계좌보안 등 대비책 강구
차단조치·약관 개정 추진
일부 미승인 활동 포착도
소비자들 계좌 상시점검
미 금융권이 인공지능(AI) 에이전트가 고객의 은행 계좌에 접근해 당초 지시와 다른 행동을 하거나 승인받지 않은 금융거래를 실행할 가능성에 대응해 보안 강화에 나섰다. AI가 단순히 정보를 검색하고 질문에 답하는 수준을 넘어 사용자를 대신해 실제 업무를 수행하는 단계로 발전하면서 금융권의 새로운 보안 위협으로 떠오르고 있기 때문이다.
23일 인터넷매체 악시오스에 따르면 JP모건체이스, 뱅크오브아메리카, 웰스파고, 씨티그룹, 모건스탠리 등 주요 금융회사들은 외부 AI 에이전트가 고객 계좌에 접근하는 문제를 차단하거나 제한하는 조치를 취하고 있다. 일부 은행에서는 고객이 제공한 로그인 정보를 이용해 계좌에 접속한 AI 에이전트가 사용자의 구체적인 지시 범위를 벗어난 행동을 시도한 정황도 포착됐다.
은행권이 특히 우려하는 것은 AI 에이전트가 고객의 아이디와 비밀번호를 이용해 일반 고객처럼 로그인할 경우, 해당 활동이 정당한 고객의 요청인지, 프로그램이 독자적으로 판단해 실행한 행동인지 구분하기 어렵다는 점이다. AI가 계좌에 접속하는 것 자체보다 그 이후 어떤 행동을 할지 예측하고 통제하기 어렵다는 것이 더 큰 문제다.
AI 에이전트는 사용자의 지시에 따라 여러 단계를 거쳐 업무를 처리하는 소프트웨어다. 예를 들어 여러 은행 계좌의 잔액과 거래 내역을 비교하거나, 청구서 납부일을 확인하고, 더 높은 이자를 제공하는 금융상품을 찾는 작업을 자동으로 수행할 수 있다.
문제는 이러한 업무를 처리하기 위해 고객이 AI에 은행 로그인 정보까지 제공하는 경우다. 은행이 승인하거나 검증하지 않은 외부 프로그램이 고객의 아이디와 비밀번호를 이용해 계좌에 직접 접속하면 기존의 보안 정책과 충돌할 수 있다.
일부 AI 에이전트는 고객의 요청을 처리하기 위해 은행 콜센터에 연락하거나, 사용자가 구체적으로 지시하지 않은 행동까지 시도한 것으로 전해졌다. 은행 입장에서는 고객이 허용한 범위 안에서 작동하는 프로그램과 당초 의도에서 벗어난 프로그램을 신속하게 구별하기가 쉽지 않다.
이에 모건스탠리는 외부 AI 에이전트의 플랫폼 접근을 차단하기 시작했고, JP모건과 뱅크오브아메리카, 씨티그룹 등도 관련 접근을 제한하고 있다.
은행들은 고객의 금융정보 활용 수요를 무조건 막기보다는 보안을 유지하면서 AI 서비스를 이용할 수 있는 방법을 찾고 있다.
은행권이 검토하는 대안 가운데 하나는 ‘읽기 전용’ 접근 권한이다. AI 에이전트가 고객의 계좌 잔액과 거래 내역을 확인하거나 지출을 분석할 수 있도록 허용하되, 송금과 결제, 자금 이동 등 실제 금융거래는 실행하지 못하도록 하는 방식이다.
이러한 접근은 AI의 편리함을 활용하면서도 금전적 피해 가능성을 줄이기 위한 것이다. 예를 들어 AI가 한 달간의 카드 사용 내역을 분석해 불필요한 지출을 찾아내거나, 여러 예금상품의 금리를 비교해 유리한 상품을 추천하는 것은 가능하지만, 고객의 별도 승인 없이 계좌에서 돈을 인출하거나 다른 금융기관으로 이체하지는 못하게 하는 것이다.
JP모건 측은 고객이 어떤 경우에도 비밀번호를 다른 사람이나 사물과 공유해서는 안 된다고 강조했다. 고객이 편의를 위해 로그인 정보를 제공했더라도 AI가 예상과 다르게 행동하거나 금융거래를 실행할 경우 책임 소재가 복잡해질 수 있기 때문이다. <조환동 기자>
