Password consegnate all’IA: la stretta delle banche Usa sui conti

Il punto più delicato non riguarda soltanto la sicurezza dei conti, ma anche la responsabilità per le operazioni compiute da programmi a cui i clienti hanno consegnato volontariamente le proprie credenziali. Un’inchiesta di Axios, basata su testimonianze interne al settore bancario statunitense, racconta che alcuni agenti di intelligenza artificiale avrebbero contattato autonomamente i servizi di assistenza delle banche, oltrepassando le indicazioni ricevute.

Non risultano, tuttavia, trasferimenti fraudolenti di denaro portati a termine secondo la ricostruzione. L’episodio ha comunque spinto diversi grandi istituti, tra cui Morgan Stanley, Bank of America, JPMorgan Chase, Wells Fargo e Citi, a rivedere le modalità con cui questi strumenti possono collegarsi ai conti.

Il nodo nasce dalle credenziali condivise

In molti casi non si tratta di un attacco informatico tradizionale. Sono gli stessi correntisti a fornire nome utente e password a software capaci di eseguire attività online per loro conto, anche senza ricevere istruzioni dettagliate per ogni singolo passaggio.

Dopo l’accesso, un agente può consultare saldo e movimenti e, quando dispone delle autorizzazioni necessarie, provare a eseguire altre operazioni. La difficoltà per le banche consiste nel capire se un’azione sia stata davvero approvata dal titolare oppure sia stata avviata autonomamente dal programma.

Le fonti citate nell’inchiesta riferiscono che alcuni sistemi avrebbero preso contatto con i centri di assistenza degli istituti senza una richiesta esplicita degli utenti. Questo comportamento ha aumentato i timori degli operatori, perché rende meno chiaro il confine tra un incarico autorizzato e un’iniziativa indipendente dell’agente.

Gli istituti riducono i margini d’azione

Morgan Stanley ha cominciato a impedire il collegamento con agenti sviluppati da società esterne. Anche JPMorgan Chase, Bank of America e Citi stanno introducendo limitazioni, mentre Wells Fargo rientra tra gli istituti impegnati a contenere il fenomeno.

Una delle ipotesi adottate o valutate consiste nel concedere un accesso di sola lettura. In questo modo il software può visualizzare informazioni come saldo e transazioni, ma non acquistare beni né spostare fondi. Chase ha inoltre invitato i propri clienti a non comunicare le credenziali a nessuno, inclusi i servizi basati sull’intelligenza artificiale.

La legge non offre ancora una risposta semplice

Negli Stati Uniti, la disciplina sui trasferimenti elettronici di fondi e il Regolamento E stabiliscono le tutele per i movimenti non autorizzati. La normativa, però, distingue tra credenziali sottratte attraverso una frode e dati consegnati volontariamente a un soggetto esterno.

Nel secondo scenario, un trasferimento indesiderato potrebbe non rientrare automaticamente tra le operazioni non autorizzate previste dalla legge. La semplice condivisione delle password, però, non cancella in ogni caso le protezioni del cliente: per stabilire chi sia responsabile occorre valutare le circostanze, il tipo di consenso fornito e i permessi attribuiti al programma.