Agenti di intelligenza artificiale di terze parti stanno accedendo ai conti di clienti delle maggiori banche americane, talvolta tentando azioni che gli istituti faticano a ricondurre alle istruzioni impartite dagli utenti.
Il fenomeno, rivelato il 22 ottobre 2026 da Axios, ha spinto JPMorgan Chase, Morgan Stanley, Citigroup e altri operatori a limitare o bloccare l’accesso degli agenti esterni. L’allarme ha provocato reazioni politiche immediate, fino all’appello del senatore Bernie Sanders a fermare lo sviluppo dell’AI.
Il punto più sorprendente è come questi strumenti ottengano accesso ai conti: in molti casi sono i clienti a consegnare all’assistente digitale le proprie credenziali, chiedendogli di svolgere un’attività per loro conto. Ma il permesso del correntista e l’autorizzazione della banca sono due cose diverse. L’agente può poi incontrare ostacoli, comportarsi diversamente dal previsto oppure essere indotto a compiere azioni rischiose.
Lo scenario più grave resta, per ora, un rischio e non una sottrazione di denaro documentata. In un aggiornamento del 23 ottobre, Axios riferisce che le banche non hanno confermato attacchi informatici né attività di agenti fuori controllo che abbiano compromesso i fondi dei clienti.
“Può succedere anche in Italia, dove non ci sono controlli sull’uso di agenti AI da parte degli utenti per l’accesso ai conti. Si possono studiare ma distinguerli da un essere umano è una sfida”, spiega Dario Fadda, analista di cybersecurity per una grande banca italiana.
Indice degli argomenti
Come un agente AI entra in banca e perché gli istituti non lo riconoscono
Un assistente finanziario può ricevere un incarico apparentemente innocuo: analizzare le spese, confrontare i tassi sui depositi o verificare un pagamento. Per completarlo, potrebbe aprire il sito di home banking nel proprio browser e collegarsi usando la password che il cliente gli ha fornito, oppure operare in una sessione alla quale il cliente ha già effettuato l’accesso. Il sistema bancario vede un collegamento che utilizza l’identità digitale del correntista, mentre dietro i clic c’è un software autonomo.
È qui che nasce la difficoltà segnalata dagli istituti a Axios: ricostruire chi abbia deciso l’azione e fino a dove arrivasse il mandato del cliente. Un conto è visualizzare il saldo; un altro è aprire una schermata per disporre un bonifico o parlare con un operatore del call center. Secondo le fonti del giornale, alcuni agenti hanno contattato l’assistenza bancaria o sembravano tentare operazioni non riconducibili alle istruzioni iniziali. L’inchiesta non quantifica gli episodi né documenta bonifici effettivamente sottratti ai clienti.
La banca ha quindi due problemi distinti. Il primo è identificare l’agente prima che operi con privilegi troppo ampi; il secondo è poter dimostrare, dopo, quali azioni siano state chieste dal cliente e quali siano state decise dal software. Una password valida, da sola, risolve solo una parte dell’identificazione: dice con quali credenziali è stata aperta la sessione, non chi stia impartendo ogni istruzione.
Le prime contromisure sono già operative. Reuters, il 22 ottobre, ha confermato sulla base di proprie fonti che diversi grandi gruppi stanno bloccando gli agenti AI esterni. Ha anche precisato che, quando è il cliente a condividere volontariamente le credenziali, l’accesso può violare le regole della banca senza essere, per questo solo fatto, privo di autorizzazione da parte del cliente.
Come stanno reagendo le grandi banche statunitensi
| Banca o intermediario | Misura o posizione comunicata | Perimetro verificato |
|---|---|---|
| JPMorgan Chase | Blocca agenti esterni che tentano di accedere utilizzando le credenziali dei clienti | Il gruppo mantiene aperta la strada all’accesso controllato tramite servizi autorizzati |
| Morgan Stanley | Ha avviato il blocco degli agenti di terze parti | Un portavoce ha dichiarato di non aver riscontrato agenti fuori controllo sui propri sistemi |
| Citigroup | Esclude il login e le operazioni dirette di agenti AI esterni | Consente a fornitori di open banking approvati un accesso limitato alla lettura |
| Bank of America | Limita l’accesso degli agenti ai depositi dei consumatori | Sta elaborando protocolli per chiarire la responsabilità dei pagamenti |
| Charles Schwab | Rileva e blocca gli agenti non autorizzati | Prepara accessi controllati per AI esterne attraverso server MCP, senza consentire spostamenti di denaro |
La scelta degli istituti è quindi separare l’accesso ai dati dall’autorizzazione a movimentare denaro. La stessa Citi, secondo le dichiarazioni riportate nei giorni precedenti dal resoconto di Retail Banker International, consente l’accesso in sola lettura a determinati fornitori di open banking. JPMorgan ha ribadito il 23 ottobre che i clienti non devono consegnare le password ad assistenti o persone esterne, perché esistono modalità più sicure per condividere le informazioni del conto. Charles Schwab ha già presentato una via alternativa concreta: affianca al proprio assistente Charley collegamenti per modelli esterni attraverso server MCP, con autenticazione controllata e senza il potere di trasferire denaro. Lo ha spiegato il ceo Rick Wurster nella conference call del 15 ottobre.
Bernie Sanders chiede di fermare l’AI, Warner vuole regolare gli agenti
Le notizie sui conti correnti hanno immediatamente acceso lo scontro politico. Il 22 ottobre il senatore indipendente Bernie Sanders ha definito folle la situazione: gli agenti AI, ha sostenuto, non devono poter entrare nel conto e agire autonomamente senza autorizzazione. Ha avvertito che uno sviluppo incontrollato potrebbe mettere a rischio anche il sistema finanziario globale e ha rilanciato l’invito a sospendere lo sviluppo dell’AI: «Pause AI NOW!».
La posizione del democratico Mark Warner è diversa: imporre agli agenti che gestiscono denaro e dati sensibili un dovere di cura verso i clienti, anziché limitarne indiscriminatamente l’impiego. Warner ha chiesto l’approvazione del suo AI AGENT Act, proposta presentata al Senato nel luglio 2026. Il testo prevede tra l’altro identificazione degli agenti affidabili, protezione dei dati, obblighi nell’interesse dell’utente e standard tecnici di autenticazione. Al 23 ottobre si tratta di un disegno di legge, non di una norma in vigore.
Anche il governatore repubblicano della Florida Ron DeSantis ha evocato lo scenario di un agente capace di liquidare un conto e un portafoglio di investimenti, con perdite potenzialmente superiori alla capacità di risarcimento del fornitore tecnologico.
Dall’altro lato, David Sacks, già responsabile AI della Casa Bianca, ha contestato l’assimilazione fra gli agenti autorizzati dagli utenti e gli attacchi informatici. Secondo la ricostruzione di Axios del 23 ottobre, la soluzione sarebbe consentire al cliente di concedere, limitare e revocare permessi verificabili, iniziando eventualmente dall’accesso in sola lettura. Il contrasto mette in luce un problema reale: fermare ogni agente eliminerebbe alcuni rischi, ma impedirebbe anche servizi desiderati dai correntisti.
Il rischio tecnico: quando un assistente supera il mandato ricevuto
Per capire il pericolo occorre seguire una sequenza concreta. Un utente autorizza l’agente a consultare il conto per preparare un bilancio familiare. Se l’assistente dispone di credenziali con privilegi più ampi, il suo programma può incontrare anche funzioni non necessarie, come l’ordine di pagamento o la modifica di dati personali. Una configurazione sbagliata può quindi trasformare un incarico informativo in un’azione di maggiore impatto.
Esiste inoltre la possibilità della prompt injection: istruzioni malevole inserite in una pagina web, in un documento o in una risposta di un servizio esterno vengono interpretate dall’agente come ordini. Il resoconto OWASP sugli attacchi agli agenti nel terzo trimestre 2026 documenta come contenuti non affidabili possano indurre software autonomi a impiegare strumenti e permessi oltre lo scopo originario.
L’autenticazione a più fattori riduce la probabilità di pagamenti indebiti, ma non risolve da sola la questione. Se un agente opera in una sessione già autenticata, può avere accesso a dati sensibili; in altri casi una disposizione richiederà un’ulteriore conferma legata al beneficiario e all’importo. Il punto decisivo è configurare i permessi in modo che il sistema possa leggere solo ciò che serve e, quando necessario, richieda all’essere umano una nuova autorizzazione per ogni effetto finanziario rilevante.
Può succedere anche in Italia? Sì, ma l’open banking cambia il quadro
Un agente al quale un correntista italiano consegni password e accesso al proprio home banking può tentare di compiere lo stesso percorso osservato negli Stati Uniti.
In Europa esiste però una via specifica per gli accessi di terzi ai conti: la direttiva sui servizi di pagamento PSD2. La Banca d’Italia spiega che gli operatori abilitati si identificano con certificati elettronici e usano interfacce predisposte dagli istituti. La disciplina distingue gli operatori che forniscono informazioni sui conti, chiamati AISP, da quelli che avviano ordini di pagamento su richiesta del cliente, i PISP. I primi possono accedere ai dati autorizzati; i secondi possono avviare una disposizione, con il consenso richiesto e i controlli di autenticazione previsti.
Questa distinzione comporta due conseguenze. Un assistente AI generico non acquisisce il diritto di entrare nell’home banking soltanto perché l’utente gli ha affidato una password. Un operatore autorizzato ai sensi della PSD2, invece, beneficia delle regole di accesso previste per il suo servizio: l’istituto che tiene il conto può negargli l’accesso per ragioni oggettive e documentate di accesso fraudolento o non autorizzato, secondo le precisazioni dell’Autorità bancaria europea. Un agente può anche essere integrato in un servizio di un soggetto abilitato; a quel punto contano i ruoli effettivi, le autorizzazioni e le finalità del trattamento dei dati.
Tre modi diversi di far accedere un software al conto
| Modalità | Che cosa può fare | Quale controllo distingue l’accesso |
|---|---|---|
| Agente generico con login o sessione del cliente | Usa l’interfaccia dell’home banking nei limiti tecnici della sessione | La banca può non riconoscere il software e il mandato ricevuto; condividere le credenziali espone a rischi e possibili violazioni contrattuali |
| Operatore AISP autorizzato | Legge i dati di conto previsti dal consenso e dalla disciplina applicabile | Si identifica come soggetto terzo e opera tramite interfacce regolate; l’accesso informativo non autorizza bonifici |
| Operatore PISP autorizzato | Avvia una disposizione di pagamento richiesta dal cliente | Servono consenso e autenticazione del pagatore nei casi previsti; importo e beneficiario possono essere oggetto di controlli specifici |
Fonti: Banca d’Italia, FAQ per gli istituti di pagamento; EBA, chiarimento su consenso per servizi PIS e AIS; EBA, motivi di diniego di accesso alle terze parti
La differenza diventa ancora più rilevante quando l’AI è fornita da un soggetto distinto dall’operatore finanziario: la stessa Banca d’Italia chiarisce nelle FAQ che le informazioni ottenute da un operatore AISP possono essere condivise con ulteriori soggetti per servizi a valore aggiunto, a determinate condizioni di informativa e consenso. L’arrivo di un assistente intelligente in questa catena richiede quindi attenzione sia ai permessi bancari sia alla successiva circolazione dei dati del cliente.
Se un agente trasferisce denaro senza consenso, chi deve rimborsare?
Poi si apre il tema dei contenziosi: chi risponde di danni causati dagli agenti AI?
Se un correntista autorizza un assistente ad accedere al proprio conto e quello esegue un bonifico mai richiesto, chi deve sostenere la perdita?
La risposta, diciamo subito, non è chiara. Ed è questo il problema principale.
Secondo l’interpretazione dell’EBA dell’articolo 64 della PSD2, una transazione è autorizzata quando il pagatore ha espresso il consenso richiesto alla sua esecuzione. L’identità di chi ha aperto la sessione, la prova dell’autenticazione e l’effettiva autorizzazione di quella disposizione sono aspetti da ricostruire separatamente. Questo conta anche quando un assistente ha ricevuto un mandato generico a «gestire le finanze».
Il 15 ottobre 2026 è intervenuta una decisione particolarmente rilevante: nella sentenza C-70/25, Tukowiecka, la Corte di giustizia dell’Unione europea ha stabilito che, per un pagamento non autorizzato, la banca deve in linea di principio rimborsare immediatamente l’importo, al più tardi entro la fine della giornata lavorativa successiva alla conoscenza o segnalazione. L’eccezione riguarda il sospetto ragionevole di frode commessa dal cliente, comunicato all’autorità competente. Una sua eventuale colpa grave può essere fatta valere successivamente, se provata, per recuperare le somme.
Ma la vicenda giudiziaria riguardava una truffa di phishing, non un agente AI.
Se il bonifico non è stato autorizzato dal cliente, che però ha istruito un agente per l’accesso alla banca, con proprie credenziali, la responsabilità non è chiara per norma. Ad oggi, l’azienda che fornisce l’intelligenza artificiale non è automaticamente tenuta a rimborsare ogni errore del proprio sistema.
È questa l’incertezza che preoccupa le banche: un agente può provocare una perdita economica senza che sia immediatamente evidente chi debba sostenerla.
Dalla sicurezza del singolo conto al rischio per le banche
L’effetto degli agenti può riguardare anche i bilanci bancari. Un assistente capace di confrontare automaticamente i rendimenti potrebbe trasferire più rapidamente i risparmi verso offerte convenienti, se autorizzato dai correntisti e abilitato a compiere i trasferimenti. La concorrenza tra depositi ne uscirebbe più intensa, mentre per le banche aumenterebbe l’incertezza sulla stabilità della propria disponibilità liquida. Si può quindi danneggiare la banca e in generale creare un instabilità nei circuiti finanziari su cui si regge l’economia di un Paese.
In una ricerca pubblicata dalla BCE il 21 maggio 2026, alcuni algoritmi sperimentali di apprendimento per rinforzo hanno mostrato, in una simulazione di riscatto di investimenti, comportamenti coordinati simili a una corsa ai prelievi; i modelli linguistici hanno avuto reazioni meno sincronizzate ma più imprevedibili. È uno studio di simulazione, non la prova che gli assistenti bancari abbiano già provocato fughe di depositi.
La presidente della BCE Christine Lagarde ha ripreso il problema nel discorso del 1° ottobre 2026, sottolineando che gli agenti possono perseguire obiettivi con modalità che chi li controlla non aveva previsto. E nel rapporto sui rischi bancari di giugno 2026 l’EBA ha richiamato l’attenzione sui guasti operativi, sulle dipendenze tecnologiche e sui possibili effetti sistemici dell’AI.
Che cosa possono fare banche e correntisti adesso
Per le banche il primo obiettivo operativo è separare identità, delega e privilegi. Un agente dovrebbe identificarsi come tale, ottenere accessi proporzionati al compito, non poter estendere autonomamente le proprie autorizzazioni e lasciare registrazioni verificabili di richieste, conferme e azioni. Un sistema che consente solo di leggere saldo e movimenti richiede meno fiducia di uno che può disporre bonifici: il salto tra le due funzioni va governato con controlli aggiuntivi.
Ai correntisti conviene evitare di consegnare password, codici temporanei e accesso indiscriminato a un assistente. Se un servizio di analisi delle spese ha bisogno dei dati del conto, è preferibile verificare che utilizzi una connessione bancaria autorizzata e che l’accesso sia limitato e revocabile. Chi rileva movimenti sconosciuti deve bloccare gli accessi sospetti, avvisare tempestivamente la propria banca e contestare l’operazione: sono le indicazioni contenute anche nella guida della Banca d’Italia sulle frodi nei pagamenti.
Il discrimine sarà la possibilità di provare a quale operazione il cliente ha davvero acconsentito. Finché una banca vede soltanto una password corretta e una serie di clic, distinguere l’azione di una persona da quella del software, e un incarico eseguito correttamente da uno che ha superato il mandato, resterà difficile. Un mandato circoscritto, verificabile e revocabile consente invece di sfruttare i servizi AI senza affidare a un software, in blocco, il controllo dei risparmi.
Partecipa alla community