التهديدات القائمة على الوكلاء في القطاع المصرفي: التمييز بين الإشارات المهمة والضجيج

يتناول أحد التصورات الشائعة التهديد القائم على الوكلاء بوصفه مشكلة واحدة ناشئة: فسيستحوذ الوكلاء قريبًا على حصة كبيرة من حركة الخدمات المصرفية الرقمية، وسيتعين على البنوك التمييز بين الوكلاء الشرعيين والخبيثين على منصاتها، وسيستغل المحتالون الوكلاء الشرعيين التابعين لجهات خارجية مع حصول هؤلاء الوكلاء على صلاحية الوصول إلى الأنشطة المالية. ولا يتفق هذا التصور مع ما تشهده الخدمات المصرفية التقليدية للأفراد اليوم.

فما تظهره تلك القنوات أضيق نطاقًا، إذ يستطيع الذكاء الاصطناعي توسيع نطاق عمليات الاحتيال القائمة. ويمكن للأتمتة غير البشرية مهاجمة القنوات المصرفية القائمة والتكيف مع الضوابط بوتيرة أسرع. وفي مسار منفصل، قد يصبح الوكلاء الشرعيون في نهاية المطاف أطرافًا مخوّلة بالتصرف نيابةً عن العملاء، لكن هذا النمط ليس سائدًا حاليًا في واجهات التعامل مع العملاء.

وفي قنوات الخدمات المصرفية التقليدية للأفراد اليوم، تتمثل التهديدات المتوقعة في التهديدين الأولين. وإذا نضج نموذج الوكلاء المخوَّلين لتنفيذ المهام المصرفية نيابة عن العميل، فينبغي أن يندرج هذا الوصول ضمن إطار للموافقة والمصادقة والمساءلة يماثل الإطار المعتمد لوصول الجهات الخارجية الخاضع للتنظيم.

يشمل الذكاء الاصطناعي نطاقًا واسعًا من القدرات، بدءًا من إنشاء المحتوى ووصولًا إلى تقديم التوصيات ودعم إتخاذ القرارات. وهذه القدرات لا تنطوي بالضرورة على اتخاذ إجراء. فإنتاج نص أو نصيحة يختلف جوهريًا عن الوصول إلى تطبيق أو تحويل الأموال أو إنجاز مهمة داخل نظام مصرفي.

أما الوكيل فيستخدم الذكاء الاصطناعي للتصرف سعيًا إلى تحقيق غاية محددة. ويمكنه التخطيط لسلسلة من الإجراءات وتنفيذها، والتفاعل مع الأدوات أو الأنظمة الخارجية، وتعديل نهجه مع تغير الظروف. والأهم من ذلك أن هذا كله يمكن أن يتم بتدخل بشري محدود.

ليست كل أشكال الأتمتة المدعومة بالذكاء الاصطناعي قائمة على الوكلاء، وليس كل نشاط قائم على الوكلاء أسلوب احتيال جديدًا. ففي القطاع المصرفي، لا يعتمد الخطر على تسمية البرمجية بقدر ما يعتمد على كيفية وصول الطرف الفاعل إلى النظام المالي والصلاحية التي يستند إليها في عمله.

يتطور النشاط القائم على الوكلاء بسرعات مختلفة وعلى مسارات مختلفة.

فقد بدأ استخدام الوكلاء فعليًا في التجارة الإلكترونية لتصفح المنتجات واختيارها وبدء عمليات الشراء نيابةً عن المستهلكين. وفي يوليو 2026، أعلنت شركة Visa عن تنفيذ معاملات فعلية للتجارة القائمة على الوكلاء لدى عدد من التجار المشاركين في أوروبا، مع عمل الوكلاء ضمن الحدود التي يحددها المستهلكون. ¹ وهذا يخبرنا بأمر محدد: بدأ الوكلاء يتسوقون ويُتمّون عمليات الشراء على مواقع التجار باستخدام البنية التحتية لمدفوعات البطاقات. لكن هذا لا يعني أن النمط نفسه أصبح الآن الطريقة المدعومة لتشغيل تطبيق الخدمات المصرفية للأفراد.

اتجهت الخدمات المصرفية التقليدية بصورة متزايدة إلى تنظيم وصول الجهات الخارجية عبر واجهات تتطلب المصادقة، وتستند إلى موافقة العميل، وخاضعة لأذونات. وتشدد أطر الخدمات المصرفية المفتوحة، مثل التوجيه الثاني لخدمات الدفع (PSD2) وما يعادله في مناطق أخرى، على المصادقة القوية للعملاء، والموافقة الصريحة، والتفويض، وإمكانية التدقيق.²

وهذا ليس تمييزًا بين البنوك والتجار بوصفهم أنواعًا من المؤسسات. فقد يقف البنك نفسه وراء عملية شراء ضمن التجارة القائمة على الوكلاء بصفته جهة مُصدِرة للبطاقة، ومع ذلك يواجه مشكلة مختلفة عندما يطال النشاط جلسة الخدمات المصرفية عبر الإنترنت الخاصة به. والفرق يكمن في مسار الوصول:

• صفحة إتمام الشراء لدى التاجر أو مسار الدفع بالبطاقة، حيث قد يُسمح للوكيل بالتسوق ضمن حدود محددة.
• واجهة عملاء البنك، حيث تُعامل الأتمتة المجهولة عادةً على أنها عالية المخاطر
• واجهة جهة خارجية خاضعة لأذونات، حيث يُفترض أن يحمل الوصول الهوية والموافقة ونطاقًا محددًا

يمكن للذكاء الاصطناعي زيادة نطاق عمليات الاحتيال المعروفة وسرعتها وقدرتها على التكيف، مثل الهندسة الاجتماعية وانتحال الهوية والتصيد الاحتيالي وعمليات الخداع. ويستطيع المهاجمون إنتاج مزيد من الصيغ المختلفة، والرد على الضحايا في اللحظة نفسها، والعمل عبر لغات وقنوات متعددة بجهد يدوي أقل.

وقد يكون نوع الاحتيال مألوفًا بالفعل. ما يتغير هو حجمه وقدرته على التكيف. ولا يقتصر التحدي المباشر على اكتشاف المحتوى الذي أنشأه الذكاء الاصطناعي، بل يتمثل في التعرف على أنماط الاحتيال المألوفة عندما تُنَفَّذ على نطاق أوسع وتتكيف بسرعة أكبر — يشمل ذلك الحالات التي يبدو فيها أن العميل لا يزال هو من يوافق على الدفع.

وتشمل التهديدات القائمة بالفعل في المشهد أتمتة المتصفحات والهواتف المحمولة، والهجمات على بيانات الاعتماد، والتلاعب بالأجهزة، وغير ذلك من أشكال التفاعل غير البشري. ويمكن للذكاء الاصطناعي تقصير الحلقة بين المحاولة والتغذية الراجعة والتعديل.

وهذا لا يجعله بالضرورة نوعًا جديدًا من الهجمات، بل طريقة أسرع لتنفيذها. وتدرك البنوك بالفعل مخاطر محاولات استكشاف الأنظمة، والجلسات المؤتمتة وفق نصوص برمجية، وإساءة استخدام بيانات الاعتماد ورموز الوصول، والحالات الشاذة المتعلقة بالأجهزة.

ولذلك تظل المعلومات المستمدة من سلوك المستخدمين والأجهزة والجلسات والمعاملات أساسًا لا غنى عنه. وتتمثل المهمة على المدى القريب في الحفاظ على فعالية تلك الضوابط في مواجهة النشاط غير البشري الأكثر قدرة على التكيف، بدلًا من جعل "اكتشاف الوكلاء" المطلب الأساسي.

سيتمكن الوكلاء من التصرُّف نيابةً عن العملاء عبر واجهات معتمدة، من خلال مقارنة الخيارات وبدء عمليات الدفع وإنجاز مهام أخرى ضمن حدود الصلاحيات المحددة. يبدأ ظهور هذا النموذج في التجارة الإلكترونية.

أما القطاع المصرفي التقليدي، فلا يزال في مرحلة مختلفة.

قد يتمكن وكيل مخصص للمستهلك من استخدام تطبيق مصرفي إذا زوَّده العميل ببيانات تسجيل الدخول، لكن هذه الطريقة لم تصبح بعد قناة مشروعة مدعومة وسهلة الاستخدام وواسعة الانتشار. تتعامل البنوك عادةً مع هذا النشاط باعتباره أتمتة عالية المخاطر، وليس وصولًا معتمدًا للوكلاء. مع انتشار الوكلاء الشخصيين متعددي الأغراض، مثل Muse من Meta، من المرجح أن يشارك المزيد من العملاء بيانات تسجيل الدخول الخاصة بهم مع الوكلاء المخصصين للمستهلكين.³ إذا حدث ذلك على نطاق واسع، فسيصبح التمييز بين التفويض المشروع واختراق الحسابات أكثر صعوبة. قد تبدو الجلسة التي أعدَّها العميل مشابهة إلى حد كبير لعملية أتمتة مجهولة المصدر، وقد لا تكفي المؤشرات الظاهرة في الواجهة وحدها دائمًا للتمييز بين الحالتين بثقة. سيصبح تقييم المخاطر وفقًا للسياق أمرًا بالغ الأهمية.

عند الوصول إلى هذا النطاق، يصبح تحديد المسؤولية القانونية أمرًا لا مفر منه، إذ لن يكون واضحًا بعد ذلك إذا ما كان العميل أم مزوِّد الوكيل أم البنك هو المسؤول عند حدوث مشكلة. وتُعَد هذه الفجوة نفسها في تحديد المسؤولية أحد العوامل التي دفعت خدمات تجميع البيانات إلى الانتقال من استخراج البيانات من الواجهات الأمامية إلى استخدام واجهات برمجة تطبيقات خاضعة للتنظيم، ومن المرجح أن تجعل نموذجًا للتفويض ضروريًا للوكلاء المخصصين للمستهلكين أيضًا. حتى الآن، لا يزال الاستخدام المؤكَّد والمستقر وعلى نطاق واسع لوكلاء مستقلين تابعين لجهات خارجية ومخصصين للمستهلكين عبر الواجهات المصرفية الموجَّهة للعملاء محدودًا، رغم احتمال تسارع انتشارهم.

أما ما يظهر حاليًا في القطاع المصرفي، فهو أضيق نطاقًا. بدأت البنوك في تشغيل المساعدين الخاصين بها. تصل جهات خارجية مرخَّصة بالفعل إلى الحسابات من خلال أطر الخدمات المصرفية المفتوحة الخاضعة للتنظيم. لا يزال المحتالون يستغلون بيانات تسجيل الدخول والرموز المسروقة. ولا يُعَد أيٌّ من هذه الحالات مماثلًا لوكيل مستقل مخصص للمستهلكين، ومعترف به بوصفه طرفًا معتمدًا ضمن واجهة البنك الموجَّهة للعملاء. ولا يزال هذا النموذج المتكامل، الذي يتسم بهوية واضحة للوكيل وتفويض صريح وصلاحيات محددة النطاق، قيد التطور.

والتهديد المتوقع في قنوات الخدمات المصرفية التقليدية للأفراد اليوم هو الهندسة الاجتماعية المعززة بالذكاء الاصطناعي، والهجمات الأكثر قدرة على التكيف على الواجهات القائمة.

ويشمل ذلك الجلسات التي لا تزال تبدو وكأن العميل نفسه هو من ينفذها؛ إذ قد يكون العميل مشاركًا في مكالمة هاتفية أو قد أُقنع بالموافقة على عملية دفع. ويشمل أيضًا التفاعل غير البشري الذي ينبغي التعامل معه بالفعل بوصفه أتمتة، مثل أدوات المتصفحات والهواتف المحمولة والحالات الشاذة في الأجهزة واختلال سلامة الجلسات، بصرف النظر عما إذا كان أحد يصف هذه الأدوات بأنها وكلاء أم لا.

تعزيز الضوابط القائمة التي تتصدى لهذه الأنماط بالفعل. إذا أصبح الوكلاء المستقلون المخصصون للمستهلكين أكثر انتشارًا في الواجهات المصرفية، فلا يكمن الحل في اعتبارهم موثوقًا بهم تلقائيًا، بل في تقييمهم وفقًا للسياق إلى أن تتوفر قنوات معتمدة لهم.

ولن تنتظر الأتمتة الإجرامية وجود مسار خاضع للتنظيم. ولهذا ينبغي أن تظل الأتمتة المجهولة في الواجهة الأمامية مصنفة ضمن الأنشطة عالية المخاطر. وتنطبق مبررات وضع إطار للموافقة والمساءلة على الوكلاء المصرح لهم الذين يسعون إلى تنفيذ إجراءات مصرفية، لا على الأتمتة الإجرامية.

يظهر بالفعل داخل البيئات الخاضعة لسيطرة البنوك وكلاء تابعون لها تشغّلهم البنوك نفسها. أما الوكلاء المستقلون التابعون لجهات خارجية والمخوَّلون بإجراء العمليات المصرفية فمسألة مختلفة. ومن المتوقع أن يتطور هذا النموذج في ظل التنظيم، وبوجود الهوية والموافقة والمصادقة ونطاق محدد، لا عبر التعامل مع وكيل مجهول في واجهة العميل بوصفه مستخدمًا جديدًا مشروعًا.

وعندما يصل هذا النموذج المخوَّل، لا يصبح الكشف عن الغش متقادمًا. بل يصبح أكثر اعتمادًا على السياق. فإلى جانب الهوية والجهاز وخصائص السلوك والجلسة والمعاملة، ستبرز أهمية التحقق من التفويض.

وسيتعين على البنك معرفة من أو ما الذي يبدأ الإجراء، ونيابةً عمّن، وبموجب أي صلاحية، وكيف مُنحت الموافقة، وهل لا تزال هذه الصلاحية سارية، وهل لا يزال الإجراء يتوافق مع الغرض الذي قصده العميل.

الهوية الصحيحة لا تضمن نشاطًا مشروعًا. والرمز المميز الصالح لا يضمن سلامة النية. ويمكن التلاعب بالعميل ودفعه إلى منح صلاحية. ويمكن لاحقًا استخدام الصلاحية الممنوحة خارج الغرض الذي فهمه العميل.

لذلك، لا تتمثل الأسئلة المفيدة في "هل المنفذ إنسان أم وكيل". بل تتمثل في الأسئلة الآتية:

• من الذي ينفذ الإجراء؟
• ما الصلاحية التي يملكها؟
• ما الغرض المقصود؟
• ما الإجراء الذي اتُّخذ؟

ويتمثل معيار التقييم في تحديد ما إذا كان الإجراء منطقيًا في ضوء الطرف المنفذ والصلاحية والغرض المقصود.

على المدى القريب: ينبغي مواصلة الاستثمار في الكشف عن الهجمات المؤتمتة والوصول المخترق والهندسة الاجتماعية وسلوك المعاملات غير المعتاد. وهذه الضغوط قائمة بالفعل.

وبالتوازي مع ذلك، ينبغي البدء بتجميع المعلومات السياقية اللازمة للمشاركة المخوَّلة مع تزايد شيوعها، بما يشمل هوية الوكيل والصلاحية المفوَّضة إليه والموافقة ونطاق الوصول والواجهة التي مُنح الوصول من خلالها. وينبغي تقييم هذه المعلومات السياقية إلى جانب الإشارات المستخدمة بالفعل.

والهدف ليس التنبؤ بالشكل الدقيق للخدمات المصرفية القائمة على الوكلاء، بل تجنب تصميم الضوابط حول نمط خاص بالتجارة لا ينطبق بعد على القطاع المصرفي، مع البقاء مستعدين لنضوج نموذج وصول الوكلاء المخوَّلين.

والمتطلب العملي هو الوقوف على التهديد الذي تواجهه المؤسسة المصرفية وتطبيق الضوابط المناسبة له.