Bank of America pede a clientes que não deem a senha a agentes de IA

O Bank of America, um dos maiores bancos dos Estados Unidos, mandou um e-mail em massa aos clientes com um recado direto: não entregue seu usuário e sua senha a ferramentas ou agentes de inteligência artificial que se ofereçam para agir em seu nome. A mensagem, intitulada "Protecting your finances in the AI World" (algo como "Protegendo suas finanças no mundo da IA"), foi revelada pelo TechCrunch nesta terça-feira, 27 de outubro de 2026, a partir de uma dica publicada na rede Bluesky por Bryan Toporek.

O aviso tem duas partes. A primeira é conceitual: o cliente não deve compartilhar suas credenciais de acesso com outra pessoa nem com nenhum serviço externo, incluindo os que se apresentam como assistentes ou agentes de IA. A segunda é prática e mais pesada: quem compartilhar a senha é responsável por tudo o que acontecer a partir daquele acesso. Em outras palavras, se o agente errar, for enganado ou for atacado, o prejuízo não é do banco.

O que o banco disse e o que a reportagem aponta

Segundo a reportagem de Zack Whittaker, editor de segurança do TechCrunch, o Bank of America não respondeu de imediato ao pedido de comentário sobre o e-mail. O texto da matéria lista três riscos de entregar o login a um assistente de IA. O primeiro é que o agente pode fazer movimentações na conta sem que o dono perceba. O segundo é que o banco pode interpretar a atividade automatizada como um ataque e bloquear a conta, deixando o cliente sem acesso. O terceiro é que uma falha de segurança no próprio assistente pode vazar as credenciais bancárias e abrir a porta para criminosos que buscam dinheiro fácil.

A reportagem também lembra que, nos contratos de conta da maioria dos bancos, o cliente já é responsável por qualquer pessoa a quem entregue os dados de acesso. O que muda é o cenário: com assistentes pessoais de IA cada vez mais populares, cresce o número de pessoas dispostas a dar o login para um agente "resolver a vida financeira". A matéria cita o Muse, agente da Meta, como exemplo dessa popularização, e um relato da Axios de 22 de outubro sobre bancos às voltas com agentes não autorizados acessando o dinheiro de clientes.

Um movimento que vem crescendo entre os bancos

O aviso do Bank of America não surge do nada. Poucos dias antes, mostramos que Schwab e JPMorgan barraram agentes de IA externos de mexer em contas de clientes, deixando como saída apenas acessos de leitura por integrações controladas. O raciocínio é parecido: quando o agente entra com a senha do cliente, o banco não consegue distinguir uma pessoa de um robô, não controla o que o robô faz e ainda pode ser cobrado por falhas de segurança que não criou.

A diferença no caso do Bank of America é o tom voltado ao consumidor. Em vez de bloquear no sistema, o banco escolheu avisar o cliente e deixar a responsabilidade explícita. Isso é útil para o banco do ponto de vista jurídico, porque reforça que o dono da conta aceitou o risco ao compartilhar o login. Também sinaliza que, por enquanto, os bancos ainda estão decidindo como permitir que clientes usem ferramentas de IA com suas contas. O próprio TechCrunch descreve o debate em torno dos pagamentos feitos por agentes, em que a IA compra algo sozinha no melhor preço ou na hora certa, e lembra que bancos, processadoras e emissoras de cartão seguem definindo as regras.

Por que isso importa para você

Se você usa ou pretende usar um assistente de IA para organizar as finanças, pagar contas ou acompanhar gastos, o recado vale também no Brasil, onde Pix, Open Finance e fintechs formam um terreno fértil para agentes. Alguns cuidados práticos:

• Nunca digite a senha do banco, o código do token ou a frase de recuperação em um chat de IA ou em um agente que aja por você.
• Prefira conexões oficiais, em que você autoriza o acesso dentro do aplicativo do banco, com permissão limitada e possibilidade de revogar quando quiser. O Open Finance brasileiro funciona nessa lógica.
• Dê só permissão de leitura sempre que possível. Um agente que apenas consulta saldos e extratos faz bem menos estrago se for enganado.
• Ative a chave de acesso (passkey) e a verificação em duas etapas, que dificultam o uso de uma credencial vazada. Veja o passo a passo em chave de acesso: como ativar e proteger sua conta de golpes.
• Use um gerenciador de senhas em vez de colar credenciais em qualquer ferramenta. Este guia ajuda: gerenciador de senhas: como escolher, começar e usar com segurança.

Quem trabalha com automação ou vende serviços de IA para pequenas empresas deve levar isso para dentro do projeto. Desenhar fluxos em que o agente nunca guarda senhas, usa credenciais próprias com escopo reduzido e pede aprovação humana antes de qualquer movimentação de dinheiro virou diferencial de venda, não só cuidado técnico. O mercado de ferramentas para isso também está se mexendo: a 1Password lançou uma solução para guardar e liberar senhas a agentes de IA sem expor a credencial ao modelo.

Para entender o outro lado da moeda, o das compras feitas por agentes, vale ler agentes de IA comprando por você. A conclusão por enquanto é a mesma que os bancos estão repetindo: a IA pode ajudar a olhar, comparar e organizar, mas entregar a chave da conta ainda é um risco que quem paga é você.

Vale lembrar que o e-mail é do Bank of America e vale para clientes dele nos Estados Unidos, e que o banco ainda não detalhou, até a publicação da reportagem, se pretende criar um canal oficial para agentes. A matéria original, do TechCrunch, é a base deste texto, e o restante é análise nossa sobre o que o assunto significa para quem usa IA no dia a dia.