Ghi chép từ Việt Nam về pháp luật, công nghệ, ngôn ngữ, lịch sử, văn hóa và du lịch.

JPMorgan và Schwab chặn AI agent đăng nhập hộ khách hàng: chỉ cho đọc qua MCP, cấm chuyển tiền

Hai năm qua, các công ty làm AI agent (tác tử AI tự thực hiện thao tác thay người dùng) vẫn hứa rằng trợ lý AI sẽ làm được mọi việc bạn làm trên trình duyệt. Tuần trước, hai trong số những định chế tài chính lớn nhất nước Mỹ đã công khai từ chối điều đó.

Thứ Ba, 13/10/2026, trong cuộc họp công bố kết quả kinh doanh quý III, CEO JPMorgan Chase Jamie Dimon nói: “Chúng tôi sẽ không cho bất kỳ agent bên ngoài nào vào bên trong công ty, vì như vậy quá rủi ro cho khách hàng và cho JPMorgan.” Ông nói thêm: “Bạn không muốn có những agent mất kiểm soát.” Hai ngày sau, thứ Năm 15/10, CEO Rick Wurster của Charles Schwab tuyên bố trong cuộc họp quý của công ty rằng Schwab đang “chặn các agent không được phép tìm cách đăng nhập thay cho khách hàng”. Cái tên xuất hiện nhiều nhất trong các bài đưa tin về cả hai lệnh chặn là Muse, trợ lý AI của Meta có khả năng liên kết với tài khoản ngân hàng.

Không có model mới hay robot mới nào ở đây. Nhưng đây là lần đầu các ngân hàng lớn công khai đặt chính sách cho agent tự động hành động thay khách hàng. Chính sách đó có hình dạng rõ ràng, và nhiều ngành khác có thể sẽ làm theo.

Thứ bị chặn cụ thể là gì

Hai bên mô tả cùng một đối tượng. Họ không chặn “AI” nói chung. Họ chặn agent của bên thứ ba dùng chính tên đăng nhập và mật khẩu của khách hàng để thao tác trên website ngân hàng. Nói cách khác, đó là kỹ thuật screen scraping (đăng nhập rồi đọc, bấm trên giao diện như người thật), nay do một mô hình ngôn ngữ lớn điều khiển.

  • JPMorgan: người phát ngôn của ngân hàng nói với Fortune rằng họ ra tay “khi phát hiện agent bên thứ ba tìm cách truy cập tài khoản bằng thông tin đăng nhập ngân hàng của khách hàng”. Ngân hàng vẫn ủng hộ “việc chia sẻ dữ liệu an toàn, có sự đồng ý của khách hàng qua các nhà cung cấp open banking”. Trên thực tế, agent có thể chỉ đọc số dư qua bên tổng hợp dữ liệu như Plaid, nhưng không được chuyển tiền hay thanh toán hóa đơn, và JPMorgan không nêu thời điểm nào sẽ thay đổi.
  • Schwab: theo Financial Planning, Schwab “đặc biệt ngăn AI agent dùng thông tin đăng nhập của khách hàng hoặc tự động hóa trình duyệt (browser automation) để truy cập hệ thống”. Wurster mô tả: “đó chỉ là một agent vào trang của chúng tôi và cố đăng nhập thay cho khách hàng. Chúng tôi sẽ không cho phép điều đó.”

Về quy mô, các nguồn chưa khớp nhau. Trả lời Bloomberg Television một ngày sau cuộc họp, Wurster nói số lần chặn ở mức “vài chục mỗi tuần”, theo hai trang dẫn lại cuộc phỏng vấn. Financial Planning lại trích lời ông rằng các trường hợp này “rất hiếm”. Hai thông tin có thể cùng đúng, vì vài chục lượt mỗi tuần là rất nhỏ so với lượng khách của Schwab. Dù thế nào, đây chưa phải làn sóng. Ngân hàng đặt chính sách trước khi lượng truy cập tăng mạnh.

Lối đi được cấp phép: MCP do chính ngân hàng giới hạn quyền

Với lập trình viên, phần đáng chú ý nhất là thứ Schwab đưa ra để thay thế. Schwab không cấm LLM. Họ chuyển LLM ra khỏi trình duyệt và sang một giao diện do họ kiểm soát. “Chúng tôi cho LLM kết nối, nhưng chúng tôi kiểm soát trải nghiệm,” Wurster nói. Model bên ngoài có thể kết nối qua các máy chủ MCP do Schwab vận hành. MCP (Model Context Protocol) là chuẩn mở Anthropic giới thiệu năm 2024 để nối model với công cụ và dữ liệu. Qua đó model có thể đọc số dư, danh mục đầu tư và phân tích. Các bài đưa tin mô tả ba nấc quyền:

  1. Đọc và phân tích: mở cho model bên ngoài qua máy chủ MCP.
  2. Đặt lệnh giao dịch: chương trình thí điểm cho nhà giao dịch, được cho là bắt đầu với Claude rồi mở rộng sang các model khác “trong những tháng tới”. Chi tiết này chỉ có ở một bản tin tóm tắt cuộc họp, nên chỉ nên xem là thông tin được đưa tin, chưa được xác nhận.
  3. Chuyển tiền: không cho phép. “Chúng tôi không cho chúng chuyển tiền vì cho rằng rủi ro quá lớn với khách hàng và với công ty.”

Song song, Schwab hướng khách hàng sang trợ lý riêng là Charley. Theo thông báo ngày 30/9 của Schwab (qua các bài tóm tắt), Charley đọc được số dư, danh mục, sao kê, chứng từ thuế, và làm được một số thay đổi giới hạn như cập nhật thông tin liên hệ hay thêm người thụ hưởng.

Đây là điều người xây agent cần chú ý. Ngân hàng đang dùng MCP như một API gateway (cổng API): có xác thực, phân quyền theo từng chức năng, ghi log, và tổ chức (chứ không phải người dùng) có quyền thu hồi. Tự động hóa trình duyệt bằng mật khẩu lưu sẵn không có cơ chế nào trong số đó. Ngân hàng không phân biệt được người với agent, không giới hạn được việc agent làm, và sau sự cố cũng không biết ai đã bấm “chuyển tiền”.

Mấu chốt là trách nhiệm pháp lý

Cả hai CEO đều đặt vấn đề quanh câu hỏi ai chịu thiệt khi có sự cố. Theo các bài đưa tin, Dimon cho rằng người dùng agent bên ngoài tự gánh rủi ro và trách nhiệm. Wurster nói thẳng hơn trên Bloomberg TV: “Chúng tôi không kiểm soát được nó, khách hàng cũng không kiểm soát được, có chuyện gì xảy ra thì ai chịu trách nhiệm?”

Mỹ hiện chưa có câu trả lời chính thức. Quy định Section 1033 về open banking do Cục Bảo vệ Tài chính Người tiêu dùng (CFPB) ban hành năm 2024 lẽ ra buộc ngân hàng chia sẻ dữ liệu cho bên thứ ba được ủy quyền. Năm 2025, chính CFPB lại nói trước tòa liên bang rằng quy định này trái luật, và hiện đang xem xét lại. Ngay cả bản gốc cũng chỉ nói về quyền truy cập dữ liệu, không nói về thanh toán. Hiện không có quy định liên bang ràng buộc nào buộc ngân hàng mở quyền ghi (thực hiện giao dịch) cho agent. Chừng nào chưa có, ngân hàng sẽ mặc định chỉ cho đọc.

Không chỉ riêng ngân hàng

Ngân hàng không đơn độc. Amazon kiện Perplexity từ tháng 11/2025 vì trình duyệt agent Comet. Lệnh cấm tạm thời Amazon giành được sau đó bị tòa phúc thẩm đảo ngược. Tháng 9/2026, Amazon chặn Muse của Meta bằng thông báo rằng “việc tiếp tục truy cập bởi một AI agent không được phép vi phạm Điều kiện sử dụng của Amazon”. Delta nói với TechCrunch rằng hãng “không có hợp tác hay tích hợp nào cho phép AI agent bên thứ ba mua hoặc đặt vé Delta thay khách hàng”. Điểm chung là các nền tảng chấp nhận agent đi qua cánh cửa do họ xây và tính phí, nhưng không chấp nhận agent đi qua cánh cửa vốn dành cho con người.

Những điểm cần hoài nghi

An ninh không phải động cơ duy nhất. Tim Welsh (Nexus Strategies) nói với Financial Planning: “Agent bên ngoài làm việc cho khách hàng. Charley làm việc cho Schwab.” Ông lưu ý Schwab thu lãi đáng kể từ tiền mặt khách hàng để nhàn rỗi, khoảng 3,48 tỷ USD doanh thu lãi thuần trong quý vừa qua. Một agent bên ngoài chuyển khoản tiền nhàn rỗi đó sang tài khoản lãi cao hơn ở nơi khác sẽ đe dọa trực tiếp nguồn thu này. Các hiệp hội fintech cũng từng gọi mức phí truy cập dữ liệu mà JPMorgan thu của các bên tổng hợp là phản cạnh tranh. Lý do “an toàn” và lý do “giữ quyền kiểm soát khách hàng” dẫn đến cùng một chính sách, nên khó biết lý do nào thực sự chi phối.

Những câu hỏi còn bỏ ngỏ cho người xây agent:

  • Danh tính agent. Amazon cho biết Muse không tự xưng là AI. Thứ còn thiếu rõ ràng nhất là một lớp danh tính agent có chữ ký, kiểm chứng được, tức một header hoặc chứng chỉ khẳng định “tôi là agent X, hành động cho người dùng Y, trong phạm vi Z”.
  • Ai định nghĩa phạm vi quyền. Nếu mỗi tổ chức tự chạy máy chủ MCP với bộ quyền riêng, trợ lý đa năng sẽ thành một mớ tích hợp chắp vá. Đó chính là tình trạng mà phong trào open banking đã mất cả thập kỷ để khắc phục.
  • Con người duyệt các thao tác ghi. Châu Âu có một hướng trung gian. Scalable Capital (Đức) từ tháng 8 đã mở cho ChatGPT, Claude và Grok kết nối, nhưng người dùng phải duyệt từng lệnh và trợ lý không được rút tiền.

Hướng đi đã rõ dù chi tiết thì chưa. Ở các ngành có quản lý chặt, giai đoạn agent được làm mọi thứ mà một trình duyệt đã đăng nhập làm được đang khép lại. Giai đoạn tiếp theo vận hành bằng các quyền tường minh do chính tổ chức cấp, và MCP đang nhanh chóng trở thành định dạng để cấp các quyền đó. Nếu agent của bạn đang phụ thuộc vào việc cào dữ liệu từ một phiên đăng nhập, đây là lúc nên thiết kế lại.

Nguồn