Sesja nie jest klientem: kryzys tożsamości AI

Wiosną tego roku, Redwood Research przyznał agentowi AI opartemu na Claude Opus 4.7 5 000 $, połączenie z internetem i cztery dni, aby zarobił jak najwięcej pieniędzy. W czterech oddzielnych uruchomieniach agent nie uzyskał niczego. Każda próba utknęła na tym samym murze: CAPTCHA i weryfikacja tożsamości, ten sam zestaw KYC, który napotyka bot próbujący otworzyć konto bankowe.

Podczas gdy ten agent utknął przy drzwiach wejściowych, inna grupa agentów już przemieszczała prawdziwe pieniądze inną drogą, omijając KYC. Według niezależnego liczenia Chainalysis, agenci, którzy znaleźli obejście, przetworzyli ponad 100 milionów płatności za pośrednictwem protokołu x402 Coinbase na sieci Base do początku 2026 roku. Wszystkie rozliczono w stablecoinach. Żaden nie dotknął banku. Oba fakty pojawiają się w tym samym raporcie o rozwijającej się gospodarce agentów. 

Agent AI nie może być prawnym właścicielem konta bankowego. System zakłada, że za każdym kontem stoi człowiek, z kontrolą KYC, prawną tożsamością i odpowiedzialnością przypisaną do nazwanej osoby. Dlatego agenci znaleźli sposób na przenoszenie pieniędzy mimo to, po prostu nie przez drzwi przeznaczone do weryfikacji osoby.

Więcej maszyn niż ludzi

Operator transakcji nie jest już pewnie człowiekiem, przy prognozie, że do końca tego roku 40 % aplikacji korporacyjnych zostanie wyposażonych w agenty AI dedykowane do konkretnych zadań, w porównaniu z poniżej 5 % w 2025 roku. Po stronie konsumentów 45 % kupujących już korzysta z AI przy części zakupu, mimo że większość nadal robi zakupy w sklepach stacjonarnych. Inny sondaż wykazał, że 95 % sprzedawców już obserwuje ruch agentów AI na swoich witrynach, podczas gdy tylko 20 % posiada katalogi produktów, które maszyna może rzeczywiście odczytać.

W przedsiębiorstwach stosunek jest jeszcze bardziej wyraźny. Niedawny raport wykazał, że tożsamości maszynowe przewyższają tożsamości ludzkie w stosunku 109 do 1, w porównaniu do 82 do 1 rok wcześniej, przy czym 77 % organizacji spodziewa się, że ten stosunek będzie nadal rosnąć. Ten sam raport stwierdził, że 99 % organizacji już przyjęło agentów AI, a 40 % tych agentów ma już dostęp do danych organizacyjnych.

Co naprawdę dowodzi sesja

Nic z tego nie miałoby znaczenia, gdyby logowanie nadal oznaczało to, co kiedyś. Nie ma tak. Sesja, która usuwa wszystkie istniejące sygnały, rzeczywiste urządzenie, czysty adres IP i rozwiązane wyzwanie weryfikacyjne, coraz mniej dowodzi, kim lub czym jest druga strona.

To węższe twierdzenie niż się wydaje i bardziej użyteczne. Nikt nie twierdzi, że automatyzacja sama w sobie jest nielegalna. Własny asystent bankowy, bot podróżny czy agent zakupowy danej osoby to również sesja, a rosnący odsetek autentycznych sesji będzie właśnie takim upoważnionym pełnomocnikiem, a nie osobą wpisującą dane bezpośrednio. Infrastruktura już to umożliwia bezproblemowo. Gdy użytkownik autoryzuje agenta za pośrednictwem MCP, otwartego standardu pozwalającego narzędziom AI łączyć się z usługą i działać w imieniu użytkownika, agent może kontynuować transakcje na podstawie tej autoryzacji bez konieczności ponownego logowania człowieka za każdym razem. Oficjalny rejestr MCP wymienił ponad 6 400 zarejestrowanych serwerów do lutego 2026, osiągając ten kamień milowy nieco ponad rok po wydaniu protokołu w 2024 roku.

Problem polega na tym, że współczesny stosunek ryzyka nie ma niezawodnego sposobu odróżnienia upoważnionego pełnomocnika od agenta działającego bez jakiejkolwiek autoryzacji, ponieważ oba przychodzą z tymi samymi sygnałami.

Kontrole dokumentów tożsamości i biometryczne skany selfie potwierdzają, że dokument należy do osoby i że osoba jest żywa. Nie potwierdzają one jednak autentycznej intencji ani cyfrowej historii, którą prawdziwa tożsamość gromadzi, leżącej za transakcją. Weryfikacja tożsamości musi przejść od sprawdzania wyglądu do potwierdzania intencji poprzez ciągłość. Prawdziwa osoba buduje lata zwykłego zachowania online. Agent uruchomiony na kilka minut przed transakcją nie ma możliwości tego podrobić. Sesja zawsze była pełnomocnikiem. Po prostu kiedyś była wiarygodna.

Ślepa plamka, której nikt nie wycenił

Przejęcie konta już wykorzystuje lukę między sesją a osobą i to właśnie tam zmiana po raz pierwszy pojawia się w danych o stratach. Niedawna analiza globalnych trendów przejęć kont w 2026 roku wykazała, że konta finansowe stanowiły 32 % naruszeń, przy czym przejęcie sesji i ataki zmęczenia wieloczynnikowego wypierają próby logowania metodą brute-force jako preferowaną drogę, właśnie dlatego, że przejęta sesja dziedziczy całe zaufanie, które zdobyło prawdziwe logowanie. Globalne oszustwa tożsamości przekroczyły 50 miliardów dolarów w 2025 roku, według tej samej analizy, przy czym ataki napędzane AI same w sobie odpowiadały za szacowane 40 miliardów dolarów rocznych strat firmowych.

Ta luka jest strukturalna, a nie przypadkowa. Kontrola logowania odbywa się raz przy wejściu, a wszystko, co następuje, dziedziczy jej werdykt. Nic nie sprawdza ponownie dziesięciu minut między czystym logowaniem a oszukańczą transakcją. Zamknięcie tej luki wymaga dyscypliny, której większość systemów antyfraudowych jeszcze nie posiada: monitorowania sesji, traktowania całej sesji jako ciągłego wątku, a nie pojedynczej bramki. Narzędzie zdalnego dostępu włączone w trakcie finalizacji zakupu lub odcisk urządzenia zmieniający się po logowaniu wywołuje alarm, którego pierwotna kontrola nie mogła wykryć.

Każda kontrola zbudowana, aby wyłapać tę lukę, była skalibrowana pod konkretny typ wroga: człowieka‑oszusta podszywającego się pod prawdziwego człowieka. Biometria behawioralna nauczyła się wykrywać ruchy myszy zbyt płynne, by były ludzkie. Inteligencja urządzeń nauczyła się rozpoznawać odcisk farmy urządzeń w chmurze. Żadne z tych rozwiązań nie zostało stworzone, by odpowiedzieć na nowsze pytanie. Nie, czy sesja należy do oszusta, lecz czy w ogóle należy do kogokolwiek.

Pytanie, które jeszcze nie ma nazwy

To pytanie nie ma jeszcze uzgodnionej nazwy w branży, choć będzie jej potrzebować, zanim ten rok się skończy. Regulatorzy już je otaczają, banki są już poddawane jego testom, a sami agenci nie czekają, aż ktokolwiek się z nim zrówna.

Branża, która spędziła dwie dekady ucząc się odróżniać prawdziwego klienta od fałszywego, jest teraz proszona o odróżnienie klienta od fragmentu oprogramowania działającego w imieniu nikogo. To trudniejszy problem niż ten, do którego zbudowano obecny stos, a udawanie inaczej jest najdroższą opcją dostępną na stole.