Tóm tắt nhanh
- JPMorgan Chase không cho AI agent bên ngoài đăng nhập bằng thông tin ngân hàng của khách hàng hoặc tự thay họ giao dịch; một số dữ liệu như số dư vẫn có thể được chia sẻ chỉ đọc qua dịch vụ Open Banking được khách hàng cho phép.
- Charles Schwab cho biết hệ thống chặn các agent lớn hàng chục lượt mỗi tuần; Wells Fargo cũng đã chặn agent không được phép.
- Khi bot dùng đúng tên đăng nhập và mật khẩu của chủ tài khoản, ngân hàng khó phân biệt nó với một kẻ tấn công. Cấp quyền quá rộng còn khiến trách nhiệm khi xảy ra giao dịch sai trở nên phức tạp.
- Người dùng nên tránh đưa mật khẩu, OTP hoặc quyền Trợ năng cho agent; tại Việt Nam, xác thực sinh trắc học là một lớp chặn, không thay thế việc bảo vệ thông tin đăng nhập.
JPMorgan Chase chặn AI agent bên ngoài đăng nhập bằng thông tin khách hàng và chuyển tiền thay họ, bởi với hệ thống ngân hàng, bot được chủ tài khoản cho phép và kẻ tấn công có cùng mật khẩu có thể trông như một danh tính. Đây không đơn thuần là chuyện mô hình AI đôi lúc làm sai: cơ chế đăng nhập hiện tại không cho ngân hàng biết ai đang điều khiển phiên giao dịch.
Mật khẩu dùng chung khiến ngân hàng khó nhận ra ai đang thao tác
AI agent được thiết kế để thực hiện việc thay người dùng, từ tìm thông tin đến thao tác trên ứng dụng. Nhưng nếu muốn nó đăng nhập vào ngân hàng bằng tên người dùng và mật khẩu, chủ tài khoản đã trao cho phần mềm một chìa khóa có quyền rộng hơn nhiều so với một yêu cầu đơn lẻ như xem số dư.
JPMorgan cho biết họ không cho bên thứ ba lấy thông tin đăng nhập của khách hàng để vào tài khoản và hành động thay họ. Ngân hàng vẫn hỗ trợ chia sẻ dữ liệu do khách hàng cho phép qua các nhà cung cấp Open Banking: agent có thể xem một số thông tin, chẳng hạn số dư, ở chế độ chỉ đọc, nhưng không được chuyển tiền hay thanh toán hóa đơn. Ranh giới này quan trọng vì quyền đọc dữ liệu không đồng nghĩa với quyền ra lệnh cho tài khoản.
Vấn đề cốt lõi là danh tính và phạm vi quyền. Ted Miracco, CEO hãng bảo mật di động Approov, lưu ý ngân hàng không thể phân biệt agent được ủy quyền với kẻ tấn công nếu cả hai dùng cùng thông tin đăng nhập. Khi agent chưa có danh tính có thể xác minh, quyền truy cập giới hạn theo từng tác vụ và nhật ký kiểm toán rõ ràng, chặn đăng nhập trực tiếp là cách phòng thủ dễ giải trình hơn.
Quyền truy cập rộng biến một tác vụ nhỏ thành rủi ro tài chính
Người dùng có thể cấp quyền cho agent để sắp lịch hoặc làm việc trên trình duyệt, nhưng quyền đó có thể mở rộng tới ứng dụng và dữ liệu khác. Nếu thông tin ngân hàng nằm trong phạm vi truy cập, một yêu cầu ban đầu vô hại không còn là giới hạn an toàn: agent có thể nhìn thấy dữ liệu nhạy cảm hoặc thao tác ngoài điều người dùng dự định.
CEO Charles Schwab Rick Wurster nói công ty ghi nhận các AI agent lớn bị chặn hàng chục lượt mỗi tuần khi tìm cách tác động tới tiền của khách hàng. Wells Fargo cũng xác nhận đã triển khai biện pháp chặn agent không được phép truy cập tài khoản. Những con số này là báo cáo của các ngân hàng, không phải thống kê toàn ngành, nhưng cho thấy đây đã là hành vi mà hệ thống bảo mật phải xử lý chứ không chỉ là một giả định trong tương lai.
Ngân hàng không vì thế mà từ chối mọi ứng dụng AI. Schwab có trợ lý Charley cho khách hàng hỏi thông tin thị trường và thực hiện một số việc tài chính; JPMorgan đang thử nghiệm công cụ Smart Cash nội bộ để dự báo dòng tiền và điều chuyển tiền nhằm tối ưu lợi suất. Khác biệt nằm ở chỗ ngân hàng kiểm soát được danh tính, quyền hạn và luồng giao dịch của công cụ do mình cung cấp.
Người dùng có thể phải gánh phần rủi ro khi tự giao mật khẩu
Jamie Dimon, CEO JPMorgan Chase, cảnh báo khách hàng dùng agent bên ngoài cần hiểu rủi ro và khả năng trách nhiệm bị chuyển dịch. Điều đó không tự động có nghĩa ngân hàng sẽ từ chối mọi yêu cầu bồi hoàn; việc xử lý còn tùy thỏa thuận dịch vụ và tình tiết cụ thể. Nhưng khi khách hàng tự chia sẻ thông tin đăng nhập hoặc mã xác thực, việc xác định ai đã ra lệnh và ai chịu trách nhiệm sẽ khó hơn đáng kể.
Đây là điểm khác với một kết nối chỉ đọc được khách hàng cho phép qua kênh Open Banking. Kết nối có giới hạn cho phép chia sẻ một phần dữ liệu mà không trao khả năng thanh toán. Còn đưa mật khẩu hoặc OTP cho agent đồng nghĩa giao một thông tin xác thực vốn được thiết kế để chứng minh chính chủ đang đăng nhập; nếu xảy ra giao dịch trái ý muốn, dấu vết đó có thể khiến tranh chấp phức tạp hơn.
Khảo sát PYMNTS Intelligence được PYMNTS dẫn lại cho thấy 35% người tiêu dùng sẵn sàng cho agent truy cập thông tin thanh toán đã lưu, trong khi 56% đồng ý để agent tìm kiếm và so sánh sản phẩm. Chênh lệch này phản ánh một ranh giới thực dụng: người dùng có thể chấp nhận AI làm phần việc thu thập, nhưng ngần ngại giao quyền chi tiền.
Sinh trắc học ở Việt Nam là lớp chặn, không phải lý do để cấp quyền cho bot
Ở Việt Nam, quy định xác thực sinh trắc học cho một số giao dịch trực tuyến giá trị cao và trường hợp đăng nhập trên thiết bị mới giúp tăng thêm một bước kiểm tra trước khi tiền được chuyển. Tuy vậy, lớp xác thực này không làm cho việc lưu mật khẩu trong agent trở nên an toàn. Một phần mềm có quyền đọc màn hình, điều khiển thiết bị hoặc tiếp cận mã xác thực vẫn có thể tạo ra rủi ro khác, còn quy trình cụ thể tùy ngân hàng và thiết bị.
Người dùng nên giữ mật khẩu ngân hàng và OTP ngoài các agent, không bật quyền Trợ năng cho phần mềm không thật sự cần, đồng thời rà lại quyền truy cập ứng dụng và phiên đăng nhập. Nếu ngân hàng hoặc nhà cung cấp có phương thức kết nối chính thức, cần xem rõ nó cho phép đọc dữ liệu hay giao dịch trước khi chấp thuận. Với những tác vụ liên quan chuyển tiền, tự thao tác trong ứng dụng ngân hàng vẫn là lựa chọn ít mơ hồ nhất về quyền và trách nhiệm.
Ngân hàng sẽ cần một cách xác minh agent, giới hạn quyền theo từng hành động và lưu được nhật ký để mô hình này có thể mở rộng an toàn. Cho đến khi những điều kiện đó có mặt, việc agent không thể đăng nhập như chính khách hàng không phải một trở ngại phi lý mà là ranh giới bảo mật đang thiếu trong cách các tài khoản được xác thực.
