Sessionen är inte kunden: AI‑identitetskrisen

Denna vår, Redwood Research gav en AI‑agent byggd på Claude Opus 4.7 en insats på $5,000, en internetanslutning och fyra dagar för att tjäna så mycket pengar som möjligt. Under fyra separata körningar tjänade agenten ingenting. Varje försök fastnade vid samma hinder: en CAPTCHA och en identitetskontroll, samma KYC‑prövning som en bot möter när den försöker öppna ett bankkonto.

Medan den agenten satt fast vid ytterdörren, flyttade en annan grupp av agenter redan riktiga pengar genom en annan kanal för att kringgå KYC. Enligt en oberoende räkning från Chainalysis bearbetade agenterna som hittade en lösning mer än 100 miljoner betalningar via Coinbases x402‑protokoll på Base‑nätverket i början av 2026. Alla avräknades i stablecoins. Ingen rörde en bank. Båda fakta återfinns i samma rapportering om den framväxande agentekonomin. 

En AI‑agent kan inte vara den juridiska ägaren av ett bankkonto. Systemet förutsätter en människa bakom varje konto, med KYC‑kontroller, juridisk identitet och ansvar som knyts till en namngiven person. Så agenterna hittade ett sätt att flytta pengar ändå, bara inte genom den dörr som är avsedd för att kontrollera en person.

Mer maskin än människa

Operatören bakom en transaktion är inte längre pålitligt mänsklig, med 40 % av företagsapplikationerna beräknade att levereras med uppgiftsspecifika AI‑agenter i slutet av året, upp från under 5 % år 2025. På konsumentsidan vänder sig redan 45 % av shoppare till AI för en del av köpet, även om de flesta fortfarande handlar i fysiska butiker. En annan undersökning visade att 95 % av återförsäljarna redan ser AI‑agenttrafik på sina webbplatser, medan endast 20 % har produktkataloger som en maskin faktiskt kan läsa.

Inom företagen är förhållandet ännu tydligare. En nyligen rapport visade att maskinidentiteter nu överstiger mänskliga identiteter med 109 mot 1, upp från 82 mot 1 ett år tidigare, och 77 % av organisationerna förväntar sig att förhållandet fortsätter att öka. Samma rapport fann att 99 % av organisationerna redan har antagit AI‑agenter, och 40 % av dessa agenter har redan tillgång till organisationsdata.

Vad en session faktiskt bevisar

Ingen av detta skulle spela någon roll om en inloggning fortfarande betydde det den brukade betyda. Det gör den inte. En session som rensar alla befintliga signaler, en riktig enhet, en ren IP-adress och en löst verifieringsutmaning bevisar i allt högre grad inget om vem eller vad som sitter på andra sidan.

Det är ett snävare påstående än det låter, och ett mer användbart. Ingen påstår att automation i sig är illegitim. En persons egna bankassistent, resebot eller inköpsagent är också en session, och en växande andel av äkta sessioner kommer exakt att vara den typen av auktoriserad proxy snarare än en person som skriver direkt. Infrastrukturen gör redan detta friktionsfritt. När en användare auktoriserar en agent via MCP, den öppna standarden som låter AI‑verktyg ansluta till en tjänst och agera på en användares vägnar, kan agenten fortsätta transagera under den auktorisationen utan en ny mänsklig inloggning varje gång. Den officiella MCP‑registret listade mer än 6 400 registrerade servrar i februari 2026, och nådde den milstolpen på drygt ett år sedan protokollet släpptes 2024.

Problemet är att dagens riskstack inte har något pålitligt sätt att skilja en auktoriserad proxy från en agent som agerar utan någon auktorisation alls, eftersom båda anländer med samma signaler.

ID‑dokumentkontroller och biometriska selfie‑skanningar bekräftar att ett dokument tillhör en person och att personen är levande. De bekräftar inte den genuina avsikten, eller den digitala historik som en verklig identitet samlar på sig, som ligger bakom transaktionen. Identitetsverifiering måste gå från att kontrollera ett utseende till att bekräfta avsikt genom kontinuitet. En verklig person bygger år av vanlig online‑beteende. En agent som provisioneras minuter före en transaktion har inget sätt att förfalska det. En session har alltid varit en proxy. Den var bara tidigare en pålitlig sådan.

Den blinda fläcken ingen räknade med

Kontoövertagande utnyttjar redan klyftan mellan en session och en person, och det är där förändringen först visar sig i förlustdata. En analys av globala trender för kontoövertagande för 2026 visade att finansiella konton stod för 32 % av intrång, där sessionkapning och trötthet på multifaktorattacker ersatte brute‑force‑inloggningsförsök som föredragen metod, just för att en kapad session ärver all den förtroende som en legitim inloggning byggt upp. Global identitetsbedrägeri översteg $50 miljarder år 2025, enligt samma analys, där AI‑drivna attacker ensamt stod för uppskattade $40 miljarder i årliga företagsförluster.

Den klyftan är strukturell, inte tillfällig. En inloggningskontroll sker en gång vid ytterdörren, och allt som följer ärver dess beslut. Ingenting kontrollerar om de tio minuterna mellan en ren inloggning och en bedräglig överföring. Att täppa till den kräver en disciplin som de flesta bedrägeristackar ännu inte har: sessionsövervakning, där hela sessionen behandlas som en kontinuerlig tråd snarare än en enskild grind. Ett fjärråtkomstverktyg som slås på mitt i kassan eller ett enhetsfingeravtryck som förändras efter inloggning utlöser ett larm som den ursprungliga kontrollen aldrig kunde.

Varje kontroll som byggdes för att fånga den klyftan kalibrerades mot en specifik fiende: en mänsklig bedragare som utger sig för att vara en äkta människa. Beteende‑biometri lärde sig att upptäcka musrörelser som är för släta för att vara mänskliga. Enhetsintelligens lärde sig att identifiera fingeravtrycket från en moln‑enhetsfarm. Ingen av dem byggdes för att svara på en nyare fråga. Inte om sessionen tillhör en bedragare, utan om den alls tillhör någon.

Frågan utan namn ännu

Den frågan har ännu inget enat namn i branschen, men den kommer att behöva ett innan året är slut. Regulatorer kretsar redan kring den, banker testas redan av den och agenterna själva väntar inte på att någon av dem ska hinna ikapp.

En bransch som tillbringat två decennier med att lära sig skilja en riktig kund från en falsk blir nu ombedd att skilja en kund från en mjukvarukomponent som agerar i ingen någons namn. Det är ett svårare problem än det som den nuvarande stacken byggdes för att lösa, och att låtsas annars är det dyraste alternativet på bordet.