Судя по предупреждениям, которые банки уже рассылают клиентам, главное правило нового времени звучит так: не давайте ИИ-ассистентам логины и пароли от интернет-банка. Похоже на очередную памятку из отдела безопасности — и только. Но за ней прячется история покрупнее: агентный ИИ уже умеет распоряжаться деньгами, а финансовая система так и не придумала, как делегировать ему полномочия и кто ответит, когда он ошибётся. Разбираемся, почему простой запрет ничего не решит и какие механизмы агентного доверия уже лежат на чертёжной доске.
Юридическая модель банка неприлично проста: кто ввёл логин и пароль, тот и владелец счёта. Все операции — от его имени и по его воле. Эта фикция десятилетиями держалась на одном: за паролем всегда стоял человек.
Агент ломает конструкцию целиком. Ассистент вводит ваши реквизиты — но чью волю он при этом выражает? Оплатил не тот счёт? Попался на фишинговую страницу? Задублировал платёж? Для банка всё это неотличимо от ваших собственных действий: операция авторизована, спорить не с чем. Отдав пароль «умному помощнику», вы фактически подписали доверенность — без границ, без срока и, что хуже всего, без адресата. Спросить в итоге не с кого.
За предупреждениями стоит не консерватизм, а механика защиты от мошенничества. Во многих юрисдикциях банк компенсирует несанкционированные операции. Но операция, совершённая с вашим паролем, санкционирована по определению — и компенсация не положена. Передавая учётные данные сторонней программе, клиент своими руками выбрасывает собственную страховку.
Дальше — комплаенс. Законодательство о противодействии отмыванию денег требует, чтобы счётом распоряжался идентифицированный клиент, а не безымянная программа. Отсюда стандарты сильной клиентской аутентификации с двумя независимыми факторами, где пароль — лишь половина входа. Агент, которому вручили логин, второй фактор не пройдёт. И это, строго говоря, система работает ровно как задумано.
Поэтому-то агенты пока в основном живут в демо-режиме. Открыть сайт, собрать корзину, заполнить форму — умеют. А на шаге подтверждения их останавливает второй фактор, тот самый код из SMS. Если же пароли отданы целиком, останавливать уже некому.
Инженерный ответ звучит на удивление старомодно: делегирование полномочий. Логика OAuth, на которой стоит кнопка «войти через…», переезжает в мир агентов — ассистенту выдают не пароль, а ограниченный токен с формулой вроде «разрешаю оплатить до такой-то суммы в таком-то магазине».
Крупные платёжные системы, судя по всему, присматриваются к платежам для ИИ-агентов: обсуждаются схемы, при которых агент регистрируется, привязывается к карте или кошельку и работает через токенизированные учётные данные вместо реквизитов. Проектируются и отдельные протоколы агентных платежей — в них, как ожидают, согласие пользователя фиксируется на каждом шаге, от намерения до списания.
Параллельно складывается понятие «идентичность агента»: не просто ваш логин, а подписанный сертификат. Кто разработчик, чей владелец, какие лимиты. Цель — чтобы банк видел не абстрактного «владельца счёта», а «агента, действующего от имени клиента с такими-то полномочиями». Тогда у страховки, споров и возвратов появляется адресат. Это и есть та самая архитектура доверия, без которой агентный ИИ так и останется выставочным экспонатом.
В России конфликт выглядит похоже, но с локальной спецификой. Крупные российские банки развивают собственных ИИ-ассистентов, и агентные сценарии, как ожидают, будут приживаться прежде всего внутри их экосистем: банк сам контролирует и данные, и сценарий, так что доверенность технически реализуется проще. Но и у нас передача логина и пароля стороннему ассистенту, судя по всему, противоречит правилам обслуживания.
Сильная сторона — государственная инфраструктура доверия, которой на Западе в таком виде нет: единая биометрическая система для удалённой идентификации, подтверждение операций в приложении, СБП с обязательным подтверждением каждого перевода. Есть и ведомственный обмен данными о мошеннических операциях между банками под контролем ЦБ. Агентный ИИ в эти механизмы пока не вписан, но каркас для ответа на вопрос «кто именно совершил операцию» уже стоит.
Ограничение, правда, очевидно: зарубежные агентно-платёжные протоколы, как ожидают, напрямую в российской инфраструктуре не заработают — стандарты для ИИ-агентов, вероятно, придётся разрабатывать самостоятельно. Наиболее вероятная связка — регулятор, платёжная система и крупные банковские экосистемы.
Предостережения банков — не война с технологиями, а честное признание: модель «пароль = человек» не выдерживает встречи с программой, которая действует сама. Автономные помощники выйдут из демо-режима не тогда, когда поумнеют, а тогда, когда получат собственные удостоверения, признаваемые банками, и жёсткие пределы полномочий. Пока этого нет, разумная линия, судя по всему, неизменна: агент может советовать, считать и заполнять формы — но последнее слово, как и пароль, остаётся у человека.