Ingen tryckte på knappen – ändå betalade banken: AI-agenter öppnar nya dörrar för bedragare

Startskottet har gått

Det skedde utan ett enda knapptryck från kortinnehavaren. Den spanska storbanken BBVA genomförde nyligen det som beskrivs som den första AI-initierade banktransaktionen i Europa – en betalning utförd helt och hållet av en självständig AI-agent, inom ramen för Visas program Visa Agentic Ready, rapporterar Finextra. Ingen mänsklig bekräftelse i realtid. Ingen tumme upp eller ner. Agenten bedömde, beslutade och betalade.

Det är ett historiskt ögonblick. Den agentiska ekonomin – där digitala assistenter inte bara ger råd utan faktiskt agerar – har länge diskuterats som en avlägsen framtidsvision. Nu är den här, live, i ett europeiskt banksystem.

Men exakt samma vecka kom en nyhet som sätter hela triumfen i ett betydligt skarpare ljus.

Agenten lyder – vem som helst

Säkerhetsföretaget Zscaler har avslöjat två aktiva attackkampanjer där angripare lyckats manipulera AI-agenter till att genomföra obehöriga kryptovalutabetalningar, rapporterar SecurityWeek. Metoden kallas indirekt promptinjektion och är lika enkel som den är effektiv: dolda instruktioner bäddas in i webbsidors källkod. När en AI-agent besöker sidan läser den inte bara det synliga innehållet – den lyder även de gömda direktiven, ungefär som om en människa omedvetet skulle följa kommandon inbyggda i en text.

I den första kampanjen skapade angriparna en falsk webbplats som utger sig för att dokumentera ett Python-bibliotek. Via sökmotorförgiftning dyker sidan upp högt i sökresultaten när en AI-agent letar efter installationshjälp. Väl inne på sidan instrueras agenten att genomföra en betalning till ett fördefinierat kryptoplånboksnummer – presenterat som en del av processen för att hämta en API-nyckel. I den andra kampanjen användes en förfalskad DeFi-plattform med liknande teknik.

Det som gör detta så illavarslande är att det inte handlar om sofistikerade intrång i välbevakade system. Det handlar om att lura agentens logik – att få den att göra precis vad den är designad att göra, fast för fel uppdragsgivares räkning.

Regulatorerna springer ikapp – med blytunga skor

Mitt i allt detta ger den brittiska finansinspektionen FCA en dyster lägesbeskrivning. I en rapport beställd av myndigheten konstaterar direktören Sheldon Mills att situationen är en ren kapprustning – och att tillsynsmyndigheterna riskerar att förlora den, skriver Ars Technica. Mills efterlyser utökade befogenheter och menar att FCA självt måste börja använda AI för att förstå och övervaka en sektor som förändras snabbare än lagstiftningen.

Siffrorna är talande: redan var femte vuxen britt uppger sig vara beredd att låta AI-modeller som ChatGPT, Claude eller Gemini fatta ekonomiska beslut åt dem – kring sparande, lån och investeringar. Problemet är att dessa tjänster i dag faller utanför det reglerade området. Konsumenter som lutar sig mot en AI-rådgivare har i nuläget inget rättsligt skydd om något går fel. Rapporten rekommenderar att FCA inom tre till sex månader genomför en översyn av huruvida AI-driven finansiell rådgivning bör kräva tillstånd.

Möjligheten är verklig – det är risken också

Jag vill vara tydlig: BBVA:s transaktion är genuint banbrytande. Den agentiska ekonomin kommer att skapa enormt värde – för privatpersoner, för företag, för hela finanssektorn. Att kunna delegera rutinbeslut till en pålitlig agent frigör tid, minskar mänskliga misstag och kan, som Mills påpekar, demokratisera tillgången till sofistikerad finansiell vägledning för människor som i dag inte har råd med en privat rådgivare.

Men vi befinner oss i ett farligt mellantillstånd. Tekniken har sprungit ifrån både säkerhetsarkitekturen och regelverket. BBVA och Visa har ännu inte offentliggjort hur deras säkerhetslösningar ser ut. Och medan de arbetar med det visar Zscaler att angripare redan är i fält med fungerande attacker mot just den typ av system som nu rullas ut.

Ansvarsfrågan är inte akademisk längre. Om en AI-agent luras att skicka pengar till fel mottagare – vem bär då ansvaret? Banken? Agenttillverkaren? Användaren som delegerade beslutsmakten? Det är frågor som behöver svar innan vi rusar vidare.