Le principali banche statunitensi stanno rilevando agenti AI di terze parti che operano all'interno dei conti dei clienti senza l'approvazione degli istituti, come ha riportato Axios questa mattina. Alcuni di questi agenti sembrano agire oltre le istruzioni ricevute dagli utenti. I dirigenti bancari hanno descritto la situazione ad Axios come terrificante, e i maggiori istituti di credito si stanno muovendo rapidamente: Morgan Stanley ha iniziato a bloccare gli agenti esterni, mentre JPMorgan, Bank of America e Citi li stanno limitando.
Le banche hanno sempre saputo che essere autenticati non significa essere autorizzati. Hanno passato decenni a costruire controlli basati su questo principio: permessi, limiti di transazione, verifiche aggiuntive, monitoraggio delle frodi. Ma quei controlli sono stati pensati per le persone. Presuppongono che chi effettua l'accesso sia lo stesso soggetto che agisce, e che tale soggetto operi a velocità umana.
Gli agenti AI infrangono entrambe queste premesse. Molti accedono con le credenziali fornite direttamente dai clienti, per poi operare all'interno della sessione del cliente con gli stessi privilegi di accesso. E lavorano a velocità macchina, 24 ore su 24.
I controlli attuali verificano se il cliente è autorizzato a compiere una determinata azione. Con una persona alla tastiera, questo era sufficiente: chi chiedeva e chi agiva erano lo stesso soggetto. Con un agente, i controlli si trovano di fronte a una seconda domanda per la quale non sono mai stati progettati: il cliente ha davvero richiesto questa operazione? Troppo spesso, le banche lo scoprono solo a fatto compiuto.
Questo è il punto critico. I controlli non hanno fallito. Semplicemente non riescono a distinguere in modo affidabile il cliente dal software che ne detiene la password.
Bloccare gli agenti, o limitarli al solo accesso in lettura, è una prima mossa sensata. Ma non può essere l'ultima. I dirigenti bancari hanno dichiarato ad Axios di sapere che i clienti continueranno a utilizzare questi agenti, e i leader del settore stanno già ponendosi le domande giuste. Brian Moynihan, amministratore delegato di Bank of America, ha affermato che un essere umano dovrebbe approvare qualsiasi uscita di denaro da un conto, e la sua banca sta sviluppando protocolli per definire come gli agenti interagiscono con i conti e chi è responsabile quando uno di essi autorizza un pagamento. E la stessa Morgan Stanley, che ora blocca gli agenti esterni, ha annunciato a giugno che avrebbe consentito agli agenti dei clienti corporate di connettersi alle proprie piattaforme di stock plan tramite un canale approvato.
Non è una contraddizione. È il modello. La questione non è se far entrare gli agenti, ma da quale porta entrano e cosa possono fare una volta dentro. Le banche hanno già affrontato una dinamica simile, spostando gli aggregatori di dati dalle password dei clienti verso connessioni approvate. Gli agenti richiedono lo stesso passaggio, sia per le azioni che per i dati.
Compiere questo passo richiede una nuova architettura basata su micro-autorizzazioni in tempo reale. Ogni azione tentata da un agente viene verificata nel momento esatto in cui cerca di eseguirla, confrontandola con ciò che il cliente ha autorizzato e con l'impatto dell'azione stessa, attraverso controlli esterni al modello AI. La governance passa così dal "dopo" al "prima". Ogni richiesta è sottoposta a quattro test, tre prima dell'esecuzione e uno dopo:
- Identità. Chi sta agendo e per conto di chi? Un agente dovrebbe utilizzare credenziali proprie, mai la password del cliente.
- Autorità. Cosa ha effettivamente permesso il cliente, entro quali limiti e per quanto tempo?
- Policy. Quali regole aziendali si applicano a questa richiesta?
- Prova. L'azione è stata completata correttamente, una sola volta, e con un registro verificabile?
I controlli si adattano alla posta in gioco. Consultare un saldo richiede un cliente verificato. Spostare denaro richiede limiti impostati dal cliente o la sua approvazione immediata, oltre ai controlli antifrode. Cambiare una password resta un'operazione riservata al cliente. Il modello propone; il sistema autorizza.
Questa settimana ho sostenuto una tesi analoga in risposta a Satya Nadella, che ha chiesto di separare "la fornitura di intelligenza dall'autorità su di essa". Lo stesso principio guida il nostro modo di sviluppare prodotti in Netomi.
Il settore bancario rappresenta un campanello d'allarme precoce, non un caso isolato. Il mese scorso, Amazon ha impedito all'agente Muse di Meta di fare acquisti sul proprio store. Il giorno successivo, Shopify ha annunciato un checkout agentico per Muse tramite Shop Pay. Dalla finanza al retail, ogni azienda si trova oggi di fronte alla stessa domanda: come accogliere gli agenti AI legittimi senza rinunciare al controllo.
All'inizio di questo mese abbiamo completato un framework dedicato esattamente a questa domanda. Oggi lo rendiamo pubblico. "Agenti AI consumer: governare la nuova interfaccia tra clienti e aziende" è la versione tecnica completa di questa riflessione: i controlli, l'architettura di riferimento, i livelli di rischio e come metterli in pratica.
Il cliente può delegare l'attività. L'azienda non può delegare la responsabilità.
