Agenti AI bloccati: perché Amazon e le banche chiudono loro la porta

Per due anni il settore ha promesso che un agente AI avrebbe fatto la spesa, prenotato un volo e trasferito denaro al posto nostro. Nell’autunno 2026 è emerso che, prima di tutto, deve riuscire a entrare: e quelle porte si stanno chiudendo. Amazon, Delta, Yelp e le maggiori banche statunitensi stanno respingendo gli agenti di Meta, xAI e OpenAI. A mio parere non è un malfunzionamento, ma l’annuncio di un Internet in cui un agente potrà accedere solo dove qualcuno ha pagato per lui.

Venerdì 17 ottobre 2026 The Verge ha pubblicato un articolo di Emma Roth con un titolo che riassume bene le ultime settimane: i siti web chiudono le porte agli agenti AI. Da alcune settimane gli utenti di Muse di Meta, Grok di xAI, Dots di OpenAI e dell’agente Instinct segnalano tutti lo stesso problema. L’agente riceve un incarico, apre un negozio, un sito di una compagnia aerea o una banca, e si blocca su una schermata di verifica, su un messaggio di accesso negato o su una pagina vuota. Il giorno prima, in un’intervista a Bloomberg TV, il CEO di Charles Schwab Rick Wurster aveva detto che la sua società blocca ogni settimana decine di tentativi da parte di grandi agenti AI di accedere ai conti dei clienti.

È facile considerarlo un attrito temporaneo, come accade con ogni nuova tecnologia. Io penso che sia qualcosa di più duraturo. Dietro i blocchi ci sono tre ragioni diverse: sicurezza, denaro e controllo del cliente. Solo la prima viene dichiarata apertamente. L’Europa ha già affrontato una disputa molto simile, circa dieci anni fa, nel settore bancario e con un altro nome.

Chi ha chiuso le porte agli agenti AI

L’elenco è lungo e comprende casi diversi. Amazon ha bloccato Muse dal proprio negozio intorno al 20 settembre e, secondo The Verge, tratta allo stesso modo Grok, Dots e Instinct. Non è la prima volta: da novembre 2025 è in disputa con Perplexity per il browser Comet. La vicenda è finita in tribunale e, ad agosto, la corte d’appello ha annullato il divieto che Amazon aveva ottenuto in precedenza (ne ho scritto nell’articolo sulla sentenza sul bot per gli acquisti Comet). Yelp ha dichiarato a TechCrunch senza giri di parole che non ammette traffico non umano, a meno che l’agente non paghi per l’accesso nell’ambito di un programma di licenza dei dati. Delta non permette agli agenti di acquistare biglietti. Il regolamento di United vieta l’uso di robot e «altri dispositivi automatici» senza autorizzazione scritta.

Poi ci sono le banche. JPMorgan Chase e Charles Schwab hanno confermato i blocchi e, secondo Bloomberg, si comportano allo stesso modo anche Citi e Bank of America. Alcuni blocchi sono silenziosi: gli utenti segnalano che gli agenti hanno smesso di funzionare su Cars.com e sul sito di Amtrak, anche se le società non hanno annunciato nulla. Altri sono accidentali. Walmart è partner di Meta, eppure l’agente può bloccarsi sul pulsante «conferma di essere una persona», perché le normali protezioni anti-bot non distinguono uno script malevolo da un assistente inviato dal cliente. Alcuni utenti collegano i problemi di Muse alla modifica delle impostazioni predefinite di protezione dai crawler introdotta da Cloudflare il 15 settembre. Cloudflare ha risposto a TechCrunch di non avere dati che indichino il blocco di agenti personali.

Primo motivo: nessuno sa chi è responsabile

Wurster ha descritto il problema nel modo più diretto. Non è che l’agente sia stupido: il cliente gli consegna nome utente e password, poi l’agente agisce per suo conto in un luogo che la banca non può vedere né comprendere.

Wurster ha aggiunto la domanda più importante di tutta la vicenda: chi è responsabile se qualcosa va storto? Durante una conference call sui risultati, Jamie Dimon di JPMorgan ha detto che nessuno vuole «agenti ribelli», che potrebbero essere migliaia. Non è isteria. Un agente che conosce la password del conto è un bersaglio ideale per un attacco di prompt injection: basta che su una pagina visitata trovi un’istruzione nascosta e potrebbe eseguire un trasferimento che il titolare non avrebbe mai richiesto. Ne ho parlato negli articoli su chi è responsabile quando un agente AI sfugge al controllo e su Muse, che ha fornito un indirizzo di casa senza autorizzazione.

Schwab, però, non dice «mai». Dice «non in questo modo». La società prevede di dare accesso a modelli linguistici esterni tramite server MCP con autenticazione controllata. Potranno consultare il saldo e cercare informazioni, ma non potranno muovere denaro. Schwab promuove anche il proprio assistente AI. La distinzione tornerà: all’agente esterno si apre uno spiraglio, mentre quello di casa riceve le chiavi.

Secondo motivo: gli agenti non guardano la pubblicità

La sicurezza spiega i blocchi delle banche. Non spiega quello di Yelp, che dice chiaramente di essere disposto ad ammettere un agente se paga. E non spiega del tutto neppure la posizione di Amazon. Qui entra in gioco l’economia, di cui le aziende parlano meno volentieri.

Un negozio online non è soltanto uno scaffale di prodotti. È una macchina che guadagna quando il cliente guarda: prodotti consigliati, risultati sponsorizzati, «i clienti hanno acquistato anche», banner di offerte che il negozio vuole promuovere in quel momento. Amazon guadagna sempre di più con la pubblicità, e la pubblicità funziona solo se qualcuno la guarda. Un agente non guarda. Riceve l’istruzione «compra il filtro più economico per questo aspirapolvere», confronta i prezzi in tre negozi, compra e se ne va. Non vede il set sponsorizzato, non si lascia convincere dalla consegna premium, non aggiunge un secondo articolo al carrello. Per il negozio è un cliente che paga la merce, ma non la propria attenzione.

I lettori di Slashdot che hanno commentato l’articolo di The Verge hanno sollevato un altro tema: la trasparenza dei prezzi. Un venditore che modifica dinamicamente i prezzi non vuole che migliaia di agenti li confrontino in un secondo ogni volta che qualcuno cerca un paio di scarpe. Dal punto di vista del cliente sarebbe l’ideale. Dal punto di vista del negozio, significherebbe la fine dei margini che si basano sul fatto che le persone non hanno voglia di confrontare i prezzi.

I critici delle banche fanno un ragionamento simile sul settore finanziario: un agente che trasferisce autonomamente i risparmi verso un conto con un tasso d’interesse migliore è un problema per la banca non perché sia pericoloso, ma perché è efficace. Le banche non confermano questa accusa, ma è difficile liquidarla.

Terzo motivo: di chi è il cliente?

Meta ha risposto ai blocchi con una frase allo stesso tempo furba e un po’ sfacciata:

Furba, perché è vero: dietro l’agente c’è una persona con una carta di pagamento. Sfacciata, perché Meta ha costruito il proprio impero proprio sul fatto di essere lei, e non gli editori o i negozi, a gestire il rapporto con l’utente. Ora vuole fare lo stesso con gli acquisti. L’agente di Meta si mette tra il cliente e il negozio e decide dove inviare l’ordine. Il negozio perde non una sola transazione, ma il contatto con il cliente, i suoi dati e la possibilità di fidelizzarlo.

Elon Musk ha reagito al blocco di Grok a modo suo: forse dovrebbe fondare un concorrente di Amazon. Sembra una battuta, ma mostra bene la posta in gioco. La disputa non riguarda la necessità degli agenti, ma chi farà da portiere: il negozio, la piattaforma dell’agente o un terzo, come Cloudflare, che gestisce già un mercato in cui i bot AI pagano per accedere ai contenuti.

In Europa è già successo: la PSD2

Questa storia dovrebbe suonare familiare anche a chi vive in Europa. Prima del 2019, le app per la gestione delle finanze e alcuni intermediari di pagamento operavano proprio come fanno oggi gli agenti AI: il cliente forniva loro nome utente e password della banca, e loro accedevano al conto per suo conto, leggendo le schermate. Si chiamava screen scraping. Alle banche non piaceva per le stesse ragioni indicate oggi da Wurster: non sapevano chi ci fosse dall’altra parte né chi fosse responsabile in caso di danni.

L’Unione europea ha risolto la disputa con la direttiva PSD2 e le norme sull’autenticazione forte, entrate in vigore il 14 settembre 2019. Il compromesso era semplice: l’intermediario deve avere una licenza e identificarsi presso la banca; la banca deve fornirgli un’interfaccia adeguata, cioè un’API, e non può discriminarlo. Il cliente autorizza un ambito di accesso specifico e può revocare il consenso. L’accesso anonimo tramite impersonificazione del cliente ha smesso di essere la norma ed è diventato una soluzione di emergenza, da usare quando l’API della banca non funziona.

È importante anche ciò che la PSD2 non ha fatto. Non ha vietato gli intermediari e non ha permesso alle banche di escluderli. Ha obbligato entrambe le parti a confrontarsi secondo condizioni stabilite dalla legge, anziché da chi si trova in una posizione più forte. Negli Stati Uniti manca un quadro simile per gli agenti, quindi ogni negozio e ogni banca stabiliscono regole proprie. Da qui il caos delle ultime settimane.

Cosa significa per il futuro degli agenti AI

Gli utenti polacchi degli agenti AI per ora non avvertono questo problema, perché nel Paese gli agenti sono ancora una curiosità. I dati di Gemius lo mostrano bene: il 65% degli intervistati usa strumenti AI, ma il 71% non vuole che l’AI prenda autonomamente decisioni d’acquisto al posto suo. Abbiamo quindi tempo per riflettere su come evolverà la situazione in Europa prima che gli agenti diventino parte della vita quotidiana.

Vedo tre scenari possibili, e nessuno corrisponde all’Internet aperto promesso dalle aziende che sviluppano AI.

• Internet degli accordi. L’agente accede ai siti con cui il suo produttore ha firmato un accordo. Meta sta già seguendo questa strada: invece di lottare con Amazon, ha stretto accordi con Walmart, Gap, Sephora e Best Buy, mentre Shopify ha aperto i propri negozi agli agenti. La qualità del tuo agente dipenderebbe quindi non dal modello, ma dall’elenco dei partner della sua azienda, più o meno come la qualità della TV via cavo dipende dal pacchetto di canali.
• Internet dei varchi. Un intermediario come Cloudflare addebita una tariffa per ogni accesso dell’agente e la condivide con il sito. È un modello in cui l’agente paga ciò che non paga con l’attenzione. Equo, ma costoso: alla fine la spesa finirebbe nell’abbonamento dell’utente.
• Internet delle regole. Un’autorità di regolamentazione applica agli agenti quanto l’Unione ha previsto per gli intermediari di pagamento: licenza, identificazione, ambito del consenso e divieto di discriminazione. È l’opzione più lenta, ma l’unica in cui il cliente ha diritto di inviare il proprio agente e il negozio sa con chi sta parlando.

Secondo me l’Europa finirà in una posizione intermedia tra il secondo e il terzo scenario, mentre gli Stati Uniti tra il primo e il secondo. Per i negozi e le banche europee la lezione è già pratica. Chi nel 2019 ha considerato la PSD2 un obbligo scomodo ha poi passato anni a rattoppare le proprie interfacce. Chi ha realizzato una buona API ha guadagnato partner. Con gli agenti sarà simile: un negozio che offrirà loro un accesso sicuro e prevedibile, con un ambito chiaramente definito, riceverà ordini; chi si limiterà al pulsante «sono una persona» finirà per bloccare non le macchine, ma i clienti che le hanno inviate.

La promessa dell’agente AI era: dimmi cosa vuoi e lui penserà al resto, su tutto Internet. L’autunno 2026 dimostra che «tutto Internet» era un’ipotesi, non un dato di fatto. Un agente sarà efficace quanto gli accordi che lo sostengono e sicuro quanto le regole che qualcuno finalmente metterà per iscritto. Fino ad allora, il miglior agente per fare un bonifico resta il pollice sullo schermo del proprio telefono.