Amenazas agénticas en la banca: separar la señal del ruido

Un enfoque común trata la amenaza agéntica como un problema emergente único: los agentes pronto representarán una gran parte del tráfico bancario digital, los bancos tendrán que distinguir agentes legítimos de agentes maliciosos en sus plataformas, y los estafadores explotarán a agentes terceros legítimos a medida que accedan a actividades financieras. Ese marco no coincide con lo que la banca minorista tradicional muestra hoy en día.

Lo que muestran esos canales es más limitado: la IA puede escalar el fraude existente. La automatización no humana puede atacar los canales bancarios existentes y adaptarse más rápido a los controles. Por separado, los agentes legítimos pueden terminar convirtiéndose en participantes autorizados que actúen para un cliente, pero ese no es un patrón actual en la interfaz del cliente.

En los canales tradicionales de venta minorista de hoy en día, las amenazas esperadas son las dos primeras. Si los agentes autorizados maduran como modelo para realizar tareas bancarias para un cliente, ese acceso debería situarse dentro de un marco de consentimiento, autenticación y responsabilidad comparable al acceso regulado de terceros.

La inteligencia artificial cubre una amplia gama de capacidades, desde generar contenido hasta hacer recomendaciones y tomar decisiones de apoyo. Esas capacidades no implican necesariamente tomar medidas. Producir textos o recomendaciones es fundamentalmente diferente de acceder a una aplicación, mover dinero o completar una tarea dentro de un sistema bancario.

Un agente, por el contrario, utiliza la inteligencia artificial para actuar hacia un objetivo definido. Puede planificar y llevar a cabo una secuencia de acciones, interactuar con herramientas o sistemas externos y ajustar su enfoque a medida que cambian las condiciones. Lo más importante es que todo esto se puede hacer con una intervención humana limitada.

No toda la automatización habilitada por IA es agéntica, y no toda la actividad agéntica es una nueva técnica de fraude. En la banca, el riesgo depende menos de la etiqueta del software que de cómo el actor llega a un sistema financiero y bajo qué autoridad opera.

La actividad agéntica se desarrolla a diferentes velocidades, en diferentes vías.

El comercio electrónico ya muestra el uso en vivo de agentes que navegan, seleccionan productos e inician compras para los consumidores. En julio de 2026, Visa anunció transacciones de comercio agéntico en vivo en los comerciantes europeos participantes, con agentes que actúan dentro de los parámetros definidos por el consumidor. ¹ Eso nos dice algo específico: los agentes están comenzando a comprar y pagar en sitios de comerciantes utilizando la infraestructura de pago con tarjeta. No nos dice que ese mismo patrón sea ahora la forma aceptada de operar una aplicación de banca minorista.

La banca tradicional ha desplazado cada vez más el acceso de terceros hacia interfaces autenticadas, basadas en consentimiento y con permisos. Los regímenes de banca abierta, como PSD2, y equivalentes en otros lugares, ponen énfasis en la autenticación sólida del cliente, el consentimiento explícito, la autorización y la auditabilidad.²

Esto no es una distinción entre bancos y comerciantes como tipos de empresas. El mismo banco puede respaldar una compra de comercio agéntico como emisor de tarjetas y aún así enfrentar un problema diferente cuando la actividad llega a su propia sesión de banca en línea. La diferencia está en la ruta de acceso:

• Un punto de venta o terminal de pago, donde se puede invitar a un agente a comprar dentro de límites establecidos
• Una interfaz de cliente bancario, donde la automatización desconocida generalmente se trata como de alto riesgo
• Una interfaz de terceros con permisos, donde se supone que el acceso debe llevar identidad, consentimiento y un alcance definido

La IA puede aumentar la escala, la velocidad y la adaptabilidad de las operaciones conocidas: ingeniería social, suplantación de identidad, phishing y estafas. Los atacantes pueden producir más variantes, responder a las víctimas en el momento y trabajar en todos los idiomas y canales con menos esfuerzo manual.

Es posible que el tipo de fraude ya sea familiar. Lo que cambia es su volumen y adaptabilidad. El desafío inmediato no es simplemente identificar el contenido generado por IA, sino reconocer patrones familiares de fraude que operan a mayor escala y se adaptan más rápido, incluidos los casos en que el cliente aún parece aprobar el pago.

La automatización del navegador, la automatización móvil, los ataques de credenciales, la manipulación de dispositivos y otras interacciones no humanas ya están en el escenario. La IA puede acortar el ciclo entre el intento, el feedback y el ajuste.

Eso no la convierte necesariamente en un nuevo tipo de ataque, sino en una forma más rápida de ejecutar ataques. Los bancos ya son conscientes de los sondeos, las sesiones programadas, el abuso de credenciales y tokens y las anomalías de los dispositivos.

Por tanto, la inteligencia conductual, de dispositivos, de sesión y de transacciones sigue siendo fundamental. El trabajo a corto plazo es mantener esos controles efectivos contra una actividad no humana más adaptativa, no hacer que la “detección de agentes” sea el requisito principal.

Los agentes podrán actuar para los clientes a través de interfaces autorizadas: comparando opciones, iniciando pagos y completando otras tareas dentro de licencias definidas. Ese modelo está surgiendo primero en el comercio electrónico.

La banca tradicional está en un lugar diferente.

Un agente de consumo puede usar una aplicación bancaria si el cliente proporciona credenciales, pero este aún no es un canal legítimo compatible, de baja fricción o ampliamente adoptado. Los bancos suelen tratar dicha actividad como automatización de alto riesgo en lugar de acceso de agentes reconocidos. A medida que los agentes personales de uso general, como Muse de Meta, ganan una adopción generalizada, es probable que más clientes entreguen sus propias credenciales a los agentes de consumo.³ Si eso sucede en números significativos, será más difícil distinguir la delegación legítima del compromiso. Una sesión configurada por el cliente puede parecerse mucho a una automatización desconocida, y las señales de frontend por sí solas pueden no siempre separar las dos con confianza. La evaluación contextual del riesgo será crítica.

A esa escala, la cuestión de la responsabilidad se vuelve inevitable, porque ya no está claro si el cliente, el agente proveedor o el banco son responsables cuando algo sale mal. Esa misma brecha de responsabilidad es parte de lo que llevó a los agregadores del frontend scraping a las API reguladas, y probablemente hará necesario un modelo de autorización también para los agentes de consumo. Hasta la fecha, el uso confirmado, estable y a gran escala de agentes de consumo independientes de terceros a través de interfaces bancarias orientadas al cliente sigue siendo limitado, aunque la adopción es probable que se acelere.

Lo que aparece en torno a la banca hoy en día es más limitado. Los bancos están empezando a tener sus propios asistentes de primera mano. Los terceros con licencia ya acceden a cuentas a través de marcos regulados de banca abierta. Los estafadores siguen abusando de credenciales y tokens robados. Ninguno de ellos es lo mismo que un agente de consumo independiente aceptado como participante reconocido en la interfaz de cliente del banco. Ese modelo maduro, con una identidad clara del agente, delegación explícita y autoridad con alcance, aún está emergiendo.

La amenaza esperada en los canales tradicionales de banca de venta minorista hoy en día es la ingeniería social amplificada por IA y ataques más adaptativos en las interfaces existentes.

Eso incluye sesiones que aún se parecen al cliente porque el cliente está hablando por teléfono o lo convencieron para aprobar un pago. También incluye interacciones no humanas que ya deberían considerarse automatizadas, como las herramientas de los navegadores y los dispositivos móviles, las anomalías en los dispositivos y la pérdida de integridad de la sesión, independientemente de si alguien denomina "agente" a dichas herramientas.

Fortalecer los controles que ya abordan estos patrones. Si los agentes de consumo independientes se convierten en una presencia creciente en el frontend bancario, la respuesta no es tratarlos como de confianza por defecto, sino evaluarlos en contexto hasta que existan canales autorizados.

La automatización delictiva no esperará a que exista una vía regulada. Es por eso que la automatización frontend desconocida debe seguir siendo de alto riesgo. El caso de un marco de consentimiento y rendición de cuentas se aplica a los agentes autorizados que buscan realizar acciones bancarias, no a la automatización penal.

Los agentes externos operados por bancos ya están apareciendo en entornos controlados por los bancos. Los agentes independientes de terceros autorizados para realizar operaciones bancarias son un asunto diferente. Se debería esperar a que ese modelo se desarrolle bajo regulación, con identidad, consentimiento, autenticación y un alcance definido, en lugar de tratar a un agente desconocido en la interfaz del cliente como un usuario legítimo nuevo.

Cuando llega ese modelo autorizado, la detección de fraude no se vuelve obsoleta. Se vuelve más contextual. Junto con las características de identidad, dispositivo, comportamiento, sesión y transacción se encuentra la autorización.

Un banco necesitará saber quién o qué está iniciando la acción, en nombre de quién, bajo qué autoridad, cómo se otorgó el consentimiento, si esa autoridad sigue siendo válida y si la acción aún coincide con el propósito previsto del cliente.

Una identidad válida no garantiza una actividad legítima. Un token válido no garantiza la intención legítima. Un cliente puede ser manipulado para que otorgue autoridad. La autoridad otorgada puede utilizarse posteriormente fuera del propósito que el cliente entendió.

Las preguntas útiles no son “¿humano o agente?”, sino:

• ¿Quién está actuando?
• ¿Qué autoridad tiene?
• ¿Cuál era el propósito previsto?
• ¿Qué medidas se tomaron?

La prueba es si la acción tiene sentido dado el actor, la autoridad y el propósito previsto.

A corto plazo: seguir invirtiendo en la detección de ataques automatizados, acceso comprometido, ingeniería social y comportamiento anómalo de las transacciones. Esas presiones ya están aquí.

Paralelamente, comience a reunir el contexto necesario para la participación autorizada a medida que se vuelve más común: identidad del agente, autoridad delegada, consentimiento, alcance de acceso y la interfaz a través de la cual se otorgó el acceso. Evalúa este contexto junto con las señales ya en uso.

El objetivo no es pronosticar la forma exacta de la banca agentiva. Es evitar diseñar controles en torno a un patrón de comercio que aún no se aplica a la banca mientras se permanece preparado para que el acceso de agentes autorizados madure.

El requisito práctico es identificar la amenaza frente al banco y aplicar controles adecuados a esa amenaza.