Почему банки блокируют AI-агентов, а крипта даёт им кошельки

В октябре 2026 года крупные банки США начали закрывать доступ AI-агентам, которые входят в аккаунты клиентов с их логином и паролем. Одновременно Coinbase продвигает стейблкоины как платёжное средство для агентов, а регулятор банков США утвердил правила для их эмитентов. Банки и крипта решают одну задачу по-разному: как дать программе доступ к чужим деньгам и не потерять контроль.

Что произошло в банках

13 октября на звонке по итогам квартала глава JPMorgan Джейми Даймон сказал, что банк не пустит внешних агентов внутрь, потому что это слишком рискованно для клиентов и для самого банка.

Агенты-мошенники вам не нужны, а их могут быть тысячи.

Представитель банка уточнила CNBC, что JPMorgan не позволяет третьим сторонам входить в аккаунт с банковскими данными клиента. Агенты могут читать баланс через посредников вроде Plaid, но не могут отправить деньги или оплатить счёт. Всё это происходит на фоне успеха Muse, агента Meta. В сентябре он возглавил чарты загрузок, и акции банков просели из-за опасений, что клиенты массово уведут деньги туда, где процент выше.

22 октября Axios со ссылкой на источники сообщил (пересказ на Yahoo Finance), что банки замечают сторонних агентов в аккаунтах клиентов. Некоторые агенты звонили в колл-центры или делали то, о чём клиент не просил. Morgan Stanley начал их блокировать, Bank of America и Citi ограничивают. При этом представитель Morgan Stanley заявил, что «агентов-мошенников» на своих платформах банк не видел.

Глава Schwab Рик Вурстер на звонке с аналитиками объяснил, что брокер блокирует агентов, которые входят по логину клиента или управляют браузером. Он назвал небезопасным ровно один способ: агент приходит на сайт и пытается войти от имени клиента. По его словам, через разрешённые подключения некоторые LLM уже совершают сделки, со временем таких станет больше, но выводить деньги им не дадут.

Сенатор Элизабет Уоррен назвала происходящее «красной тревогой» для финансовой системы и обвинила регуляторов администрации Трампа в том, что они сворачивают надзор за кибербезопасностью и увольняют сотрудников. Джонатан Гулд, глава OCC, регулятора национальных банков США, в эфире Fox Business заверил, что банки готовятся к этому месяцами. Ведущий дважды спросил, вернут ли клиенту деньги, если их выведет агент, и прямого ответа не получил.

Почему логин и пароль ломают модель банка

Банковская безопасность построена на допущении, что пароль знает только клиент. Когда кто-то входит с нового устройства, делает необычный перевод или звонит в колл-центр, банк проверяет, клиент это или мошенник. Агент с паролем клиента для банка выглядит как сам клиент. Отличить поручение клиента от действия, которое агент придумал сам или выполнил по чужой промпт-инъекции, банк не может.

Пароль не делится на части. Клиент хочет, чтобы агент сравнил вклады, а отдаёт ему право сделать всё, что умеет онлайн-банк, включая перевод на чужой счёт.

Ещё сложнее с ответственностью. В США защита клиента от несанкционированных переводов прописана в Regulation E. Её определение исключает переводы, которые сделал человек, получивший от клиента средство доступа к счёту, пока клиент не сообщил банку, что этот человек больше не уполномочен. Распространяется ли это на AI-агента, регуляторы пока не разъяснили. Свою позицию банки уже обозначили. Даймон говорит клиентам о «переходе ответственности», а финансовый директор JPMorgan Джереми Барнум предупредил, что клиент может понести последствия, если отдал данные агенту и тот провёл нежелательную операцию.

Есть и коммерческий мотив. Агент, который работает на клиента, может найти деньги под низкий процент и перевести их туда, где платят больше. Консультант Тим Уэлш в той же статье American Banker напоминает, что Schwab держит около 493 млрд долларов на счетах cash sweep и хорошо на них зарабатывает. Свой ассистент Charley, по его словам, работает на Schwab, а внешний агент на клиента. Риски безопасности реальны, но, похоже, блокируют агентов не только из-за них.

Как крипта даёт агенту ограниченный доступ

В блокчейне нет пароля, который отдают целиком. Обычный кошелёк управляется одним ключом, и тот, у кого ключ, может всё. Смарт-аккаунт устроен иначе: это кошелёк-контракт, и правила, кто и сколько может тратить, записаны в его коде и проверяются сетью при каждой транзакции.

Пример таких правил дают Spend Permissions у Coinbase. Владелец смарт-аккаунта выдаёт разрешение на траты доверенному адресу, например ключу агента, и задаёт токен, сумму и период: скажем, 50 USDC в неделю. Лимит проверяет контракт в сети, а не сервер Coinbase. Отозвать разрешение можно одной транзакцией. Есть и черновик стандарта ERC-7715, по которому приложение запрашивает у кошелька такие разрешения для отдельного сессионного аккаунта, в том числе со сроком действия.

Вторая половина задачи касается оплаты. Протокол x402 использует HTTP-код 402 Payment Required. Агент запрашивает ресурс, сервер отвечает 402 с ценой, получателем и способами оплаты. Агент подписывает платёж и повторяет запрос, сервер проверяет платёж, проводит его через посредника и отдаёт данные. Чаще всего платят в USDC. По данным Coinbase, через x402 прошло больше 100 млн платежей. В её Agentic Wallet человек сам задаёт максимум на один платёж и на сессию, а у агента доступа к таким настройкам нет.

Брайан Армстронг считает, что к 2030 году через агентов может идти около 5 трлн долларов мировой торговли, и стейблкоины подходят им лучше всего: расчёт мгновенный, глобальный и работает на мелких суммах. Это прогноз главы компании, которая продаёт эту инфраструктуру.

Регулирование тоже движется. 21 октября OCC утвердил правила по закону GENIUS Act для эмитентов платёжных стейблкоинов: стандарты резервов, погашения и управления рисками. Правила и сам закон вступают в силу 18 января 2027 года, требования по отмыванию денег и санкциям выйдут отдельно. В X разошлась новость, что в Южной Корее с 3 декабря стейблкоины станут официальным платёжным средством. На деле с этой даты вступают поправки о регистрации и отчётности для кроссграничных криптопереводов. Законопроект, по которому стейблкоины будут регулировать как средство платежа, Банк Кореи и правительство только готовят.

Что остаётся рискованным

Лимит ограничивает ущерб, но не решает, на что агент тратит деньги. Промпт-инъекция в письме или на веб-странице может убедить агента заплатить мошенническому сервису, и в пределах лимита контракт эту оплату пропустит. Показательный случай был в ноябре 2024 года в игре Freysa. Агенту запретили отдавать призовой фонд, а игрок с 482-й попытки убедил его, что функция перевода нужна для приёма денег, и забрал около 47 тыс. долларов. Как инъекции попадают в долговременную память агента, мы разбирали в статье об атаках на память.

В блокчейне нет отмены операции. Банковский перевод можно оспорить, а транзакцию в сети никто не откатит. Ключ агента тоже надо где-то хранить, и если его украдут, вор получит весь лимит. Наконец, GENIUS Act регулирует эмитентов, а не агентов, и вопрос, кто отвечает за ошибку агента, остаётся открытым и в крипте.

Что из этого следует