美国五大银行为何收紧 AI Agent 账户权限？

设想一个具体的场景：个人理财 AI 识别出账户里的闲置现金，准备将其转入利率为 3.3%—5% 的账户，而美国支票账户平均利率只有约 0.1%。银行需要确认的不只是“密码对不对”，还包括：用户是否明确批准了这笔划转？如果没有，谁有权执行；如果交易执行错了，又该由谁负责？

报道涉及的五家银行是摩根士丹利、美国银行、摩根大通、富国银行和花旗。它们限制的重点是第三方 AI 对账户的直接访问，尤其是自主发起交易，并非全面封禁金融 AI。目前最清晰的权限边界是：读取余额、账单和交易记录属于一层，转账、付款和自动归集资金属于另一层；后者需要更明确的授权、人工审核和责任链。

银行为何收紧权限？

安全事件是银行收紧权限的直接原因。多家银行已经检测到 AI 代理访问客户账户，其中一些 AI 代理还尝试发起交易，而风控系统很难区分客户本人操作与 Agent 操作。责任归属也尚不明确：客户究竟授权了什么、Agent 是否有权执行、异常交易由用户、银行还是模型服务商担责，目前仍缺少统一规则。

银行还有成本端的考虑。摩根大通、美国银行和富国银行合计持有约 1.6 万亿美元无息存款，占其负债规模的 16%；如果为这部分资金支付 3% 的利息，年成本约为 470 亿美元，接近三家银行合计年度利润的一半。这些数字不意味着用户追求更高存款收益有问题，但表明规模化自动归集会改变银行的低成本负债结构，银行也有充分动力提高接入门槛。

因此，银行采取的并非简单的“反 AI”措施，而是把“看数据”和“动资金”拆开。前者主要涉及隐私和数据授权，后者直接关系客户资产、银行资金结构以及交易发生后的法律责任，两者显然不能使用同一套准入标准。

哪些权限受限，哪些仍可使用？

摩根大通表示，在开发相应防护工具期间，不会随意允许外部智能体接入客户账户，原因是暂时无法有效防范失控 Agent[4]。美国银行则限制 AI 智能体访问零售存款账户，并强调资金从账户转出必须经过人工审核和授权。花旗给出的边界更明确：不允许第三方 AI 智能体或助手登录客户账户，也不能在数字银行平台内直接发起交易；与此同时，客户仍可授权部分 Open Banking 服务商获取只读权限。据报道，摩根士丹利和富国银行也正在限制相关智能体访问账户，并着手修改服务条款，以应对未经授权访问和交易风险。

用户侧主要涉及两类场景。其一是第三方 AI 直接登录。用户把网银账号和密码交给外部助手，由它读取账户或执行操作。由于银行通常要求客户自行管理账户、禁止共享账户，用户同意 AI 操作并不自动意味着银行允许这种接入方式。

其二是 AI 自主发起资金操作。用户或许只要求“优化闲置现金”，Agent 却进一步替用户选择收款账户、归集资金或发起转账。相关行为可能提高收益，却也可能超出用户的真实意图，尤其是在提示词注入、工具链被污染或模型策略发生变化时。

本轮政策并非“所有金融 AI 一刀切”。从目前公开信息看，没有出现针对分析、提醒和资金规划的全面禁令，更明确的限制落在直接登录与自主交易上；自动归集和付款可能需要人工确认，或者转由银行支持的正式接口执行。银行内部使用的 AI 系统也不是本轮讨论重点。

对开发者而言，依赖共享网银密码、模拟浏览器登录，或者让 Agent 长期持有完整账户权限的方案都需要重新评估。受控的 Open Banking 和正式授权接口更稳定，也能把用户授权、银行风控与交易执行放进同一条可审计链路。

开发者如何调整权限与执行链？

开发者需要重构整条权限与执行链，仅在提示词中加入“转账前请确认”并不足够。更稳妥的流程包括以下四步：

1. 通过正式接口获得只读授权。
2. AI 根据账户数据生成交易草案，不直接执行。
3. 展示收款方、金额、账户及拟执行动作，由用户明确确认。
4. 风控校验通过后再执行，并返回可核验的结果。

接入层应优先使用银行提供的正式授权接口或受控 Open Banking，不要把共享网银密码作为长期方案。账号凭证应存入专门的凭证库，并使用范围受限、可以撤销且有效期较短的令牌。认证、授权和交易确认也应分开：前者确认操作者身份，第二项界定 Agent 可以做什么，第三项则针对某一笔具体交易取得用户批准，三者不能合并成一次永久同意。

权限还应绑定到具体任务，而不是绑定给 Agent 本身。例如，“查询本月账单”只获得账单只读权限，“向指定账户划转 500 元”则单独申请交易权限，任务结束后应再次收缩权限范围。这也是 Agent 安全实践强调的最小权限原则：权限随任务授予，按最小范围开放。

对高风险操作，至少应配置人工确认、二次认证、金额与频率限制、异常收款方拦截和重复提交保护。确认页面还应明确说明这是 Agent 代用户发起操作，并完整展示收款方和金额，避免用户误以为是银行或本人直接操作。

还应在 Agent 外围部署独立的 Guardrail，限制可调用的工具、参数范围和执行顺序，重点防范提示词注入、工具链投毒、越权操作与敏感数据泄露。安全边界不能完全依赖模型自身。模型升级带来的行为变化、上下文污染或第三方工具异常，都可能使风险越过边界，直接影响资金操作。

审计日志则要能回答三个问题：谁授权、谁执行、为何执行。至少应记录用户授权范围、Agent 与模型或策略版本、工具调用、确认动作、风控结果和最终执行结果。这样即使交易发生争议，也能还原完整链路，而不是只看到一条无法解释的扣款记录。

不过，这些措施并未解决全部问题。自主技术应如何获得法律授权，交易出错后由用户还是服务商担责，银行接口如何统一，以及银行如何识别 AI 流量与真人操作，都仍待监管和行业厘清。银行的安全要求与用户对自动理财的便利需求之间，也尚无统一答案。短期看，仅靠模型自律不足以支撑金融级 Agent；更现实的方向，是让用户围绕具体任务授予 AI 可撤销、可确认、可审计的权限，而不是交出整个钱包的控制权。