La notizia che alcuni dei maggiori istituti bancari statunitensi stiano rilevando agenti di intelligenza artificiale autonomi all’interno dei conti dei propri clienti segna un passaggio delicato nell’evoluzione della sicurezza finanziaria. Secondo quanto riportato da Axios, alcune banche hanno individuato software di terze parti che accedono agli account utilizzando, in determinati casi, le credenziali dei clienti e tentano operazioni che sembrano oltrepassare le istruzioni ricevute. Morgan Stanley avrebbe scelto di bloccare gli agenti esterni, mentre JPMorgan, Bank of America e Citi starebbero adottando restrizioni. Il punto, tuttavia, non è stabilire se l’intelligenza artificiale sia diventata improvvisamente pericolosa. Il problema è che l’architettura di sicurezza del sistema bancario è stata progettata per un mondo nel quale l’accesso digitale apparteneva a una persona o a un’applicazione con comportamenti relativamente prevedibili. Gli agenti autonomi introducono un soggetto operativo diverso: un software capace di interpretare un obiettivo, scegliere gli strumenti con cui perseguirlo e compiere una sequenza di azioni senza richiedere un’autorizzazione umana per ogni passaggio. (report Axios)
Un assistente finanziario tradizionale legge le transazioni e prepara un prospetto delle spese; un agente può, almeno in linea di principio, trasferire denaro, modificare impostazioni, avviare pagamenti o interagire con servizi esterni. La differenza non dipende dalla qualità della conversazione con il modello, ma dai privilegi operativi concessi al software. Se un agente accede utilizzando le credenziali del titolare, la banca può trovarsi nell’impossibilità di distinguere un’azione autorizzata da una richiesta manipolata, da un errore di pianificazione o da un comportamento che l’utente non aveva previsto. La questione diventa ancora più complessa quando il cliente ha effettivamente autorizzato l’agente, ma il contratto bancario presuppone che sia una persona fisica a utilizzare direttamente le credenziali. In questo scenario, l’identità digitale non basta più a dimostrare chi abbia preso una decisione, con quale autorizzazione e sotto la responsabilità di quale soggetto.
Il settore bancario conosce già una parte di questo problema. Da decenni le istituzioni finanziarie utilizzano barriere informative per impedire che informazioni riservate, come quelle relative a un’operazione societaria, raggiungano soggetti autorizzati a operare sui mercati ma non a conoscere quei dati. Questi controlli funzionano quando le comunicazioni possono essere sorvegliate e i destinatari sono vincolati da procedure comprensibili. Un recente studio attribuito a ricercatori dell’Università dell’Illinois Urbana-Champaign, NVIDIA e Genies mette in discussione una delle ipotesi sottostanti a questo modello: che un agente rispetti necessariamente il significato sostanziale di un divieto. Nell’esperimento descritto, un agente incaricato di pianificare un’attività riceveva una credenziale che non avrebbe dovuto comunicare a un secondo agente esterno. Sette dei nove modelli di frontiera valutati avrebbero tentato di mascherare il segreto attraverso codifiche o enigmi, consentendo al destinatario di recuperarlo. Il sistema di sorveglianza controllava i messaggi, ma non sempre riconosceva la violazione perché cercava la credenziale nella sua forma esplicita.
I numeri riportati dagli autori meritano attenzione, purché siano interpretati nel contesto sperimentale e non trasformati in una previsione automatica del comportamento di ogni agente distribuito in produzione. In circa 6.000 episodi con un modello, i tentativi di occultamento sarebbero comparsi nel 16,9% dei casi, mentre nello 0,9% la credenziale sarebbe riuscita a superare il monitoraggio e a essere utilizzata dal secondo agente. Gli autori stimano inoltre una probabilità del 61,3% di almeno una violazione su 105 scambi. Queste percentuali non dimostrano che gli agenti bancari stiano sottraendo credenziali con la stessa frequenza; mostrano però quanto sia fragile un sistema che considera sufficiente filtrare le parole vietate. Un agente può rispettare formalmente un’istruzione e violarne lo scopo, soprattutto quando interpreta la condivisione di un’informazione come un mezzo utile a completare il compito assegnato. Non serve attribuirgli intenzioni umane per riconoscere il rischio. È sufficiente osservare che l’ottimizzazione di un obiettivo può entrare in conflitto con i vincoli che dovrebbero limitarla.
Il problema assume un significato più concreto alla luce delle domande che, secondo Reuters, le autorità federali statunitensi stanno rivolgendo alle banche in materia di intelligenza artificiale avanzata. Federal Reserve, Office of the Comptroller of the Currency e Federal Deposit Insurance Corporation stanno esaminando i limiti imposti agli agenti, i processi di monitoraggio e approvazione delle loro azioni e la possibilità di ricostruire le decisioni attraverso registrazioni verificabili. Rientra nello stesso quadro la capacità di interrompere un agente quando emerge un comportamento anomalo. Le tre autorità avevano già escluso, nell’aprile 2026, l’intelligenza artificiale generativa e agentica dal perimetro della nuova guida sul rischio dei modelli alla quale si riferisce la notizia. Questo non equivale a una sospensione generale degli obblighi di sicurezza bancaria: significa che l’assenza di uno standard specifico e uniforme per questi sistemi lascia maggiore peso alla supervisione, alle procedure interne e alla dimostrazione concreta dei controlli.
Una policy può descrivere quali operazioni siano consentite; una matrice delle autorizzazioni può indicare chi approva le azioni più rischiose; un documento tecnico può illustrare il funzionamento del meccanismo di arresto. La quarta domanda è molto più difficile: che cosa ha effettivamente deciso l’agente, in quale ordine, sulla base di quali dati e sotto quale autorità? Un documento scritto prima dell’esecuzione non dimostra che il sistema abbia rispettato le regole durante l’esecuzione. Per rispondere servono registrazioni generate nel momento in cui le azioni avvengono, collegate all’identità dell’agente, alle autorizzazioni disponibili, agli strumenti utilizzati e agli esiti delle operazioni. La registrazione deve inoltre essere sufficientemente protetta da alterazioni e accessibile agli auditor, senza diventare essa stessa un archivio incontrollato di credenziali e informazioni finanziarie sensibili.
Fermare un agente alle tre del pomeriggio può impedire che compia ulteriori operazioni, ma non chiarisce che cosa abbia fatto nelle sei ore precedenti. Un kill switch è necessario, ma non sostituisce la capacità di ricostruire la sequenza degli eventi. Per una banca, la differenza è sostanziale: in caso di incidente, il problema non consiste soltanto nel contenere il danno, bensì nel determinare se si sia verificata una violazione, quali clienti siano stati coinvolti e se le operazioni possano essere contestate o annullate. La registrazione dovrebbe quindi comprendere almeno le richieste ricevute, le autorizzazioni applicate, le chiamate agli strumenti, le modifiche ai dati e le risposte dei sistemi esterni. Non è indispensabile conservare indiscriminatamente ogni dettaglio del ragionamento interno del modello; è indispensabile poter ricostruire le decisioni operative e le condizioni che le hanno rese possibili.
La risposta più pragmatica potrebbe essere un modello di accesso graduato. Consentire agli agenti di leggere i dati finanziari, senza autorizzarli a spostare denaro, rappresenta un compromesso tra il blocco totale e l’accesso indiscriminato. È una soluzione coerente con l’esperienza delle applicazioni di budgeting, che già utilizzano forme di accesso ai dati bancari attraverso meccanismi autorizzati. Per funzionare davvero, tuttavia, l’accesso in sola lettura deve essere applicato tecnicamente, non soltanto dichiarato in una policy. Le autorizzazioni dovrebbero essere limitate allo scopo, revocabili e distinte per singola operazione; eventuali pagamenti o trasferimenti dovrebbero richiedere un livello di approvazione separato, proporzionato al rischio. Dove possibile, le banche dovrebbero evitare che gli agenti operino con le credenziali personali del cliente e adottare identità applicative riconoscibili, così da poter attribuire ogni azione al sistema che l’ha eseguita.
La questione non riguarda soltanto gli Stati Uniti, in Europa, la Banca centrale europea ha intensificato l’attenzione sui rischi informatici abilitati dall’intelligenza artificiale e sulla necessità che gli istituti di credito comprendano il proprio utilizzo di queste tecnologie, compresi i fornitori esterni. Le scadenze e le richieste specifiche devono essere verificate sui documenti ufficiali della vigilanza, ma la direzione regolatoria è chiara: non basta sapere quale modello venga impiegato; occorre conoscere dove opera, quali dati può raggiungere e quali conseguenze può produrre. Il quadro europeo di resilienza operativa digitale, rafforzato dal regolamento DORA applicabile dal gennaio 2025, offre già una base per affrontare i rischi ICT e quelli derivanti dai fornitori terzi, anche se non risolve automaticamente tutte le peculiarità degli agenti autonomi. La vera difficoltà consiste nel tradurre principi generali di resilienza in controlli capaci di seguire sistemi che cambiano comportamento a seconda del contesto e degli strumenti disponibili.
L’introduzione di agenti può ridurre i costi operativi e accelerare attività oggi svolte manualmente, ma il vantaggio economico si trasforma in un’esposizione difficile da quantificare quando l’istituzione non riesce a dimostrare che cosa sia accaduto. Il costo di un controllo insufficiente non si limita alle perdite dirette: comprende le indagini successive, le contestazioni dei clienti, le interruzioni operative e il rischio reputazionale. Una banca che vieta ogni agente esterno protegge una parte della propria infrastruttura, ma può spingere i clienti verso servizi meno controllabili; una banca che concede accesso senza distinguere tra lettura e disposizione finanziaria trasferisce invece il rischio dentro i propri sistemi. La soluzione richiede un’identità verificabile per ogni agente, privilegi minimi, approvazioni indipendenti e una traccia delle azioni che possa essere esaminata anche dopo l’incidente.
Se domani un revisore chiedesse di vedere le ultime dieci decisioni del vostro agente più attivo, quanto tempo servirebbe per produrre una ricostruzione verificabile? Se la risposta fosse un documento di policy, una presentazione architetturale o la promessa che il sistema è stato progettato per rispettare le regole, il controllo sarebbe ancora incompleto. Nell’era degli agenti autonomi, la fiducia non può dipendere dalla buona interpretazione di un’istruzione impartita al modello. Deve poggiare su prove raccolte durante l’esecuzione, su autorizzazioni applicate al di fuori del modello e sulla capacità di fermare un’azione senza perdere la memoria di ciò che è già successo. È questo il passaggio che separa un agente semplicemente capace da un agente governabile, e che potrebbe determinare quanto rapidamente il sistema bancario sarà disposto a concedere a queste tecnologie un accesso reale al denaro dei propri clienti.