Le banche bloccano gli agenti IA nei conti dei clienti: rischi e consigli per gli utenti

Scoperta e reazioni delle banche

Questa settimana Axios ha segnalato che diverse grandi banche americane hanno individuato agenti di intelligenza artificiale di terze parti operanti all'interno dei conti dei clienti. In molti casi gli utenti hanno fornito nomi utente e password affinché gli agenti potessero agire per loro conto, violando così le norme bancarie tradizionali.

Il presidente di Bianco Research, Jim Bianco, ha sollevato la questione durante la diretta streaming “Bits + Bips” di Unchained il 26 ottobre, chiedendo: “State proteggendo me o state proteggendo i vostri profitti?”. Bianco ha definito il modello di business della finanza tradizionale “basato sulla pigrizia”, sostenendo che i clienti tendono a lasciare denaro inutilizzato in conti a tasso quasi nullo anziché investirlo in fondi più redditizi. Un agente IA, secondo lui, potrebbe gestire automaticamente questi investimenti, ma le banche temono di perdere una fonte di entrate.

L'amministratore delegato di JPMorgan Chase, Jamie Dimon, ha risposto affermando che la banca non consentirebbe a un agente esterno di accedere ai propri sistemi perché “troppo rischioso sia per i clienti che per JPMorgan”. Questa posizione è condivisa da altre istituzioni, tra cui Bank of America, che ricorda ai clienti che la condivisione delle credenziali li rende responsabili di tutte le attività derivanti da tale accesso.

Rischi connessi all’accesso delle credenziali

Fornire le proprie credenziali di accesso al conto bancario introduce un ulteriore servizio nella catena di sicurezza. Una vulnerabilità in tale servizio può esporre le credenziali o consentire un uso improprio del conto. Come ha sottolineato Bank of America, la responsabilità ricade sull'utente che ha condiviso le informazioni.

Le implicazioni non si limitano al furto di denaro. Un agente IA con accesso in sola lettura può comunque leggere estratti conto, analizzare transazioni e, se compromesso, divulgare dati sensibili. La differenza tra prevenire transazioni non autorizzate e proteggere la riservatezza è fondamentale: entrambe le esigenze richiedono misure di sicurezza distinte.

Pro e contro dell’uso di agenti IA

• Vantaggi: un agente autorizzato può individuare offerte migliori, confrontare tassi di interesse e automatizzare acquisti a prezzo inferiore.
• Svantaggi: condividere credenziali espone informazioni bancarie sensibili a terze parti; un agente compromesso può divulgare dati o effettuare transazioni fraudolente.

Pratiche consigliate per i consumatori

Per gli utenti la questione pratica non è se le banche abbiano motivi altruistici, ma a quale livello di accesso si concede l'agente e quali conseguenze possono derivare da un errore. Ecco alcune linee guida operative:

• Non incollare password bancarie o codici di sicurezza in assistenti AI generici.
• Utilizzare esclusivamente i metodi di connessione approvati dalla propria banca (ad esempio OAuth, API bancarie certificati).
• Se possibile, scegliere l'accesso in sola lettura per analisi o assistenza nella gestione del budget.
• Limitare al minimo le informazioni sensibili condivise con l'agente; ad esempio, per confrontare tassi di interesse non è necessario fornire estratti conto completi.

Raccomandazioni di OpenAI e di Malwarebytes

OpenAI suggerisce di limitare l'accesso degli agenti ai dati strettamente necessari per svolgere il compito richiesto. È importante esaminare personalmente le azioni conseguenti: se un agente richiede una conferma, verificare esattamente cosa intende fare e quali informazioni condividerà, senza considerare la conferma una mera formalità.

Malwarebytes, con il suo servizio Identity Theft Protection, monitora le violazioni dei dati, il commercio sul dark web e le frodi con carte di credito, avvisando tempestivamente gli utenti e includendo un'assicurazione contro il furto d'identità.

Conclusioni: bilanciare innovazione e sicurezza

L'intelligenza artificiale può semplificare il confronto tra prodotti finanziari e individuare opportunità altrimenti trascurate, ma un assistente che trova un tasso migliore e un agente che può operare direttamente sul conto sono due cose ben diverse. Gli utenti dovrebbero permettere all'IA di assisterli nei compiti, ma non di affidargli le chiavi del proprio patrimonio.

In sintesi, una finestra di navigazione in incognito può offrire una protezione limitata, ma la vera difesa deriva da pratiche consapevoli, dall'uso di strumenti certificati e dalla vigilanza costante sui propri conti.