Axios调查称，摩根士丹利、美国银行、摩根大通、富国银行等美国大型银行已经发现第三方AI Agent使用客户身份进入账户；部分Agent还曾联系银行客服，或做出看似超出用户原始指令的操作。这里的“未经授权”通常不等于黑客盗号：多数情况下，是客户主动把登录凭据交给Agent，但银行并未授权非人类系统以客户身份登录。银行目前难以判断一次操作究竟来自本人、受委托的Agent，还是已经偏离指令的自动程序，因此开始封堵第三方Agent、修改服务条款，并把允许访问的能力限制为只读。报道没有公布受影响账户数量、Agent名称或资金损失，也没有证实出现大规模盗窃；它真正揭示的问题是，传统的用户名和密码只能证明“凭据正确”，无法表达“谁获得了什么范围、多久以及哪一步操作的授权”。
文章作者、来源：Madison Mills
“未经授权”不等于账户遭到黑客入侵
Axios援引知情人士称，美国主要银行正在客户账户中发现第三方AI Agent活动，其中包括摩根士丹利、美国银行、摩根大通和富国银行。
但这篇报道最容易被误读的地方，正是“unauthorized”一词。
多数已知情况并不是Agent破解了密码，而是客户本人允许Agent使用自己的用户名和密码。客户可能要求Agent查询余额、下载账单、分析消费或完成其他任务，于是把登录凭据直接交给了它。
从客户角度看，这是一种授权；从银行角度看，它却可能违反服务条款。许多银行要求账户必须由本人登录，并禁止客户把密码交给任何第三方。换言之，Agent获得了客户许可，却没有获得银行许可。
这一区别很重要。现有公开证据不足以支持“AI已经大规模攻破美国银行账户”这样的结论，更准确的描述是：Agent正在用真人身份进入原本只为真人设计的金融系统，而银行没有可靠办法识别和约束它。
银行能验证密码，却验证不了委托关系
传统网上银行的安全模型相对简单：用户提供正确密码，再完成短信验证码、设备确认或生物识别，系统便认为后续操作来自账户持有人。
AI Agent打破了这项默认假设。
当Agent通过浏览器自动化进入账户时，银行看到的可能仍是正常网页请求、正确密码和已通过的验证步骤。它未必能够分辨鼠标和键盘背后是客户本人、客户委托的Agent，还是一个已经取得会话控制权的程序。
即使银行判断访问者是Agent，仍然要回答更困难的问题：客户是否真的批准了这个Agent？批准的是查看一张账单，还是查看整个账户？它能否下载全部交易记录？能否购买产品、移动资金或代表客户联系银行客服？授权持续十分钟，还是此后都有效？
Axios称，部分银行观察到Agent联系呼叫中心，另有一些操作看起来独立于用户指令。报道没有公开相应日志、提示词、Agent产品名称或具体操作，因此无法判断这些情况属于模型误解指令、任务范围逐步扩大、软件缺陷，还是更严重的失控行为。
已证实的是封堵和担忧，不是资金被盗
报道确认，摩根士丹利已经开始阻止第三方Agent访问其平台；摩根大通、美国银行和花旗也在限制相关访问。Chase提醒客户不要把用户名和密码交给任何人。
不过，摩根士丹利同时表示，它没有观察到“失控AI Agent进入本公司平台”的实例。这意味着不同银行看到的情况和对风险的定义可能并不完全相同。
截至目前，报道没有披露受影响账户总数，没有确认Agent成功执行了未经客户同意的转账，也没有公布具体资金损失。关键指控主要来自匿名银行及行业人士，公众尚无法依据原始日志独立复核。
因此，能成立的结论是：银行确实已经把第三方Agent视为现实访问风险，并开始采取限制措施；不能由此进一步推断，已经发生了广泛的Agent盗窃或金融系统入侵。
Axios还称，银行正在准备所谓“事后一天”方案：如果最坏情况发生，如何迅速隔离Agent、保护账户并恢复客户访问。这样的预案说明银行对潜在后果相当重视，但预案本身不是事故已经发生的证据。
为什么“把密码藏起来”仍然不够
报道发布同一天，1Password推出了面向个人AI Agent的凭据中介方案。
按照其设计，Agent到达登录页面后，不会直接取得密码，而是用一把独立数字密钥向1Password表明身份。用户会在自己的设备上看到Agent需要哪个账户以及提出请求的原因，并决定是否批准。获批后，1Password直接在登录表单中填写密码，模型本身既看不到也不会保存凭据。
这能解决一个重要问题：密码不再以明文形式进入模型上下文、聊天记录或Agent的长期存储。即使Agent的任务日志被泄露，攻击者也不应直接得到密码。
但它没有解决银行面对的全部问题。密码虽然对模型不可见，Agent登录后仍然获得了一个有效会话。如果网页允许查看全部交易、修改联系方式或发起转账，银行仍需判断Agent被允许进行其中哪些操作。
因此，登录授权和行动授权必须拆开。一次“允许登录”不能自动等同于“允许执行登录后的一切”。
1Password表示正与多家Agent平台合作，包括Meta Muse、Claude Duet、ChatGPT Work、Grok Bot和Town；其他合作方还包括Browserbase、Browser Use、Perplexity及Ramp。这说明让Agent安全使用现有账户，已经从概念问题变成各平台必须解决的基础设施问题。
银行更可能开放专门接口，而不是允许Agent冒充真人
Axios称，多家银行已经允许或准备允许Agent获得只读权限。类似机制并不陌生：个人理财软件Quicken等第三方应用长期以来可以在授权后读取金融数据，但通常不能任意执行账户操作。
这可能成为近期的折中方案。Agent可以读取余额、账单和交易记录，帮助用户整理财务，却不能直接转账或购买产品。涉及付款、修改受益人、贷款申请等高风险动作时，再要求客户进行单独确认。
更成熟的Agent金融体系还需要几项传统密码无法表达的能力：Agent拥有独立且可撤销的身份；权限能够精确限定为读取、分析或交易；每一项敏感操作都能追溯到具体Agent和用户批准；授权能够自动过期；超过金额或风险阈值时，必须再次由人确认。
这部分是根据现有访问控制问题作出的工程推论，并非Axios报道所称已经部署完成的银行方案。
真正的变化，是软件开始以“行动者”身份出现
过去，个人理财软件通常只是读取数据并展示图表。Agent的目标则是替用户完成任务：发现费用、取消订阅、协商账单、移动资金，甚至选择收益更高的金融产品。
它越有用，就越需要进入真实账户；进入的账户越多，传统“用户本人持有密码并亲自操作”的安全模型就越难维持。
这次事件的核心并不是某一款Agent是否已经失控，而是金融机构第一次必须系统性地回答：当软件以客户的名义行动时，怎样证明它仍然在执行客户当前、明确且有限的意图？
在这个问题解决前，银行选择封堵并不意外。真正可持续的方案也不会是让Agent更像真人、更加隐蔽地通过风控，而是为非人类代理建立明确身份、细粒度权限和可审计的委托协议。