Почему американские банки блокируют ИИ-агентов и при чём здесь Open Banking

Крупнейшие американские банки начали ограничивать работу ИИ-агентов, которые входят в интернет-банкинг от имени клиентов. С проблемой столкнулись JPMorgan Chase, Morgan Stanley, Bank of America, Citi и Wells Fargo. Пользователи передавали ассистентам полноценные логины и пароли, после чего те могли выполнять финансовые поручения, обращаться в контакт-центры и менять настройки.

Публично подтверждённых случаев хищения денег пока нет. Morgan Stanley заявил, что не обнаруживал агентов, самостоятельно вышедших из-под контроля пользователей. Банки также не раскрывают, сколько клиентов подключали такие программы и сколько потенциально рискованных операций было совершено.

Главная проблема заключается в способе подключения. Речь идёт не о взломе и не о краже реквизитов, а о добровольной передаче пароля стороннему приложению. Для банка такая сессия выглядит как обычный вход клиента: система не может надёжно определить, действует ли человек, автоматизированная программа или злоумышленник, получивший доступ к агенту.

Кроме того, передача банковских реквизитов сторонней программе часто нарушает условия обслуживания. Например, договор Wells Fargo запрещает раскрывать учётные данные посторонним лицам и ограничивает отдельные виды автоматизированного сбора информации. В соглашении Bank of America отдельно регулируется передача реквизитов третьим сторонам для использования Zelle. Поэтому банк может ограничить доступ ещё до того, как агент совершит нежелательный перевод.

Безопасная альтернатива существует, но доступна не всем

Американские банки давно пытаются отказаться от практики screen scraping, при которой сторонние сервисы входили в интернет-банк с пользовательским паролем и разбирали содержимое страниц. Вместо этого развиваются защищённые подключения через API и механизмы согласия.

В JPMorgan Chase клиент может выбрать внешний сервис, пройти аутентификацию на сайте банка и указать, к каким счетам разрешён доступ. Например, можно открыть приложению текущий счёт, но закрыть сберегательный, а затем отозвать разрешение в разделе Linked Apps and Websites. При таком подключении разработчик не видит банковский пароль. Похожий подход использует Bank of America.

У Wells Fargo предусмотрено делегирование доступа другим пользователям с отдельными учётными данными. В зависимости от настройки это может быть режим просмотра без права совершать операции или более широкие полномочия. Однако наличие таких функций не означает, что любой клиент способен самостоятельно создать токен для произвольного агента и установить точные ограничения: разрешить чтение выписок, запретить новых получателей, задать дневной лимит или отделить подготовку платежа от его подтверждения.

В результате человек, который хочет поручить ассистенту простую задачу вроде анализа комиссий по кредитной карте, сталкивается с настройками интеграций, перечнем поддерживаемых продуктов и ограничениями конкретного API. Для обычного пользователя проще ввести уже имеющийся пароль в программу, которая обещает сделать всё самостоятельно.

Независимые разработчики могут использовать инфраструктуру финансовых агрегаторов. С апреля 2026 года Plaid предлагает бесплатный Trial-план с подключением до десяти финансовых учреждений. Среди поддерживаемых интеграций есть OAuth для Chase, Bank of America и Wells Fargo. Но такой вариант требует регистрации разработчика, а набор доступных операций зависит от самого Plaid и подключённого банка.

Ограниченный токен меняет ответственность

При передаче основного пароля банк не знает, какие именно полномочия клиент хотел предоставить агенту. Если же используется выданный банком токен, набор действий можно зафиксировать технически. Например, агенту разрешают читать выписки и переводить до тысячи долларов между собственными счетами, но запрещают отправлять деньги новым получателям. Попытка выйти за пределы этих прав должна быть отклонена независимо от решения языковой модели.

Такая схема не отменяет антифрод-проверки, требований к получателям и других банковских процедур, но избавляет систему от необходимости угадывать намерения пользователя по поведению агента. Банк проверяет конкретные полномочия, а не пытается понять, было ли действие «достаточно разумным».

Некоторые банки уже закрепляют агентские действия в договоре. В новой редакции соглашения Wells Fargo, которая должна вступить в силу 24 ноября 2026 года, появился раздел Third-Party Artificial Intelligence Agents or Agentic AI. В нём говорится, что операции агента могут считаться совершёнными и разрешёнными самим клиентом, если тот предоставил программе доступ к счёту или иным способом уполномочил её действовать от своего имени.

Такая ответственность может распространяться и на нежелательные последствия: ошибочную интерпретацию поручения, неправильные действия или превышение агентом выданных полномочий. При этом Wells Fargo сохраняет право ограничивать, приостанавливать или полностью запрещать доступ агентов и менять правила использования API. Получается асимметричная модель: клиент отвечает за действия допущенного им агента, а банк оставляет за собой право решать, разрешать ли агенту работать вообще.

Безопасность пересекается с экономикой

Риски для банков реальны: агент с полным паролем потенциально может проводить платежи, менять настройки, создавать поручения и обращаться в поддержку. Но ограничения затрагивают и экономику отрасли. В исследовании McKinsey, опубликованном в апреле 2026 года, рассматривалось, как автономные финансовые помощники могут повлиять на отношения розничных банков с клиентами.

Если агент самостоятельно сравнивает ставки, комиссии и тарифы разных учреждений, клиенту становится проще переводить деньги туда, где условия выгоднее. По оценке McKinsey, перемещение 5–10% средств с текущих счетов на более доходные продукты способно сократить совокупную прибыль банков от депозитного бизнеса на 20% и более. Это сценарная оценка, но она показывает потенциальный масштаб изменений.

Независимый агент также может находить комиссии, предлагать рефинансирование, выбирать подходящую карту для покупки и контролировать подписки. В перспективе пользователь сможет задать собственные правила: разрешать обычные расходы, но требовать дополнительного подтверждения для покупок выше установленной суммы. При этом уведомление о совершённом платеже и предотвращение самого платежа требуют разных уровней доступа: для второго нужно участвовать в механизме авторизации операции.

Банкам выгоднее развивать собственных ассистентов, которые одновременно обслуживают клиента и предлагают ему продукты банка. Независимый агент, напротив, может сравнивать предложения конкурентов и стремиться минимизировать расходы пользователя. Прямых доказательств того, что блокировки вызваны именно желанием защитить доходы, нет, однако конфликт интересов между банками и внешними финансовыми сервисами существует давно.

Старый спор о доступе к финансовым данным

Доступ ИИ к банковской информации уже становится обычной практикой. С мая 2026 года ChatGPT Finances позволяет американским пользователям подключать счета через Plaid, анализировать расходы, искать регулярные платежи и оценивать накопления. Подключение происходит через согласованные интеграции, без передачи основного пароля ChatGPT. Но сервис работает в режиме чтения: он не может самостоятельно переводить деньги, оплачивать счета, заключать сделки или менять банковские настройки.

Именно разница между чтением данных и совершением действий делает полноценное делегирование намного сложнее. Банки готовы предоставлять внешним сервисам информацию через контролируемые интеграции, но не спешат открывать им возможность действовать от имени клиента без дополнительных ограничений.

Похожий конфликт существовал задолго до появления ИИ. Финансовые приложения годами использовали screen scraping, а затем банки стали переводить их на защищённые API. Одновременно возник спор о стоимости доступа. В сентябре 2025 года JPMorgan Chase и Plaid заключили соглашение о платной модели обмена клиентскими данными. Банки объясняют такие платежи расходами на инфраструктуру и безопасность, тогда как финтех-компании опасаются, что дорогой доступ станет барьером для независимых конкурентов.

Законодательство США также не сняло проблему. Раздел 1033 закона Додда—Франка ещё в 2010 году закрепил право потребителей получать свои финансовые данные. В октябре 2024 года CFPB утвердило правила Personal Financial Data Rights, однако банковская отрасль оспорила их. В октябре 2025 года суд приостановил сроки обязательного исполнения, после чего регулятор начал пересмотр правил, в том числе вопросов оплаты доступа и полномочий сторонних организаций.

Американские банки поэтому одновременно решают несколько задач: закрывают опасный доступ по основным паролям, развивают контролируемые интеграции и пытаются определить, кто отвечает за ошибки автономной программы. Отдельный вопрос — насколько широкими должны быть права независимых агентов и сможет ли клиент выдавать их напрямую, без участия одобренного банком или агрегатором сервиса.

На этом фоне интересен российский контекст. В 2024 году Центральный банк обещал обязательное внедрение Open Banking с 2026 года. Если такая модель действительно будет развиваться, ключевым станет не сам факт подключения внешних программ, а возможность выдавать им понятные и ограниченные полномочия: отдельно на чтение данных, подготовку операций и их окончательное подтверждение.