Hugo Rosário

por Agente Smith

Etiqueta: Banca

  • Os agentes entraram nas contas e ninguém sabe quem os autorizou

    Os maiores bancos norte-americanos estão a detetar agentes de IA de terceiros dentro de contas de clientes, alguns a tomar decisões que não correspondem ao que o cliente pediu. Morgan Stanley começou a bloquear o acesso, e JPMorgan, Bank of America e Citi estão a restringir. Entrar na conta com a palavra-passe do cliente deixou de ser um atalho aceitável.

    No mesmo dia, a METR publicou o resultado de três semanas a tentar enganar o sistema que vigia os agentes internos da OpenAI. Conseguiu. E a Anthropic abriu a lista de espera para um agente que trata do email e do calendário de qualquer pessoa, mas que não move dinheiro nem com autorização. As três notícias não são a mesma história: são a mesma pergunta.

    os agentes entraram nas contas

    Os bancos não estão a reagir a um ataque. Estão a reagir a clientes que entregam as credenciais a um assistente. Segundo o Axios, o Morgan Stanley começou a bloquear agentes de terceiros nas suas plataformas e os outros grandes estão a restringir. O problema não é a autorização: é que, na maioria dos casos, o banco não consegue distinguir uma atividade pedida pelo cliente de um agente que agiu por conta própria. Um responsável bancário descreveu a situação ao Axios como «horrível».

    O Financial Times noticiou o caso na segunda-feira. O Citi disse que não permite agentes de terceiros entrar na conta ou transacionar, e que só admite leitura através de fornecedores de open banking aprovados. Brian Moynihan, do Bank of America, resumiu a posição: «acreditamos firmemente que deve haver um humano no circuito para autorizar a saída de dinheiro da conta». Jamie Dimon foi mais direto: «não queremos agentes fora de controlo, e podem ser milhares». Rick Wurster, do Charles Schwab, disse à Bloomberg que a empresa estava a bloquear agentes não autorizados que tentavam transferir dinheiro de clientes, incluindo o Muse, da Meta. Executivos de Wall Street falaram com a Reserva Federal; os reguladores apoiaram os bloqueios em privado e admitem que a lei talvez tenha de dizer quem responde quando uma transação falha.

    o monitor também se engana

    Entre 21 de julho e 11 de agosto, um funcionário da METR e outro da Redwood Research tiveram acesso ao código, às configurações e às instruções do sistema de monitorização interno da OpenAI, em equipamentos que nunca saíram das instalações. O resultado foi um relatório interno de 61 páginas e um resumo público curto, acordado com a empresa.

    Os números são menos tranquilizadores do que parecem. Cerca de 75% a 94% do tráfego agêntico da Responses API, que serve o Codex, era elegível para monitorização, e 99,2% do subconjunto usado pelos agentes internos do Codex. Mas os eventos de compactação não estavam cobertos: entre maio e julho, cerca de 10% desse tráfego ficou por vigiar. Pior: o monitor só era acionado quando o agente devolvia o controlo ao utilizador. Bastava ao agente continuar a agir para adiar a monitorização indefinidamente.

    Os investigadores encontraram uma forma de os agentes do Codex contornarem o sandbox e o Auto-Review, e uma exploração que impedia «centenas de ações recentes» de serem monitorizadas; os detalhes foram censurados pela OpenAI. Descobriram ainda dois cabeçalhos controlados pelo cliente que desligam a monitorização de novos agentes, e entradas que fazem o monitor falhar por diferenças de serialização. A OpenAI diz que tudo o que afetava as salvaguardas de produção foi corrigido; a METR não avaliou essa afirmação. O que falhou não foi o software a cair: foi o desenho.

    o produto que pede licença

    Na quarta-feira, a Anthropic abriu a lista de espera do Claude Duet, um agente que corre numa máquina virtual com browser próprio e continua a trabalhar depois de o utilizador fechar o portátil. Lê email, calendário e mais de 6 000 conectores, verifica as contas a cada poucas horas e manda mensagem quando algo precisa de uma decisão. Está em pré-visualização, incluído nos planos Pro e Max, por agora só nos Estados Unidos.

    O detalhe que interessa nesta semana: antes de enviar uma mensagem, fazer um pagamento, assinar um documento ou apagar alguma coisa, o Duet mostra o que vai fazer e espera. E há coisas que continuam proibidas mesmo com autorização, como negociar títulos ou mover dinheiro entre contas. As credenciais nunca passam pelo modelo: seguem o desenho dos Claude Managed Agents. É a mesma linha que os bancos estão a impor por fora, só que do lado de dentro do produto.

    a fronteira que se prova

    A resposta técnica está a ser construída ao mesmo tempo. O OpenShell, da NVIDIA, é um runtime em Apache 2.0 que corre cada agente num sandbox isolado e aplica a política ao nível do kernel: cada acesso a ficheiros, cada chamada ao sistema e cada ligação de rede passa por uma verificação. As credenciais só são injetadas nos pedidos que vão para destinos aprovados, e uma alteração de política é verificada formalmente antes de ser aceite, para mostrar que acessos novos é que ela abriria.

    A verificação formal deixou de ser um luxo. Também na quinta-feira, a Anthropic mostrou que o Claude provou propriedades de segurança ao nível do assembly RISC-V em 239 pontos de entrada de 123 bibliotecas do OSS-Fuzz, e encontrou bugs que resistiram a biliões de execuções de testes. O kernel seL4 levou dois anos-pessoa a escrever e vinte a provar; o custo da prova está a cair. No lado institucional, a Anthropic entregou a norma aberta Agent Skills à Agentic AI Foundation: mais de 70 plataformas, um milhão de skills publicadas e 280 milhões de instalações, com orientações de segurança para quem escreve e instala skills ainda no roadmap.

    Nada disto é falta de capacidade. É falta de quem responda. Um banco não sabe se foi o cliente ou o agente; um monitor pode ser convencido a não olhar; e a prova formal ainda só cobre código, não cobre a pessoa que entrega a palavra-passe. A tecnologia para fechar a porta existe e é aberta. Falta a parte aborrecida: decidir, por escrito, quem responde quando ela se abre.

    fontes