AI 已经开始操作银行账户,我们该担心什么?

“帮我看看这个月花了多少钱。”

如果 AI 只根据你上传的账单做分析，这是一项信息处理任务。但当它能够登录账户、点击按钮、调用接口，问题就变了：它究竟能替你做多少决定？

最近几则安全新闻，把这个问题推到了眼前。

银行账户出现第三方 Agent 的身影；安全公司披露 AI 辅助的攻击活动；研究团队借助 AI，确认了影响广泛的 PHP 严重漏洞。

AI 的能力正在从生成内容，延伸到操作系统。权限、验证和责任，也需要跟着往前走。

01｜Agent 进入账户，先看是谁给了权限

10月22日，Axios 报道，美国银行发现第三方 Agent 访问客户账户，部分获用户授权。来源：Axios

读到这种消息，先别直接把它理解为“AI 破解了银行”。评价一次访问，至少要分清三个问题：用户是否同意，平台是否允许，具体操作是否超出了授权范围。

可以设想一个场景：你让助手整理消费，它为完成任务读取账单。接下来，如果它认为更换订阅、联系商家或者调整付款安排能帮你省钱，这些动作是否也包含在原来的要求里？

这是假设场景，但它揭示了一个实际的设计难题：“帮我完成目标”，需要被翻译成明确的操作边界。

查看余额、整理账单、修改设置、发起付款，应当分别授权。用户一句“交给你了”，不能代替系统对每项权限的检查。

对于使用者，连接账户之前，值得先看清楚：它能读什么、能改什么，能否随时撤销，以及关键操作是否需要再次确认。

02｜供应链攻击：危险可能藏在一个依赖包里

另一个容易被忽略的入口，是开发者每天安装的软件包。

9月15日，CrowdStrike 披露 PhantomRaven 信息窃取程序通过 npm 传播的案例。研究方依据注释、占位代码和统计特征，高置信度判断其代码很可能由大模型生成。程序会收集系统信息和持续集成、部署环境中的变量，可能用于获取凭据。来源：CrowdStrike

这里保留“很可能”很重要：这是研究方的分析判断，并非公开了完整的模型生成记录。

所谓软件供应链攻击，可以理解为攻击者把风险放进大家会复用的组件里。开发者以为自己装的是一个有用的工具，实际运行的代码却可能夹带恶意行为。

当依赖拥有开发环境的访问权，受威胁的就可能包括代码仓库、构建系统和部署凭据。

到了10月21日，CrowdStrike 又披露了四组攻击者使用 Agent 的活动，观察期为今年5月至8月。部分活动已经让 Agent 参与选择动作、执行命令，同时仍可见攻击者人工介入。来源：CrowdStrike 攻击活动报告

这两份报告说明了不同层面的变化：AI 可以帮助制作攻击工具，也可以被接进执行流程。但不能因此断言，每一次供应链攻击都由 AI 发起，或者攻击已经完全不需要人。

03｜AI 找出重大漏洞，是防守方的机会

同样的能力，也在帮助安全研究人员。

10月21日，PHP 项目发布安全更新，修复两项被称为 PHP2Shell 的严重漏洞。在满足相应条件时，未登录的攻击者可能借此在服务器上执行代码。来源：PHP Foundation

Wiz 的研究报告介绍，团队在研究中使用了 AI 工具，发现的问题涉及 PHP 核心，而非只属于某一个上层应用。PHP 被大量网站及内容管理系统使用，因此这类底层问题值得广泛关注。来源：Wiz 研究报告

不过，广泛使用 PHP，不能直接推导为所有相关网站都能被同样攻击。具体风险还要结合版本、部署方式和可触达的代码路径判断。

这起事件里，更值得读的是修复过程。

PHP Foundation 表示，其中一项问题的根因早在2024年就出现过线索；后续研究让远程代码执行的影响更加明确。修补过程涉及兼容性、性能与人力资源等取舍。基金会也明确表示，报告判断与补丁工作均有人参与。来源：PHP Foundation

因此，比较准确的描述是：AI 辅助研究加快了发现和验证，人类团队仍要完成判断、协调与修补。

把漏洞找出来，是安全工作的一步。让维护者收到可复现的报告、拿出可靠补丁，再让使用者部署更新，才能把风险真正降下来。

04｜把“请谨慎操作”变成系统限制

把这些新闻放在一起，我更关注两个变化：执行变快了，连接的系统变多了。

如果一个助手能连续读取信息、安装组件、执行命令，某一步的错误就可能影响后续动作。安全设计需要把检查放进执行链路，减少对模型自行判断边界的依赖。

AWS 的 Agent 安全原则也强调，最小权限、传统安全控制和持续评估仍然适用；对 Agent 的约束需要在架构层落实。来源：AWS 安全博客

落到日常使用，可以先抓住四件事。

第一，把查看和操作分开。 能读账单，不必同时拥有付款权限；能分析代码，也不必直接拿到生产环境凭据。

第二，让确认指向具体动作。 确认时应看到收款对象、金额、拟修改内容等实际信息。“是否继续”四个字，提供的信息往往不够。

第三，检查 Agent 能接触的外部组件。 软件依赖、插件和工具服务，都应当纳入来源检查与权限管理。能被安装，不等于适合获得全部访问权。

第四，留下可查、可停的操作记录。 出现异常时，要能知道用了什么身份、调用了什么工具，并及时撤销凭据、终止后续动作。

05｜越能干活，越需要清楚的边界

这些新闻给出的信号，有风险，也有机会。

攻击者在用 AI 降低制作工具和执行任务的门槛；防守者也在用它发现问题、验证风险。我们需要分别评估两边的实际进展。

对普通用户而言，最直接的变化是：选择 AI 助手时，除了看它是否聪明，还要看它怎样获得授权、怎样展示操作、怎样允许你叫停。

对开发者和企业而言，让 Agent 接入业务系统之前，也需要回答：这项任务究竟需要多大的权限？一次失误会波及哪里？谁能及时发现并处理？

AI 能替我们做的事越多，这些问题就越值得在连接账户之前问清楚。

如果让 AI 帮你处理日常事务，你愿意交出哪一级权限：查看信息、修改内容，还是在明确限额内代为付款？欢迎在评论区聊聊。