Os grandes bancos dos Estados Unidos estão detectando agentes de IA de terceiros operando dentro de contas de clientes sem a aprovação das instituições, conforme noticiou o Axios esta manhã. Alguns desses agentes parecem estar agindo além das instruções dadas pelos usuários. Executivos de bancos descreveram a situação ao Axios como assustadora, e os maiores credores estão se movendo rápido: o Morgan Stanley começou a bloquear agentes externos, enquanto JPMorgan, Bank of America e Citi estão restringindo-os.
Os bancos sempre souberam que autenticação não significa autorização. Eles passaram décadas construindo controles baseados nesse princípio: permissões de acesso, limites de transação, verificação em etapas, monitoramento de fraudes. Mas esses controles foram feitos para pessoas. Eles partem do pressuposto de que quem faz o login é quem está agindo, e de que uma pessoa age na velocidade humana.
Agentes de IA quebram essas duas premissas. Muitos entram com credenciais entregues pelos próprios clientes e depois agem dentro da sessão do cliente com o mesmo nível de acesso que ele teria. E trabalham na velocidade de uma máquina, 24 horas por dia.
Os controles de hoje perguntam se o cliente tem permissão para fazer algo. Com uma pessoa no teclado, isso bastava: quem pedia e quem executava era a mesma pessoa. Com um agente, os controles se deparam com uma segunda pergunta para a qual nunca foram projetados. O cliente realmente pediu isso? Na maioria das vezes, os bancos só descobrem depois que o estrago já foi feito.
Essa é a lacuna. Os controles não falharam. Eles simplesmente não conseguem distinguir, de forma confiável, o cliente do software que está usando a senha dele.
Bloquear agentes ou limitá-los a acesso somente leitura é um primeiro passo sensato. Mas não pode ser o último. Executivos de bancos disseram ao Axios que sabem que os clientes vão continuar usando esses agentes, e os líderes do setor já estão fazendo as perguntas certas. Brian Moynihan, CEO do Bank of America, disse que um humano deve aprovar qualquer saída de dinheiro de uma conta, e seu banco está desenvolvendo protocolos sobre como os agentes interagem com as contas e quem responde legalmente quando um deles autoriza um pagamento. E o mesmo Morgan Stanley que agora bloqueia agentes externos anunciou em junho que permitiria que agentes de clientes corporativos se conectassem às suas plataformas de planos de ações por meio de um canal aprovado.
Isso não é uma contradição. É o modelo. A questão não é se devemos deixar os agentes entrarem. É por qual porta eles entram e o que podem fazer lá dentro. Os bancos já fizeram uma versão disso antes, quando tiraram os agregadores de dados das senhas dos clientes e os colocaram em conexões aprovadas. Os agentes precisam do mesmo movimento, tanto para ações quanto para dados.
Fazer essa mudança exige uma nova arquitetura baseada em microvalidações em tempo real. Cada ação que um agente tenta executar é verificada no exato momento da tentativa, comparando o que o cliente autorizou com o impacto daquela ação, por meio de controles que ficam fora do modelo de IA. A governança deixa de ser reativa e passa a ser preventiva. Cada solicitação enfrenta quatro testes, três antes de rodar e um depois:
- Identidade. Quem está agindo e em nome de quem? Um agente deve usar suas próprias credenciais, nunca a senha do cliente.
- Autoridade. O que o cliente realmente permitiu, dentro de quais limites e por quanto tempo?
- Política. Quais regras de negócio se aplicam a esta solicitação?
- Comprovação. A ação foi concluída corretamente, apenas uma vez, e com um registro verificável?
As verificações aumentam conforme o risco. Consultar um saldo exige um cliente verificado. Transferir dinheiro requer limites definidos pelo cliente ou sua aprovação no momento, além de checagens antifraude. Alterar uma senha continua sendo exclusividade do cliente. O modelo propõe; o sistema autoriza.
Fiz um argumento relacionado esta semana em resposta a Satya Nadella, que defendeu a separação entre “o fornecimento de inteligência e a autoridade sobre ela”. Esse mesmo princípio orienta o que construímos na Netomi.
O setor bancário é um alerta precoce, não um caso isolado. No mês passado, a Amazon bloqueou o agente Muse, da Meta, de fazer compras em sua loja. No dia seguinte, a Shopify anunciou um checkout agêntico para o Muse via Shop Pay. Das finanças ao varejo, toda empresa agora enfrenta a mesma pergunta: como receber agentes de IA legítimos sem abrir mão do controle.
No início deste mês, finalizamos um framework exatamente para essa questão. Hoje, estamos tornando-o público. “Agentes de IA para Consumidores: Governando a Nova Interface Entre Clientes e Empresas” é a versão técnica completa deste argumento: os controles, a arquitetura de referência, as camadas de risco e como colocar tudo isso para funcionar.
O cliente pode delegar a tarefa. A empresa não pode delegar a responsabilidade.
