que a regra não impede os bancos de cobrar taxas de acesso, ponto que segue muito debatido. Com uma base legal tão frágil, achamos que os bancos sofrem pouca pressão para se abrir e têm muitos motivos para manter os clientes dentro de seus próprios canais.

Enquanto isso, o mercado não está esperando. A Invela informou em agosto que Plaid e Sierra permitem que agentes de IA conectem contas bancárias e ajam sobre os dados no meio da conversa. O Open Banking Tracker já mantém um diretório de bancos que lançam servidores próprios de Model Context Protocol. Ou seja, o acesso autorizado de agentes não é ficção científica; algumas instituições estão construindo isso.

Como deveria ser um padrão autorizado

Nossa proposta é simples de enunciar e difícil de executar. Agentes devem ser tratados como atores governados, termo usado pela Ping: uma identidade própria, um vínculo verificável com o cliente e permissões limitadas por finalidade, escopo, duração e risco. Consultar um saldo, preparar uma transferência e liberar fundos devem ser níveis de permissão diferentes, com aprovação humana para os de maior consequência. A revogação deve ser instantânea e cada solicitação deve deixar uma trilha de auditoria.

É basicamente a lição do open banking aplicada de novo. Trocar o compartilhamento de credenciais por APIs com permissões era um objetivo da onda anterior, e os agentes são um teste de estresse para saber se o setor falava sério. A Konsentus argumenta que a IA agêntica desafia os modelos estáticos de consentimento da PSD2; se o consentimento pensado para fluxos pontuais já range, uma senha entregue a um bot é caso perdido.

Nosso veredito

Se você é cliente, não dê suas credenciais bancárias a nenhum agente, por mais útil que a demonstração pareça. Se você é um banco, mantenha os bloqueios até poder oferecer algo melhor e publique um cronograma para esse algo. Se você desenvolve agentes, pare de fingir que acesso à tela é um recurso.

Os bloqueios são a resposta certa no curto prazo. Mas se, daqui a um ano, a única forma de usar um agente com seu dinheiro for a que o seu banco vende, o setor terá resolvido um problema de segurança criando um problema de concorrência. Reguladores e bancos devem buscar um padrão compartilhado, não uma coleção de jardins.