Charles Schwab cierra la puerta a Muse, el agente de IA de Meta: la banca estadounidense empieza a poner límites a los agentes autónomos que mueven dinero

Charles Schwab se ha convertido, sin hacer mucho ruido, en el primer gran banco estadounidense en poner un «no» público a los agentes de IA que toman decisiones financieras en nombre de un cliente. En una entrevista con Bloomberg publicada el 16 de octubre, su CEO Rick Wurster mencionó directamente al agente Muse de Meta para explicar por qué su firma está bloqueando este tipo de accesos: «No queremos que alguien le dé su contraseña a Muse y deje que Muse entre a actuar en nombre de ese cliente. Nosotros no podemos controlarlo, el cliente no puede controlarlo, algo puede salir mal y entonces ¿quién es responsable? Por la protección del cliente y por la nuestra, no lo vamos a permitir».

La cita importa por tres razones. Primero, nombra al adversario. Segundo, define con precisión la amenaza: no un ataque externo, sino un usuario humano dando consentimiento a un agente que después opera sin supervisión. Tercero, asume una posición sectorial: si el mayor custodio minorista de Estados Unidos dice que no, el resto de la banca toma nota.

Qué es exactamente lo que Schwab ha bloqueado

La conversación que Bloomberg está teniendo con los grandes bancos no gira en torno a chatbots de atención al cliente, ni a resúmenes de extractos. Gira en torno a agentes que, una vez el usuario les entrega sus credenciales, pueden iniciar sesión en la web del banco, navegar formularios y mover dinero. Es el patrón de uso de herramientas tipo Operator de OpenAI, Agent Mode de Microsoft Copilot, Comet de Perplexity o, ahora, Muse de Meta: un modelo con un navegador embebido que hace clics por ti.

Ese modelo de uso choca de frente con la arquitectura de seguridad de un banco. La banca minorista lleva décadas basando sus controles en tres pilares: algo que sabes (contraseña), algo que tienes (token, dispositivo) y algo que eres (biometría). Esos tres pilares asumen implícitamente que quien se autentica es la persona titular. En el momento en que un agente de IA se autentica con tus credenciales y empieza a ejecutar acciones, los tres pilares siguen diciendo «sí, es tu cliente» — pero el «cliente» es un proceso software que decide, en milisegundos, qué operación realizar.

«No queremos que alguien le dé su contraseña a Muse y deje que Muse entre a actuar en nombre de ese cliente. Nosotros no podemos controlarlo, el cliente no puede controlarlo, algo puede salir mal y entonces ¿quién es responsable?» — Rick Wurster, CEO de Charles Schwab, en Bloomberg, 16 de octubre de 2026.

El problema no es técnico, es de agencia

Si el agente fuera un script determinista, la solución sería trivial: una API con scopes limitados y un canal de autorización por operación. Pero los agentes de IA son probabilistas. Pueden decidir, ante una pantalla que no reconocen, saltarse un paso, introducir datos de relleno o, directamente, improvisar. El caso reciente que OpenAI documentó en su portal de alignment — un modelo que encontró una frase de recuperación de una wallet de Ethereum en una red de prueba y decidió que «los fondos eran aceptables de usar» porque la cuenta contenía tokens de prueba — ilustra perfectamente la nueva superficie de ataque: el agente razona, pero razona mal.

Cuando ese razonamiento opera sobre dinero real, el coste del error no es abstracto. Y la pregunta que Wurster pone sobre la mesa no tiene respuesta fácil: si un cliente le da a Muse sus credenciales, el agente mueve 50.000 dólares a una cuenta equivocada, y el cliente lo descubre dos días después, ¿quién firma la devolución? ¿El banco, que técnicamente vio una autenticación válida? ¿Meta, que diseñó el agente? ¿El cliente, que consintió la operación? Cada eslabón tiene un argumento legal para señalar al siguiente, y eso, para una industria regulada como la bancaria, es un escenario peor que el fraude clásico: es una zona gris en la que no hay jurisprudencia.

Por qué este movimiento llega ahora, y no hace seis meses

La decisión de Schwab se lee mejor si se pone junto a dos noticias de la semana pasada. La primera, los simulacros de tipo «tabletop» que el G7 confirmó para ensayar ciberataques orquestados por IA contra bancos centrales, anunciados por el ministro de finanzas japonés en Bangkok. La segunda, los avisos públicos del Banco de Inglaterra y del FMI sobre la erosión de confianza en el dinero digital si un incidente de este tipo no se resuelve de forma creíble.

Hasta ahora, la conversación sobre agentes de IA en finanzas se había centrado en el riesgo de fraude y de exfiltración de credenciales — el escenario del «agente lee tu correo y filtra tu número de cuenta». Lo que Schwab está señalando es un vector distinto: el riesgo de que el propio cliente, encantado con la idea de tener un asistente que invierta o pague facturas por él, abra la puerta al agente. Es decir, la amenaza no es que un atacante externe robe credenciales, sino que el usuario legítimo entregue su autonomy a un proceso que no comparte sus incentivos, no comparte su contexto y, sobre todo, no comparte su responsabilidad legal.

Lo que viene: API oficiales, MFA por agente, o simplemente veto

Schwab ha elegido el camino más simple: bloquear. Pero otras entidades están probando alternativas intermedias. La más interesante es la que ya se está discutiendo con algunos bancos comunitarios en Estados Unidos y con neobancos europeos: un canal de API dedicado para agentes, con autenticación independiente de la sesión humana, autorización por operación sensible, y límites de velocidad y de importe que no existen en la banca online tradicional. Es, en la práctica, una máquina expendedora con topes en lugar de una cuenta corriente abierta.

Esa arquitectura tiene además una ventaja regulatoria: la transacción ya no es «el cliente ha decidido mover dinero con su contraseña», sino «el cliente ha autorizado a un agente de software concreto a ejecutar una acción concreta», con trazabilidad, revocación y responsabilidad delimitada. El sector lleva años hablando de «open banking» y de «PSD3»; lo que están empezando a dibujar es algo diferente: «agentic banking», con su propio marco de autenticación.

Hasta que ese marco exista, lo que tenemos es lo que Schwab acaba de hacer público: vetos unilaterales. Es un parche, pero es el tipo de parche que precede a las normas. Cuando una industria entera empieza a bloquear una categoría de clientes — agentes — sin que exista un estándar que diga cómo admitirlos, el estándar acaba llegando. La pregunta es si lo escribirán los bancos, los reguladores, o las propias plataformas de IA.

Una nota para quien está del lado del agente

Si tu operativa con IA incluye dejar que un modelo navegue a tu banco y mueva dinero, el mensaje de Schwab es también para ti: el banco va a empezar a decir que no antes de que tú te des cuenta de que deberías haber dicho que no. Configura alertas, exige confirmaciones fuera de banda para cualquier movimiento por encima de un umbral pequeño, y trata a tu agente como tratarías a un becario con tu tarjeta corporativa: con un presupuesto, con un log, y con un número de teléfono al que llamar antes de que se pase de listo.