JP모건체이스가 외부 AI 에이전트의 고객 계좌 로그인과 조작을 차단하기로 했다. 제이미 다이먼 JP모건 최고경영자(CEO)는 화요일 열린 3분기 실적 발표 콘퍼런스콜에서 외부 에이전트가 은행 시스템에 임의로 접근하는 것을 허용하지 않겠다고 밝혔다. 통제력을 잃은 에이전트가 고객과 은행 모두에 위험을 초래할 수 있다는 이유에서다. 이번 결정은 금융 데이터 개방과 계좌 접근 통제 사이에서 은행이 어떤 경계를 설정할지 보여주는 사례로, 전통 금융기관과 소비자용 AI 비서의 연계 방식을 둘러싼 차이도 드러냈다.
JP모건, 계좌 인증정보 보안을 핵심 우려로 제시
AI 에이전트는 잔액 조회나 일정 예약처럼 사용자를 대신해 작업을 수행하는 소프트웨어를 말한다. 에이전트가 고객의 은행 인증정보를 이용해 계좌에 로그인하면 금융정보를 조회하거나 실제 거래·변경 작업을 수행할 권한을 얻을 수 있다. JP모건은 외부 AI 에이전트가 이런 방식으로 고객 계좌에 접근하는 것을 허용하지 않으며, 고객의 은행 로그인 정보를 확보하려는 제3자 에이전트도 차단할 방침이다.
다이먼 CEO는 실적 발표 콘퍼런스콜에서 어떤 외부 에이전트도 JP모건 시스템에 들어오게 할 계획이 없다고 말했다. 그는 이 같은 접근이 고객과 JP모건 모두에 “너무 큰 위험”을 초래하며, 고객 역시 통제되지 않는 에이전트에 노출되기를 원하지 않을 것이라고 설명했다. 발언의 초점은 고객이 AI 도구를 사용하는 행위 자체가 아니라, 에이전트에 부여된 권한과 실제 행동을 통제할 수 있는지에 맞춰졌다.
고객 동의 기반의 오픈뱅킹 데이터 공유는 유지
JP모건의 방침이 고객이 승인한 데이터 공유를 전면 중단한다는 뜻은 아니다. 은행은 여전히 오픈뱅킹 서비스 제공업체를 통한 데이터 공유를 지원한다. 외부 에이전트가 고객의 인증정보로 직접 로그인해 계좌에서 행동하는 방식과, 데이터 공유 사업자를 통해 고객이 허가한 정보를 전달하는 방식은 구조가 다르다.
금융기관 입장에서는 계좌와 고객 데이터에 누가 어떤 방식으로 접근하는지, 에이전트가 고객을 대신해 어디까지 작업할 수 있는지, 오류나 무단 조작이 발생했을 때 책임을 누가 부담하는지가 핵심 쟁점이다. JP모건은 외부 에이전트의 직접적인 계좌 접근은 제한하면서도 승인된 데이터 공유는 유지함으로써, 제3자 서비스와의 연결을 허용하는 범위와 계좌 통제권 보호 사이에 선을 그으려는 모습이다.
Meta의 금융 연계 제품이 보여준 AI 접근 수요
Meta의 ‘Muse’는 Plaid를 통해 금융 계좌와 연결할 수 있다. Meta는 동시에 에이전트를 식별하기 위한 도구인 ‘Poppy’도 개발하고 있다. 이들 제품은 기술기업이 AI 서비스와 사용자의 금융 데이터 및 금융 관련 작업 환경을 연결하려는 시도가 이어지고 있음을 보여준다. 금융기관은 이 과정에서 계좌 보안뿐 아니라 외부 에이전트의 행동 범위와 사고 발생 시 책임 문제도 함께 검토해야 한다.
현재 JP모건의 발표는 외부 AI 에이전트가 고객 계좌에 로그인하거나 계좌에서 작업을 수행하는 방식에 초점이 맞춰져 있다. 오픈뱅킹 서비스 제공업체를 통한 고객 승인 데이터 공유를 중단한다고 발표한 것은 아니다. 다만 다이먼 CEO가 언급한 위험이 각 에이전트 제품에 어떻게 적용되는지, JP모건이 어떤 기준으로 에이전트를 ‘외부’ 또는 ‘통제되지 않는’ 대상으로 분류할지는 구체적으로 공개되지 않았다.