Bank of America prosi klientów: nie dawajcie asystentom AI haseł do bankowości

👁 119 przeczytań

Bank of America wysłał do klientów wiadomość zatytułowaną „Protecting your finances in the AI World”, w której apeluje, by nigdy nie udostępniać loginu i hasła innej osobie ani zewnętrznej usłudze, w tym narzędziu lub agentowi AI działającemu w imieniu użytkownika. O sprawie poinformował 27 października TechCrunch, a rzecznik banku potwierdził autentyczność maila opublikowanego w mediach społecznościowych.

Mail, który brzmi jak westchnienie działu bezpieczeństwa

Treść jest krótka i jednoznaczna: nie przekazuj nazwy użytkownika i hasła nikomu z zewnątrz - ani człowiekowi, ani serwisowi, ani narzędziu opartemu na sztucznej inteligencji, które proponuje, że załatwi coś za ciebie. Bank of America nie zapowiada przy tym żadnych nowych funkcji ani blokad technicznych, przynajmniej nic takiego nie zostało podane. To zwykły apel do klientów.

TechCrunch zwraca uwagę, że w tonie wiadomości słychać frustrację nadawcy. Klienci wklejają dane logowania do asystentów AI, bo to szybsze niż czytanie regulaminów i szukanie oficjalnych integracji.

Co może pójść nie tak, gdy agent dostanie twoje hasło

Oddanie asystentowi AI danych do bankowości niesie trzy ryzyka:

• agent może wykonać operacje na twoich finansach bez twojej wiedzy;
• bank może uznać logowanie za próbę włamania i zablokować ci dostęp do konta;
• luka bezpieczeństwa po stronie asystenta może ujawnić dane logowania osobom trzecim.

Jak czytamy w mailu cytowanym przez TechCrunch, jeśli już udostępnisz swoje dane, „you’re responsible for activity resulting from that access” - czyli odpowiadasz za aktywność wynikającą z tego dostępu. TechCrunch dodaje, że umowy rachunków w większości banków obciążają klienta odpowiedzialnością za każdego, komu przekazał swój login.

Banki wciąż nie wiedzą, jak wpuścić agentów do systemów

Ostrzeżenie pada w momencie, gdy sektor finansowy dopiero ustala, jakie miejsce mają w nim agenci AI. Według TechCrunch banki mierzą się z problemem nieautoryzowanych agentów sięgających po pieniądze klientów, a jednocześnie banki, dostawcy płatności i procesorzy szukają sposobu, by bezpiecznie udostępnić klientom dostęp do rachunków przez narzędzia AI.

Chodzi między innymi o tak zwane płatności agentowe (agentic payments), czyli model, w którym użytkownik ustawia agenta tak, by samodzielnie kupował rzeczy w najlepszej cenie albo w odpowiednim momencie. Problem w tym, że dopóki nie powstaną oficjalne, kontrolowane kanały dostępu, jedynym sposobem, by agent „wszedł” do bankowości, pozostaje podanie mu hasła - czyli dokładnie to, przed czym bank ostrzega.

Co to oznacza dla klientów polskich banków

Mail dotyczy klientów amerykańskiego banku, ale mechanizm ryzyka jest identyczny w każdym kraju, w którym bankowość działa przez przeglądarkę i aplikację mobilną. Regulaminy polskich banków również zobowiązują klienta do nieujawniania danych uwierzytelniających i do nieudostępniania narzędzi dostępu osobom trzecim. Przekazanie loginu, hasła i kodów jednorazowych zewnętrznej usłudze - nawet tej, która reklamuje się jako pomocny asystent - w praktyce oznacza złamanie tych zapisów, a to może przełożyć się na spór o to, kto pokrywa stratę po nieautoryzowanej transakcji.

Warto też pamiętać o skali rynku: w Polsce działa rozwinięty ekosystem usług opartych na otwartej bankowości i oficjalnych interfejsach, gdzie dostęp do danych o rachunku odbywa się za zgodą klienta i bez przekazywania hasła komukolwiek. Różnica między taką usługą a wklejeniem hasła do czatu z asystentem jest fundamentalna - w pierwszym przypadku istnieje umowa, nadzór i ścieżka reklamacyjna, w drugim nie ma nic poza zaufaniem do dostawcy modelu.

Dla polskiego czytelnika praktyczne wnioski są trzy. Po pierwsze, żaden legalny asystent AI nie potrzebuje twojego hasła do bankowości, by działać. Po drugie, jeśli narzędzie prosi o dane logowania do banku, to sygnał ostrzegawczy, nie wygoda. Po trzecie, odpowiedzialność za skutki takiego dostępu spada na klienta - Bank of America mówi to wprost, a logika umów rachunków w innych krajach działa podobnie.

Czego w tej historii nie wiadomo

Materzial źródłowy nie podaje, ilu klientów otrzymało maila, ilu faktycznie udostępniło dane logowania asystentom AI ani jaka jest skala strat z tego tytułu. Nie wiadomo również, czy Bank of America planuje własną, oficjalną ścieżkę dostępu dla agentów AI. Rzecznik banku potwierdził jedynie autentyczność samej wiadomości opublikowanej w mediach społecznościowych.