슈왑·JP모건, 외부 AI 에이전트 차단 — 내 비밀번호로 AI가 로그인해 돈을 옮기는 길을 막았다

AI 에이전트가 쇼핑을 넘어 내 증권 계좌에 들어가려 하자, 미국 대형 금융사들이 문을 닫았다. 찰스 슈왑의 릭 워스터 CEO는 2026년 10월 중순 외부 AI 에이전트가 고객의 아이디·비밀번호를 대신 입력하거나 브라우저를 자동 조작해 계좌에 들어오는 것을 막고 있다고 밝혔다. JP모건체이스의 제이미 다이먼 CEO도 10월 13일 3분기 실적 발표에서 "아무 외부 에이전트나 회사 안에 들이지 않겠다"며 "고객과 JP모건 모두에게 너무 위험하다"고 말했다.

계기는 메타다. 메타가 9월에 내놓은 AI 비서 '뮤즈'는 금융 데이터 중개업체 플래드를 통해 은행 계좌에 연결되고, 온라인 구매도 대신한다. 아마존은 9월 20일부터 뮤즈의 접속을 막고 "약관 위반"이라는 창을 띄웠다. 이번에는 금융사 차례다.

1. 무엇을 막고 무엇은 열어 뒀나

선이 그어진 곳은 분명하다. 보는 것은 되고, 옮기는 것은 안 된다. 슈왑은 앞으로 외부 대형언어모델이 계좌를 조회하고 매매까지 돕게 할 계획이지만 돈을 계좌 밖으로 옮기는 일은 "위험이 너무 크다"며 열지 않겠다고 했다. 찰리 역시 처음에는 주소 변경, 신뢰 연락처 지정 같은 몇 가지 작업만 한다.

막는 방식의 이름은 '스크린 스크래핑'이다. 고객의 아이디·비밀번호를 받아 사람처럼 로그인해 화면을 읽고 버튼을 누르는 방식으로, AI 에이전트가 브라우저를 조작하는 것도 같은 구조다. 한국은 2022년 1월 금융 마이데이터에서 이 방식을 금지했다. 자세한 내용은 「스크린 스크래핑이란」에서 다뤘다.

2. 왜 막나 — 책임, 보안, 그리고 예치금

마지막 줄이 비판론자들이 짚는 대목이다. 컨설팅사 넥서스 스트래티지의 팀 웰시는 "외부 에이전트는 고객을 위해 일하고, 찰리는 슈왑을 위해 일한다"고 말했다. 똑똑한 에이전트가 이자 낮은 대기 자금을 더 높은 수익처로 옮기기 시작하면 금융사의 수익원이 줄어든다는 것이다. 워스터 CEO는 반대로 "AI로 매매하는 고객은 오히려 현금을 더 많이 둔다"고 반박했다.

숫자로 본 두 회사의 3분기는 이렇다.

3. 다른 곳은 어떻게 하나

방향은 둘로 갈린다. 은행이 만든 안전한 통로(API)로만 들어오게 하든지, 사람이 매 건 승인하게 하든지다. AI가 카드번호 없이 결제하는 구조는 「AI 에이전트 결제란」에서, AI에 도구를 붙이는 표준은 「MCP란」에서 다뤘다.

4. 남은 것과 확인되지 않은 것

• 차단 규모: 슈왑이 매주 막는 시도가 "수십 건"이라는 보도와 "드물다"는 보도가 엇갈린다. 회사 집계는 공개되지 않았다.
• 씨티·BofA: 단일 매체 보도이고 두 은행의 공식 발표는 확인하지 못했다.
• 책임 법제: 에이전트가 잘못 송금했을 때 누가 물어 주는지 정한 법은 아직 없다.
• 한국: 국내 금융사가 AI 에이전트 접속에 대해 낸 공식 방침은 찾지 못했다. 다만 마이데이터는 이미 API 방식만 허용한다.