Bank of America、AIに口座情報共有禁じる

この警告は、消費者や企業が口座監視、請求書支払い、経費追跡、財務報告といった定型的な金融業務の自動化を進める中で出された。既存サービスの多くはAIによるアクセスを想定しておらず、場合によっては唯一の連携方法が認証情報でウェブサイトに直接ログインすることであり、まさにバンク・オブ・アメリカが警告している行為だ。

同行の懸念の中心は可視性にある。認証情報を共有すると、金融機関は誰が、あるいは何が口座にアクセスしているかを十分に把握できなくなる。それにより不正調査が複雑になり、口座が侵害された場合に責任をめぐる紛争が生じる可能性もある。AIエージェントの自律性が高まるにつれ、認証情報の悪用が及ぼす影響も大きくなり、AIプラットフォーム、ブラウザ拡張機能、自動化ワークフローの一つが侵害されるだけで、攻撃者が金融システム、顧客データ、企業資金に直接アクセスできてしまう。

1Passwordのエージェント認証モデルのような新たな手法は、認証と自動化を分離し、エージェントが基盤となるパスワードを見たり保存したりしない中間的な道筋を示している。セキュリティ専門家は、これが銀行口座のような高価値システムに対する無制限の推奨ではないと指摘するが、リスクの低いシナリオには適する可能性がある。例えば、API連携のないレガシーなウェブアプリケーションとAIエージェントがやり取りしなければならない中小企業などだ。それでも、認証情報分離技術がすべての問題を解決するわけではない。組織はエージェントの動作を信頼し、最小権限アクセスを徹底し、活動を監視する必要があり、企業は生産性の向上と機密システムに対する厳格な管理のバランスを取ることが求められる。