10月23日、The Decoderが「Major US banks are locking out AI agents that log in with customer credentials」と題した記事を公開した。ユーザーが自分の銀行口座のIDとパスワードをAIエージェントに渡してログインさせる行為が、銀行の利用規約違反として相次いでブロックされている。単なるセキュリティポリシーの問題にとどまらず、「エージェントに権限を委ねる」という行為そのものの設計が問われる事態だ。

顧客の認証情報でログインするAIエージェント

問題の構図はシンプルだ。ユーザーが自分の銀行口座のIDとパスワードをAIエージェントに渡し、そのエージェントが代わりにログイン・操作する——これが銀行のポリシー違反にあたる。銀行規約では、口座へのログインは口座名義人本人が行うことを求めているためだ。

Axiosの報道によれば、Morgan Stanley、JPMorgan、Bank of America、Wells Fargo、Citiといった米大手銀行が、こうした外部AIエージェントのアクセス制限に動いている。Morgan Stanleyはすでにエージェントを完全にブロックしており、JPMorgan、Bank of America、Citiも同様の対応を取っている。

なぜ今、これが問題になるのか

AIエージェントが「自律的に動く」ケースが出てきたことが状況を複雑にしている。単にユーザーの指示をこなすだけでなく、ユーザーの明示的な指示なしに行動するエージェントの事例も報告されており、銀行側は「エージェントがユーザーの代理として動いているのか、それとも独自に口座にアクセスしているのか判別できない」という問題に直面している。

技術的な入口も多様だ。ユーザーはAnthropicのComputer Use（AIがブラウザや画面を直接操作できる機能）や、OpenClawのようなオープンソースのブラウザ自動化エージェントフレームワーク（AIエージェントがWebブラウザを介して任意のサービスを操作できるソフトウェア）を通じて、ブラウザ経由でエージェントに口座へのアクセス権を与えることができる。銀行側がこれをプロバイダー側でブロックするのは技術的に難しい、と記事は指摘している。

銀行の現在地：「読み取り専用」に限定したい

銀行各行の現時点での方針は、エージェントのアクセスを「読み取り専用（read-only）」に限定するというものだ。口座残高や取引履歴の参照は許容しつつ、送金や支払いといった操作は認めない方向性である。

顧客がAIエージェントを使いたいというニーズ自体は銀行側も認識しているが、現状ではセキュリティリスクが高すぎるという判断だ。Morgan Stanleyは「自行のプラットフォームで不正なAIエージェント（rogue AI agents）の動作は確認されていない」と強調している。

一方、OpenAIはすでに米国内で銀行口座への読み取り専用アクセスを持つ金融特化型のChatGPTサービスを立ち上げている。こちらは銀行公認の形でのアクセスを想定したものであり、無許可エージェントとは異なるアプローチだ。

エンジニア視点での論点

この問題の核心は、認証と認可の設計がエージェント時代に追いついていない点にある。従来のOAuth 2.0ベースの委任認証（ユーザーがサービスに対して限定的な権限を付与する仕組み）であれば、銀行側は「どのアプリが何の権限で動いているか」を制御できる。しかし、エージェントがユーザーのID・パスワードを直接使ってログインする場合、銀行のシステムからはそれが人間の操作なのかボットなのかを区別する手段がほぼない。

エージェント専用の認証フレームワークとして注目されているのが、Anthropicが主導するModel Context Protocol（MCP）だ。MCPはAIエージェントが外部サービスと安全・標準的に接続するためのオープンプロトコルであり、OAuth 2.0ベースの認可フローとの統合も設計上考慮されている。こうした仕組みが普及すれば、銀行側は「どのエージェントが、何の権限で、どの操作を行ったか」を粒度高く制御・監査できるようになる。

※編集部の考察：現時点でMCPを金融機関が本番導入している事例は確認されていないが、エージェント専用の認証・認可レイヤーを標準化する動きが加速すれば、銀行が一律ブロックではなく「許可リスト型」の制御に移行できる可能性がある。今回の騒動は、その議論を前倒しで顕在化させた出来事として位置づけられるだろう。

今後、AIエージェントと金融サービスの接続を安全に実現するには、エージェント専用の認証フレームワークの標準化や、操作ログの透明化といった仕組みが不可欠になる。現時点では、銀行側が一律ブロックという形で対応せざるを得ない状況だ。

詳細はMajor US banks are locking out AI agents that log in with customer credentialsを参照していただきたい。