Banky zavírají dveře AI agentům. Přístup k účtu už nestačí

Banky řeší hlavně přihlášení za klienta

Informaci přinesl Axios a následně ji popsala také redakce The Decoder. Podle zdrojů Axios několik velkých amerických bank zaznamenalo přístupy externích AI agentů do zákaznických účtů. U části těchto systémů se objevily pokusy o kroky, které podle bank nevypadaly jako přímá reakce na aktuální instrukci uživatele.

Je důležité rozlišit dvě věci. Uživatel může agentovi vědomě zadat přihlašovací údaje a chtít po něm například zkontrolovat zůstatek. Banka to však nemusí považovat za schválený způsob přístupu. Agent se technicky přihlásí jako člověk, takže banka často nevidí jasný rozdíl mezi automatizovaným nástrojem, běžným prohlížečem a útočníkem.

Výraz „neautorizovaný agent“ proto nemusí znamenat, že účet napadl hacker. Často jde o nástroj, kterému přístup povolil sám majitel účtu, ale banka mu tento způsob použití neschválila ve svých podmínkách.

Proč bankám vadí přihlášení přes heslo

Tradiční přístup přes uživatelské jméno a heslo dává aplikaci prakticky stejná oprávnění jako člověku. Pokud má nástroj přístup přes webové rozhraní, může teoreticky číst zůstatek, procházet transakce, měnit nastavení nebo připravit převod. Rozsah závisí na konkrétní bance, nastavení účtu a dodatečném ověření.

Bank of America ve svém online bankovním ujednání uvádí, že klient nemá sdílet přihlašovací údaje s třetí stranou s výjimkou právně oprávněných situací. Banka zároveň nabízí bezpečnější způsob sdílení dat, při kterém se klient přihlásí přímo u banky a udělí třetí službě konkrétní souhlas.

Podobný problém popisuje také Wells Fargo. Její Online Access Agreement říká, že za použití přihlašovacího jména a hesla odpovídá zákazník. Dokument zároveň zakazuje mimo jiné automatizované stahování dat, obcházení ochranných mechanismů a používání služby způsobem, který banka výslovně nepovolila.

Problém s ukládáním hesel není nový. Americký úřad Consumer Financial Protection Bureau už dříve popsal takzvaný credential-based access, při kterém třetí služba použije přihlašovací údaje klienta k automatizovanému přístupu do bankovního portálu. Banka pak obtížně poznává, zda se přihlašuje schválený agregátor, nebo někdo, kdo účet zkouší zneužít. Dokument CFPB

Banky chtějí nejdřív čtení dat

Banky podle Axios hledají kompromis. AI agent by mohl dostat přístup ke zůstatkům, pohybům na účtu nebo přehledu předplatných, ale neměl by sám posílat peníze, měnit příjemce ani upravovat nastavení účtu.

Rozdíl mezi čtením a provedením akce je u finančních služeb podstatný. Když agent špatně zařadí transakci do kategorie, jde o nepříjemnou chybu. Když odešle peníze na špatný účet, vzniká skutečný finanční problém a otázka odpovědnosti.

Současné agentní systémy navíc pracují s dlouhými řetězci kroků. Uživatel může zadat jednoduchý úkol, například „najdi, proč tento měsíc utrácím více“. Agent pak otevře banku, projde transakce, vyhledá opakované platby a někdy se pokusí provést další krok. Banka ale nemusí mít spolehlivý způsob, jak odlišit pokyn uživatele od rozhodnutí samotného systému.

Podle Axios některé banky nedokážou přesně určit, zda aktivita agenta probíhá na základě instrukce klienta. To je pro bankovní zabezpečení nepříjemná mezera. U klasické aplikace banka obvykle zná její identitu, rozsah oprávnění a způsob komunikace. U agenta ovládaného přes prohlížeč vidí spíše sérii kliknutí a požadavků.

Oficiální přístup vypadá jinak než robot v prohlížeči

Bezpečnější model používá přímé propojení mezi bankou a schválenou službou. Uživatel se přihlásí na stránce banky, potvrdí, která data poskytne, a může souhlas později odvolat. Třetí aplikace potom nemusí znát heslo ani napodobovat člověka v internetovém bankovnictví.

V Evropské unii tento princip zapadá do pravidel PSD2. Směrnice umožňuje služby pro přístup k informacím o účtu, ale vyžaduje výslovný souhlas uživatele. Poskytovatel má přistupovat pouze k určeným účtům a transakcím, bezpečně se identifikovat a chránit osobní bezpečnostní údaje klienta. Banka může přístup odmítnout, pokud má objektivně odůvodněné podezření na neoprávněný nebo podvodný přístup. Směrnice PSD2

To je důležitý rozdíl pro české uživatele. AI agent, který se sám přihlašuje do banky přes uložené heslo a ovládá web jako člověk, není totéž jako registrovaná služba využívající bankovní rozhraní. Dostupnost konkrétního propojení záleží na bance, poskytovateli služby a jeho oprávnění v EU. Z této zprávy nevyplývá, že by české banky zavedly stejná omezení jako banky ve Spojených státech.

OpenAI ukazuje bezpečnější variantu

OpenAI v USA nabízí funkci Finances in ChatGPT. Uživatel může připojit finanční účty přes službu Plaid a nechat si zobrazit zůstatky, transakce, předplatná, investice nebo úvěrová data. OpenAI uvádí, že ChatGPT přes tuto funkci nemůže převádět peníze, platit účty, měnit nastavení účtu ani obchodovat.

Funkce je podle dokumentace dostupná ve Spojených státech uživatelům tarifů Free, Go, Plus a Pro na webu i v mobilních aplikacích. Samostatná cena za Finances v dokumentaci uvedena není. Pro český trh ani Evropskou unii stránka dostupnost nepotvrzuje, takže ji nelze vydávat za službu dostupnou v Česku.

Technicky jde o model, který bankám dává větší kontrolu. Připojení probíhá přes finančního zprostředkovatele, ne tak, že by agent dostal volné pole působnosti v internetovém bankovnictví. Uživatel stále musí vědět, jaká data propojuje a komu dává souhlas. Bezpečnější rozhraní neodstraňuje všechna rizika, jen omezuje rozsah toho, co může připojená služba dělat.

Stejný problém čeká i nakupování a firemní účty

Banky řeší případ, který se může opakovat u e-shopů, účetních systémů nebo firemních aplikací. Agent může v prohlížeči hledat produkt, vyplnit formulář, provést objednávku nebo upravit záznam v interním systému. Pokud má přístup přes běžné přihlášení, provozovatel služby nemusí poznat, zda jedná člověk, schválený software, nebo autonomní agent.

U bank je citlivost vyšší kvůli penězům a osobním údajům. Proto se jako rozumný první krok nabízí oddělení oprávnění. Agent může data číst, ale finanční akce vyžadují nové potvrzení uživatele nebo samostatné rozhraní s přesně definovanými pravomocemi.

Pro uživatele v Česku z toho plyne jednoduché pravidlo. Nepředávat AI agentovi bankovní heslo jen proto, že umí ovládat prohlížeč. Pokud banka nabízí oficiální propojení přes autorizovanou službu, je to vhodnější cesta. U nástroje, který si přihlašovací údaje ukládá a účet ovládá jako člověk, zůstává odpovědnost i riziko výrazně méně přehledné.