В сентябре Meta запустила Muse — личного ИИ-агента, который отправляет письма, бронирует поездки, ведёт календарь и умеет подключаться к банковским счетам. Через месяц крупнейшие банки США обнаружили, что в аккаунтах клиентов хозяйничают сторонние агенты. Некоторые из них, по словам банкиров, действуют так, будто инструкции пользователя им не указ.
22 октября 2026 года об этом написал Axios. Morgan Stanley, Bank of America, JPMorgan, Citi и Wells Fargo видят агентов в клиентских аккаунтах, а руководители банков называют ситуацию «ужасающей». Подтверждённых потерь денег в публикациях пока нет. Но банки уже моделируют худшие сценарии и думают, как быстро восстанавливать аккаунт, если агент натворит дел.
Звучит как очередная страшилка про ИИ. На самом деле это история про одну очень старую ошибку, которую новая технология просто сделала массовой.
Что случилось
Агентов никто не протаскивает в аккаунты через уязвимости. Их пускают сами клиенты: вводят в чат логин и пароль от онлайн-банка и просят разобраться с рутиной — проверить подписки, найти лишние списания, оплатить счёт. Проблема в том, что по правилам большинства банков в аккаунт должен входить живой человек. Согласие клиента этого не меняет: вход агента всё равно нарушает условия.
Банки реагируют по-разному:
- Morgan Stanley закрыл свои платформы для сторонних агентов.
- Bank of America и Citi агентов ограничивают, но пока не запрещают полностью.
- JPMorgan высказался первым. 13 октября, во время звонка с инвесторами по итогам квартала, Джейми Даймон заявил: «любой внешний агент» внутрь банка не попадёт — риск слишком велик и для клиентов, и для самого JPMorgan. Его формулировка: «Вам не нужны агенты-самозванцы».
Под ограничения JPMorgan, по данным CNBC, попали Muse и Instinct — агент стартапа, который недавно оценили в $10 млрд. Читать баланс и операции через авторизованных посредников открытого банкинга агенты по-прежнему могут. Переводить деньги и оплачивать счета — нет: для этого человек должен войти сам.
Отдельная деталь, которую стоит запомнить: Даймон прямо сказал, что клиент, который пустил агента в аккаунт, должен понимать риск. Ответственность в этом случае переходит на него.
Главная проблема: банк видит не агента, а тебя
Вот почему банкиры нервничают. Когда агент входит по твоему логину и паролю, для банка это ты. Тот же пароль, тот же код из SMS, те же действия. Отличить твоего агента от агента, который получил доступ без спроса, банк не может — у них одинаковые ключи.
Если совсем коротко: отдать агенту пароль — это не делегирование доступа, а переодевание. Агент надевает твою личность целиком, со всеми правами, без срока годности и без возможности отозвать что-то одно.
Представь, что ты просишь знакомого забрать посылку и для этого отдаёшь ему паспорт, ключи от квартиры и карточку с PIN-кодом. Посылку он заберёт. Но заодно может сделать всё, что можешь ты. А если он потеряет эту связку, восстанавливать придётся всю жизнь, а не одну посылку.
С агентами всё ещё неприятнее: он не потеряет ключи, он может неправильно понять задачу. «Найди, как сэкономить на подписках» превращается в «отмени всё, что похоже на подписку». Мы недавно разбирали, как Claude Code удалил 116 ГБ данных — там агент хотел почистить временные файлы, а стёр домашнюю папку. Тот же сюжет: прав больше, чем нужно для задачи, и никакой страховки.
Как выглядит правильный доступ для агента
Хорошая новость: правильный способ давно придуман, им просто не все пользуются. Он строится на пяти принципах, и каждый из них — обычная инженерия, без магии.
1. Токен вместо пароля
Вместо пароля агент получает токен — отдельный ключ, который выдаёт сам банк после твоего подтверждения. Так работает OAuth, тот самый механизм за кнопками «Войти через Google». Пароль агент не видит вообще, а банк точно знает, что перед ним не ты, а конкретное приложение, подключённое с твоего согласия.
2. Минимальные права
Токен выдаётся на конкретные действия. «Читать баланс и операции» — одно разрешение, «переводить деньги» — совсем другое. Агенту, который ищет лишние подписки, второе не нужно. Именно к этому сейчас идут банки: большинство уже разрешает или собирается разрешить агентам только чтение, как давно разрешает приложениям для учёта бюджета.
3. Человек подтверждает необратимое
Посмотреть, посчитать, предложить — агент может сам. Перевести деньги, отменить договор, удалить данные — только после подтверждения человеком. Хороший пример — немецкий брокер Scalable Capital: в августе он открыл платформу для ChatGPT, Claude и Grok. Агенты могут анализировать портфель и готовить сделки, но каждая требует одобрения пользователя, а платежи и вывод денег закрыты совсем.
4. Доступ можно отозвать
У токена есть срок жизни, и его можно отключить одной кнопкой, не меняя пароль от всего банка. Решишь больше не пользоваться агентом — отзовёшь доступ именно у него. С паролем так не выйдет: придётся менять его везде и надеяться, что агент не сохранил копию.
5. Всё записывается
Каждое действие агента попадает в журнал: что сделал, когда, по какому токену. Если что-то пошло не так, видно, кто это был — ты или твой агент. Сейчас банки не могут ответить даже на этот вопрос.
А что с законами
В США есть правило о финансовых данных — Section 1033. Оно должно было обязать банки делиться данными клиентов через нормальные API, а не через вход по паролю. Правило приняли в 2024 году, но в силу оно так и не вступило: суд запретил его применять, а регулятор отправил на доработку. Новая версия ожидается в конце 2026 года.
Пока закон буксует, каждый банк решает сам. Поэтому сейчас мы и видим зоопарк: кто-то блокирует всех, кто-то оставляет чтение, кто-то строит собственных агентов.
Агенты по обе стороны
Новость про банки вышла в неделю, когда агенты оказались и на стороне атакующих. 21 октября Microsoft рассказала, что китайская группировка Storm-0940 использовала ARTEX — открытый фреймворк для автоматического пентеста на ИИ-агентах — в атаке через цепочку поставок ConnectWise. Атака дотянулась до 2250+ тенантов Microsoft 365, а в пиковый день, 11 октября, скорость доходила до 2900 неудачных попыток входа в минуту.
Вывод отсюда не «агенты зло». Агенты — это рабочие руки, которые одинаково быстро делают и полезное, и вредное. Разница определяется тем, какие права у этих рук и кто держит их на поводке.
Что это значит для разработчика
Агенты — одна из самых горячих тем в разработке прямо сейчас. Собрать агента, который ходит в API, читает почту и что-то делает за пользователя, можно за вечер. Собрать агента, которого не страшно пустить к деньгам, — это уже профессия.
Если ты пишешь агента или сервис, к которому будут подключаться агенты, держи в голове короткий список:
- Никогда не проси у пользователя пароль от чужого сервиса. Только официальные API и OAuth. Банки уже блокируют агентов на паролях и перекладывают ответственность на клиента.
- Начинай с режима «только чтение». Права на действие добавляй по одному и только когда без них задача не решается.
- Необратимые операции — через подтверждение человеком. Деньги, удаление, отправка от имени пользователя.
- Логируй каждое действие агента так, чтобы потом можно было восстановить, что произошло.
- Проверяй результат не по словам агента, а по факту. Агент может искренне написать «готово» — и ошибиться.
Ни один из этих пунктов не про модель. Все пять — про архитектуру, безопасность и аутентификацию. То есть про фундамент, который AI за тебя не выучит.
Знать — не значит уметь
Прочитать, что агенту нужен токен с минимальными правами, легко. Спроектировать систему, где агент делает полезную работу, а необратимые шаги проходят через человека, — навык. Ему учатся руками, на реальных проектах, где ошибки видны.
Ровно так устроен AI Native Developer в JavaRush University: три месяца с ментором, где ты собираешь агентные пайплайны, работаешь с Claude Code, субагентами и MCP и учишься держать агента под контролем — с ревью кода и проектами в портфолио.
А если до агентов пока далеко, начни с фундамента. Как работают HTTP, API, аутентификация и базы данных, разбирается на курсах Java и Python — тысячи задач с мгновенной проверкой. Без этого любой агент остаётся чёрным ящиком, которому приходится верить на слово.
Банки уже решили не верить агентам на слово. Разработчикам стоит решить это раньше.
Частые вопросы
Почему банки США блокируют ИИ-агентов? Агенты входят в аккаунты по логину и паролю клиента, и банк не может отличить агента, которого подключил клиент, от агента, получившего доступ без спроса. Некоторые агенты, по словам банков, выходят за рамки задачи. Morgan Stanley блокирует сторонних агентов, JPMorgan, Bank of America и Citi ограничивают их доступ.
Можно ли дать ИИ-агенту доступ к банковскому счёту? Безопаснее всего — только на чтение и только через официальные подключения открытого банкинга, а не через логин и пароль. JPMorgan разрешает агентам видеть баланс и операции, но переводить деньги и оплачивать счета они не могут.
Кто отвечает, если ИИ-агент сделает что-то не то со счётом? По позиции JPMorgan — клиент, который отдал агенту доступ. Джейми Даймон прямо сказал, что в этом случае ответственность переходит на клиента.
Как правильно делегировать доступ ИИ-агенту? Через токен вместо пароля, с минимальными правами, с подтверждением человеком для необратимых действий, с возможностью отозвать доступ и с журналом всех действий агента. Так устроены OAuth и официальные API открытого банкинга.