Daniel Wagner, Produkt- och ingenjörschef på Q2 – Intervjuserie

Daniel Wagner, produkt- och ingenjörschef på Q2, är en erfaren teknolog- och produktledare med en bakgrund som spänner över artificiell intelligens, maskininlärning, dataplattformar, digital bankverksamhet och leverans av företagsprogramvara. Innan han gick med i Q2 genom dess förvärv av Sensibill, tillbringade Wagner mer än ett decennium på Sensibill och avancerade genom ledande roller inklusive Leveranschef, Leveransdirektör, Ingenjörschef och VP of Engineering. Han ledde Data‑ och AI‑team som utvecklade maskininlärningsprojekt, övervakade mobila lösningar för stora finansinstitut och senast ledde han ingenjörsarbetet för en kunddataplattform inriktad på dataförädling och insikter. Tidigare i sin karriär var Wagner medgrundare och verkställande VD för den brasilianska verksamheten av Itelios, ett applikationsutvecklingsföretag som senare förvärvades av Capgemini, efter att ha börjat sin karriär som mjukvaruingenjör. Q2 förvärvade Sensibill 2022 för att stärka sina data‑ och maskininlärningsmöjligheter för finansinstitut.

Q2 är ett fintech‑företag som tillhandahåller digitala bank‑ och lånelösningar till banker, kreditföreningar, fintech‑bolag och alternativa finansleverantörer. Dess plattform omfattar konsument‑, småföretags‑ och kommersiell bankverksamhet, samt digital onboarding, inbäddad finans, relationsprissättning, risk‑ och bedrägerihantering och datadriven personalisering. Q2 integrerar i allt högre grad AI i sin produktportfölj, inklusive verktyg som är utformade för att förbättra banktjänstemännens produktivitet, upptäcka bedräglig aktivitet, skräddarsy kontoinnehavarupplevelser och hjälpa finansinstitut att fatta snabbare, datainformerade beslut. Företaget betjänar mer än 1 000 finansinstitut i sin bredare portfölj och positionerar sin teknik som ett infrastrukturlager för att hjälpa finansinstitut att modernisera och expandera sina digitala tjänster.

Ditt arbete på Q2 har fokuserat på cyberresiliens och hur organisationer förbereder sig för och återhämtar sig från säkerhetsincidenter. När finansinstitut börjar implementera AI‑agenter som kan vidta åtgärder snarare än att bara analysera information, vilka nya säkerhetsrisker oroar dig mest?

Cybersäkerhet och bedrägeribekämpning adresserar olika delar av problemet. Cybersäkerhet ansvarar för att “säkerställa perimetern”, inklusive att se till att kontotillgången är skyddad och den underliggande mjukvaran är sund. Mitt arbete tar vid därifrån, när någon redan har tagit sig igenom perimetern, och fokuserar på att avgöra om de är den de påstår sig vara.

Med AI‑agenternas framväxt är personen som går igenom den dörren en delegerad agent som agerar på någon annans myndighet. Den risk jag är mest bekymrad över är prompt‑injektion. Det är när en bedragare manipulerar en legitim användares agent att vidta åtgärder som användaren aldrig har godkänt och som inte gynnar användarens intressen. Det är en ny gräns för bedrägeri som kan vara svår att upptäcka.

Banker har traditionellt byggt identitets‑ och åtkomsthanteringssystem kring personer, applikationer och servicekonton. Bör en AI‑agent nu behandlas som en egen distinkt identitet, och vad skulle det innebära i praktiken?

Den tydligaste analogin kommer från företagsbankverksamhet, där delegerad åtkomst redan är en mogen disciplin. Företag ger rutinmässigt anställda begränsad åtkomst för att utföra specifika uppgifter, såsom att visa saldon, utan att ge full behörighet som kontoinnehavaren.

Finansinstitut bör tillämpa samma ramverk på AI‑agenter. En agent bör behandlas på samma sätt som ett företag behandlar en mänsklig assistent, en distinkt identitet med en definierad, begränsad roll. Det innebär att bygga identitets‑ och åtkomsthantering kring snävt avgränsade agentbehörigheter från början, snarare än att ge agenter samma status som kontoinnehavaren.

När en AI‑agent agerar på uppdrag av en anställd eller kund, hur bör en bank exakt bestämma vilken data den kan komma åt, vilka konton den kan interagera med och vilka finansiella åtgärder den får utföra?

Börja med skrivskyddad åtkomst som standard. Bankverksamheten har redan infrastrukturen för att stödja denna nivå av granularitet, främst eftersom företagsbankverksamheten har krävt det i åratal. Finansinstitut har möjlighet att vara mycket precisa kring vad en agent kan se och göra.

Att initiera en transaktion och att godkänna en transaktion kan behandlas som separata behörigheter, och båda kan ytterligare begränsas efter belopp eller transaktionstyp. Många institut förlitar sig redan på två‑personers godkännandecykler för företagskonton, och samma arbetsflöde överförs naturligt till agenter. En agent kan initiera en åtgärd, men det slutgiltiga godkännandet bör ligga hos kontoinnehavaren, så att en person hålls i loopen för allt som går utöver att bara visa information.

Principen om minsta möjliga behörighet blir mer komplicerad när en agent kan behöva utföra dussintals steg över flera system för att slutföra en uppgift. Hur kan finansinstitut ge agenter tillräcklig befogenhet för att vara användbara utan att ge dem överdrivna behörigheter?

Ingen pengaöverföring krävs för att en agent ska vara användbar. Det mesta av värdet en agent levererar kommer från att hämta och organisera information, såsom att kontrollera saldon, följa utgifter eller identifiera trender. Det kräver inga förhöjda behörigheter och är huvudsakligen anledningen till att människor loggar in på sina konton. Allt som går utöver detta, såsom att flytta pengar eller ändra kontouppgifter, bör placeras i en separat, mer strikt kontrollerad behörighetstier.

Bedrägerisystem är utformade för att identifiera misstänkt mänskligt beteende, såsom ovanliga inloggningar eller transaktionsmönster. Hur måste bedrägeridetektionen utvecklas när legitima AI‑agenter kan operera i maskinhastighet och uppvisa beteende som skulle verka onormalt för en mänsklig användare?

Vissa befintliga kontroller förlitar sig starkt på transaktionshastighet som en signal. Dessa signaler måste omkalibreras för en värld där legitima agenter också kan agera snabbt. Det sagt är de flesta av våra beteendesignaler, som tittar på vad som är normalt för en given användare och en given mottagare, fortfarande relevanta för att upptäcka bedrägeri. Finansinstitut kan utvärdera beteende utöver att kontrollera identitet.

I framtiden kommer finansinstitut behöva möjlighet att justera detekteringskänsligheten upp eller ner beroende på kontext, samt ha behörigheter och loggning på plats för att skilja en legitim användares agent från en som drivs av en bedragare.

Vad händer om en angripare komprometterar en AI‑agent, manipulerar dess instruktioner eller lurar den att utföra en obehörig åtgärd? Vilka signaler kan hjälpa ett finansinstitut att skilja en legitim autonom handling från en komprometterad?

I detta scenario gör en agent något som användaren aldrig har bett den om, ofta som resultat av en prompt‑injektionsattack. Dock förändras inte detekteringsmetoden i grunden. Vi tittar fortfarande på beteende. En handling som avviker från en användares etablerade mönster är en signal som bör flaggas, oavsett om en människa eller en agent initierade den.

Pengaröverföringar är ett särskilt högriskscenario. Var bör banker upprätthålla obligatoriskt mänskligt godkännande, och finns det transaktionstyper eller beloppsgränser där du anser att autonoma agenter inte bör tillåtas agera självständigt?

Ja, begränsningar är nödvändiga. Som nämnts tidigare erbjuder företagsbankverksamhet ett prejudikat som enkelt kan anpassas för AI‑agenter. Tillfälliga godkännanden kan tillåta en agent att initiera en åtgärd, men en människa måste fortfarande granska och godkänna den innan den slutförs.

I praktiken innebär det att sätta trösklar både för värdet av enskilda överföringar och för antalet överföringar en agent kan initiera under en given period. Obligatoriskt mänskligt godkännande bör inte begränsas till enbart pengaröverföringar. Till exempel kan ändring av betalningsuppgifter för en etablerad, betrodd mottagare vara lika riskabelt som att flytta pengar.

AI‑agenter kan i allt högre grad interagera med andra agenter som drivs av fintech‑företag, leverantörer, kunder eller andra finansinstitut. Hur utökar detta risken från tredje part, och hur kan en bank etablera förtroende när den kanske inte kontrollerar varje agent som deltar i ett finansiellt arbetsflöde?

Det finns två scenarier som är värda att lyfta fram här. Det första är när användaren ger en agent åtkomst till sitt konto. Denna agent agerar på uppdrag av användaren och under dennes myndighet. Om de tillåter att agenten arbetar enligt ett Agent‑till‑Agent‑protokoll och under ledning av andra agenter, är det användaren som tar på sig den risken. Allt sker under deras godkännande, och bankerna kommer inte att försöka utvidga sitt ansvar.

Riskprofilen förändras när ett institut bygger eller driver sin egen proprietära agent specifik för sin bank. Då tar institutet ett direkt ansvar för agentens beteende, vilket skiljer sig från att hedra en annan parts delegerade åtkomst. Finansinstitut måste göra sin due diligence på varje tredje‑partsagent de släpper in i ett arbetsflöde, men en del av det ansvaret skjuts i slutändan tillbaka till slutkunden. Kundens ”kontrollcirkel” definierar hur långt institutets ansvar sträcker sig.

Om en auktoriserad AI‑agent fattar ett felaktigt beslut som leder till en finansiell förlust, dataläckage eller bedräglig transaktion, hur bör ansvaret fördelas mellan den anställde som delegerade uppgiften, finansinstitutet, teknikleverantören och den underliggande modellen för agenten?

Reg E, den federala regeln som styr konsumentskydd för elektroniska transaktioner, gäller fortfarande här. Den fastställer gränser för bedrägeriansvar och undersökningskrav som banker måste följa. På grund av Reg E försvinner inte ett finansinstituts skyldighet att undersöka en tvistad transaktion.

Det som förändras är den underliggande ansvarsfrågan. Om en användare medvetet har delegerat åtkomst till en agent och den agenten fattar ett felaktigt beslut, ser institutets skyldighet att ersätta användaren för den resulterande förlusten annorlunda ut jämfört med vid obehörig tredjepartsbedrägeri.

I praktiken innebär att delegera den myndigheten att användaren accepterar en del av den risk som följer med den. Institutet kommer inte att ta på sig ansvar som tillhör kontoinnehavaren bara för att misstaget begicks av mjukvara snarare än av en människa.

Framåt, vilka säkerhets‑ och styrningsgrunder bör banker och kreditföreningar införa idag innan de tillåter AI‑agenter större autonomi över känslig data, kundkonton och finansiella transaktioner?

Den största möjligheten är att föra över styrningsmodellen som redan finns i företagsbankverksamhet till privatbankverksamhet. Företagskonton har år av prejudikat när det gäller granulara behörigheter, delegerad åtkomst och godkännandearbetsflöden som är byggda för just detta scenario.

Istället för att bygga ett helt nytt ramverk för agentstyrning bör banker och kreditföreningar titta på vad som redan har visat sig fungera på företagsnivå och anpassa samma kontroller, behörighetsskikt och godkännandestrukturer för privata konton.

Tack för den fantastiska intervjun, läsare som vill lära sig mer bör besöka Q2.