Banken slaan alarm over AI-agenten die zonder toestemming toegang krijgen tot bankrekeningen

AI-agenten kunnen tegenwoordig zelfstandig vluchten boeken, contact opnemen met de klantenservice en allerlei andere taken uitvoeren. Zodra deze technologie echter toegang probeert te krijgen tot bankrekeningen en financiële transacties wil uitvoeren, trekken banken steeds vaker een duidelijke grens: AI-agenten mogen niet zomaar namens klanten inloggen, betalingen verrichten of geld overmaken.

De snelle opkomst van autonome AI-agenten zorgt dan ook voor toenemende bezorgdheid bij Amerikaanse banken. Financiële instellingen vrezen dat deze technologie de beveiliging van bankrekeningen kan ondermijnen, bestaande gebruiksvoorwaarden kan schenden en nieuwe risico’s kan veroorzaken voor zowel klanten als banken.

Wat zijn AI-agenten en waarom maken banken zich zorgen?

AI-agenten zijn geavanceerde softwareprogramma’s die niet alleen vragen beantwoorden of teksten genereren, maar ook zelfstandig acties kunnen uitvoeren om een bepaald doel te bereiken. Waar een traditionele chatbot doorgaans instructies geeft of informatie verstrekt, kan een AI-agent meerdere stappen achter elkaar uitvoeren, beslissingen nemen op basis van beschikbare informatie en verschillende digitale diensten met elkaar combineren.

Een AI-agent kan bijvoorbeeld worden ingezet om:

• Een vlucht te zoeken, prijzen te vergelijken en een reis te boeken.

• Zelfstandig contact op te nemen met een klantenservice om een probleem op te lossen.

• Online aankopen te doen en bestellingen te beheren.

• E-mails te versturen en afspraken in een agenda te plannen.

• Een banksaldo op te vragen en financiële gegevens te analyseren.

• In bepaalde gevallen betalingen te initiëren of andere financiële handelingen uit te voeren, voor zover de gebruikte systemen dit toestaan.

Juist die toenemende zelfstandigheid vormt een probleem voor banken. Financiële instellingen willen dat klanten zelf inloggen, hun identiteit verifiëren en controle houden over belangrijke handelingen binnen hun bankomgeving.

Wanneer een AI-agent zelfstandig een rekening benadert, kan het voor een bank onduidelijk zijn wie er daadwerkelijk achter een bepaalde handeling zit. Is het de rekeninghouder zelf, een geautoriseerde toepassing of een geautomatiseerde agent die op eigen initiatief handelt?

Dat onderscheid is essentieel voor de beveiliging van financiële diensten.

Banken scherpen hun regels aan

Verschillende grote Amerikaanse banken, waaronder JPMorgan Chase, Bank of America, Citigroup en Morgan Stanley, hebben maatregelen genomen om de toegang van bepaalde AI-agenten tot hun systemen te beperken of te blokkeren.

Een belangrijke reden hiervoor is dat de gebruiksvoorwaarden van banken vaak voorschrijven dat klanten persoonlijk moeten inloggen of op een andere door de bank goedgekeurde manier hun identiteit moeten bevestigen. Het gebruik van software die zelfstandig door een bankomgeving navigeert, kan daarmee in strijd zijn.

Dit betekent niet noodzakelijk dat iedere vorm van AI-gebruik verboden is. Er bestaat namelijk een belangrijk verschil tussen een AI-systeem dat uitsluitend financiële informatie uitleest en een agent die daadwerkelijk transacties kan uitvoeren.

Banken proberen daarom steeds vaker onderscheid te maken tussen verschillende soorten toegang:

1. Alleen gegevens bekijken

Een AI-agent kan bijvoorbeeld het beschikbare saldo opvragen, rekeninginformatie analyseren of uitgaven categoriseren. Hiervoor is alleen-lezen-toegang voldoende, mits de bank deze vorm van toegang uitdrukkelijk toestaat.

2. Financiële handelingen uitvoeren

Een agent die geld kan overmaken, betalingen kan verrichten of andere wijzigingen aan een rekening kan doorvoeren, krijgt aanzienlijk meer bevoegdheden. Dit brengt extra risico's met zich mee, vooral wanneer de agent zelfstandig beslissingen neemt of niet duidelijk aangeeft welke acties hij uitvoert.

3. Zelfstandig inloggen en door websites navigeren

Sommige agenten bedienen websites via een browser, alsof er een menselijke gebruiker achter zit. Ze kunnen knoppen aanklikken, formulieren invullen en door verschillende schermen navigeren. Dit kan botsen met beveiligingsmaatregelen die juist bedoeld zijn om geautomatiseerde toegang te herkennen en te beperken.

Voor banken is het daarom niet voldoende om alleen te kijken of een toepassing toegang heeft tot een rekening. Ook de manier waarop die toegang wordt verkregen en welke handelingen vervolgens mogelijk zijn, speelt een belangrijke rol.

Charles Schwab beperkt de mogelijkheden van Meta's Muse

Een opvallend voorbeeld is Meta's AI-agent Muse, die is ontwikkeld om gebruikers te helpen bij uiteenlopende online taken.

Muse kan onder meer worden ingezet voor winkelen, het versturen van e-mails en het onderhandelen of communiceren namens een gebruiker. De technologie laat zien hoe AI-agenten steeds meer veranderen van digitale assistenten die alleen advies geven in systemen die daadwerkelijk handelingen uitvoeren.

Die ontwikkeling roept ook vragen op wanneer Muse financiële diensten probeert te benaderen.

Charles Schwab heeft beperkingen ingesteld voor de mogelijkheden van Muse om via zijn systemen financiële handelingen uit te voeren. De agent wordt tegengehouden wanneer hij probeert geld te verplaatsen, terwijl bepaalde vormen van toegang tot informatie via de MCP-infrastructuur van de financiële dienstverlener wel mogelijk kunnen blijven.

MCP staat voor Model Context Protocol. Dit is een protocol waarmee AI-toepassingen verbinding kunnen maken met externe diensten en gegevensbronnen via daarvoor ingerichte interfaces.

Het onderscheid is belangrijk: een agent die een saldo mag opvragen, heeft niet automatisch toestemming om geld over te maken. Door deze bevoegdheden van elkaar te scheiden, kunnen financiële instellingen AI-gebruik mogelijk maken zonder direct alle controle over een rekening uit handen te geven.

De precieze mogelijkheden zijn daarbij afhankelijk van de toegangsrechten, de aangeboden diensten en de beveiligingsregels van de betreffende instelling.

Het probleem met AI-agenten die zich voordoen als menselijke bezoekers

Een van de belangrijkste kritiekpunten op sommige AI-agenten is de manier waarop zij websites benaderen.

Traditioneel maken websites gebruik van verschillende technieken om te bepalen of een bezoeker een mens of een geautomatiseerd programma is. Daarbij kunnen onder meer browserkenmerken, netwerkverzoeken, interactiepatronen en andere technische signalen worden geanalyseerd.

Volgens de berichtgeving rond Muse bestaat de zorg dat de agent bepaalde kenmerken van zijn browser aanpast om meer op een menselijke bezoeker te lijken, zonder duidelijk kenbaar te maken dat het om een AI-systeem gaat.

Dat is problematisch, omdat websites dergelijke signalen mede gebruiken om geautomatiseerd verkeer te herkennen en misbruik te voorkomen.

Er is hierbij een belangrijk onderscheid tussen twee situaties:

• Legitieme automatisering: een gebruiker geeft een agent toestemming om een bepaalde taak uit te voeren via een officiële, door de dienstverlener ondersteunde koppeling.

• Ondoorzichtige automatisering: een agent probeert beveiligingsmaatregelen te omzeilen of zijn geautomatiseerde karakter te verhullen om toegang te krijgen tot een dienst die dergelijke toegang beperkt.

De eerste situatie kan nuttig zijn en onder passende voorwaarden veilig worden ingericht. De tweede kan het vertrouwen tussen gebruikers, dienstverleners en AI-aanbieders aantasten.

Bovendien kan een agent die zich anders voordoet dan hij werkelijk is, het voor een dienstverlener moeilijker maken om ongebruikelijke activiteiten te herkennen, misbruik te onderzoeken of vast te stellen wie verantwoordelijk is voor een bepaalde handeling.

Dat betekent niet dat iedere AI-agent die een browser gebruikt per definitie onveilig of ongeoorloofd is. De manier waarop de agent toestemming verkrijgt, zich identificeert en met beveiligingsmaatregelen omgaat, is doorslaggevend.

Niet alleen banken blokkeren AI-agenten

De zorgen beperken zich niet tot de financiële sector. Ook andere grote bedrijven hebben beperkingen ingesteld voor de toegang van bepaalde AI-agenten tot hun digitale diensten.

Volgens de beschreven berichtgeving hebben onder meer Amazon, Delta Air Lines, de drie grote Amerikaanse telecomaanbieders AT&T, Verizon en T-Mobile, en Yelp maatregelen genomen tegen de toegang van Muse tot bepaalde onderdelen van hun websites of digitale platforms.

De redenen kunnen per bedrijf verschillen.

Een webwinkel kan bijvoorbeeld willen voorkomen dat een agent zelfstandig bestellingen plaatst of afrekent zonder dat duidelijk is of de klant de aankoop daadwerkelijk heeft goedgekeurd. Een luchtvaartmaatschappij kan bezorgd zijn over geautomatiseerde boekingen, wijzigingen of annuleringen. Telecombedrijven kunnen willen voorkomen dat software zonder voldoende controle abonnementen wijzigt of toegang krijgt tot gevoelige klantgegevens.

Ook platforms die afhankelijk zijn van menselijke interactie, gebruikersbijdragen of specifieke gebruiksvoorwaarden kunnen bezwaar maken tegen agenten die hun websites op grote schaal geautomatiseerd bedienen.

Hiermee ontstaat een bredere discussie over de vraag wie bepaalt hoe AI-systemen toegang mogen krijgen tot online diensten: de gebruiker die de agent opdracht geeft, de ontwikkelaar van de agent of de organisatie die de betreffende dienst aanbiedt.

Waarom banken extra voorzichtig zijn

Bij een gewone website kan een ongewenste AI-handeling bijvoorbeeld leiden tot een verkeerde bestelling of een ongewenste wijziging van een reservering. Bij een bankrekening kunnen de gevolgen veel ernstiger zijn.

Er zijn verschillende risico's waarmee banken rekening moeten houden.

1. Onbedoelde transacties

Een AI-agent kan een opdracht verkeerd interpreteren, een verkeerde ontvanger selecteren of een actie uitvoeren die de gebruiker niet werkelijk bedoelde.

Zelfs als een agent doorgaans goed functioneert, kan één fout bij een financiële transactie aanzienlijke gevolgen hebben.

2. Misbruik van toegangsrechten

Wanneer een agent toegang krijgt tot een bankrekening, kunnen de gevolgen afhangen van de rechten die hij heeft gekregen. Als de agent meer bevoegdheden bezit dan noodzakelijk, kan een fout of beveiligingsincident grotere schade veroorzaken.

Daarom is het verstandig om toegang te beperken tot wat daadwerkelijk nodig is.

3. Diefstal van inloggegevens

AI-agenten die via een browser werken, kunnen in bepaalde omstandigheden omgaan met sessies, cookies of andere gegevens die toegang geven tot een account. Wanneer dergelijke gegevens onvoldoende worden beschermd, kunnen ze een aantrekkelijk doelwit vormen voor kwaadwillenden.

Dit risico is niet uniek voor AI, maar automatisering kan de gevolgen van een gecompromitteerde toegang versnellen of vergroten.

4. Onduidelijkheid over verantwoordelijkheid

Stel dat een AI-agent zelfstandig een bedrag overmaakt terwijl de gebruiker dacht dat de agent alleen informatie zou verzamelen. Wie is dan verantwoordelijk?

Het antwoord kan afhangen van de gegeven toestemming, de technische inrichting, de toepasselijke gebruiksvoorwaarden en de omstandigheden van het incident. Het is dus niet vanzelfsprekend dat de gebruiker, de bank of de aanbieder van de AI-agent in alle gevallen aansprakelijk is.

5. Problemen met fraudedetectie

Banken gebruiken beveiligingssystemen om verdachte transacties en ongebruikelijke inlogpogingen te herkennen. Als AI-agenten steeds meer op menselijke gebruikers gaan lijken, kunnen deze systemen moeilijker onderscheid maken tussen normale activiteiten en geautomatiseerde handelingen.

Tegelijkertijd kan juist de grote snelheid waarmee agenten taken uitvoeren nieuwe mogelijkheden bieden om fraude op te sporen. De technologie kan dus zowel extra risico's als nieuwe beveiligingsmogelijkheden opleveren.

Betekent dit dat AI nooit toegang zal krijgen tot bankrekeningen?

Nee. Het is onwaarschijnlijk dat de ontwikkeling zich uitsluitend zal richten op het volledig blokkeren van AI-agenten. Een waarschijnlijker scenario is dat financiële instellingen onderscheid gaan maken tussen toegestane en niet-toegestane toepassingen, met strengere voorwaarden voor handelingen die direct invloed hebben op geld.

Een AI-assistent zou bijvoorbeeld kunnen helpen bij het maken van een budget, het herkennen van terugkerende abonnementen, het analyseren van uitgaven of het signaleren van ongebruikelijke betalingen.

Voor dergelijke toepassingen kan toegang tot rekeninggegevens voldoende zijn. Zodra de agent daadwerkelijk geld wil overmaken of een betaling wil goedkeuren, kunnen aanvullende controles nodig zijn.

Denk bijvoorbeeld aan:

• Expliciete toestemming voordat een transactie wordt uitgevoerd.

• Een afzonderlijke bevestiging door de rekeninghouder voor belangrijke betalingen.

• Een limiet op bedragen die een agent zelfstandig mag verwerken.

• Beperkte toegang tot specifieke gegevens en functies.

• Een controleerbaar overzicht van alle opdrachten en uitgevoerde handelingen.

• Een mogelijkheid om de toegang van de agent onmiddellijk in te trekken.

Dit soort maatregelen kan helpen om AI-agenten bruikbaar te maken zonder onbeperkte toegang tot financiële middelen toe te staan.

De uitdaging is om een werkbare balans te vinden tussen gebruiksgemak, veiligheid en controle. Als iedere handeling handmatig moet worden goedgekeurd, verdwijnt een deel van het voordeel van automatisering. Maar als een agent zonder duidelijke grenzen kan handelen, kunnen fouten of misbruik veel grotere gevolgen hebben.

Wat betekent dit voor consumenten?

Voor consumenten is vooral van belang dat toegang tot informatie niet hetzelfde is als toestemming om geld te verplaatsen.

Wie een AI-agent gebruikt om persoonlijke administratie te vereenvoudigen, doet er verstandig aan na te gaan welke rechten de toepassing daadwerkelijk krijgt en hoe deze met gevoelige gegevens omgaat.

Het is bijvoorbeeld verstandig om te controleren:

• Of de agent gebruikmaakt van een officiële koppeling die door de bank wordt ondersteund.

• Of de toepassing alleen gegevens kan lezen of ook transacties kan uitvoeren.

• Of voor financiële handelingen expliciete bevestiging vereist is.

• Welke gegevens worden opgeslagen en met wie ze worden gedeeld.

• Hoe de toegang kan worden ingetrokken wanneer de gebruiker de agent niet langer wil gebruiken.

Het is ook belangrijk om niet zomaar bankwachtwoorden of verificatiecodes aan een AI-agent te verstrekken. Een toepassing die beweert namens de gebruiker te kunnen handelen, heeft daarmee niet automatisch recht op onbeperkte toegang tot diens rekening.

Banken kunnen bovendien eigen voorwaarden hanteren voor het gebruik van geautomatiseerde software. Het is daarom verstandig om niet alleen te kijken naar wat een AI-agent technisch kan, maar ook naar wat de bank daadwerkelijk toestaat.

Door: Drifter