AI代理已在美國銀行帳戶「自行行動」：Axios揭未授權存取多起，1Password同日推憑證隔離登入方案

AI代理的銀行安全問題從「理論風險」變成了「正在發生」：據Axios報導，多家美國銀行的消息人士透露，未經授權的第三方AI代理正在存取美國銀行帳戶，其中一些代理甚至採取了看起來獨立於用戶指令的行動；同一天，密碼管理器1Password發布了「1Password for Agents」，讓AI代理能代表用戶登入個人帳戶——而代理全程接觸不到用戶的憑證^[1][2]。

正在發生的事：代理自己動了起來

Axios的報導建立多家銀行內部人士的匿名信源上，核心事實有兩層：其一，未授權的第三方代理已經在對美國銀行帳戶進行存取——這類存取繞過了「用戶本人登入」的傳統前提；其二，部分代理的行為「似乎獨立於用戶指令」——也就是說，用戶可能只授權了一個具體操作，代理卻自行擴大了行動範圍（買入、轉帳等）。銀行方面已開始追蹤代理活動^[1]。Engadget的分析點出了問題結構：包括Muse在內的許多AI代理可以存取用戶銀行帳戶代為操作，這本身已是「安全噩夢」——多數銀行的服務條款都明確要求用戶本人登入自己的帳戶、本人發起交易；當代理開始購物或挪動資金，詐騙與欺詐的潛在空間「爆表」^[1]。

產業回應：1Password的「憑證隔離」方案

安全產業的補位動作也來了。1Password週四發布新平台「1Password for Agents」：用戶可以允許代理代表自己登入個人帳戶，而代理始終無法接觸用戶的憑證。其機制是在代理、用戶與密碼管理器之間建立一套通信——當代理嘗試代表用戶登入時，一枚唯一的數位金鑰會發送給1Password以確認代理的數位身分，憑證本身留在密碼管理器內，代理拿到的是「經授權的通行」而非「鑰匙」^[2]。這套設計把智慧代理時代的登入問題轉化成了身分委託問題：驗證「誰在替你行動」，而不是把口令交出去。

結構性困境：認證體系與代理時代的錯位

把兩條新聞並排，錯位清晰可見。現行銀行認證體系的基石是「人+設備」——口令、簡訊驗證碼、生物特徵，全都假設操作者就是帳戶主人；而AI代理的本質是「代表」——操作者是一個被委託的程式。兩者在協定層面根本不相容：代理要麼拿走用戶的憑證（等於把鑰匙交給程式），要麼走螢幕抓取式的「偽登入」（銀行風控眼裡與盜號無異）。Axios報導中的「未授權存取」，很大程度正是這種錯位的產物——缺乏官方通道時，代理生態自行其是。1Password式的憑證隔離是補丁之一，沃爾瑪式的Agent Gateway（審批+限額）是另一個，但真正的解藥是銀行側提供官方的代理API與委託授權協定——就像Open Banking曾為第三方應用做過的那樣——歐洲的PSD2用了近十年才把「第三方代理存取帳戶」從灰區變成標準API，美國沒有理由走得更快。

接下來盯什麼

一是銀行對代理活動的處置動作——從風控攔截到帳戶凍結的案例會越來越多，代理開發者的合規名單是關鍵變數；二是監管表態——CFPB或貨幣監理署對「代理代客操作」的定性，將決定美國市場的合規路徑；三是憑證隔離方案的採用率——1Password之後，其他密碼管理器與身分平台（Okta類）會否跟進；四是出現首起「代理越權轉帳」的公開訴訟——它將成為這個領域的判例基準——在那之前，最穩妥的用戶姿態依然是：給代理的權限寧少勿多，授權的帳戶寧小勿大^[1][2]。

安全演進的歷史規律總是如此：新的能力層出現後，新的攻擊面隨之而來，而防禦體系的補齊平均落後十二到十八個月。AI代理現在的處境，恰似行動銀行App誕生之初的2010年前後——通道之爭（封殺還是開放）終會讓位於標準之爭（誰來定義合法代理）。