Wells Fargo fait porter à ses clients les pertes liées aux agents IA dès le 24 novembre ; le pari d'Okta tient dans un pipeline en progression de 34 %
Citi, JPMorgan, Bank of America, Wells Fargo et Schwab coupent les agents IA tiers de l'argent de leurs clients, et les nouvelles conditions de Wells Fargo mettent les pertes liées à la fraude des agents à la charge de la clientèle. L'écart qui se monnaie, c'est la vérification : prouver qu'un agent est bien un agent, qu'il agit sur mandat d'un humain, dans des limites que la banque peut faire respecter.
Richard Tang · 3 min read
Les plus grandes banques de détail américaines n'ont pas rejeté les agents IA cette semaine : elles les ont encadrés. Citi−1.57% — Citi, down 1.57 percent today, JPMorgan Chase−1.46% — JPMorgan Chase, down 1.46 percent today, Bank of America−0.88% — Bank of America, down 0.88 percent today, Wells Fargo−0.66% — Wells Fargo, down 0.66 percent today, Morgan Stanley−2.32% — Morgan Stanley, down 2.32 percent today et Charles Schwab ont tous entrepris de bloquer l'accès des agents tiers aux comptes de leurs clients 123. Wells Fargo est allé le plus loin : sa convention d'accès en ligne actualisée, en vigueur à compter du 24 novembre, considère comme autorisée toute transaction effectuée par un agent, y compris celles « que vous ne vouliez pas ou n'aviez pas l'intention d'effectuer », et laisse le client « seul responsable » de la supervision de l'agent 1.
Ce qui les pousse, ce n'est pas le doute sur l'IA, mais l'absence d'un protocole. Une banque peut vérifier un mot de passe sans savoir pour autant si celui qui l'utilise est un humain, un agent qui exécute des ordres ou un agent qui improvise 27.
Un mur dressé en quelques jours
Citi n'offre aux agents qu'un accès en lecture seule, via des prestataires d'open banking agréés, et JPMorgan n'autorise qu'une récupération en simple consultation via le spécialiste des données bancaires Plaid, sans aucun pouvoir de déplacer de l'argent 13. « Nous n'allons pas autoriser n'importe quel agent extérieur », a affirmé ce mois-ci le directeur général de JPMorgan, Jamie Dimon 2.
Chez Bank of America, Brian Moynihan veut qu'un humain autorise chaque paiement avant son exécution 1 ; Schwab, lui, bloque quotidiennement les tentatives des grands agents d'accéder aux fonds de ses clients : pour reprendre son directeur général, Rick Wurster, le courtier veut garder « le contrôle de l'authentification » 2. Le déclencheur : des rapports d'agents agissant indépendamment des instructions des utilisateurs 2. Des signalements venus buter sur une vieille règle qui tient toujours : partagez votre mot de passe, et tout ce qui suit est réputé autorisé 2.
De l'autre côté du mur, on dépense déjà
Le commerce agentique (« agentic commerce ») — des agents logiciels qui achètent et paient au nom d'un particulier — n'entend pas attendre. L'agent Muse de Meta−1.36% — Meta, down 1.36 percent today a dépassé les 10 millions d'utilisateurs ce mois-ci. Les acheteurs qui passent par Muse affichent un panier moyen supérieur à 200 dollars, des volumes qui ont poussé Stripe à relever ses plafonds 4. Dans les services financiers et le logiciel, deux RSSI sur trois placent déjà l'IA agentique parmi leurs trois principaux risques 1.
L'enquête d'Evercore auprès des partenaires de distribution en cybersécurité — les revendeurs, premiers témoins des achats — fait état de budgets de sécurité qui se renforcent à l'approche de la fin d'année, la protection de l'identité en tête des priorités. Elle donne aussi à Okta+5.93% — Okta, up 5.93 percent today la plus forte dynamique de pipeline de l'enquête : une progression nette de 34 % par rapport au trimestre précédent 5. Un pari sur un retournement : la croissance d'Okta a ralenti deux années d'affilée 9, et le marché a commencé, vendredi, à payer ce pari 10.
La croissance du chiffre d'affaires d'Okta divisée par deux depuis 2023 ; l'enquête auprès des partenaires parie sur un retournement
Data
| Okta | |
|---|---|
| T3 23 | 21.4% |
| T4 23 | 18.6% |
| T1 24 | 19.1% |
| T2 24 | 16.2% |
| T3 24 | 13.9% |
| T4 24 | 12.7% |
| T1 25 | 11.5% |
| T2 25 | 12.7% |
| T3 25 | 11.6% |
| T4 25 | 11.6% |
| T1 26 | 11.2% |
| T2 26 | 10.6% |
Vendredi, le marché a payé le pari sur la sécurité : Palo Alto, CrowdStrike et Okta ont tous bondi
Data
| Value | |
|---|---|
| Palo Alto Networks | 6% |
| CrowdStrike | 6% |
| Okta | 5% |
La porte, un justificatif que quelqu'un vendra
La voie conforme existe déjà à l'état de prototype. Le « Trusted Agent Protocol » de Visa−1.41% — Visa, down 1.41 percent today inscrit les agents dans un « Agentic Directory » et leur délivre des justificatifs tokenisés. Dans un pilote en conditions réelles avec BILL et Billtrust, les agents mènent déjà à bien, de bout en bout, le paiement de factures approuvées 6.
De son côté, l'Agent Pay de Mastercard−1.49% — Mastercard, down 1.49 percent today délivre un « Agentic Token », et Barclays−1.45% — Barclays, down 1.45 percent today, HSBC Royaume-Uni, ING et Lloyds ont déjà exécuté en Europe des transactions d'agents en conditions réelles 7. La liste des exigences est courte et impitoyable : un justificatif qui désigne l'agent, le lie à l'humain qui l'autorise, plafonne ce qu'il peut faire, arrive à expiration, et que la banque fait respecter au lieu de s'en remettre à la mémoire de l'agent 7.
Le péage se prélèvera à l'ouverture du mur
Visa publie ses résultats mardi après la clôture et Mastercard jeudi matin 8 ; leurs déclarations sur les justificatifs d'agent constitueront le premier indicateur à court terme ; KeyBanc voit déjà dans les préconisations des grandes banques elles-mêmes, qui réclament des justificatifs tokenisés, un soutien à la position des deux réseaux 8.
La projection est simple : les murs tiennent jusqu'à ce qu'un rail d'autorisation vérifiable parvienne à la banque de détail américaine, et un péage est ensuite prélevé sur chaque agent qui passe. Les pertes, pour l'instant, restent à la charge du client qui a partagé son mot de passe. La récompense devrait revenir à celui qui construira ce contrôle, et ce travail, délégation d'autorité et autorisations révocables, est l'écart qu'il vaut la peine d'apprendre à combler.
Get Security by email, free
The breaches, flaws and security vendors AI is putting to the test. In our daily email, every weekday.
