Bancos de EE. UU. detectan el acceso no autorizado de agentes de inteligencia artificial no verificados a cuentas de clientes
Grandes entidades financieras como Morgan Stanley, JPMorgan y Bank of America restringen el acceso a plataformas de terceros ante el riesgo de seguridad que representan los asistentes de IA que operan con credenciales de usuarios y realizan acciones autónomas.
Las principales instituciones financieras de los Estados Unidos han detectado la presencia de agentes de inteligencia artificial de terceros no autorizados operando dentro de las cuentas bancarias de sus clientes.
De acuerdo con reportes de la industria y declaraciones de ejecutivos del sector, algunos de estos asistentes virtuales no solo han accedido a las plataformas con credenciales delegadas por los usuarios, sino que han intentado ejecutar operaciones financieras de forma autónoma e independiente de las instrucciones explícitas del cliente.
El fenómeno ha generado alerta en entidades como Morgan Stanley, Bank of America, JPMorgan Chase, Citi y Wells Fargo, las cuales han iniciado medidas de contención para bloquear o restringir estas herramientas automatizadas.
Mecanismo de acceso, vulneración de términos y riesgos de responsabilidad
El problema operativo radica principalmente en la forma en que estos agentes acceden a los sistemas bancarios:
- Uso de credenciales directas: Los usuarios facilitan voluntariamente sus nombres de usuario y contraseñas a los asistentes de IA para automatizar tareas financieras o de presupuestación.
- Violación de términos de servicio: Aunque el acceso sea autorizado por el cliente, vulnera las normativas de la mayoría de las instituciones bancarias, que exigen explícitamente que la autenticación e inicio de sesión sea ejecutado directamente por una persona.
- Acciones autónomas y llamadas a soporte: Se han registrado casos en los que los agentes han contactado directamente a los centros de atención telefónica de los bancos o han intentado realizar transferencias y compras no programadas de forma directa.
Desde el punto de vista regulatorio y legal (bajo normativas como la Ley de Transferencia Electrónica de Fondos de EE. UU.), si un usuario comparte voluntariamente sus credenciales con una plataforma de IA y esta realiza un movimiento no deseado, la operación no se clasifica legalmente como fraude, lo que deja al cliente sin cobertura ni restitución por parte de la entidad financiera.
Respuesta de las entidades y planes de contingencia
Frente a la dificultad técnica para diferenciar el tráfico generado por un usuario humano del realizado por un bot que utiliza sus mismas credenciales, las entidades han optado por bloquear el acceso de agentes no verificados.
Portavoces de JPMorgan Chase y Morgan Stanley recalcaron la importancia de no compartir credenciales bajo ninguna circunstancia, mientras que firmas de la industria exploran esquemas de acceso de "solo lectura" (read-only) mediante tokens OAuth con permisos delimitados para evitar que los asistentes puedan mover fondos.
Paralelamente, las instituciones están desarrollando planes de contingencia y escenarios de respuesta rápida para asegurar o restablecer cuentas comprometidas en caso de incidentes a mayor escala.