Minacce agentiche nel settore bancario: separare il segnale dal rumore

Un'interpretazione diffusa inquadra la minaccia legata agli "agenti" come un unico problema emergente: gli agenti rappresenteranno presto una quota significativa del traffico bancario digitale, le banche dovranno distinguere tra agenti legittimi e malevoli sulle proprie piattaforme e i truffatori utilizzeranno gli agenti legittimi di terze parti man mano che questi acquisiranno accesso alle attività finanziarie. Tale prospettiva non corrisponde a quanto sta emergendo oggi nel settore del retail banking tradizionale.

La realtà osservata in questi canali è più circoscritta: l'AI consente di amplificare la portata delle frodi esistenti. L'automazione non umana può prendere di mira i canali bancari attuali e adattarsi più rapidamente alle misure di controllo. Separatamente, è possibile che in futuro agenti legittimi operino come soggetti autorizzati per conto del cliente, ma si tratta di una modalità non ancora diffusa nell'interfaccia rivolta alla clientela.

Nei canali tradizionali del retail banking, le minacce previste sono le prime due. Qualora il modello degli agenti autorizzati allo svolgimento di operazioni bancarie per conto del cliente dovesse consolidarsi, tale accesso dovrebbe rientrare in un framework che garantisca consenso, autenticazione e responsabilità, paragonabile a quello previsto per l'accesso da parte di terze parti regolamentate.

L'intelligenza artificiale copre un'ampia gamma di funzionalità, dalla generazione di contenuti alla formulazione di raccomandazioni e al supporto delle decisioni. Tali funzionalità non implicano necessariamente l'esecuzione di azioni concrete. Produrre un testo o fornire consigli è sostanzialmente diverso dall'accedere a un'applicazione, trasferire denaro o completare un'operazione all'interno di un sistema bancario.

Un agente, al contrario, utilizza l'intelligenza artificiale per agire in vista di un obiettivo definito. Può pianificare ed eseguire una sequenza di azioni, interagire con strumenti o sistemi esterni e adattare il proprio approccio in base alle variazioni delle condizioni. La cosa più importante è che tutto ciò può essere realizzato con un intervento umano limitato.

Non tutte le forme di automazione basate sull'AI sono di tipo "agentico", né tutte le attività agentiche costituiscono una nuova tecnica di frode. Nel settore bancario, il rischio dipende meno dalla classificazione del software che dalle modalità con cui l'agente accede al sistema finanziario e dall'autorità in virtù della quale opera.

L'attività agentica si sta sviluppando a velocità e su binari differenti.

L'e-commerce vede già l'impiego concreto di agenti che navigano, selezionano prodotti e avviano acquisti per conto dei consumatori. Nel luglio 2026, Visa ha annunciato l'effettuazione di transazioni di "commerce agentico" presso esercenti europei aderenti, con agenti che operano entro parametri definiti dal consumatore. ¹ Ciò indica un aspetto specifico: gli agenti stanno iniziando a effettuare acquisti e a completare le transazioni sui siti degli esercenti, utilizzando l'infrastruttura di pagamento con carta. Questo non significa che tale modello rappresenti la modalità attualmente supportata per gestire un'applicazione di retail banking.

Il settore bancario tradizionale ha progressivamente orientato l'accesso di terze parti verso interfacce autenticate, basate sul consenso e soggette a permessi specifici. I regimi di Open Banking, come la PSD2 e le normative equivalenti in altre aree geografiche, pongono l'accento sull'autenticazione forte del cliente, sul consenso esplicito, sull'autorizzazione e sulla tracciabilità.²

Non si tratta di una distinzione basata sulla tipologia di azienda (banca o esercente). La stessa banca può agire come emittente di una carta di credito per un acquisto effettuato tramite un agente, trovandosi tuttavia ad affrontare una problematica diversa quando l'attività coinvolge la propria sessione di online banking. La differenza risiede nella modalità di accesso:

• Il checkout di un esercente o il circuito di pagamento con carta, dove un agente può essere autorizzato ad acquistare entro limiti prestabiliti
• L'interfaccia per il cliente bancario, dove un'automazione non riconosciuta è generalmente considerata ad alto rischio
• Un'interfaccia di terze parti autorizzata, in cui l'accesso deve necessariamente comportare la trasmissione dell'identità, del consenso e di un perimetro operativo definito

L'AI può aumentare la portata, la velocità e l'adattabilità di operazioni note come l'ingegneria sociale, l'impersonificazione, il phishing e le truffe. I criminali informatici possono generare più varianti, interagire con le vittime in tempo reale e operare su diverse lingue e canali riducendo al contempo l'impegno manuale.

Potrebbe trattarsi di una tipologia di frode già nota. Ciò che cambia sono il volume e l'adattabilità. La sfida immediata non è semplicemente identificare contenuti generati da AI, ma riconoscere schemi di frode familiari che operano su scala più ampia e si adattano più rapidamente, inclusi i casi in cui il cliente sembra comunque autorizzare il pagamento.

L'automazione basata su browser e dispositivi mobili, gli attacchi alle credenziali, la manipolazione dei dispositivi e altre forme di interazione non umana sono già parte del panorama delle minacce. L'AI può ridurre i tempi del ciclo che comprende tentativo, feedback e adeguamento.

Ciò non implica necessariamente la nascita di una nuova tipologia di attacco, quanto piuttosto una modalità più rapida per eseguirli. Le banche sono già consapevoli di fenomeni quali attività di sondaggio (probing), sessioni automatizzate tramite script, abuso di credenziali e token, nonché anomalie legate ai dispositivi.

Di conseguenza, le informazioni basate su comportamento, dispositivi, sessioni e transazioni rimangono un elemento fondamentale. L'obiettivo a breve termine è garantire l'efficacia di tali controlli anche di fronte ad attività non umane più adattive, senza trasformare il "rilevamento degli agenti" nel requisito primario.

Gli agenti potranno agire per conto dei clienti tramite interfacce autorizzate: confrontare le opzioni, Initiate i pagamenti e completare altre attività entro i limiti delle autorizzazioni definite. Questo modello sta emergendo per primo nell'e-commerce.

L'attività bancaria tradizionale si trova in una situazione diversa.

Un agente per il consumatore può utilizzare un'applicazione bancaria se il cliente fornisce le credenziali, ma questo non è ancora un canale legittimo supportato, a basso attrito o ampiamente adottato. Le banche generalmente trattano tali attività come un'automazione ad alto rischio piuttosto che come accesso riconosciuto per agenti. Man mano che gli agenti personali generici come Muse di Meta ottengono l'adozione mainstream, è probabile che sempre più clienti consegnino le proprie credenziali agli agenti per il consumatore.³ Se ciò accade in modo significativo, sarà più difficile distinguere la delega legittima dalla compromissione. Una sessione impostata dal cliente può assomigliare molto a un'automazione sconosciuta, e i segnali front-end da soli potrebbero non sempre separare i due con sicurezza. La valutazione del rischio contestuale diventerà critico.

Su questa scala, la questione della responsabilità diventa inevitabile, perché non è più chiaro se il cliente, il fornitore dell'agente o la banca siano responsabili quando qualcosa va storto. Lo stesso divario di responsabilità è parte di ciò che ha spostato gli aggregatori dallo scraping front-end alle API regolamentate, e probabilmente renderà necessario un modello di autorizzazione anche per gli agenti per il consumatore. Ad oggi, l'uso confermato e stabile e su larga scala di agenti indipendenti di terze parti tramite interfacce bancarie rivolte al cliente rimane limitato, anche se l'adozione dovrebbe accelerare.

Ciò che appare oggi nel settore bancario è più ristretto. Le banche stanno iniziando a gestire i propri assistenti virtuali. Le terze parti autorizzate accedono già ai conti tramite framework regolamentati di Open Banking. I truffatori abusano ancora delle credenziali e dei token rubati. Nessuno di questi è uguale a un agente indipendente per il consumatore accettato come partecipante riconosciuto nell'interfaccia cliente della banca. Quel modello maturo, caratterizzato da una chiara identità dell'agente, una delega esplicita e un'autorità circoscritta, è ancora in fase di sviluppo.

La minaccia più probabile per i canali di retail banking tradizionali oggi è rappresentata dall'ingegneria sociale potenziata da AI e da attacchi più adattivi alle interfacce esistenti.

Ciò include sessioni che appaiono legittime perché effettivamente riconducibili al cliente: il cliente è al telefono o è stato indotto ad autorizzare un pagamento. Comprende inoltre interazioni non umane che dovrebbero essere già classificate come automazione, quali strumenti per browser e dispositivi mobili, anomalie del dispositivo e compromissione dell'integrità della sessione, indipendentemente dal fatto che tali strumenti vengano definiti "agenti".

Rafforzare i controlli che già affrontano questi schemi. Se gli agenti per il consumatore indipendenti diventano una presenza crescente nel front-end bancario, la risposta non è trattarli di default come affidabili, ma valutarli nel contesto fino a quando non esistono canali autorizzati.

L'automazione criminale non attenderà l'istituzione di un quadro normativo dedicato. Ecco perché l'automazione di front-end di provenienza sconosciuta deve continuare a essere considerata ad alto rischio. L'adozione di un framework basato su consenso e responsabilità riguarda gli agenti autorizzati che intendono eseguire operazioni bancarie, non l'automazione a fini criminali.

Agenti di prima parte gestiti dalle banche sono già presenti all'interno di ambienti controllati dagli istituti bancari. Discorso diverso vale per gli agenti indipendenti di terze parti autorizzati a operare in ambito bancario. È prevedibile che tale modello si sviluppi all'interno di un quadro normativo che definisca identità, consenso, autenticazione e ambito operativo, anziché trattare un agente sconosciuto nell'interfaccia cliente come un nuovo utente legittimo.

L'adozione di questo modello autorizzato non rende obsoleti i sistemi di rilevamento delle frodi. Tali sistemi diventano semplicemente più contestuali. Alle caratteristiche relative a identità, dispositivo, comportamento, sessione e transazione si affianca l'autorizzazione.

La banca dovrà sapere chi o cosa sta avviando l'azione, per conto di chi, in virtù di quale autorizzazione, come è stato espresso il consenso, se tale autorizzazione è ancora valida e se l'azione corrisponde ancora allo scopo previsto dal cliente.

Un'identità valida non garantisce la legittimità dell'attività. Un token valido non garantisce la legittimità dell'intento. Un cliente può essere manipolato per concedere l'autorizzazione. L'autorità concessa può essere successivamente utilizzata per scopi diversi da quelli compresi dal cliente.

Le domande utili non sono "essere umano o agente?". Sono:

• Chi sta agendo?
• Quale autorizzazione possiede?
• Qual era lo scopo previsto?
• Quale azione è stata intrapresa?

Il criterio di valutazione è se l'azione abbia senso, considerando il soggetto che la compie, l'autorità e lo scopo prefissato.

Nel breve termine: continuare a investire nel rilevamento di attacchi automatizzati, accessi compromessi, ingegneria sociale e comportamenti transazionali anomali. Queste pressioni sono già una realtà.

Parallelamente, iniziare a raccogliere le informazioni di contesto necessarie per la partecipazione autorizzata (che sta diventando sempre più diffusa): identità dell'agente, autorità delegata, consenso, ambito di accesso e interfaccia tramite cui l'accesso è stato concesso. Valutare tali informazioni di contesto insieme ai segnali già in uso.

L'obiettivo non è prevedere l'esatta configurazione del cosiddetto "agentic banking". Si tratta piuttosto di evitare di progettare controlli basati su un modello commerciale non ancora applicabile al settore bancario, pur rimanendo pronti all'evoluzione dell'accesso tramite agenti autorizzati.

L'esigenza pratica consiste nell'individuare la minaccia che la banca deve affrontare e nell'applicare controlli adeguati a tale minaccia.