Bank of America baru-baru ini mengirim email berisi permintaan yang dua tahun lalu terdengar mustahil: tolong jangan berikan username dan password perbankan Anda ke asisten AI. Email bertema peringatan keuangan terkait AI itu meminta nasabah tidak pernah membagikan kredensial kepada orang lain atau layanan pihak luar, termasuk alat atau agen berbasis AI yang menawarkan diri bertindak atas nama mereka. Zack Whittaker dari TechCrunch membaca kekesalan di balik kalimat-kalimatnya, dan juru bicara bank mengonfirmasi bahwa email itu asli.
Bank tidak akan menulis kalimat seperti itu kalau nasabahnya tidak melakukannya. Agen pribadi seperti Claude for Chrome, ChatGPT Atlas, dan Perplexity Computer bisa login, mengisi formulir, dan membayar sesuatu, dan login adalah hal paling mudah untuk diserahkan saat agen terhenti di layar masuk. Panduan kami tentang browser AI dan agentic browsing membahas cara kerjanya. Artikel ini menjawab pertanyaan yang lebih sempit: apa yang terjadi pada uang Anda jika Anda mengizinkannya masuk.
Ini soal keamanan akun, bukan saran keuangan. Tidak ada di sini yang menyarankan apa yang harus Anda lakukan dengan tabungan Anda.
Bank-bank merapatkan barisan
Judul berita Bloomberg tentang RBC menyebut bank Kanada itu akan memblokir agen AI, tetapi artikelnya berbayar sehingga kami hanya bisa membaca judulnya. Liputan sebelumnya di The Logic lebih hati-hati: kepala AI RBC, Bruce Ross, mengatakan bank khawatir soal agen yang memindahkan uang dan soal siapa yang bertanggung jawab ketika terjadi masalah, sementara CEO Dave McKay mengatakan RBC sedang mempertimbangkan memblokir agen Muse milik Meta tanpa keputusan akhir. CEO Schwab lebih blak-blakan. Rick Wurster mengatakan kepada Bloomberg TV bahwa perusahaannya memblokir Muse untuk memindahkan uang: "Demi melindungi nasabah dan demi melindungi kami, kami tidak mengizinkannya," seperti dikutip Gizmodo.
Sisanya bertumpu pada satu rangkuman berita. IBTimes UK menyebut Citi mengonfirmasi bahwa mereka tidak mengizinkan agen pihak ketiga login ke akun nasabah atau bertransaksi di platform perbankan digitalnya, meski mengizinkan akses baca-saja terbatas lewat penyedia open banking yang disetujui. Sisanya dikaitkan dengan pihak lain: Reuters melaporkan Morgan Stanley memblokir agen pihak ketiga, dan Axios melaporkan JPMorgan dan Bank of America juga membatasinya. Kami tidak bisa membuka artikel Reuters maupun Axios, jadi anggap informasi itu sebagai kabar tangan kedua. IBTimes juga mencatat bahwa laporan-laporan tersebut tidak membuktikan adanya transfer tanpa izin dalam skala luas atau kerugian nasabah. Ini risiko yang ditindaklanjuti bank sejak dini, bukan wabah.
Dari sisi belanja, ada peringatan tersendiri. Bank of America, Capital One, NatWest, ING, dan dua bank lain baru-baru ini menerbitkan prinsip keamanan agen belanja, diringkas oleh Techlicious. Kekhawatiran mereka: saat terjadi masalah, bank sering tidak bisa memastikan agen mana yang membeli apa, atau apakah pesanan sesuai dengan instruksi Anda.
Mengapa login yang dibagikan adalah bagian yang merugikan
Ketika agen masuk dengan password Anda, bank melihat Anda. Bank tidak bisa membedakan agen dari pemilik akun, itulah sebabnya Schwab dan bank lain memblokirnya. Itu juga alasan email bank memuat kalimat ini, yang dikutip TechCrunch: "ingatlah bahwa Anda bertanggung jawab atas aktivitas yang timbul dari akses tersebut." TechCrunch menambahkan bahwa perjanjian akun di sebagian besar bank memang sudah menyatakan nasabah bertanggung jawab atas siapa pun yang mereka beri login.
Regulation E di AS, aturan di balik sebagian besar perlindungan penipuan kartu debit dan transfer bank, mengarah ke hal yang sama. Aturan ini mendefinisikan transfer tanpa izin sebagai transfer yang dimulai oleh pihak tanpa kewenangan sebenarnya, dan mengecualikan transfer oleh orang yang diberi nasabah perangkat akses ("kartu, kode, atau sarana akses lainnya") kecuali nasabah sudah memberi tahu bank bahwa orang itu tidak lagi berwenang. Komentar resmi CFPB memberi contoh anggota keluarga atau rekan kerja: jika Anda memberikan akses dan wewenang lalu mereka melampauinya, Anda menanggung penuh sampai Anda memberi tahu bank.
Apakah password yang Anda berikan ke agen AI dihitung sebagai perangkat akses yang Anda berikan adalah pembacaan kami, bukan pendapat CFPB. Kami tidak menemukan panduan yang membahas agen, dan membagikan login tidak otomatis menggugurkan perlindungan Anda dalam setiap kasus. Namun kami akan membaca aturan dan email bank itu bersamaan, lalu berencana seolah jawabannya ya. Tenggat waktu juga penting. Berdasarkan §1005.6, jika kerugian melibatkan transfer tanpa izin dan Anda memberi tahu bank dalam dua hari kerja sejak mengetahui kehilangan atau pencurian perangkat akses, tanggung jawab Anda dibatasi $50. Lewat dari jendela itu, batasnya menjadi $500, dan transfer tanpa izin yang muncul di laporan rekening harus dilaporkan dalam 60 hari sejak laporan tersebut. Kartu kredit mengikuti aturan berbeda, jadi tanyakan ke penerbit Anda. Bagi yang di luar AS, periksa ketentuan bank masing-masing.
Jalur yang masih dibuka bank
Pilihan yang masuk akal semuanya punya satu prinsip yang sama: bank tahu siapa yang meminta. Koneksi baca-saja yang Anda setujui di layar resmi bank, seperti yang sudah dipakai aplikasi pengelola anggaran, memungkinkan sebuah alat melihat saldo dan pengeluaran tanpa password sampai ke tangannya. Citi menjelaskan skema ini, dan Axios, seperti disampaikan IBTimes, melaporkan banyak bank sudah menyetujui atau bergerak ke arah itu. Asisten milik bank sendiri adalah jalur lainnya, karena berjalan di dalam sistem keamanan dan ketentuan bank.
Passkey juga membantu. Halaman bantuan Chrome dari Google menyebutnya cara masuk paling sederhana dan paling aman, memakai sidik jari, pindai wajah, atau kunci layar sebagai ganti password. Ada lebih sedikit yang bisa diserahkan karena tidak ada password untuk ditempel ke jendela chat.
Untuk pembelian, saran dari peringatan belanja para bank cukup jelas. Jangan biarkan agen menyelesaikan pembelian tanpa persetujuan Anda, dan tanyakan ke bank soal nomor kartu virtual yang bisa langsung dimatikan. Jika Anda ingin bantuan menilai alat tertentu, panduan keamanan agen kami dan artikel tentang sandbox, izin, dan audit membahas batasan yang layak ditetapkan.
Pengaturan di Chrome yang perlu dicek
Sekitar waktu yang sama, Google menyatakan autofill yang disempurnakan di Chrome dapat menyarankan detail yang diambil dari Gmail, seperti nomor pesanan, info pelacakan, dan pemesanan penerbangan, memakai Gemini dengan Personal Intelligence. Fitur ini diluncurkan bertahap di AS untuk pengguna Gemini in Chrome yang mengaktifkan Personal Intelligence, dan Google mengatakan data sensitif dienkripsi serta bisa Anda kendalikan dari pengaturan Chrome. Laporan TechCrunch menambahkan bahwa fitur ini juga bisa menyarankan nomor kartu.
Autofill bukanlah agen yang login sebagai Anda, dan Anda tetap memilih apa yang diisi. Kami tidak akan panik. Tapi arahnya sama: semakin banyak isi inbox dan dompet Anda berada dalam jangkauan browser, jadi layak meluangkan dua menit. Menurut halaman bantuan Chrome dari Google, fitur ini untuk pengguna Gemini in Chrome di AS yang berusia 18 tahun ke atas dan sudah memilih ikut Personal Intelligence, jadi jika Anda belum, tidak ada yang berubah. Jika sudah, buka Chrome, masuk ke Settings, lalu Autofill and passwords, pilih Enhanced autofill dan matikan "Find and fill with Gemini". Sekalian, perhatikan bahwa menurut Google, tombol simpan-dan-isi untuk password, pembayaran, info kontak, dokumen identitas, dan perjalanan aktif secara default dan masing-masing bisa dimatikan.
Periksa juga password manager dan browser AI Anda: apakah menawarkan untuk menyimpan dan memutar ulang login bagi agen? Jika sebuah alat menyimpan login bank yang tidak Anda pakai, hapus. Panduan kami tentang penipuan AI di ponsel membahas separuh lainnya, yaitu penipu yang memanfaatkan kepercayaan yang sama, dan aplikasi seperti ScamAlert dan StopScam menyaring pesan dan tautan mencurigakan.
Jika Anda sudah memberikan login ke agen
Anda tidak sedang dalam masalah besar, tetapi perlakukan seperti password yang bocor. Ganti di situs resmi bank, keluar dari sesi lain, dan hapus login tersimpan dari agen atau browser. Lalu baca aktivitas dua bulan terakhir. Jika ada yang janggal, hubungi bank. Apa pun hasilnya, beri tahu bank bahwa tidak ada alat yang berwenang memakai akun Anda, lewat telepon lalu secara tertulis. Berdasarkan bunyi Regulation E di atas, pemberitahuan itulah yang mengakhiri tanggung jawab Anda atas transfer berikutnya. Setelah itu, tambahkan passkey atau langkah kedua berbasis aplikasi.
Jika Anda justru menjual kepada pembeli, sisi lain dari topik ini ada di panduan penjual tentang agentic commerce kami. Yang belum diputuskan siapa pun adalah siapa yang membayar ketika agen yang disetujui bank melakukan pembayaran yang tidak Anda maksudkan. IBTimes, mengutip The Paypers, melaporkan bahwa Bank of America membatasi akses agen ke simpanan konsumen sambil menyusun protokol untuk memutuskan hal itu.
Pertanyaan yang sering diajukan
Apakah boleh memberikan password perbankan ke agen AI?
Kami tidak menyarankannya. Bank of America meminta nasabah tidak melakukannya dan menyatakan mereka bertanggung jawab atas akibatnya, dan Citi mengatakan kepada wartawan bahwa mereka tidak mengizinkan agen pihak ketiga login. Gunakan koneksi baca-saja yang disetujui bank atau asisten milik bank sendiri. Hal yang sama berlaku untuk ChatGPT dan Claude: keduanya tidak butuh password bank Anda untuk membantu membaca laporan rekening yang Anda tempelkan.
Apakah bank akan mengganti uang yang dipindahkan agen AI?
Tergantung jenis rekening, ketentuan bank, dan secepat apa Anda melapor. Menurut Regulation E, transfer oleh orang yang Anda beri akses tidak dihitung sebagai tanpa izin sampai Anda meminta bank menghentikannya, dan apakah agen AI termasuk di dalamnya belum jelas. Segera laporkan, lewat telepon lalu secara tertulis.
Apakah browser AI membaca saldo bank saya hanya karena sedang terbuka?
Agen yang menjelajah untuk Anda bekerja di dalam browser Anda sendiri, sehingga tab bank yang sedang login bisa terjangkau olehnya. Tutup tab itu sebelum menyerahkan tugas, minta agen menjauhi situs keuangan, dan periksa apa saja yang boleh disentuh alat tersebut.
Apakah autofill Gmail di Chrome berisiko sama dengan login agen?
Tidak. Fitur ini hanya menyarankan detail untuk Anda terima dan tidak login ke mana pun. Jika Anda tidak ingin isi inbox dipakai untuk mengisi formulir, matikan di pengaturan Chrome.