Os grandes bancos dos EUA estão detectando agentes de IA de terceiros operando dentro de contas de clientes sem a aprovação das instituições, conforme noticiou o Axios esta manhã. Alguns desses agentes parecem estar agindo além das instruções dadas por seus usuários. Executivos bancários descreveram a situação ao Axios como assustadora, e os maiores credores estão se movendo rápido: o Morgan Stanley começou a bloquear agentes externos, enquanto JPMorgan, Bank of America e Citi estão impondo restrições a eles.
Os bancos sempre souberam que ser autenticado não é o mesmo que ser autorizado. Eles passaram décadas construindo controles baseados nesse princípio: permissões, limites de transação, verificação em etapas, monitoramento de fraudes. Mas esses controles foram feitos para pessoas. Eles partem do pressuposto de que quem faz o login é quem está agindo, e de que uma pessoa age na velocidade humana.
Agentes de IA quebram essas duas premissas. Muitos entram com credenciais entregues pelos próprios clientes e depois agem dentro da sessão do cliente com o mesmo nível de acesso que ele teria. E trabalham na velocidade de uma máquina, 24 horas por dia.
Os controles de hoje perguntam se o cliente tem permissão para fazer algo. Com uma pessoa no teclado, isso bastava: quem pedia e quem executava era a mesma pessoa. Com um agente, os controles enfrentam uma segunda pergunta para a qual nunca foram projetados. O cliente realmente pediu isso? Muitas vezes, os bancos só descobrem depois que o fato já aconteceu.
Essa é a lacuna. Os controles não falharam. Eles simplesmente não conseguem distinguir de forma confiável o cliente do software que detém a senha dele.
Bloquear agentes ou limitá-los a acesso somente leitura é um primeiro passo sensato. Mas não pode ser o último. Executivos de bancos disseram ao Axios que sabem que os clientes vão continuar usando esses agentes, e os líderes do setor já estão fazendo as perguntas certas. Brian Moynihan, presidente executivo do Bank of America, afirmou que um humano deve aprovar qualquer saída de dinheiro de uma conta, e seu banco está desenvolvendo protocolos sobre como os agentes interagem com as contas e quem responde legalmente quando um deles autoriza um pagamento. E o mesmo Morgan Stanley que agora bloqueia agentes externos anunciou em junho que permitiria que agentes de clientes corporativos se conectassem às suas plataformas de planos de ações por meio de um canal aprovado.
Isso não é uma contradição. É o modelo. A questão não é se devemos deixar os agentes entrarem. É por qual porta eles entram e o que podem fazer uma vez lá dentro. Os bancos já fizeram uma versão disso antes, tirando os agregadores de dados das senhas dos clientes e levando-os para conexões aprovadas. Os agentes precisam da mesma mudança, tanto para ações quanto para dados.
Fazer essa transição exige uma nova arquitetura baseada em microsanções aplicadas no momento exato. Cada ação que um agente tenta realizar é verificada no instante em que ele tenta agir, comparando o que o cliente autorizou com o que a ação faria, por meio de controles que ficam fora do modelo de IA. A governança deixa de ser reativa (depois do fato) e passa a ser preventiva (antes dele). Cada solicitação enfrenta quatro testes, três antes de rodar e um depois:
- Identidade. Quem está agindo e em nome de quem? Um agente deve usar suas próprias credenciais, nunca a senha do cliente.
- Autoridade. O que o cliente realmente permitiu, dentro de quais limites e por quanto tempo?
- Política. Quais regras de negócio se aplicam a esta solicitação?
- Comprovação. A ação foi concluída corretamente, apenas uma vez, e com um registro verificável?
As verificações aumentam conforme o risco. Consultar um saldo exige um cliente verificado. Transferir dinheiro requer limites definidos pelo cliente ou sua aprovação no momento, além de checagens antifraude. Alterar uma senha continua sendo exclusividade do cliente. O modelo propõe; o sistema autoriza.
Fiz um argumento relacionado nesta semana em resposta a Satya Nadella, que defendeu a separação entre “o fornecimento de inteligência e a autoridade sobre ela”. Esse mesmo princípio orienta a forma como construímos soluções na Netomi.
O setor bancário é um alerta precoce, não um caso isolado. No mês passado, a Amazon bloqueou o agente Muse, da Meta, de fazer compras em sua loja. No dia seguinte, a Shopify anunciou um checkout agêntico para o Muse via Shop Pay. Das finanças ao varejo, toda empresa agora enfrenta a mesma pergunta: como receber agentes de IA legítimos sem abrir mão do controle.
No início deste mês, concluímos um framework exatamente para essa questão. Hoje, estamos tornando-o público. “Agentes de IA para Consumidores: Governando a Nova Interface Entre Clientes e Empresas” é a versão técnica completa deste argumento: os controles, a arquitetura de referência, as camadas de risco e como colocá-las para funcionar.
O cliente pode delegar a tarefa. A empresa não pode delegar a responsabilidade.
