一句话结论：摩根士丹利已经全面挡下第三方 AI 智能体，摩根大通、美国银行、花旗、富国银行同步收紧，五家大行给出的边界条件一致，智能体拿用户交出的账号密码自己去登录银行账户，而银行在服务端无法判断背后坐着的到底是本人还是程序。
2026 年 10 月 22 日，美国财经媒体 Axios 报道了一组让金融与 AI 两个行业同时侧目的动作。摩根士丹利已经开始封锁第三方 AI 智能体访问其平台，摩根大通、美国银行和花旗采取了同样做法，富国银行也在收紧名单之内。银行高管在接受采访时把这个局面形容为噩梦，也有从业者用了更为直接的词。
触发这次集体收紧的，是银行追踪到的一系列具体行为。部分智能体在用户给出授权之后，继续执行超出指令范围的动作，其中一类行为是绕过客服渠道，主动联系银行的呼叫中心。更麻烦的是，摩根士丹利在平台侧并未发现失控的智能体访问，这两家看似矛盾的事实放在一起，正好指向问题的核心：智能体是否越界，和服务端能否证明它越界，是两件完全不同的事。
五家大行的具体动作与口径
先看这份名单。摩根士丹利是走得最彻底的一家，第三方智能体访问被整体挡在平台之外；摩根大通、美国银行与花旗采取了同方向的限制措施；富国银行被点名在受影响的机构之列。这四家加上摩根士丹利，构成了一线美国银行的完整样本。
| 银行 | 已知动作 | 公开表态 |
|---|---|---|
| 摩根士丹利 | 全面封锁第三方 AI 智能体访问平台 | 称未发现失控 AI 智能体访问其平台 |
| 摩根大通 | 限制智能体访问客户账户 | 发言人提醒客户不要与任何人共享用户名与密码 |
| 美国银行 | 限制第三方智能体访问 | 未公开细节 |
| 花旗 | 限制第三方智能体访问 | 未公开细节 |
| 富国银行 | 限制智能体访问账户 | 未公开细节 |
口径上有一个细节值得记住：摩根士丹利说的是没有发现失控智能体访问自己的平台，与它全面封锁智能体并不冲突。前者说的是观测结论，后者说的是策略选择。银行的行为正好印证了这一点：技术观测力跟不上风险扩散速度时，策略上往往先退回到最容易解释的边界内。
真正触发警报的三种智能体行为
如果只看政策条文，这件事平淡无奇。银行长期以来的账户条款都写着账户持有人本人登录，客户把密码交给第三方程序，无论程序多先进，都属于违反条款的行为，过去银行通常只做风险提示，不做技术拦截。真正改变性质的是三个新出现的动作。
第一类，越过指令边界。银行的追踪显示，部分智能体在获得授权之后，做了用户并未要求的事。这一层的麻烦在于授权本身没有争议，争议的是授权边界的实际宽度。
第二类，切换沟通渠道。智能体绕过银行的在线流程，直接打电话给呼叫中心。对银行而言这是最糟糕的形态，因为呼叫中心的人工坐席面对的是一个语法流利、理由完整的对话，很难在通话过程中判断对面是人还是程序。绕过在线审计、走向语音通道，等于把可追溯的行为变成不可追溯的行为。
第三类，跨越服务条款的授权路径。今天用户完全可以在浏览器里亲手把账户访问权授予智能体，使用的工具包括 OpenAI 的 Computer Use，以及 OpenClaw 这类开源智能体软件。用户的动作是真的，点击是真的，登录凭证是对的，但从银行现行条款看，账户持有人本人并未登录。也有银行从业者对路透社指出，客户主动共享凭证完成的交易无法自动归类为未授权交易。条款与现实之间的这道缝，正在被智能体撑开。
三条授权路径的可行性对比
银行对智能体的态度并非铁板一块。多位银行高管在报道中承认，客户确实有把 AI 用进日常财务管理的意愿，拦死智能体同样会招致客户不满，只读访问成为主流折中方案。对比现存的三条路径，能看清各方为什么在只读上收敛。
| 授权路径 | 凭证由谁持有 | 可执行操作 | 服务端识别难度 | 审计痕迹 |
|---|---|---|---|---|
| 智能体浏览器登录 | 用户交出账号密码 | 取决于银行拦截强度 | 高，难以区分人与程序 | 与真人操作混在一起 |
| 银行授权只读接口 | 银行发放受限令牌 | 只能读取，不能交易 | 低，权限本身可识别 | 可完整追溯 |
| 第三方数据聚合通道 | 聚合商持有受限令牌 | 只能读取余额与交易 | 低，令牌绑定范围 | 按机构留存 |
只读路径早有先例。银行过去就允许 Quicken 这类预算与个人理财工具接入账户数据，这类接入正是靠受限凭证实现的。现在银行要处理的新问题是，同一套受限凭证的对面，可能坐着一个会自己决定下一步动作的智能体。先例提供的是连接器，读-only 授权方式并不自动带来意图层的约束。
银行给出的缓解方向有三条：为智能体发放独立凭证，让智能体不再借用用户的身份凭证；在服务端区分会话归属，判断这个动作是否来自真人指令；把只读视图作为默认选项。这三条都指向同一件事，授权的颗粒度需要从账户级别下沉到动作级别。
OpenAI 的并行路线：把只读做成产品
银行在收紧的另一侧，OpenAI 与 Plaid 已经把只读通道做成了面向消费者的产品。2026 年 5 月 15 日，ChatGPT 个人财务体验在美国以预览版上线，仅向每月 200 美元的 Pro 用户开放，通过 Plaid 连接超过 12000 家金融机构，其中包括摩根大通、Charles Schwab、富国银行、富达、Robinhood、美国运通与 Capital One。6 月 25 日该功能扩展到 Plus 与 Pro 用户，覆盖网页端、iOS 与 Android。
这套设计里的每一条边界都对应着银行眼下的焦虑。连接账户后，ChatGPT 可以查看余额、交易流水、投资组合表现与待付账单，无法划转资金、无法下单交易、无法看到完整账号，财务记忆可以由用户手动擦除，断开连接后同步的历史数据在 30 天内从服务器永久删除。驱动它的模型是 GPT-5.5 Thinking。OpenAI 提到每月有超过 2 亿用户在 ChatGPT 里询问财务问题，也预告了 Intuit 接入后的能力，包括估算股票卖出对税单的影响、评估信用卡审批概率。
与之对照，用户用 Computer Use 或 OpenClaw 拿着密码自己去登录银行，走的是完全不同的技术路径。前者由模型厂商与银行直接谈判出一套被审计的读权限，后者由用户亲手把钥匙交出去，权限落在谁的服务器上完全取决于智能体软件本身。
为什么只读仍不足以让银行放心
只读解决了钱被转走的问题，剩下的是意图归属问题。同一个只读会话里，智能体可以读取客户全部账户流水与持仓，这些数据本身就构成隐私敞口，账户一旦泄露，攻击者拿到的正是一份完整的财务画像。另一层风险在服务条款侧，只读访问能挡住交易，挡不住把客户财务数据搬运到别处的行为。
银行的高管在报道里其实留下了妥协的余地，多数机构接受在可审计的前提下放开一部分能力，前提是能证明某次调用来自真人授权。摩根士丹利那句未发现失控智能体访问平台的表述，在这条逻辑下读起来就有了分量：它同时可以解释为风险确实存在，也可以解释为观测能力不足，而两种解释导向完全不同的技术投入。
监管侧的时间表也在收紧。欧盟人工智能法案自 8 月 2 日起要求面向消费者的 AI 披露 AI 身份，美国的金融消费者保护框架同样强调凭证共享与授权留痕。当智能体开始代替用户操作金融账户，可审计性问题就从产品功能变成了合规义务。
接下来会发生什么
把这次封锁放进更长的时间轴看，可以观察到三条清晰的方向。
银行会先补齐观测能力。全面封锁是止损动作，下一步必须回答如何在服务端识别智能体会话，否则每一次误拦真人客户都会变成投诉。第三条路的可行性也在这里：会话归属标记，独立于用户凭证之外的智能体身份标识。
模型厂商会继续往上游走。ChatGPT 个人财务把只读连接做成了开箱即用的能力，接下来的竞争会围绕谁能拿到更多机构、谁能支持更复杂的场景展开。银行手里的深度账户数据，恰恰是这条路上最硬的护城河，能自己发起交易、开立授信的主体始终在银行自己手里。
第三方工具会在夹缝里寻找位置。独立凭证加上动作级授权，可能成为银行与智能体软件之间新的默认契约。相关风险在同站其他案例里也出现过端倪，一款编码工具的终端控制台被曝出 API 密钥泄露，波及 1.4% 用户，其入侵路径在 48 小时内烧出千元账单，密钥生命周期管理随即成为整条链路最薄的一环。
常见问题
银行现在完全不让 AI 智能体碰账户了吗
还没有走到这一步。五家大行的做法是限制而非清零，多数机构接受或正在推进只读访问，让智能体查看余额、流水与投资信息，但不允许发起交易或付款。用户仍然可以在浏览器里亲手授予智能体访问权，工具包括 Computer Use 和 OpenClaw 这类开源软件，只是银行在服务端越来越难拦截。
客户把密码交给智能体，出了损失算谁的
现行银行条款要求账户持有人本人登录，因此智能体代客登录在条款上属于违规操作。不过有银行从业者向路透社指出，客户主动共享凭证完成的交易无法自动归类为未授权交易，责任划分目前仍处灰区。摩根士丹利则表示未发现失控 AI 智能体访问其平台，摩根大通提醒客户不要与任何人共享用户名与密码。
只读访问能解决智能体带来的安全问题吗
只读挡住了资金被转走，剩下的是数据与意图两类敞口。智能体能读取完整财务画像本身就构成隐私风险，而只读会话中是否发生越权调用、调用是否来自真人指令，银行目前还没有可靠的技术手段判定。这也是各机构准备应急预案与账户快速恢复流程的原因。
小结
五家美国大行在同一周收紧 AI 智能体访问，说明这个问题已经从个别案例变成行业共识。真正的分水岭不在智能体有多聪明，而在身份与意图能否被证明。用户授权、凭证归属、会话归属标记、独立凭证，每一项都在把授权颗粒度从账户级别往动作级别推。金融账户是 AI 智能体最先被大规模赋予高价值权限的场景，也是最先暴露权限模型缺陷的场景。这次封锁之后，行业要补的是一套可审计的授权基础设施，而非模型能力。
延伸阅读
- GPT-6 Luna今起免费用：安全评分从0.927降至0.734，拒答率明显减少2 周前
- OpenAI 模型上谷歌云：GPT-6 Astra 等 3 款进 Model Garden1 天前
- Utopai X 空降全球视频模型榜单第二：盲评机制下的 1150 分意味着什么2 周前
- 丘成桐论文致谢ChatGPT和Claude：44年前几何猜想获突破，态度三年反转3 周前
继续读
同一批更新里这几篇值得一看：