Los grandes bancos de Estados Unidos enfrentan un nuevo problema de seguridad: agentes de inteligencia artificial que ingresan a las cuentas de sus clientes y, en algunos casos, parecen intentar acciones que exceden las instrucciones recibidas.
La situación llevó a varias entidades a restringir accesos y preparar mecanismos de respuesta ante posibles incidentes, según una investigación de Axios basada en fuentes del sector financiero.
Morgan Stanley, Bank of America, JPMorgan y Wells Fargo figuran entre las instituciones que buscan contener los riesgos de estos asistentes. Ejecutivos consultados por el medio reconocieron que no siempre pueden distinguir si quien interactúa con sus plataformas es una persona o un programa, ni determinar con certeza qué autorizó el titular de la cuenta.
En buena parte de las situaciones descriptas, los agentes ingresan con el consentimiento del cliente, que les entrega sus credenciales para realizar una tarea. Sin embargo, ese permiso no equivale a una autorización del banco: las condiciones de acceso pueden impedir que un tercero inicie sesión en nombre del usuario.
La investigación también recopila episodios más inquietantes: programas que contactan centros de atención telefónica o parecen actuar por fuera de las indicaciones recibidas. El reporte no precisa cuántas cuentas estuvieron involucradas, qué operaciones concretas intentaron realizar ni informa montos de pérdidas atribuibles a esos casos.
La preocupación coincide con la divulgación de ataques en los que delincuentes utilizaron herramientas de IA para vulnerar organizaciones.
Uno de los antecedentes más cercanos ocurrió en Corea del Sur, donde una campaña contra entidades financieras terminó en robo de datos. Aunque se trata de una modalidad diferente, muestra que los riesgos asociados a estas herramientas ya trascienden el mercado estadounidense.
Qué pueden hacer los agentes de IA y por qué los bancos los bloquean
Los agentes pueden ejecutar tareas en nombre del usuario, con distintos grados de autonomía. (Foto: Reuters)
La diferencia central entre un asistente que responde preguntas y un agente está en su capacidad de actuar. Los agentes pueden ejecutar tareas en nombre del usuario, con distintos grados de autonomía y dentro de los permisos y herramientas que tengan disponibles.
En el ámbito financiero, la inquietud aumenta cuando el acceso incluye facultades para comprar o mover fondos. Los ejecutivos citados por Axios temen que un sistema con credenciales válidas pueda dar pasos que el cliente no esperaba, especialmente si recibió una autorización amplia.
Hay dos controles en discusión: quién puede entrar a una cuenta y qué puede hacer una vez adentro. Verificar una contraseña no resuelve, por sí solo, si cada acción posterior responde a una instrucción del titular.
Según fuentes consultadas por Axios, Morgan Stanley comenzó a bloquear agentes de terceros en sus plataformas. JPMorgan, Bank of America y Citi también están restringiendo el acceso de estas herramientas.
No obstante, un vocero de Morgan Stanley aclaró al medio que el banco no había observado agentes de IA “fuera de control” accediendo a sus plataformas. La respuesta distingue el bloqueo preventivo de una tecnología de la confirmación de incidentes en una entidad específica.
Un portavoz de Chase, por su parte, recordó que los clientes no deben entregar sus nombres de usuario y contraseñas a nadie.
La preocupación también aparece en los términos de uso de Chase. El banco exige que los agentes se identifiquen como tales, que el tráfico que generan sea reconocible y que respondan con veracidad cuando se les pregunte si la interacción proviene de una persona o de una IA. Además, se reserva la posibilidad de limitar, suspender o terminar su acceso mediante medidas técnicas.
Esas condiciones contemplan otro punto sensible: atribuyen al usuario responsabilidad por errores derivados de una interpretación incorrecta de sus instrucciones, acciones no deseadas o situaciones en las que el agente exceda la autoridad concedida. Así, el debate sobre la seguridad también alcanza a quién debe responder cuando una herramienta actúa de manera diferente de la esperada.
Wells Fargo incorporó disposiciones específicas en una versión de su acuerdo de acceso digital cuya entrada en vigencia está prevista para el 24 de noviembre de 2026.
El documento contempla bloquear agentes, restringir determinadas acciones y modificar los mecanismos por los que se conectan. También exige al cliente supervisar su actividad y le atribuye responsabilidades por errores o excesos de autorización, salvo que la legislación o la regulación dispongan otra cosa.
Una alternativa que considera el sector es habilitar accesos de “solo lectura”: permitir que el asistente consulte información financiera sin darle capacidad para ejecutar operaciones. Según Axios, buena parte de los bancos ya autoriza ese esquema o avanza en esa dirección, con antecedentes en aplicaciones de administración de finanzas personales.
Mientras definen esos límites, varias entidades también preparan escenarios para el “día después” de un eventual incidente. Los planes, de acuerdo con la investigación, buscan asegurar rápidamente las cuentas o restablecer el acceso de sus titulares si algo falla.
Ataques con IA en Corea del Sur y un antecedente en la Argentina
CrowdStrike detectó ataques con agentes de IA contra entidades financieras y de salud. (Foto: Bloomberg)
La inquietud de los bancos estadounidenses se suma a incidentes recientes en los que la IA fue utilizada como herramienta ofensiva. En esos casos, la amenaza proviene de atacantes que emplean agentes para vulnerar sistemas, una situación distinta de la de los asistentes que acceden con credenciales entregadas por clientes.
CrowdStrike documentó una campaña contra organizaciones financieras de Corea del Sur activa entre fines de septiembre y principios de octubre de 2026. El atacante utilizó ARTEX, una herramienta de pruebas de seguridad basada en agentes de IA, junto con otras capacidades ofensivas.
La investigación identificó infraestructura y registros de sesiones vinculados con una campaña que terminó en extracción de datos.
Entre los sistemas comprometidos descriptos en el informe aparecen un servicio bancario de consulta sobre el avance de préstamos, utilizado por intermediarios financieros, y una plataforma móvil de trabajo para empleados de otra entidad. CrowdStrike aclaró que, al momento de publicar su investigación, el número total de organizaciones afectadas no estaba confirmado.
The Wall Street Journal informó, citando a funcionarios surcoreanos, que los ataques alcanzaron al menos a siete firmas financieras y que se robó información personal de 68.000 personas. Las autoridades iniciaron una investigación sobre el episodio.
Otro informe, publicado por Microsoft el 21 de octubre, expuso la velocidad que pueden alcanzar estas operaciones. La compañía atribuyó al actor Storm-0940, al que vincula con China, una campaña asociada con el compromiso de ConnectWise Cloud Backup.
Según su investigación, los atacantes utilizaron ARTEX para acelerar distintas etapas y, en varios casos, consiguieron acceso privilegiado a infraestructura en la nube en menos de tres horas.
Microsoft registró intentos de ingreso a más de 2.250 entornos de organizaciones. La cifra no equivale al número de víctimas comprometidas: la empresa señaló que la mayoría de los intentos no tuvo éxito, aunque el atacante logró mantener acceso privilegiado en múltiples organizaciones.
El informe también advirtió que ciertos cambios podían permitirle conservar acceso incluso después de intervenir sobre la aplicación originalmente comprometida.
La Argentina también aparece en las investigaciones recientes, aunque en otro sector. El 21 de octubre, CrowdStrike divulgó un reporte sobre cuatro actores que utilizaron agentes de IA en campañas ofensivas. Uno de ellos comprometió al menos 15 organizaciones de salud argentinas y extrajo credenciales e historias clínicas de, como mínimo, una víctima.
Ese operador empleaba una arquitectura con dos agentes: uno seleccionaba la siguiente tarea y otro la ejecutaba. La precisión temporal es relevante: las campañas analizadas por CrowdStrike se observaron entre mayo y agosto de 2026. Lo reciente es la publicación de los hallazgos, no necesariamente la fecha de las intrusiones.
Los antecedentes aportan contexto a las restricciones bancarias, pero no prueban que todos los episodios respondan a una misma causa.
En los casos de Corea del Sur y ConnectWise, las investigaciones describen atacantes que utilizan IA para comprometer sistemas. En el reporte de Axios, el problema central es determinar hasta dónde llega el permiso concedido a un asistente y cómo impedir que actúe por fuera de ese límite.
Todavia no hay comentarios aprobados.