Schwab bloquea agentes de IA que mueven dinero de clientes

Charles Schwab bloquea entre 10 y 20 intentos por semana

Charles Schwab frena cada semana entre diez y veinte intentos de agentes de inteligencia artificial que buscan operar con las cuentas de sus clientes. Lo confirmó su CEO, Rick Wurster, en una entrevista con Bloomberg Television el viernes: la firma bloquea herramientas externas —incluido Muse, el asistente personal de Meta— cuando intentan mover dinero en nombre del usuario.

Para quien construye producto financiero, el dato relevante no es el número sino la pregunta que hay detrás. "No podemos controlarlo nosotros, el cliente tampoco puede controlarlo, algo puede salir mal y ¿quién es responsable?", planteó Wurster. En Estados Unidos esa respuesta todavía no existe: según Digital Trends, el Congreso sigue debatiendo cómo debería funcionar la responsabilidad legal de los agentes de IA.

Por qué los bancos no quieren agentes externos dentro de la cuenta

El problema, según Wurster, es el mecanismo de acceso. Hoy el camino más simple para que un agente opere una cuenta es que el usuario le entregue su contraseña o le permita automatizar el navegador. Ese esquema deja a la institución sin control sobre lo que el agente hace después, y al cliente sin visibilidad real sobre las decisiones que toma por él.

Schwab bloquea específicamente ese tipo de acceso. En la llamada de resultados del jueves, el ejecutivo lo resumió así: la compañía quiere llevar IA a sus clientes de forma segura, y dejar que un agente entre al sitio y haga login en nombre de un cliente no entra en esa categoría.

La postura no es aislada. El mismo día de esa llamada, Jamie Dimon, CEO de JPMorgan Chase, dijo a los analistas que no va a permitir que cualquier agente externo opere dentro de los sistemas del banco, porque el riesgo es demasiado alto para los clientes y para la entidad. Según The Next Web, JPMorgan ya deja que algunas herramientas de terceros consulten datos de cuentas, pero no que envíen dinero ni paguen facturas. Y añade un contexto que importa: reguladores de Estados Unidos y Europa ya están preguntando a los bancos cómo gestionan a sus agentes de IA y los riesgos cibernéticos asociados.

El negocio que hay detrás del bloqueo

Hay una segunda lectura, menos noble. Según el análisis de Financial Planning, el temor real de las corredurías es que un agente externo haga automáticamente lo que un asesor humano tardaría meses en proponer: barrer el efectivo sin invertir que está quieto en cuentas de corretaje y moverlo a instrumentos con mejor rendimiento.

Ese efectivo es el corazón de un negocio muy rentable. Los bancos y brókers trasladan el cash no invertido a bancos mediante un mecanismo conocido como cash sweep y se quedan con buena parte de los intereses que genera. Schwab reportó en su trimestre cerca de USD 3.480 millones en ingresos netos por intereses, buena parte de ellos sobre casi USD 493.000 millones depositados en cuentas de cash sweep, según Financial Planning.

El fundador de la consultora Nexus Strategies, Tim Welsh, lo dijo sin vueltas: "Un agente externo trabaja para el cliente. Charley trabaja para Schwab". Es la frase que mejor resume la tensión: la seguridad del cliente y el margen del bróker apuntan a la misma decisión por caminos distintos.

Charley: el asistente propio y las conexiones controladas por MCP

En lugar de abrir la puerta a agentes de terceros, Schwab empuja a sus clientes hacia Charley, su asistente propio presentado el 30 de septiembre, según Digital Trends. En su primera etapa, Charley solo puede ejecutar unas pocas acciones en nombre del usuario, como cambiar una dirección o designar un contacto de confianza, y se apoya en modelos de lenguaje externos combinados con datos propios de la compañía, de acuerdo con Financial Planning.

La segunda pieza es más interesante para cualquier startup que quiera integrarse con bancos. Schwab planea montar servidores basados en MCP (Model Context Protocol), el estándar que conecta modelos de IA con sistemas y fuentes de datos. A través de esas conexiones, la institución controla la autenticación y define qué información puede ver cada herramienta.

El resultado práctico: los modelos externos podrán consultar saldos y hacer investigación, pero no mover dinero. Wurster señaló que los clientes podrán operar con LLMs para realizar transacciones, aunque nunca para transferir fondos, porque ahí el riesgo es demasiado alto tanto para el cliente como para la firma.

Financial Planning reportó además que el mes anterior Schwab puso el asistente Claude for Advisors, de Anthropic, a disposición de los más de 16.000 asesores independientes registrados que atiende a través de su división Schwab Advisor Services. Es decir: la compañía no rechaza la IA, la quiere con permisos definidos por ella.

MCP no es una solución mágica

Conviene no leer el anuncio como si MCP fuera un blindaje. Ars Technica publicó una investigación sobre vulnerabilidades en agentes de Google, JPMorgan Chase, Weaviate, Rapid7, la dirección interministerial digital del gobierno francés y el gobierno federal de Estados Unidos, en la que el investigador Syed Anas Mohiuddin demostró ataques de inyección de instrucciones entre agentes internos. Como los servidores MCP almacenan credenciales y los agentes confían por defecto en otros agentes internos, una instrucción maliciosa puede propagarse por la cadena y terminar en peticiones no autorizadas.

The Next Web señala el mismo punto: las conexiones MCP ya tuvieron problemas de seguridad propios, y Google y JPMorgan estuvieron entre las organizaciones que corrigieron la misma falla.

¿Qué significa esto para tu startup?

Si tu producto toca dinero, cuentas o datos financieros de usuarios, esta nota marca el terreno de juego de los próximos dos años. Los bancos no van a ceder acceso irrestricto a agentes externos, pero sí están construyendo la puerta controlada por la que quieren que pases.

• Cambia el modelo de "pídele la contraseña al usuario". Ese patrón es exactamente el que Schwab y JPMorgan bloquean. Si tu integración depende de credenciales compartidas o de automatizar el navegador del cliente, tienes un techo regulatorio y técnico: migra hacia APIs autorizadas y protocolos de conexión con permisos explícitos, como OAuth con scopes o el propio MCP.
• Diseña permisos granulares desde el día uno. El estándar que están fijando los bancos separa lectura de escritura: consultar saldos sí, mover dinero no. Define scopes por acción, con estado de solo lectura por defecto y elevación de permisos caso por caso.
• Construye la capa de consentimiento y auditoría. Si el agente actúa, alguien tiene que poder reconstruir qué hizo, con qué autorización y en nombre de quién. Un registro de acciones por evento y un consentimiento explícito del usuario no son un plus de compliance: son el argumento con el que venderás a un banco o a una aseguradora.
• Trata la responsabilidad como parte del producto. La pregunta de Wurster —quién responde cuando algo sale mal— sigue sin respuesta legal en Estados Unidos. Un producto que llega con una respuesta clara y documentada a esa pregunta se diferencia de los que llegan solo con una demo.

Conclusión

El mensaje de Schwab y JPMorgan no es que la IA no tenga lugar en las finanzas, sino que la entrada a los sistemas regulados se está rediseñando con el banco como portero. Eso cierra la puerta al atajo de las credenciales compartidas y abre una ventana concreta: quien resuelva bien la autenticación, los permisos por acción y la trazabilidad tendrá la llave. Para los founders de fintech en LATAM y España, acostumbrados a construir sobre open banking y APIs reguladas, la transición es más natural de lo que parece: el banco ya no es el enemigo a rodear, es la infraestructura a integrar.

Fuentes

• Bancos dos EUA bloqueiam agentes de IA que tentam movimentar dinheiro - Olhar Digital (fuente original)
• Schwab blocks unauthorized AI agents, points clients to 'Charley' - Financial Planning
• US banks want to block AI agents from moving your money - Digital Trends
• Schwab and JPMorgan are blocking AI agents from moving customer money - The Next Web
• MCP for agent-to-agent comms may be the riskiest protocol you've never heard of - Ars Technica