10月24日、Craig Haleが「US banks have detected unvetted AI agents accessing customer bank accounts」と題した記事を公開した。米国の主要銀行が顧客の銀行口座にアクセスする未承認のAIエージェントを検出し、対応に苦慮している実態を伝えている。この問題の核心は、外部からの攻撃ではなく、顧客自身が自発的にAIエージェントへ認証情報を渡しているという逆説的な構造にある。銀行は「誰が鍵を作ったか」ではなく「誰が鍵を渡したか」を問い直さなければならない局面に立たされている。

顧客自身が「鍵を渡している」という構造的問題

ユーザーは家計管理や送金といった銀行業務をAIアシスタントに委任するため、バンキングのユーザー名とパスワードをAIツールに直接渡している。この行為は多くの銀行の利用規約に違反する。規約では「口座への本人ログイン」を義務付けているためだ。

ここで重要なのが、既存の正規連携との構造的な違いだ。たとえばPlaidのようなオープンバンキング基盤は、OAuthベースのトークン認証を用いることでユーザーが直接パスワードを第三者へ渡さない設計になっている。一方、今回問題となっているAIエージェントへの認証情報提供は、こうした安全な委任の仕組みを経ずに生のクレデンシャルを渡す行為であり、銀行側からは正規ログインとほぼ区別がつかない。※編集部の考察

さらに問題を複雑にしているのが、AIエージェントが想定外の操作を実行しようとする可能性だ。元記事では「○○をやっておいて」という指示に対してエージェントが意図の範囲を外れたアクションを起こしうる懸念が指摘されており、その実態についての調査が続いているとされる。

銀行側が直面している3つの課題

銀行側の悩みは一言で言えば「区別がつかない」ことだ。Axiosの関連報道によれば、各行は以下の3つを識別できずにいる。

• 通常の人間によるアクセス
• 顧客が許可した正規のAIエージェント
• 無許可・野良状態の不正AIエージェント

いずれも外形的には似たトラフィックとして見えるため、従来の不正アクセス検知の仕組みがそのまま機能しない。ログインの主体が人間であるという前提で設計されたセキュリティモデルが、AIエージェントの台頭によって根底から揺らいでいる形だ。

加えて、責任の所在が不明確という問題もある。AIエージェントが誤操作や不正送金を引き起こした場合、銀行・顧客・AIサービス事業者のうち誰が責任を負うのか、現時点では法的な整理がついていない。

大手5行が対応に乗り出す

Morgan Stanley、JPMorgan Chase、Bank of America、CitigroupはいずれもサードパーティのAIエージェントによるアクセスを制限し始めた。Wells Fargoも潜在的脅威への対応を進めているとされる。

Charles Schwabの最高経営責任者Richard Wursterは、「どのエージェントを何回ブロックしたか」について毎日レポートを受け取る体制を整えたと明かしている。認証と利用体験を銀行側がコントロールし続けるためだという。銀行経営トップがAIエージェントのブロック件数を日次で把握する体制を敷いたという事実は、この問題への業界の危機感を端的に示している。

ワーストケースへの備えも始まっている

今後の展望として、銀行各行は不正アクセスが発生した際に顧客口座を迅速に凍結し、事後に復元する仕組みの整備を急いでいる。大規模な障害や脆弱性が相次いで発生している昨今のインターネット環境を踏まえた、最悪ケースを想定した対策だ。

AIエージェントの普及は、これまでの「人間が操作する前提」で設計された金融インフラに根本的な再設計を迫りつつある。認証・認可・監査の各レイヤーでエージェントを識別・制御する仕組みが、業界全体の喫緊の課題となっていくだろう。「誰がアクセスしているか」ではなく「何がアクセスしているか」を問う時代に、金融セキュリティの前提そのものが書き換えられようとしている。

詳細はUS banks have detected unvetted AI agents accessing customer bank accountsを参照していただきたい。