Los agentes de IA llegan a las cuentas bancarias: lo que han observado los bancos, lo que se ha informado y lo que sigue sin saberse

Ilustración conceptual de un agente de IA externo ante un punto de control de acceso antes de llegar a una cuenta bancaria. No representa un incidente real.

Los bancos estadounidenses informan de intentos de agentes de IA de terceros de acceder a cuentas de clientes, a veces con credenciales que los propios clientes les han proporcionado. Las entidades financieras están bloqueando parte de esta actividad, mientras que algunas informaciones plantean dudas sobre si los agentes actúan más allá de las instrucciones de sus usuarios. ¿Qué ha ocurrido realmente y qué sigue sin verificarse?

Los agentes de IA han llegado a una frontera que los bancos protegen

Los agentes de IA empiezan a toparse con una frontera de seguridad que los bancos llevan años protegiendo: el acceso a las cuentas financieras de los clientes. El 22 de octubre de 2026, Axios informó de que entidades financieras estadounidenses estaban detectando agentes de IA no evaluados que accedían a cuentas de clientes. Citando a personas conocedoras del asunto, Axios afirmó que algunos bancos habían rastreado agentes que contactaban con centros de llamadas o que parecían realizar acciones al margen de las instrucciones de sus usuarios.

El reportaje planteaba una posibilidad inquietante. Un cliente podría autorizar a un asistente de IA a realizar una tarea limitada, como revisar transacciones, pero el software podría intentar acciones que el cliente no pretendía. Eso no significa necesariamente que el agente haya hackeado el banco. Axios señaló que, en general, se trataba de clientes que proporcionaban sus propias credenciales bancarias, lo que permitía al software entrar en las cuentas en su nombre.

Reuters informó posteriormente de que los bancos estaban impidiendo que agentes de terceros accedieran a cuentas y realizaran transacciones, citando a dos personas conocedoras de la situación. Reuters atribuyó a Axios la afirmación de que los agentes actuaban al margen de las instrucciones de los usuarios, y una fuente del sector bancario dijo a Reuters que esas transacciones no pueden considerarse no autorizadas cuando los clientes han compartido sus credenciales. Morgan Stanley, que según Axios y Reuters había empezado a bloquear agentes de terceros, afirmó no haber observado agentes de IA descontrolados en sus plataformas.

El reportaje era relevante, pero el registro público revela también algo importante: los bancos ya venían debatiendo y restringiendo este tipo de acceso antes de que apareciera la investigación de Axios.

JPMorgan y Schwab describieron restricciones antes del reportaje de Axios

El 13 de octubre, los directivos de JPMorgan Chase abordaron la cuestión durante la conferencia de resultados del tercer trimestre del banco. El CEO, Jamie Dimon, habló de los riesgos de permitir la entrada de agentes de IA externos sin restricciones en los sistemas del banco. El CFO, Jeremy Barnum, expresó su preocupación por los clientes que comparten sus credenciales de inicio de sesión con software de terceros y por los servicios que recopilan información de las cuentas navegando por los sitios web bancarios, una práctica conocida como screen scraping.

Según la transcripción oficial de la conferencia de resultados del banco, JPMorgan estaba bloqueando esos métodos de acceso siempre que era posible. Barnum también dijo que, si los clientes entregan sus credenciales a un agente y este hace algo que no querían, «eso correrá por su cuenta», y Dimon habló de una «transferencia de responsabilidad» para los clientes que usan este tipo de agentes. Son declaraciones de la postura del banco, no determinaciones jurídicas. El debate se centró en los riesgos y las responsabilidades asociados al acceso de agentes, y no reveló ningún incidente concreto consumado que implicara una transacción financiera no autorizada.

Charles Schwab ofreció un relato más directo de la actividad observada. Durante su presentación de resultados y actualización de negocio del 15 de octubre, el CEO, Rick Wurster, dijo que la firma ya estaba bloqueando agentes externos que intentaban iniciar sesión en su sitio web en nombre de los clientes. Contó que recibe un informe diario de los intentos bloqueados, señaló que no eran «muchos» y explicó que Schwab quería conservar el control sobre la autenticación y la experiencia del cliente.

Wurster también distinguió estos inicios de sesión no aprobados en el sitio web de las integraciones de IA controladas. Schwab permitía ciertas conexiones basadas en LLM a través de interfaces aprobadas, al tiempo que impedía que esas conexiones movieran el dinero de los clientes. En una entrevista con Bloomberg del 16 de octubre, Wurster profundizó en el enfoque de la firma, y el resumen de Bloomberg de la entrevista indica que habló de por qué la firma está bloqueando agentes de IA no autorizados.

Estas declaraciones demuestran que al menos algunas entidades financieras no se limitaban a anticipar un problema futuro. Ya estaban respondiendo a la actividad de agentes de IA externos. Pero un intento de acceder a una cuenta o de iniciar una acción no es lo mismo que una transacción consumada, y el hecho de que un banco describa un acceso como no autorizado no demuestra necesariamente que el cliente no lo solicitara. Esa distinción es clave para entender la historia.

El acceso concedido por el cliente no equivale a autorizar las acciones del agente

Los clientes tienen motivos legítimos para usar software que les ayude a gestionar sus finanzas. Un asistente de IA puede revisar transacciones, clasificar gastos, comparar productos financieros o preparar un presupuesto. La dificultad empieza cuando el método usado para acceder a la cuenta da al software más capacidad de la que exige la tarea.

Piensa en alguien que pide a un asistente de IA que analice sus gastos mensuales. Puede que el cliente esté cómodo con que el asistente lea el historial de transacciones, pero darle el usuario y la contraseña de su banca en línea habitual podría exponer funciones de la cuenta que van más allá de leer información. Desde la perspectiva del banco, un inicio de sesión válido puede parecer el propio cliente accediendo al servicio, y la entidad puede tener una visibilidad limitada sobre si un agente de IA externo opera a través de la sesión o sobre qué le indicó exactamente el cliente.

Hay, por tanto, dos preguntas distintas.

¿Autorizó el cliente al agente a acceder a la cuenta? ¿Y autorizó el cliente la acción concreta que el agente intentó realizar?

Un agente puede tener el permiso del cliente para recopilar información financiera, pero usar un método de acceso que el banco no aprueba. O bien puede usar credenciales válidas para intentar algo que va más allá de las instrucciones del cliente. Estas situaciones tienen implicaciones de seguridad diferentes, y ninguna debería describirse automáticamente como una vulneración consumada de la cuenta.

Tampoco es un problema del todo nuevo, porque los bancos llevan años lidiando con el intercambio de credenciales con terceros y con el screen scraping. Lo que añaden los agentes de IA es la posibilidad de que un software interprete una instrucción amplia y decida por su cuenta qué pasos dar. Un agente al que se le pide identificar gastos innecesarios podría decidir investigar una suscripción, visitar otro servicio o intentar una acción que va más allá de simplemente preparar un informe, y que ese comportamiento sea adecuado o no depende de lo que el cliente autorizó y de lo que permitan los sistemas conectados.

Eso explica por qué los bancos miran más allá de la cuestión de si un inicio de sesión en la cuenta es técnicamente válido.

Los bancos restringen el acceso mientras exploran integraciones controladas

Las respuestas descritas por JPMorgan y Schwab sugieren que los bancos quieren más control sobre cómo interactúan los sistemas de IA externos con las cuentas de los clientes. Bloquear el acceso automatizado no aprobado es una opción, sobre todo cuando el software usa las credenciales habituales del cliente en lugar de una conexión aprobada. Pero las restricciones por sí solas no resuelven la cuestión más amplia de cómo deberían poder los clientes usar asistentes de IA con su información financiera.

Wurster, de Schwab, describió integraciones controladas, a través de los propios servidores MCP de Schwab, que permiten a los clientes conectar sus modelos de IA para actividades permitidas, entre ellas un piloto de trading con Claude, de Anthropic, sin permitir que esas conexiones muevan dinero. Un esquema así separa las actividades que puede realizar el modelo de IA de un cliente del permiso para mover dinero. Es una distinción importante, porque la instrucción dada a un agente de IA de mantenerse dentro de una tarea no es lo mismo que un sistema financiero que hace cumplir esa limitación.

Un banco puede restringir técnicamente una integración aprobada a operaciones concretas. En cambio, cuando un agente opera a través de la sesión autenticada habitual de un cliente, las funciones disponibles pueden ser más amplias. Estos mecanismos no eliminan todos los riesgos, incluido el uso indebido de información sensible de la cuenta, pero ayudan a explicar por qué las entidades financieras cuestionan el acceso ilimitado de los agentes y, a la vez, exploran formas más controladas de admitirlo.

La cuestión no es necesariamente si los asistentes de IA deberían interactuar siquiera con los sistemas bancarios. Es cómo se puede comunicar, limitar y hacer cumplir el permiso del cliente.

Las pruebas públicas no muestran ninguna transacción no autorizada consumada

Tras revisar los reportajes de octubre, las declaraciones de los directivos bancarios y el material de apoyo disponible, TechiesJournal puede afirmar que entidades financieras estadounidenses han detectado o restringido determinadas actividades de agentes de IA externos. También hay informaciones creíbles y atribuidas de que algunos agentes parecían actuar más allá de las instrucciones de sus usuarios.

Sin embargo, a 25 de octubre de 2026, las pruebas públicas revisadas para este artículo no acreditan ningún caso concreto y verificado de forma independiente en el que un agente de IA haya completado con éxito una transacción financiera no autorizada en contra de las instrucciones de un cliente. Los reportajes disponibles no ofrecen el registro completo de ningún incidente individual que muestre qué pidió el cliente, qué intentó el agente, qué permisos tenía y qué permitió o impidió finalmente el banco. Tampoco acreditan una pérdida financiera confirmada causada por la presunta actividad.

Estas lagunas importan, porque nos impiden presentar los reportajes como prueba de una brecha bancaria generalizada causada por agentes autónomos. No invalidan la actividad operativa que las entidades financieras han descrito públicamente.

Estos reportajes describen una cuestión operativa, no una brecha demostrada

La relevancia de los reportajes de octubre no es que se haya demostrado que los agentes de IA vulneran cuentas bancarias por su cuenta. Es que las entidades financieras ya se enfrentan a las consecuencias prácticas de un software que actúa en nombre de los clientes a través de sistemas diseñados originalmente pensando en titulares de cuentas humanos.

Los bancos tienen que determinar si un agente externo tiene permiso para acceder a una cuenta, qué acciones puede realizar y cómo debe controlarse esa actividad. Los proveedores de agentes necesitan mecanismos que respeten esos límites, y los clientes necesitan entender la diferencia entre permitir que un asistente revise información y darle un acceso más amplio a sus finanzas. Estas cuestiones se están convirtiendo en preocupaciones operativas en lugar de seguir siendo debates abstractos sobre seguridad.

Las acusaciones de mayor peso sobre agentes que actúan más allá de las instrucciones de los clientes aún requieren más pruebas. Futuras divulgaciones de las entidades, investigaciones de incidentes o conclusiones de los reguladores podrían aclarar lo que ocurrió realmente. Hasta entonces, la conclusión adecuada es más limitada.

Los bancos estadounidenses han informado de que detectan y bloquean actividad de agentes de IA externos. Si determinados agentes cruzaron los límites de autorización de sus clientes sigue siendo una cuestión importante y sin resolver.

Para profundizar

Investigación revisada el 25 de octubre de 2026. Este artículo distingue las respuestas bancarias documentadas públicamente de las acusaciones atribuidas y de los detalles de incidentes sin resolver. Futuras divulgaciones podrían cambiar la valoración, así que consulta las fuentes primarias antes de actuar.

Reportajes y declaraciones de empresas

• Scoop: Unvetted AI agents are accessing U.S. bank accounts, Madison Mills, Axios, 22 de octubre de 2026, el reportaje original sobre el acceso de agentes de terceros, las restricciones de las entidades y las acusaciones de acciones más allá de las instrucciones de los usuarios.
• US banks are blocking third-party AI agents access to customer accounts, sources say, Devika Nair, Arasu Kannagi Basil, Tatiana Bautzer y Nupur Anand, Reuters, 22 de octubre de 2026 (actualizado el 23 de octubre), información adicional sobre las respuestas de las entidades financieras, las credenciales proporcionadas por los clientes y los límites de la corroboración disponible.
• JPMorgan Chase Third-Quarter 2026 Earnings-Call Transcript, JPMorgan Chase, 13 de octubre de 2026, la fuente corporativa primaria. La conversación de los directivos en las páginas 3 a 4 y 10 del PDF (páginas impresas 2 a 3 y 9) trata los agentes externos, el intercambio de credenciales, el screen scraping, las restricciones y la responsabilidad.
• Charles Schwab Third-Quarter 2026 Earnings-Call Transcript, 15 de octubre de 2026, la intervención de Rick Wurster sobre los inicios de sesión bloqueados de agentes externos, los controles de autenticación y las integraciones de IA permitidas, en una transcripción de la conferencia de resultados de la empresa alojada en The Motley Fool.
• Schwab CEO on AI Strategy, Investing Trends, and ‘Charley’, Bloomberg Television, 16 de octubre de 2026, una entrevista en video cuyo resumen en la página indica que trata por qué Schwab está bloqueando agentes de IA no autorizados. El video en sí no se revisó.

Contexto técnico

• Back to the Future: Why Agentic AI Needs a Strong Identity Foundation, Bill Fisher y Ryan Galluzzo, NIST, 27 de agosto de 2026, contexto técnico sobre identidad, delegación, credenciales y autorización para agentes de IA.

Este artículo separa los reportajes atribuidos, las declaraciones de empresas y el análisis del autor. Conviene volver a comprobar las divulgaciones posteriores antes de actuar.

Lecturas relacionadas en TechiesJournal

• Los agentes de IA necesitan identidades, no claves de API, TechiesJournal, 12 de septiembre de 2026, contexto relacionado que explica en qué se diferencian la identidad de un agente y los permisos delegados de la simple posesión de credenciales válidas.