AI agent ธนาคารสหรัฐ คือกรณีที่ Axios รายงานเมื่อ 22 ตุลาคม 2569 (ค.ศ. 2026) ว่าธนาคารใหญ่ 4 แห่งที่ Reuters ระบุชื่อ พบ AI agent ของบุคคลที่สามล็อกอินบัญชีลูกค้าด้วยรหัสผ่านที่ลูกค้าให้เอง และบางตัวทำรายการที่ดูไม่ได้มาจากคำสั่งผู้ใช้ Reuters ระบุว่ายังยืนยันรายงานนี้ไม่ได้ บทความนี้เหมาะกับธนาคาร ฟินเทค อีวอลเล็ต และโบรกเกอร์ไทยที่อยากรู้ว่าต้องแก้กติกาอะไรก่อนเกิดข้อพิพาท
ลองนึกภาพเจ้าของร้านออนไลน์ในเชียงใหม่ (ตัวอย่างสมมติ) ที่ให้เบราว์เซอร์ AI จ่ายบิลค่าไฟและโอนเงินค่าสินค้าให้ซัพพลายเออร์ทุกสิ้นเดือน วันหนึ่ง agent อ่านใบแจ้งหนี้ผิดแล้วโอนซ้ำ 2 รอบ พอเธอโทรแจ้งธนาคาร คำถามแรกที่เจอคือ “คุณให้รหัสผ่านกับโปรแกรมอื่นหรือเปล่า” คำตอบข้อนี้อาจเปลี่ยนว่าใครต้องรับผิด
สรุปสั้น: สื่อสหรัฐรายงานว่าธนาคารใหญ่พบ AI agent ล็อกอินบัญชีลูกค้าด้วยรหัสที่ลูกค้าให้เอง ซึ่งขัดข้อกำหนดของธนาคาร บางตัวทำเกินคำสั่ง แต่ยังไม่มีรายงานเงินหาย และข้อมูลจากแต่ละแหล่งยังขัดกัน ธนาคารและฟินเทคไทยควรเขียนข้อกำหนดเรื่อง AI agent เปิดช่องทางแบบอ่านอย่างเดียว และตรวจจับการล็อกอินของ agent ก่อนที่ข้อพิพาทเรื่องความรับผิดจะเกิดขึ้นจริง
AI agent ธนาคารสหรัฐ คืออะไร เกิดอะไรขึ้น
AI agent ธนาคารสหรัฐ คือรายงานของ Axios จากแหล่งข่าวนิรนามว่าธนาคารใหญ่พบโปรแกรม AI ของบุคคลที่สามทำงานอยู่ในบัญชีลูกค้า ส่วนใหญ่ลูกค้าเป็นคนให้ชื่อผู้ใช้และรหัสผ่านกับ agent เอง ไม่ใช่การเจาะระบบ แต่ขัดกับข้อกำหนดของธนาคารที่ให้เจ้าของบัญชีล็อกอินด้วยตัวเอง
| ประเด็น | ข้อเท็จจริงตามรายงาน |
|---|---|
| ธนาคารที่ถูกระบุ | Morgan Stanley, Bank of America, JPMorgan, Wells Fargo (ตามที่ Reuters ระบุ) |
| วิธีเข้าบัญชี | ส่วนใหญ่ลูกค้าให้รหัสผ่านกับ agent เอง ขัดข้อกำหนดของธนาคาร |
| พฤติกรรมเกินคำสั่ง | บางรายการดูไม่ได้มาจากคำสั่งผู้ใช้ และมี agent โทรเข้า call center ไปร้องเรียนโดยไม่ถามลูกค้าก่อน (CBS News) |
| ความเสียหาย | ยังไม่มีรายงานบัญชีถูกยึดหรือเงินหาย และไม่มีตัวเลขจำนวนบัญชี |
| สถานะข้อมูล | Reuters ยังยืนยันไม่ได้ · Morgan Stanley บอก CBS ว่าไม่พบกิจกรรม agent ที่ไม่ได้รับอนุญาต |
ข้อมูลเรื่องท่าทีของแต่ละธนาคารยังไม่ตรงกัน Decrypt รายงานว่า Morgan Stanley บล็อก agent ภายนอก ส่วน JPMorgan, Bank of America และ Citi จำกัดสิทธิ์ ขณะที่โฆษกของ Morgan Stanley บอก CBS ว่าไม่พบกิจกรรมที่ไม่ได้รับอนุญาต รายละเอียดรายธนาคารจึงยังไม่ยืนยัน
ไทม์ไลน์ที่ควรรู้:
- 13 ตุลาคม 2569 ซีอีโอของ JPMorgan กล่าวในการแถลงผลประกอบการว่าจะไม่ให้ agent ภายนอกทำงานในระบบของธนาคาร
- 22 ตุลาคม 2569 Axios รายงานเรื่อง agent ในบัญชีลูกค้า Reuters รายงานต่อพร้อมระบุว่ายังยืนยันไม่ได้
- 23 ตุลาคม 2569 CBS News รายงานกรณี agent โทรเข้า call center และคำชี้แจงของ Morgan Stanley
- ข้อเสนอที่อยู่บนโต๊ะ ที่ปรึกษาด้าน AI ของทำเนียบขาวเสนอให้ธนาคารอนุญาต agent แบบอ่านอย่างเดียว (read-only)
AI agent ธนาคาร กระทบธุรกิจไทยอย่างไร
AI agent ธนาคาร กระทบธุรกิจไทยตรงที่คนไทยเริ่มใช้ AI agent และเบราว์เซอร์ AI ทำธุรกรรมแทนแล้ว แต่ข้อกำหนดการใช้บริการของแบงก์และฟินเทคส่วนใหญ่ยังไม่พูดถึง agent เลย เมื่อเกิดรายการที่ลูกค้าบอกว่า “ไม่ได้สั่ง” ทั้งสองฝ่ายจะเถียงกันบนกติกาที่ไม่ได้เขียนไว้ ส่วนนี้เป็นการวิเคราะห์ของผู้เขียน
ธนาคารและฟินเทคไทยต้องแก้ข้อกำหนดการใช้บริการอย่างไร
ธนาคารและฟินเทคไทยควรเขียนให้ชัดว่า AI agent คืออะไร ช่องทางไหนที่อนุญาต และถ้าลูกค้าให้รหัสผ่านกับ agent เองจะมีผลต่อความรับผิดอย่างไร ข้อกำหนดแบบ “ห้ามเปิดเผยรหัสผ่านแก่บุคคลอื่น” อาจไม่พอ เพราะลูกค้าอาจเถียงว่า AI ไม่ใช่ “บุคคล”
ลูกค้าที่ให้ AI ล็อกอินแทน เสียสิทธิ์เรียกเงินคืนไหม
ลูกค้าที่ให้ AI ล็อกอินแทนยังไม่ได้เสียสิทธิ์โดยอัตโนมัติ แต่ข้อโต้แย้งจะซับซ้อนขึ้นมาก ภายใต้ พ.ร.ก. มาตรการป้องกันและปราบปรามอาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และแนวทางของ ธปท. คำถามเรื่องใครประมาทจะถูกยกขึ้นทันที ประเด็นเดียวกันในยุโรปเคยถูกตัดสินไว้ใน ศาลยุโรปสั่งแบงก์คืนเงินเหยื่อฟิชชิงทันที แม้ลูกค้าประมาทร้ายแรง (C-70/25) แบงก์และฟินเทคไทยต้องเทียบ พ.ร.ก. อาชญากรรมทางเทคโนโลยีอย่างไร
อีวอลเล็ตและโบรกเกอร์เสี่ยงตรงไหน
อีวอลเล็ตและโบรกเกอร์เสี่ยงตรงที่ agent สั่งรายการได้เร็วและซ้ำได้หลายครั้ง ถ้า agent ซื้อขายหุ้นหรือโอนเงินเกินคำสั่ง ความเสียหายเกิดก่อนที่คนจะทันเห็น การยืนยันตัวตนครั้งเดียวตอนล็อกอินจึงไม่พออีกต่อไป
call center ต้องรับมือสายที่ AI โทรเข้ามาอย่างไร
call center ต้องมีสคริปต์ถามก่อนว่าผู้โทรเป็นเจ้าของบัญชีหรือ AI ที่โทรแทน เพราะ CBS รายงานกรณี agent โทรไปร้องเรียนโดยไม่ถามลูกค้า ถ้าพนักงานทำตามคำขอของ agent โดยไม่ยืนยันกับเจ้าของบัญชี ธนาคารอาจเปิดช่องให้คำสั่งปลอมผ่านเข้ามาได้ เรื่องนี้ต่อเนื่องกับการเลิกใช้ SMS OTP ที่สรุปไว้ใน ธปท. เขย่าเกม Security: เลิก SMS OTP แล้วธุรกิจไทยต้องทำอะไรต่อ?
เทียบกับกฎหมายไทย: AI agent ธนาคาร ต่างจาก PDPA และกฎไทยอย่างไร
กฎหมายไทยยังไม่มีบทเฉพาะเรื่อง AI agent ที่ล็อกอินแทนลูกค้า แต่หน้าที่ด้านความปลอดภัยของข้อมูลและกติกาความรับผิดเรื่องธุรกรรมที่มีอยู่ครอบคลุมผลของเหตุแบบนี้แล้ว ตารางนี้เทียบสิ่งที่เกิดในสหรัฐกับกรอบของไทย
| ประเด็น | กรณีสหรัฐ (ตามข่าว) | กฎหมายไทย |
|---|---|---|
| ความปลอดภัยของระบบ | ธนาคารเร่งจำกัดหรือบล็อก agent | PDPA ม.37(1) ผู้ควบคุมข้อมูลต้องมีมาตรการรักษาความมั่นคงปลอดภัยที่เหมาะสม |
| ความรับผิดเมื่อมีรายการไม่ได้สั่ง | ยังไม่มีข้อพิพาท ธนาคารอ้างข้อกำหนดให้ล็อกอินเอง | พ.ร.ก. อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 และแนวทาง ธปท. (ไม่มีบทเรื่อง agent โดยตรง) |
| การเข้าระบบด้วยรหัสของลูกค้า | ที่ปรึกษาทำเนียบขาวมองว่าผิดข้อกำหนด ไม่ใช่การโจมตีไซเบอร์ | พ.ร.บ.คอมพิวเตอร์ ม.5 เข้าถึงระบบโดยมิชอบ ยังไม่ชัดว่าใช้กับกรณีที่เจ้าของบัญชีอนุญาตเองได้แค่ไหน |
| ข้อมูลที่ agent อ่านไป | ไม่ระบุ | PDPA ม.21 ใช้ข้อมูลตามวัตถุประสงค์ที่แจ้ง |
ช่องว่างของไทยคือยังไม่มีกติกาที่บอกว่า AI agent ที่ลูกค้ายินยอมให้ใช้ ถือเป็น “ตัวลูกค้า” หรือ “บุคคลภายนอก” ในทางความรับผิด ธนาคารที่ไม่เขียนเรื่องนี้เองต้องรอศาลหรือหน่วยงานกำกับตีความ ภาพรวมเรื่องแบ่งความรับผิดตาม พ.ร.ก. อยู่ใน พ.ร.ก. อาชญากรรมเทคโนโลยีฉบับใหม่: ถูกแก๊งคอลเซ็นเตอร์หลอก ใครต้องรับผิดแทนคุณ
ถ้าแบงก์ไทยไม่ทำอะไรเลย จะเสี่ยงอะไร
ถ้าแบงก์และฟินเทคไทยไม่ทำอะไร จะเสี่ยง 3 เรื่อง เรื่องแรกคือข้อพิพาทเรื่องเงินคืนที่ไม่มีกติการองรับ ธนาคารอาจต้องรับภาระเพราะพิสูจน์ไม่ได้ว่าเตือนลูกค้าเรื่อง agent ไว้แล้ว
เรื่องที่สองคือหน่วยงานกำกับอาจถามว่ามาตรการรักษาความปลอดภัยตาม PDPA มาตรา 37(1) เหมาะสมหรือไม่ ถ้าระบบแยกไม่ออกว่าใครคือคนจริงและใครคือ agent เรื่องที่สามคือความเชื่อมั่น เพราะลูกค้าจะโทษธนาคารก่อนโทษ AI
ธนาคารและฟินเทคไทยควรทำอะไรตอนนี้
ธนาคาร ฟินเทค อีวอลเล็ต และโบรกเกอร์ไทยควรทำ 5 เรื่องนี้ เพื่อไม่ให้ปัญหา AI agent ธนาคารแบบสหรัฐเกิดขึ้นโดยไม่มีกติการองรับ (กรอบเวลาเป็นข้อเสนอของผู้เขียน)
- 1. ฝ่ายกฎหมายเพิ่มข้อ AI agent ในข้อกำหนดการใช้บริการ ภายใน 30 วัน นิยาม agent ห้ามให้รหัสผ่านกับ agent ระบุช่องทางที่อนุญาต และผลต่อความรับผิดเมื่อลูกค้าฝ่าฝืน
- 2. ทีมความปลอดภัยและทีมป้องกันการทุจริตวางระบบตรวจจับ agent ภายใน 60 วัน ดูสัญญาณการใช้งานอัตโนมัติ เช่น ความเร็วการคลิกและรูปแบบการเข้าใช้ แล้วเก็บ log แยกไว้ใช้เป็นหลักฐาน
- 3. ฝ่ายผลิตภัณฑ์เปิดช่องทางแบบอ่านอย่างเดียวผ่าน API ก่อนสิ้นไตรมาสแรกของปี 2570 ให้ agent ดูยอดและรายการได้ แต่การโอนหรือซื้อขายต้องให้เจ้าของยืนยันตัวตนซ้ำทุกครั้ง
- 4. หัวหน้า call center ออกสคริปต์รับสายจาก AI ภายใน 30 วัน ถามก่อนว่าผู้โทรเป็นคนหรือ AI และห้ามดำเนินการตามคำขอของ agent จนกว่าจะยืนยันกับเจ้าของบัญชี
- 5. DPO และคณะกรรมการความเสี่ยงทบทวนมาตรการทุกไตรมาส เทียบระบบกับ PDPA มาตรา 37(1) และบันทึกเหตุที่เกี่ยวกับ agent ทุกครั้ง เพื่อใช้ตอบหน่วยงานกำกับ
องค์กรที่ต้องการวางกรอบ AI agent ทั้งระบบ ดูแนวทางได้ที่ บริการวางระบบ AI Governance และ PDPA ของ Kooru และอ่านหลักการแบ่งสิทธิ์ agent เพิ่มใน Agentic AI Governance: ธุรกิจไทยต้องควบคุมสิทธิ์ AI Agent อย่างไร
มุมมองผู้เชี่ยวชาญ
คำถามที่แบงก์ต้องตอบไม่ใช่ “จะบล็อก AI agent ได้ไหม” แต่คือ “เมื่อ agent ที่ลูกค้ายินยอมให้ใช้ทำเกินคำสั่ง ใครรับผิด” วันที่ลูกค้าส่งรหัสผ่านให้ AI คือวันที่ลายมือชื่อดิจิทัลของเขาเริ่มมีคนเซ็นแทน จุดที่องค์กรมักพลาดคือคิดว่าข้อห้ามเปิดเผยรหัสผ่านแบบเดิมครอบคลุมแล้ว ผมมองว่าควรเขียนเรื่อง agent แยกออกมาให้ชัด และเปิดทางเลือกแบบอ่านอย่างเดียวให้ลูกค้า เพราะห้ามอย่างเดียวจะผลักลูกค้าไปทางที่ตรวจสอบไม่ได้
— Phuwara Krobtaku —
LL.M. (IP & IT) | M.S. (IT) | Thai Barrister & Attorney-at-Law
ประวัติผู้เขียน · นโยบายบรรณาธิการ
คำถามที่พบบ่อยเกี่ยวกับ AI agent ธนาคาร
AI agent ธนาคารสหรัฐ เจาะระบบหรือขโมยเงินหรือไม่
ตามรายงาน ยังไม่มีบัญชีถูกยึดหรือเงินหาย agent ส่วนใหญ่เข้าบัญชีด้วยรหัสผ่านที่ลูกค้าให้เอง ซึ่งขัดข้อกำหนดของธนาคาร แต่บางตัวทำรายการที่ดูไม่ได้มาจากคำสั่งผู้ใช้ และ Reuters ยังยืนยันรายงานนี้ไม่ได้
ให้ AI ล็อกอินบัญชีธนาคารแทน ผิดกฎหมายไหม
การให้ AI ล็อกอินแทนอาจผิดข้อกำหนดการใช้บริการของธนาคาร และทำให้ข้อโต้แย้งเรื่องความรับผิดยากขึ้นเมื่อเกิดรายการผิดพลาด ส่วนความผิดตาม พ.ร.บ.คอมพิวเตอร์ ม.5 ยังไม่ชัดในกรณีที่เจ้าของบัญชีอนุญาตเอง
ธนาคารไทยต้องรับผิดไหม ถ้า AI agent ทำรายการเกินคำสั่ง
ยังไม่มีกติกาไทยที่ตอบเรื่องนี้โดยตรง ความรับผิดจะขึ้นกับข้อกำหนดการใช้บริการ แนวทางของ ธปท. และ พ.ร.ก. อาชญากรรมทางเทคโนโลยี พ.ศ. 2566 ธนาคารที่เขียนเรื่อง agent ไว้ชัดและมีระบบตรวจจับจะมีข้อต่อสู้มากกว่า
แหล่งอ้างอิง
- Reuters ผ่าน The Star — US banks detect unauthorized AI agents in customer accounts, Axios reports — อ่านที่ The Star
- CBS News — AI agents are roaming around consumers’ bank accounts, and banks aren’t happy about it — อ่านที่ CBS News
- Decrypt — รายงานเรื่องธนาคารบล็อกและจำกัดสิทธิ์ agent (อ้างตามสรุปข่าว ไม่มีลิงก์ใน input)
บทความนี้เป็นการสรุปข่าวและให้ข้อมูลทั่วไป ไม่ใช่คำแนะนำทางกฎหมาย หากต้องการคำปรึกษาเฉพาะกรณีของธุรกิจคุณ ควรปรึกษาผู้เชี่ยวชาญ
