«Gli agenti AI sono già entrati nei conti correnti», l’allarme sulla grandi banche americane: come è potuto succedere e le contromisure

Gli agenti di intelligenza artificiale entrano nei conti bancari degli americani utilizzando le credenziali fornite dagli stessi clienti. Alcuni, però, avrebbero preso iniziative senza ricevere istruzioni, arrivando a contattare autonomamente i servizi di assistenza degli istituti di credito. Lo dice un’inchiesta di Axios basata sulle testimonianze di fonti interne al settore bancario statunitense. Tra gli istituti che stanno cercando di limitare il fenomeno ci sono Morgan Stanley, Bank of America, JPMorgan Chase e Wells Fargo.

Come fanno gli agenti AI a entrare nei conti bancari

Non si tratta necessariamente di attacchi informatici: in molti casi sono gli stessi correntisti a condividere nome utente e password con gli agenti AI, software progettati per svolgere attività online per conto delle persone, senza dover ricevere istruzioni per ogni singolo passaggio. Una volta ottenuto l’accesso, questi programmi possono consultare le informazioni bancarie e, se dispongono dei permessi necessari, tentare di effettuare operazioni.

Il problema nasce quando gli agenti agiscono oltre le indicazioni ricevute. Secondo le fonti citate da Axios, alcune banche hanno rilevato programmi che contattavano i call center o sembravano prendere iniziative indipendenti dalle richieste dei clienti. Gli istituti non sempre riescono a stabilire se un’operazione sia stata effettivamente autorizzata dal titolare del conto. L’inchiesta, tuttavia, non documenta trasferimenti fraudolenti di denaro effettivamente riusciti.

Le contromisure delle grandi banche americane

Morgan Stanley ha iniziato a bloccare l’accesso degli agenti AI sviluppati da società esterne. Anche JPMorgan Chase, Bank of America e Citi stanno introducendo restrizioni. Una delle soluzioni adottate o valutate dagli istituti è consentire agli agenti un accesso di sola lettura: possono consultare saldi e movimenti, ma non effettuare acquisti o trasferire denaro. Un portavoce di Chase ha inoltre ricordato ai clienti di non condividere le proprie credenziali di accesso con nessuno, compresi i servizi di intelligenza artificiale.

Chi paga se l’intelligenza artificiale sposta denaro senza autorizzazione?

Resta aperta la questione della responsabilità in caso di operazioni non volute. Negli Stati Uniti, l’Electronic Fund Transfer Act e la relativa Regulation E disciplinano i trasferimenti elettronici non autorizzati e le tutele dei correntisti.

La normativa distingue, tra le altre cose, i casi in cui le credenziali vengono sottratte attraverso una frode da quelli in cui il cliente le consegna volontariamente a un soggetto esterno. Nel secondo caso, un eventuale trasferimento non desiderato potrebbe non essere considerato un’operazione non autorizzata ai fini della legge. La condivisione delle credenziali, tuttavia, non comporta automaticamente la perdita di ogni tutela: la responsabilità dipende dalle circostanze e dalle autorizzazioni concesse.

Foto copertina: Eduardo Soares su Unsplash