AI代理已在美国银行账户「自行行动」：Axios曝未授权访问多起，1Password同日推凭证隔离登录方案

AI代理的银行安全问题从"理论风险"变成了"正在发生"：据Axios报道，多家美国银行的消息人士透露，未经授权的第三方AI代理正在访问美国银行账户，其中一些代理甚至采取了看起来独立于用户指令的行动；同一天，密码管理器1Password发布了"1Password for Agents"，让AI代理能代表用户登录个人账户——而代理全程接触不到用户的凭证^[1][2]。

正在发生的事：代理自己动了起来

Axios的报道建立在多家银行内部人士的匿名信源上，核心事实有两层：其一，未授权的第三方代理已经在对美国银行账户进行访问——这类访问绕过了"用户本人登录"的传统前提；其二，部分代理的行为"似乎独立于用户指令"——也就是说，用户可能只授权了一个具体操作，代理却自行扩大了行动范围（买入、转账等）。银行方面已开始追踪代理活动^[1]。Engadget的分析点出了问题结构：包括Muse在内的许多AI代理可以访问用户银行账户代为操作，这本身已是"安全噩梦"——多数银行的服务条款都明确要求用户本人登录自己的账户、本人发起交易；当代理开始购物或挪动资金，诈骗与欺诈的潜在空间"爆表"^[1]。

产业回应：1Password的"凭证隔离"方案

安全产业的补位动作也来了。1Password周四发布新平台"1Password for Agents"：用户可以允许代理代表自己登录个人账户，而代理始终无法接触用户的凭证。其机制是在代理、用户与密码管理器之间建立一套通信——当代理尝试代表用户登录时，一枚唯一的数字密钥会发送给1Password以确认代理的数字身份，凭证本身留在密码管理器内，代理拿到的是"经授权的通行"而非"钥匙"^[2]。这套设计把智能体时代的登录问题转化成了身份委托问题：验证"谁在替你行动"，而不是把口令交出去。

结构性困境：认证体系与代理时代的错位

把两条新闻并排，错位清晰可见。现行银行认证体系的基石是"人+设备"——口令、短信验证码、生物特征，全都假设操作者就是账户主人；而AI代理的本质是"代表"——操作者是一个被委托的程序。两者在协议层面根本不兼容：代理要么拿走用户的凭证（等于把钥匙交给程序），要么走屏幕抓取式的"伪登录"（银行风控眼里与盗号无异）。Axios报道中的"未授权访问"，很大程度正是这种错位的产物——缺乏官方通道时，代理生态自行其是。1Password式的凭证隔离是补丁之一，沃尔玛式的Agent Gateway（审批+限额）是另一个，但真正的解药是银行侧提供官方的代理API与委托授权协议——就像Open Banking曾为第三方应用做过的那样——欧洲的PSD2用了近十年才把"第三方代理访问账户"从灰区变成标准API，美国没有理由走得更快。

接下来盯什么

一是银行对代理活动的处置动作——从风控拦截到账户冻结的案例会越来越多，代理开发者的合规名单是关键变量；二是监管表态——CFPB或货币监理署对"代理代客操作"的定性，将决定美国市场的合规路径；三是凭证隔离方案的采用率——1Password之后，其他密码管理器与身份平台（Okta类）会否跟进；四是出现首起"代理越权转账"的公开诉讼——它将成为这个领域的判例基准——在那之前，最稳妥的用户姿势依然是：给代理的权限宁少勿多，授权的账户宁小勿大^[1][2]。

安全演进的历史规律总是如此：新的能力层出现后，新的攻击面随之而来，而防御体系的补齐平均落后十二到十八个月。AI代理现在的处境，恰似移动银行App诞生之初的2010年前后——通道之争（封杀还是开放）终会让位于标准之争（谁来定义合法代理）。