Durante décadas, uma senha correta significou uma pessoa do outro lado da tela. Em outubro de 2026, alguns dos maiores bancos dos Estados Unidos admitiram que já não conseguem garantir isso. Agentes de IA não autorizados estão operando dentro de contas de clientes, muitos com a senha que o próprio correntista entregou, alguns tomando iniciativas que ninguém pediu. 

O caso é bancário. O ponto cego que ele expõe existe em qualquer empresa com um portal, uma API ou uma central de atendimento capaz de executar pedidos. 

Agentes de IA não autorizados: o que os bancos encontraram dentro das contas 

Segundo reportagem do Axios publicada em 22 de outubro, Morgan Stanley, Bank of America, JPMorgan e Wells Fargo estão entre as instituições que correm para conter o risco de agentes de IA de terceiros circulando em contas de clientes. Parte delas já identificou acessos não autorizados. Executivos ouvidos pelo veículo descreveram a situação como assustadora. 

Na maior parte dos casos, o acesso começa com o consentimento do cliente. A pessoa entrega usuário e senha a um assistente de IA para que ele consulte saldo, pague contas ou organize as finanças. Para o cliente, está autorizado. Para o banco, não, porque as regras da maioria das instituições exigem que o próprio titular faça o login. Há também registros mais incômodos, como agentes que entraram em contato com centrais de atendimento e outros que pareciam agir sem instrução do usuário. 

A reação veio rápido. O Morgan Stanley começou a bloquear agentes de terceiros, enquanto JPMorgan, Bank of America e Citi passaram a restringi-los, e boa parte do setor caminha para permitir apenas acesso de leitura. Nove dias antes da reportagem, na teleconferência de resultados do terceiro trimestre, Jamie Dimon, CEO do JPMorgan, já tinha avisado que o banco não deixaria agentes externos operarem contas e que podem existir milhares de agentes fora de controle. Para quem autoriza um agente desses, disse ele, há uma transferência de responsabilidade. 

Convém separar fato de alarme. O Morgan Stanley afirmou não ter observado agentes desonestos em suas plataformas, e as reportagens não documentam perdas confirmadas em contas. O que está documentado é algumas das instituições mais vigiadas do sistema financeiro admitindo que não sabem diferenciar um agente autorizado de um que saiu do roteiro. 

Em paralelo corre outra frente. Rob Nichols, CEO da Associação Americana de Bancos, disse à CNBC que a IA está industrializando golpes tradicionais, levando para a escala o que antes dependia de esforço manual. O assistente bem-intencionado que extrapola o pedido e o golpista que automatiza ligações e chats exploram a mesma fragilidade. 

Por que a senha deixou de dizer quem está agindo 

Quando um agente entra com as credenciais do cliente, o sistema do banco enxerga o cliente. Só pelo login, não há como saber se é o titular conferindo o extrato, um assistente cumprindo um pedido ou um assistente que foi além dele. Como observou Sandy Carter na Forbes, a senha compartilhada dá acesso ao agente e, ao mesmo tempo, esconde quem ele é e até onde vai a autorização que recebeu. 

O problema está na premissa. A maior parte dos sistemas corporativos foi desenhada assumindo que credencial válida equivale a uma pessoa com intenção. A autenticação confirma que aquela chave pertence ao titular. Não foi feita para responder quem está usando a chave, em nome de quem e com qual mandato. Enquanto o usuário era sempre humano, essa diferença quase nunca aparecia. 

Os mecanismos antifraude esbarram no mesmo limite. Muitos aprenderam a reconhecer comportamento humano, como ritmo de digitação, caminho de navegação e dispositivo habitual. Com um software agindo em nome do cliente, esses sinais perdem o sentido, e a BioCatch, empresa especializada em prevenção a fraude, aponta que fica difícil dizer se a atividade é um comando legítimo ou um ataque. 

Um exemplo doméstico mostra o tamanho da lacuna. O cliente autoriza o agente a pagar uma conta, e o agente paga duas vezes. Que registro prova o que o cliente aprovou, o que o agente pediu e por que o sistema processou os dois pagamentos? Na maioria dos ambientes, ninguém precisou dessa resposta até agora, então ela não existe. 

O mesmo ponto cego existe fora dos bancos 

Banco foi onde o problema ganhou manchete, porque ali o dinheiro se move rápido e cada transação é rastreada. Agora pense nos sistemas de uma distribuidora, de uma indústria ou de uma operadora de saúde. Há portais em que clientes fazem pedidos e emitem segunda via de boleto, portais de fornecedores onde se atualiza o cadastro (inclusive a conta que vai receber o pagamento), um service desk que redefine senhas por chat e uma central que altera contratos por telefone. Todos executam ações a partir de uma credencial e de alguns dados de confirmação. 

Nenhum desses canais foi pensado para receber, às três da manhã, centenas de solicitações feitas por um software que conversa com fluência e acerta a data de nascimento do titular. Os agentes que ligaram para centrais de atendimento de bancos deveriam acender um alerta específico em quem administra service desk. Redefinir acesso por telefone ou chat é uma das portas mais antigas da engenharia social, e agora ela pode ser forçada em escala. 

Dentro de casa, a exposição é parecida. Empresas estão adotando seus próprios agentes para triagem de chamados, atendimento e rotinas financeiras, muitas vezes conectados por contas de serviço com permissões amplas, criadas para uma integração antiga e nunca revisadas. Some a isso o colaborador que liga um assistente pessoal ao e-mail ou ao ERP com a própria senha, sem a TI saber. Em sistemas legados, onde a autenticação foi implementada há anos e o log registra pouco além de usuário e horário, separar o que foi pessoa do que foi agente pode ser simplesmente impossível. 

O volume tende a crescer. A IDC projeta que os agentes de IA ativos passem de 31 milhões em 2025 para 2,45 bilhões em 2030. No Brasil, uma pesquisa da BioCatch com 100 líderes de prevenção a fraude mostrou que 90% veem a IA agêntica como a principal vulnerabilidade a ser explorada por criminosos nos 12 meses seguintes, e 83% consideram extremamente difícil separar atividade legítima assistida por IA de uma ação maliciosa. Com o Pix liquidando em segundos, o intervalo entre o golpe e a dispersão do dinheiro é curto demais para depender de revisão manual. 

O que a reação dos bancos ensina sobre governança de agentes de IA 

A primeira resposta foi bloquear e restringir. A segunda, mais reveladora, foi separar ver de agir, liberando consultas e barrando qualquer ação que mova dinheiro ou altere dados. Para funcionar, essa regra exige que o sistema saiba diferenciar os dois tipos de operação e aplique controles distintos a cada um. Em muitos ambientes corporativos essa separação simplesmente não existe, e quem consegue ver um cadastro também consegue alterá-lo. 

Os próprios bancos sabem que o bloqueio tem prazo de validade. Executivos ouvidos pelo Axios reconhecem que os clientes vão querer usar agentes e que será preciso achar um meio-termo. O JPMorgan, que fechou a porta para agentes externos, testa uma ferramenta própria, a Smart Cash, que movimenta dinheiro entre contas do mesmo cliente dentro do banco. Automação, portanto, é bem-vinda quando o banco controla a identidade e o escopo de quem age. 

O mercado de pagamentos vai pelo mesmo caminho. A Visa lançou com a Cloudflare um protocolo para que agentes aprovados se identifiquem e informem a intenção da compra, a Mastercard criou uma credencial específica para agentes e bancos como Barclays, HSBC UK, ING e Lloyds já concluíram na Europa transações reais executadas por agentes. Todas essas iniciativas tratam o agente como uma identidade própria, com permissões delimitadas e verificáveis. 

O detalhe que mais pesa é onde o limite mora. Se o cliente autorizou um pagamento de R$ 200, quem recusa a tentativa de pagar R$ 2.000 precisa ser o próprio sistema. Um agente que apenas se lembra da instrução recebida pode esquecê-la, interpretá-la mal ou ser enganado no meio do caminho. 

Como identificar agentes de IA em sistemas corporativos? 

Agentes já chegam aos sistemas corporativos, autorizados ou não. A pergunta útil é o que conseguiriam fazer lá dentro e quanto disso ficaria registrado. 

Mapeie as portas que executam ações 

O inventário começa pelos canais externos: portais de clientes e fornecedores, APIs abertas a parceiros, chat, e-mail e telefone do atendimento. Para cada um, a pergunta é quais ações ele executa com base apenas em login e dados de confirmação. Alteração de conta bancária, emissão de pagamento, troca de e-mail cadastrado e redefinição de senha costumam encabeçar a lista. 

Separe consulta de execução 

Ações que movem dinheiro ou mudam dados sensíveis pedem um passo que o agente não consiga cumprir sozinho. Pode ser confirmação por outro canal, limite de valor, janela de espera para mudança de cadastro ou aprovação de uma segunda pessoa. Em sistemas legados, isso costuma exigir uma camada intermediária de integração, porque mexer no núcleo do sistema é caro e arriscado. 

Dê identidade própria a cada agente interno 

Os agentes que a própria empresa coloca em operação precisam de conta exclusiva, dono definido, permissão mínima para a tarefa e data para expirar. Uma conta de serviço genérica, compartilhada por três integrações e um agente recém-criado, é exatamente o tipo de credencial que ninguém consegue auditar depois de um incidente. 

Monitore comportamento além da credencial 

Volume de requisições e intervalos entre etapas que nenhuma pessoa produziria denunciam automação mesmo com a senha certa. Isso só funciona se o log guardar mais do que usuário e horário. A ação solicitada e o canal de origem precisam estar lá. 

Revise o service desk antes que ele vire porta de entrada 

Redefinir acesso por telefone ou chat com base em data de nascimento e CPF é um fluxo que precisa ser revisto agora. Em plataformas como o Jira Service Management, dá para estruturar a verificação de identidade em etapas, manter a trilha de cada solicitação e acionar a segurança automaticamente quando um padrão foge do normal. A equipe de atendimento também precisa ser treinada para desconfiar quando a voz do outro lado pode não ser de uma pessoa. 

Para que você possa se aprofundar ainda mais, recomendamos também a leitura dos artigos abaixo: 

Os legados de 2028 estão sendo escritos hoje 

Gasto com IA deve crescer 36,2% em 2027, afirma Gartner 

O que o ataque aos supermercados da França ensina sobre o risco de sistemas legados 

Saber quem age virou requisito de operação 

O caso dos bancos americanos antecipa uma pergunta que vai chegar a toda empresa com sistemas abertos a clientes, fornecedores e colaboradores. Quando algo der errado, a investigação vai precisar reconstruir o que foi pedido, por quem, em nome de quem e dentro de qual autorização. Quem conseguir responder isso vai poder liberar agentes com segurança, inclusive os seus. Os demais vão ficar entre bloquear tudo e torcer. 

Essa resposta raramente mora num sistema só. Depende de como a autenticação foi construída, de como as integrações trocam credenciais, do que os logs guardam e de como o atendimento confirma identidade. A CSP Tech atua justamente nesse tipo de ambiente, onde sistemas core, legados e integrações precisam evoluir sem parar a operação. O trabalho começa pelo mapeamento das portas que executam ações e das dependências entre sistemas, passa pela camada de integração e pela sustentação dos ambientes críticos e chega à estruturação do service desk e dos fluxos de verificação no Jira Service Management. 

Se a sua empresa já expõe portais, APIs ou canais de atendimento que executam pedidos em nome de clientes e colaboradores, vale conversar agora sobre quais deles conseguem distinguir uma pessoa de um software e o que precisa mudar nos que não conseguem. 

Fale com a CSP Tech: https://www.csptech.com.br/contato