Didelis bankas perspėja: neduokite savo prisijungimo duomenų DI agentams – galite prarasti paskyros kontrolę

Sekite TechNaujienos Google

DI agentams vis dažniau siūloma patikėti ne vien laiškų rašymą ar informacijos paiešką, bet ir mokėjimus, apsipirkimą bei asmeninių finansų valdymą. Tačiau „Bank of America“ klientams išsiuntė aiškų perspėjimą: banko prisijungimo vardo ir slaptažodžio negalima atiduoti išorinei DI programai, net jei ji žada viską atlikti už žmogų.

Spalio 26–27 dienų šaltinyje pateikiamos šios incidento detalės. Spalio 27 dieną „TechCrunch“ pranešė apie banko klientams išplatintą laišką. Bankas ragina nesidalyti prisijungimo informacija su trečiosiomis šalimis, įskaitant dirbtiniu intelektu grįstus agentus, kurie siūlo prisijungti klientų vardu. „Bank of America“ atstovas patvirtino, kad toks perspėjimas autentiškas.

Šis klausimas sparčiai aktualėja, nes DI agentai skiriasi nuo įprasto pokalbių roboto. Agentui suteikus prieigą prie svetainės ar programėlės, jis gali savarankiškai atlikti kelis veiksmus: prisijungti, ieškoti informacijos, pildyti formas, o turėdamas atitinkamas teises – inicijuoti pinigų pervedimą. Toks patogumas naudingas tik tada, kai prieiga ribota ir aiškiai kontroliuojama.

Anksčiau dauguma skaitmeninių asistentų apsiribodavo informacijos paieška arba teksto generavimu. Naujos kartos agentai gali veikti svetainėse ir programėlėse naudodami vartotojo sesiją. Dėl to iš pirmo žvilgsnio patogus prašymas „sutvarkyk mano sąskaitas“ gali apimti keliolika automatinių veiksmų, tarp jų duomenų skaitymą ir užsakymų patvirtinimą. Jei sistemoje nėra aiškių ribų, agentui gali būti suteikta daug daugiau teisių nei iš tikrųjų reikia. Bankininkystėje toks skirtumas ypač jautrus, nes klaida gali sukelti tiesioginius finansinius nuostolius.

Naujausi straipsniai

5 min. skaitymo • prieš 3 minutės

„Anduril“ ir „Qualcomm“ kurs kompiuterį, kurio dalis beveik visiškai pagamintos JAV ir sąjungininkų šalyse

5 min. skaitymo • prieš 23 minutės

„Google“ pristatė „Genie 4“: DI pasaulius galima keisti realiu laiku – ateityje keisis žaidimų kūrimas

5 min. skaitymo • prieš 43 minutės

„Apple“ išleido „iOS 27.2“: daugiau nei 160 saugumo pataisų ir naujos „Siri“ galimybės – o kaip Lietuva?

Visi naujausi straipsniai →

Saugus alternatyvus modelis – ribotos prieigos suteikimas. Pavyzdžiui, programa gali gauti teisę perskaityti tik sąskaitos likutį, bet neinicijuoti pavedimų; arba kiekvienam pavedimui prašyti atskiro patvirtinimo. Tokie sprendimai skiriasi nuo situacijos, kai paslaugai atiduodamas visas banko slaptažodis. Kai kurie bankai ir mokėjimo technologijų kūrėjai svarsto technines sąsajas bei aiškiai atšaukiamus leidimus. Kol tokie mechanizmai nėra oficialiai palaikomi konkretaus banko, vartotojas neturėtų eksperimentuoti su prisijungimo duomenų perdavimu atsitiktiniam agentui.

Lietuvoje finansinių technologijų rinka plati, o naudotojai sparčiai išbando naujas automatizavimo priemones. Tačiau vartotojui gali būti sunku suprasti, ar jo naudojamas DI įrankis veikia oficialaus banko leidimu, ar tiesiog mėgina prisijungti svetainėje jo vardu. Tokį skirtumą reikia patikrinti prieš suteikiant prieigą. Jei paslauga prašo vienkartinio SMS kodo, Smart-ID patvirtinimo ar pilno banko slaptažodžio, tai ypač aiškus signalas sustoti ir patikrinti jos teisėtumą. Saugumas čia svarbesnis už keliomis sekundėmis sutaupytą laiką.

Kas įvyko ir kokie tikrieji pavojai

Jei žmogus įveda savo banko slaptažodį į nepatikrintą DI paslaugą, rizika apima ir technines klaidas, ir netinkamus agento sprendimus. Saugumo spraga DI tiekėjo infrastruktūroje galėtų atskleisti slaptažodį, o pernelyg plačios teisės leistų atlikti veiksmus, kurių žmogus neplanavo. Net patikimas įrankis savaime netampa banko oficialiai palaikomu prisijungimo kanalu.

Banko perspėjime taip pat atkreiptas dėmesys į atsakomybę. Dalis finansų įstaigų sutartyse numato, kad naudotojas atsako už veiklą, atsiradusią po savanoriško prisijungimo duomenų perdavimo. Konkrečios atsakomybės ribos priklauso nuo šalies, sutarties ir aplinkybių, todėl negalima teigti, kad kiekvienas Lietuvos bankas taikys identišką taisyklę.

Kasdieniame finansų valdyme DI gali būti naudingas net neturėdamas galimybės prisijungti prie banko paskyros. Pavyzdžiui, žmogus gali eksportuoti sąskaitos išrašą, pašalinti jame nereikalingus asmeninius duomenis ir paprašyti išanalizuoti išlaidų kategorijas. Vis dėlto tokiu atveju reikia įvertinti, ar pasirinkta DI paslauga leidžia saugiai tvarkyti finansinius duomenis. Tai skiriasi nuo situacijos, kai agentui perduodamas prisijungimo vardas, slaptažodis ir mokėjimų patvirtinimai. Vartotojui geriau rinktis sprendimą, kuriame leidimai riboti ir atšaukiami, o svarbūs pavedimai patvirtinami atskirai. Jei bankas pats nepalaiko tokio mechanizmo, saugiau finansinius veiksmus atlikti įprastoje oficialioje programėlėje.

Ką verta žinoti Lietuvoje

Finansų ir technologijų sektorius tuo pat metu ieško saugesnių sprendimų: ribotų prieigos leidimų, patvirtinimų kiekvienai operacijai ir techninių sąsajų, kurios neprivalo perduoti slaptažodžio DI agentui. Tokią prieigą svarbu atskirti nuo paprasto prisijungimo vardo bei slaptažodžio perdavimo trečiajam asmeniui.

Lietuvos vartotojams praktiškas principas išlieka tas pats: prisijungti prie banko tik oficialiais jo kanalais, naudoti stiprų papildomą patvirtinimą ir neleisti programai saugoti banko slaptažodžio be aiškaus poreikio. DI asistentas gali padėti suprasti sąskaitos išrašą, bet jam dėl to nereikia suteikti visiškos banko paskyros kontrolės. Plačiau susijusiu klausimu rašėme anksčiau.