（媒角抵加／林承志綜合報導）美國銀行提醒客戶，不要將網銀帳號與密碼交給代為執行任務的外部AI工具或代理。TechCrunch10月27日報導，銀行發言人確認這封客戶電子郵件屬實。美國銀行另提供直接登入銀行、同意分享資料的第三方授權方式，客戶可查看及撤銷採用該方式的服務。台灣金管會則正就金融業使用代理AI的安全管理徵詢意見。

關鍵資訊

  • 提醒對象：美國銀行客戶；外部AI代理不宜取得網銀帳密。
  • 資料分享：銀行提供免向第三方交出登入憑證的資料授權方式，實際支援服務以銀行清單為準。
  • 撤銷方式：採銀行安全資料分享方式的服務，可在網銀或行動銀行查看並撤銷同意。
  • 台灣現況：金管會對金融機構導入代理AI提出諮詢，並非針對一般客戶發布相同通知。

客戶讓代理代辦，銀行提醒保護登入憑證

美國銀行在寄給客戶的電子郵件中提醒，使用者名稱及密碼不應交給其他人或外部服務，包括替客戶執行任務的AI工具與代理。TechCrunch記者Zack Whittaker報導，銀行發言人確認社群上流傳的郵件是真實的。

AI代理可以依使用者交付的任務操作工具；若取得完整網銀登入憑證，可能接觸到的資料並不只限於某一次查詢。美國銀行在第三方資料分享說明指出，第三方取得登入資料後，可能擁有與客戶相同的資訊存取權，客戶通常無法選擇分享哪些資料；若服務儲存憑證後發生資安事件，登入資料也可能暴露。

Axios10月22日引述知情人士報導，美國大型銀行正處理未經銀行核可的第三方代理進入客戶帳戶，部分代理似乎嘗試執行獨立於使用者指示的動作。Axios另報導，摩根士丹利發言人表示，該行未觀察到失控AI代理進入其平台。

AI生成概念圖，非銀行實際介面。美國銀行說明，採用其安全資料分享方式的第三方服務，可由客戶直接登入銀行同意分享，並查看或撤銷存取。

免交密碼的授權，可看資料範圍並撤銷

美國銀行表示，第三方若採用銀行的安全資料分享方式，客戶會直接登入美國銀行並同意分享資料，不必讓第三方儲存網銀帳密。客戶可在網銀或行動銀行查看採用這種方式的第三方服務，並撤銷其資料存取同意。銀行指出，這種方式可減少第三方取得的資料範圍，並讓客戶知道分享了哪些資料。

授權畫面仍要看清服務名稱、要求的資料與用途。美國銀行提醒，即使撤銷存取，第三方仍可能保留並使用先前取得的資料；資料如何使用、保存或在服務結束後處理，也受到第三方隱私及資料保留政策影響。

已把密碼交給未使用銀行安全資料分享方式的服務，銀行建議更改網銀密碼，也可嘗試從該服務移除存取權；若發現密碼遭盜用或帳戶出現未經授權交易，應立即透過銀行正式管道通知銀行，並檢查帳戶紀錄。

銀行自己的AI助理與外部代理有不同入口

美國銀行也在行動銀行內提供虛擬金融助理Erica。依銀行的Erica說明，客戶登入行動銀行後使用，Erica以自然語言處理理解問題，從預先設定的回答中選擇回應；銀行表示它並未使用生成式AI或大型語言模型。銀行的網路銀行服務協議列出的功能包括查詢餘額、發起轉帳及支付帳單，部分功能依帳戶或客戶狀態而異。

銀行內建功能的操作權限與外部服務是否取得資料，是兩個需要分別確認的設定。對於接入第三方的工具，可先確認它要求查看哪些資訊、是否可發起交易，以及停止使用後如何撤銷授權；銀行的資料分享說明所列方式，適用於已接入該機制的第三方服務。

台灣金管會諮詢代理AI風險，使用者可先查銀行授權

台灣金管會10月13日發布金融業運用代理AI安全諮詢文件，徵詢金融機構導入代理AI的安全治理與控管意見。文件主要討論可介接、操作或觸發金融機構營運系統的代理AI，提出釐清可取用資料、可執行動作與異常停用方式；它是諮詢文件，不取代現行法令與金融機構內控要求。

以中華郵政為例，其開放銀行資訊查詢同意條款列出可提供合作第三方的資訊包括台幣活存、定存餘額及活存交易明細，帳號以隱碼方式提供；該次授權有效期限為1年。這份條款適用所列的資訊查詢服務。

台灣讀者使用金融服務時，可透過往來銀行的官方App、網站或客服確認是否提供第三方資料授權、資料範圍與撤銷方式。若發現帳密遭冒用或其他未經合法授權情形，銀行局個人網銀定型化契約應記載事項列有銀行與客戶相互通知、停止服務及防範的規定；實際權責仍依個案事實與適用契約判斷。

資料來源與更新紀錄