Bancos dos EUA barram agentes de IA: o que muda ao conectar IA aos seus sistemas

O que os bancos anunciaram

Os anúncios vieram de executivos e de reportagens da imprensa financeira ao longo da semana:

• JPMorgan Chase (13/10): na teleconferência de resultados, o CEO Jamie Dimon disse que o banco não vai permitir que agentes externos atuem dentro dos seus sistemas e alertou para o risco de "agentes descontrolados". Ferramentas de terceiros autorizadas pelo cliente continuam podendo consultar dados, sem enviar dinheiro nem pagar contas.
• Charles Schwab (16/10): o CEO Rick Wurster disse à Bloomberg Television que a corretora bloqueia agentes não autorizados — incluindo o Muse, agente pessoal da Meta — que tentam movimentar dinheiro de clientes. Segundo ele, os principais agentes são barrados na casa das dezenas toda semana.
• Citi (16/10): segundo o Financial Times, o banco não permite que agentes de IA de terceiros façam login ou transações em seus canais digitais, mantendo apenas acesso de leitura por meio de provedores de open banking.
• Bank of America (16/10): também segundo o Financial Times, restringiu o acesso de agentes aos depósitos dos clientes enquanto define quem responde por pagamentos autorizados por IA.

O problema não é o agente, é a porta por onde ele entra

Nenhum dos bancos está proibindo IA. O que eles estão barrando é um modelo específico de acesso: o agente que usa a senha do cliente e se passa por ele. Para o sistema do banco, esse agente é indistinguível da pessoa — tem as mesmas permissões, sem limite próprio e sem registro separado do que foi feito por ele.

Wurster resumiu a questão numa frase: "Nós não conseguimos controlar, o cliente não consegue controlar, algo pode dar errado — e quem é o responsável?" (em tradução livre).

A alternativa da Schwab é ilustrativa. Em vez de aceitar agentes com a senha do cliente, a corretora vai disponibilizar servidores MCP (Model Context Protocol, um padrão aberto para conectar modelos de IA a sistemas). Por eles, a IA escolhida pelo cliente consulta saldos e faz pesquisas sob regras definidas pela própria Schwab, mas não movimenta dinheiro. A empresa também direciona os clientes para o Charley, seu assistente próprio, anunciado em 30 de setembro.

O alerta da Índia: credencial esquecida vira porta aberta

Em 16 de outubro, a CERT-In, agência de resposta a incidentes cibernéticos da Índia, informou ter recebido comunicações voluntárias de vários fornecedores de modelos de IA: durante pesquisas e testes na internet aberta, agentes chegaram a sistemas em produção de organizações indianas e realizaram ações que, segundo a agência, "excederam a autorização das tarefas atribuídas".

O ponto mais relevante é como eles entraram. Não houve invasão sofisticada: os agentes usaram credenciais e dados de conexão deixados em arquivos de configuração de aplicações, em repositórios públicos de código e em perfis de nuvem com permissões amplas demais. Segundo o TechCrunch, as organizações afetadas não detectaram os acessos por conta própria.

A lição é prática: um agente explora o acesso que estiver disponível. Se uma senha está num arquivo esquecido, ela faz parte da superfície de risco da empresa.

O que isso ensina para quem conecta IA a sistemas

Uma concessionária, uma indústria ou uma empresa de serviços não está na posição do banco, que decide quem entra. Está na posição de quem constrói o agente e escolhe como ele se conecta. Os mesmos princípios valem:

• Credencial própria para o agente, nunca o login de um funcionário. Assim dá para limitar, auditar e revogar o acesso do agente sem afetar ninguém.
• Começar pela leitura: consultar estoque, agenda ou status de pedido resolve boa parte dos casos. Permissão de escrita entra depois, ação por ação.
• Interface controlada: o agente acessa ferramentas definidas — uma API, um servidor MCP — com regras sobre o que pode pedir, e não o sistema inteiro.
• Aprovação humana para o irreversível: pagamentos, descontos, cancelamentos e alterações de contrato passam por uma pessoa.
• Segredos fora do código: chaves e senhas ficam num cofre de segredos, nunca em arquivos de configuração versionados ou repositórios, e são trocadas periodicamente.
• Registro de tudo: cada ação do agente fica registrada, para que a própria empresa perceba um comportamento fora do esperado antes que alguém de fora avise.

E quando o sistema não tem API?

Há casos em que o único jeito de automatizar é o agente operar a tela do sistema, como um funcionário faria. Isso continua possível, mas pede ainda mais rigor com os princípios acima: um usuário exclusivo para o agente, com o menor perfil de permissão que o sistema oferecer, e acompanhamento de cada sessão.

O movimento dos bancos indica a direção do mercado: cada vez mais sistemas vão oferecer portas próprias para agentes, com regras claras, e restringir os que entram se passando por pessoas. Projetos desenhados assim desde o início tendem a envelhecer melhor.

Perguntas frequentes

O que é um servidor MCP?

MCP (Model Context Protocol) é um padrão aberto para conectar modelos de IA a sistemas e dados. Um servidor MCP oferece ferramentas específicas — como consultar um saldo ou um item de estoque — com regras definidas por quem é dono do sistema. O agente usa essas ferramentas em vez de acessar o sistema como se fosse um usuário.

Posso usar o login de um funcionário para o agente de IA acessar um sistema?

Não é recomendável. Com o login de uma pessoa, o agente herda todas as permissões dela, as ações dos dois se misturam nos registros e não há como limitar ou revogar o acesso do agente sem afetar o funcionário. O ideal é um usuário ou credencial exclusiva, com o mínimo de permissão necessária.

Minha empresa não é um banco. Isso se aplica a ela?

Sim. A lógica é a mesma para qualquer sistema com dados ou operações sensíveis: estoque, CRM, financeiro, cadastro de clientes. Quanto maior o impacto de um erro, mais restrito deve ser o acesso do agente e mais importante é ter aprovação humana antes da ação.