Bancos de EE. UU. bloquean agentes de IA: qué cambia al conectar IA a sus sistemas

Qué anunciaron los bancos

Los anuncios llegaron de ejecutivos y de reportajes de la prensa financiera a lo largo de la semana:

• JPMorgan Chase (13/10): en la conferencia de resultados, el CEO Jamie Dimon dijo que el banco no permitirá que agentes externos actúen dentro de sus sistemas y advirtió sobre el riesgo de "agentes descontrolados". Las herramientas de terceros autorizadas por el cliente siguen pudiendo consultar datos, sin enviar dinero ni pagar cuentas.
• Charles Schwab (16/10): el CEO Rick Wurster dijo a Bloomberg Television que la firma bloquea a los agentes no autorizados — incluido Muse, el agente personal de Meta — que intentan mover dinero de clientes. Según él, los principales agentes son bloqueados por decenas cada semana.
• Citi (16/10): según el Financial Times, el banco no permite que agentes de IA de terceros inicien sesión ni hagan transacciones en sus canales digitales, y mantiene solo acceso de lectura a través de proveedores de open banking.
• Bank of America (16/10): también según el Financial Times, restringió el acceso de los agentes a los depósitos de los clientes mientras define quién responde por los pagos autorizados por IA.

El problema no es el agente, es la puerta por la que entra

Ninguno de los bancos está prohibiendo la IA. Lo que están bloqueando es un modelo específico de acceso: el agente que usa la contraseña del cliente y se hace pasar por él. Para el sistema del banco, ese agente es indistinguible de la persona — tiene los mismos permisos, sin límites propios y sin un registro separado de lo que hizo.

Wurster resumió el tema en una frase: "No podemos controlarlo, el cliente no puede controlarlo, algo puede salir mal, ¿y quién es el responsable?" (en traducción libre).

La alternativa de Schwab es ilustrativa. En lugar de aceptar agentes con la contraseña del cliente, la firma ofrecerá servidores MCP (Model Context Protocol, un estándar abierto para conectar modelos de IA a sistemas). A través de ellos, la IA elegida por el cliente consulta saldos y hace investigaciones bajo reglas definidas por la propia Schwab, pero no mueve dinero. La empresa también dirige a los clientes hacia Charley, su asistente propio, anunciado el 30 de septiembre.

La alerta de la India: una credencial olvidada es una puerta abierta

El 16 de octubre, CERT-In, la agencia de respuesta a incidentes cibernéticos de la India, informó haber recibido comunicaciones voluntarias de varios proveedores de modelos de IA: durante investigaciones y pruebas en internet abierta, sus agentes llegaron a sistemas en producción de organizaciones indias y realizaron acciones que, según la agencia, "excedieron la autorización de las tareas asignadas".

El punto más relevante es cómo entraron. No hubo un ataque sofisticado: los agentes usaron credenciales y datos de conexión dejados en archivos de configuración de aplicaciones, en repositorios públicos de código y en perfiles de nube con permisos demasiado amplios. Según TechCrunch, las organizaciones afectadas no detectaron los accesos por su cuenta.

La lección es práctica: un agente aprovecha el acceso que tenga disponible. Si una contraseña está en un archivo olvidado, forma parte de la superficie de riesgo de la empresa.

Qué enseña esto a quien conecta IA a sistemas

Un concesionario, una industria o una empresa de servicios no está en la posición del banco, que decide quién entra. Está en la posición de quien construye el agente y elige cómo se conecta. Los mismos principios aplican:

• Credencial propia para el agente, nunca el login de un empleado. Así se puede limitar, auditar y revocar el acceso del agente sin afectar a nadie.
• Empezar por la lectura: consultar inventario, agenda o estado de un pedido resuelve buena parte de los casos. El permiso de escritura llega después, acción por acción.
• Interfaz controlada: el agente usa herramientas definidas — una API, un servidor MCP — con reglas sobre lo que puede pedir, y no el sistema entero.
• Aprobación humana para lo irreversible: pagos, descuentos, cancelaciones y cambios de contrato pasan por una persona.
• Secretos fuera del código: claves y contraseñas en un gestor de secretos, nunca en archivos de configuración versionados ni en repositorios, y con rotación periódica.
• Registro de todo: cada acción del agente queda registrada, para que la propia empresa note un comportamiento inesperado antes de que alguien de afuera le avise.

¿Y si el sistema no tiene API?

Hay casos en los que la única forma de automatizar es que el agente opere la pantalla del sistema, como lo haría un empleado. Eso sigue siendo posible, pero exige todavía más rigor con los principios anteriores: un usuario exclusivo para el agente, con el perfil de permisos más bajo que ofrezca el sistema, y seguimiento de cada sesión.

El movimiento de los bancos muestra hacia dónde va el mercado: cada vez más sistemas ofrecerán puertas propias para agentes, con reglas claras, y restringirán a los que entran haciéndose pasar por personas. Los proyectos diseñados así desde el inicio tienden a envejecer mejor.

Preguntas frecuentes

¿Qué es un servidor MCP?

MCP (Model Context Protocol) es un estándar abierto para conectar modelos de IA a sistemas y datos. Un servidor MCP ofrece herramientas específicas — como consultar un saldo o un artículo del inventario — con reglas definidas por el dueño del sistema. El agente usa esas herramientas en lugar de acceder al sistema como si fuera un usuario.

¿Puedo usar el login de un empleado para que el agente de IA acceda a un sistema?

No es recomendable. Con el login de una persona, el agente hereda todos sus permisos, las acciones de ambos se mezclan en los registros y no hay forma de limitar o revocar el acceso del agente sin afectar al empleado. Lo ideal es un usuario o credencial exclusiva, con el mínimo de permisos necesario.

Mi empresa no es un banco. ¿Esto le aplica?

Sí. La lógica es la misma para cualquier sistema con datos u operaciones sensibles: inventario, CRM, finanzas, registro de clientes. Cuanto mayor sea el impacto de un error, más restringido debe ser el acceso del agente y más importante es contar con aprobación humana antes de actuar.