Plusieurs grandes banques américaines ont découvert que plusieurs agents d’IA tiers non vérifiés opéraient au sein de comptes clients. Certains de ces agents effectuaient des actions qui semblaient indépendantes des demandes des utilisateurs, rapporte Axios. Cette découverte est importante pour les utilisateurs qui relient leurs comptes bancaires à des assistants d’IA, car les banques bloquent désormais cet accès afin de protéger l’argent de leurs clients.
Des agents se connectent aux banques américaines avec les véritables identifiants des clients
Selon Axios, le problème de fond est que des agents d’IA accèdent à ces banques américaines à l’aide des identifiants de connexion que les clients leur ont eux-mêmes communiqués. Cette pratique enfreint les règles de la plupart de ces banques, qui exigent que les titulaires de compte se connectent eux-mêmes.
Même lorsqu’un utilisateur autorise les agents, les dirigeants craignent les capacités exactes de ces derniers. Un client qui autorise un agent à effectuer des achats ou à transférer de l’argent pourrait être victime d’une erreur ou d’une instruction malveillante qui détournerait ou disperserait ses fonds.
Des banques ont également signalé que des agents d’IA appelaient leurs services clientèle. Dans certains cas, ils semblaient agir de leur propre initiative, sans demande directe des utilisateurs. Un responsable bancaire a déclaré que le secteur était très préoccupé par le fait que des agents d’IA puissent accéder aux comptes et prendre des décisions susceptibles d’avoir des conséquences sur l’argent des clients.
Morgan Stanley commence à bloquer les agents, d’autres suivent
Selon des sources citées par Axios, Morgan Stanley bloque désormais les agents tiers sur ses plateformes. JPMorgan, Bank of America et Citi ont décidé de restreindre davantage l’accès des agents. Wells Fargo fait également partie des banques qui s’efforcent de contenir ce nouveau risque.
Les banques ont réagi de différentes manières. Chase a averti ses clients de ne jamais communiquer leurs identifiants de connexion à qui que ce soit. Morgan Stanley a déclaré n’avoir constaté aucun cas d’agents d’IA accédant à ses systèmes sans autorisation.
Les banques modifient leurs règles et limitent les outils externes qui automatisent des tâches, tandis qu’elles cherchent à déterminer si un agent d’IA suit la demande d’un utilisateur ou agit de son propre chef.
L’accès en lecture seule, une solution intermédiaire
La plupart de ces banques américaines s’orientent vers un accès strictement en lecture seule. Les agents d’IA peuvent ainsi consulter les soldes des comptes et l’historique des transactions, sans pouvoir apporter de modifications ni transférer de l’argent. Ce fonctionnement ressemble à celui des banques avec des applications de gestion de budget comme Quicken.
Des dirigeants de banques ont indiqué à Axios qu’ils s’attendent à ce que davantage de clients utilisent des assistants d’IA. Les banques ne prévoient donc pas de les bloquer indéfiniment. Pour l’instant, elles estiment qu’accorder un accès complet à ces outils présente trop de risques.
L’un des problèmes est que les banques ne peuvent souvent pas savoir si elles ont affaire à une personne ou à un robot. Elles peinent également à déterminer si un agent d’IA a reçu l’autorisation du titulaire du compte ou s’il y accède sans son accord.
Pourquoi il s’agit d’une lacune dans les règles, et non d’une faille de sécurité
Le problème concerne principalement la manière dont les banques américaines gèrent les risques et appliquent leurs règles, plutôt que les conséquences sur leurs résultats financiers. Une faille de sécurité pourrait entraîner des pertes financières directes et des poursuites judiciaires. Mais lorsqu’un outil d’IA légitime utilise mal des identifiants de connexion, le problème tient davantage aux lacunes des politiques des banques.
Les précédentes alertes concernant la sécurité des banques ont souvent suivi un schéma similaire. Un premier article est publié, puis les banques expliquent leurs mesures de sécurité. Les autorités de réglementation examinent ensuite si les règles en vigueur encadrent la manière dont les agents d’IA accèdent aux comptes et vérifient leur identité.
Des sources ont indiqué à Axios que les banques américaines investissent dans des mesures de sécurité et des plans d’urgence qui pourraient aider à bloquer rapidement l’accès des clients ou à le rétablir si un incident impliquant un agent d’IA venait à s’aggraver.
Ne vous contentez pas de lire les actualités sur les cryptomonnaies. Comprenez-les. Abonnez-vous à notre newsletter. C’est gratuit.