Крупные американские банки находят в клиентских аккаунтах сторонних ИИ-агентов, и часть из них пытается взломать систему. С проблемой уже разбираются Morgan Stanley, Bank of America, JPMorgan и Wells Fargo.
Что происходит в банках
Чаще всего агент попадает в аккаунт легально: клиент сам отдаёт ему логин и пароль, чтобы разобраться с рутиной, но даже с согласия клиента это нарушает правила большинства банков, где входить в аккаунт должен человек.
Дальше агенты иногда выходят за рамки задачи. Банки фиксируют, что они сами звонят в колл-центры, и опасаются несанкционированных переводов. Подтверждённых потерь денег Axios при этом не приводит.
Руководители банков назвали ситуацию ужасающей. Главная проблема в том, что банк не может отличить агента, которого подключил клиент, от агента, который получил доступ без спроса.
Как реагируют банки:
- Morgan Stanley блокирует сторонних агентов, хотя представитель банка заявил, что «агентов-самозванцев» на платформах не видел
- JPMorgan, Bank of America и Citi ограничивают агентам доступ
- большинство банков разрешает или собирается разрешить агентам только read-only: смотреть баланс и операции без права двигать деньги, как сейчас у приложений для бюджета
JPMorgan определился ещё 13 октября. На отчёте за третий квартал Джейми Даймон сказал, что банк не пустит внутрь любого внешнего агента: это слишком рискованно и для клиентов, и для самого банка. По данным CNBC, под ограничения попали Muse от Meta* и Instinct стартапа Spear Street Technology, который в прошлом месяце оценили в $10 млрд. Читать баланс через коннекторы вроде Plaid агенты могут. Переводить деньги и оплачивать счета не могут.
Ответственность банк тоже обозначил: если клиент отдал агенту логин, а тот сделал что-то не то, отвечает клиент. Параллельно JPMorgan тестирует собственный ИИ-инструмент Smart Cash. Он прогнозирует денежный поток клиента и сам перекладывает деньги ради доходности.
Читают прямо сейчас:
10 бесплатных инструментов, чтобы пентестить своё приложение — легально взламываем себя, пока этого не сделали агенты
Harness для ИИ-агента: как устроен и как собрать — из чего собрать агенту руки, глаза и самопроверку
Как собрать мультиагентную систему из оркестратора и субагентов — как оркестратор делегирует задачи субагентам и экономит ресурсы
«Чёрный октябрь»
Новость про банки вышла на фоне недели, которую в сети уже называют «чёрным октябрём». ИИ-агенты оказались в ней по обе стороны:
- Microsoft: китайская группировка Storm-0940 с сентября автоматизировала атаки на сотни организаций через агентный фреймворк для пентеста ARTEX. Атака дотянулась до 2250+ тенантов Microsoft 365, скорость доходила до 2900 попыток входа в минуту.
- CrowdStrike: четыре ранее неизвестные группы использовали ИИ-агентов во взломах с мая по август и обходили защиту коммерческих моделей. Одна из них взломала минимум 15 медицинских организаций в Аргентины. Работали на неё два агента Claude Code: один выбирал задачи, второй их выполнял.
- PHP2Shell: две критические уязвимости в PHP (CVE-2026-109618 и CVE-2026-109619, CVSS 9.2) больше десяти лет лежали в коде, пока их не нашли с помощью ИИ. По данным Cloudflare, за 10 часов до раскрытия было несколько тысяч попыток эксплуатации, а после раскрытия счёт пошёл на миллионы.
- Цепочка поставок: LiteLLM 1.107.0 попал на PyPI и Docker Hub со стилером ключей AI-провайдеров. Railway предупредил о возможной утечке расшифрованных переменных окружения. Zeabur закрывается 31 декабря после утечки 321 810 аккаунтов и 3,2 млн записей с переменными.
Не всё здесь про ИИ. Zeabur и LiteLLM взломали через ключи в открытом виде и украденные токены.
Что делать разработчику
Если вы пишете агента, которому нужен доступ к деньгам, не стройте его на логине и пароле пользователя. Крупные банки таких агентов уже блокируют, а ответственность перекладывают на клиента. Закладывайтесь на read-only через официальные API и агрегаторы.
Если у вас что-то крутится в этом стеке, проверьте сегодня:
- LiteLLM: нет ли у вас версии 1.107.0; если есть, смените ключи AI-провайдеров
- Railway и Zeabur: ротируйте переменные окружения, API-ключи и пароли от баз
- PHP: обновитесь до 8.5.12, 8.4.27, 8.3.36 или 8.2.35
- GitLab и Node.js: поставьте свежие патчи безопасности
Как банки будут отличать клиента от его агента, пока не знает никто, включая сами банки.
*Meta признана экстремистской организацией и запрещена в России.
Скидка на все курсы Практикума
Раз вы дочитали эту новость до конца, с технологиями у вас всё в порядке. А если давно присматривались к разработке, аналитике, нейросетям, тестированию или кибербезопасности, сейчас туда можно зайти дешевле.
Промокод KOD (можно просто нажать) даст скидку на любой платный курс! А если пока не готовы покупать курс, у Практикума есть бесплатные вводные части.
