AI agenti předehánějí finanční bezpečnost. Je odvětví připraveno?

Chtěl bych koupit některé akcie British Airways

Když jsem začal pracovat na obchodním parketu v 80. letech, rozhraním byl telefon. Klient zavolal, obvykle muž, který vydělal peníze na něčem nudném a chtěl část z nich investovat do akcií, a řekl, že by chtěl koupit akcie British Airways. Někdo na parketu přijal objednávku a tím byla uzavřena transakce. Dva lidé, telefon a dostatek důvěry v obou směrech.

Odvětví pak strávilo čtyřicet let tím, že se zbavilo telefonních hovorů. Nejprve obrazovky pro obchodování. Pak elektronické terminály. Pak API, která umožňovala fondům zadávat tisíce objednávek za sekundu bez toho, aby někdo řekl slovo. Nazývali jsme to pokrokem a většinou to tak skutečně bylo.

Nyní se smyčka uzavírá. Nejnovější myšlenka v tomto oboru je again umožnit klientovi mluvit se strojem, ale tentokrát stroj odpovídá. Řeknete AI agentovi, v podstatě běžnou angličtinou, aby provedl pár obchodů napříč dvěma třídami aktiv nebo aby udržel optimální pozici opcí proti několika podmínkám, které vyjmenujete, a on to provede. Strávili jsme jednu generaci tím, že jsme nahrazovali člověka na parketu. Nyní jsme opět na cestě k jeho opětovnému najmutí, tentokrát ve formě křemíku.

Nemám žádný zásadní problém s tím. Co mě znepokojuje, je podkladová infrastruktura, která je podstatně mladší než marketing.

Podkladová infrastruktura je mladší než hype

Tím, co pohání většinu této vlny integrace, je Model Context Protocol, nebo MCP, a je to sotva osmnáct měsíců starý. Anthropic otevřeně zveřejnil MCP na konci roku 2024, aby vyřešil interní problém spojení jazykových modelů s externími nástroji a daty bez nutnosti psát speciální integrační kód pro každou пару. Do doby, kdy Anthropic MCP předal nově vytvořené Agentic AI Foundation v prosinci 2025, již běžel více než 10 000 veřejných serverů a byl přijat ChatGPT, Gemini a Microsoft Copilot, mezi ostatními. To je typ adopční křivky, která dělá „první integrovaný“ pocit, že je to jediná otázka, kterou by někdo měl klást.

Řeší skutečný inženýrský problém. Místo ručního kódování integrace pro každý institucionální nástroj publikujete jeden uniformní katalog schopností a necháte model číst z něj. Model na hranici může pak mluvit se třicet let starou databází, jako by se seznámili na večírku.

Problém je, že stejná uniformita jde rovnou cestou kolem sítě, kterou jste strávili deset let budováním. Rozhraní, které umožňuje modelu dosáhnout legacy databáze, umožňuje mu také dosáhnout cokoliv jiného, co je vystaveno na stejném rozhraní. A agent, který dělá skutečnou práci ve skutečné obchodnické firmě, musí číst vnější svět, aby mohl fungovat: komentáře k trhu, zpravodajské kanály, soubor, který někdo právě uložil. Okamžik, kdy začne číst nedůvěryhodný text, pokyny a data přicházejí stejnou cestou, napsané stejným jazykem, bez spolehlivého způsobu, jak pro model určit, který je který.

Překonání modelu je snazší než prolomení banky

To není hypotetická situace. Studie z roku 2026 se pokusila změřit, jak dobře AI agenti skutečně odolávají injekci příkazů, triku, který spočívá ve skrytí pokynů uvnitř obsahu, který agent čte, aby Quietly provedl něco jiného, než co jeho majitel požádal. Na tisíce simulovaných útoků na agenty postavené na hranicích systémů, jako je GPT-5 a Gemini, přímá injekce uspěla více než 79% času, a nepřímé útoky, kde je pokyn zakopán v běžném web obsahu nebo metadata, dopadly někde mezi 41% a 68%. Žádná konfigurace, kterou testovali, se úplně neubránila.

OWASP GenAI Security Project učinil tišší, ale související bod ve své zprávě z roku 2026 o agentic AI bezpečnosti, zveřejněné v červnu. První vydání katalogizovalo rizika, která byla většinou pravděpodobná na papíru. Edice 2026 je postavena na zaznamenaných incidentech, dodavatelských poradenských a registrovaných zranitelností připojených k téměř každé kategorii rizika, kterou sleduje. Dva roky a teoretické se stalo zaznamenaným. To samo o sobě je argumentem pro to, aby jste přesně věděli, co připojujete, a k čemu, předtím, než to připojíte.

Stroj, který píše své vlastní exploity

Pak se obrázek změnil znovu. V dubnu 2026 Anthropic zveřejnil Claude Mythos Preview, silně omezený, hranicí model postavený pro kybernetickou práci. Podle technického popisu Anthropicu mohl Mythos autonomně najít zero-day zranitelnosti napříč hlavními operačními systémy a webovými prohlížeči a produkovat funkční exploity pro ně, bez lidské asistence. AI Security Institute Spojeného království nezávisle ověřil tvrzení a zjistil, že Mythos dokončil simulovaný 32-krokový útok na firemní síť a řešil 73% expertních výzev.

Mythos sám je držen na krátkém řetězu, omezen na několik poskytovatelů infrastruktury v rámci projektu Project Glasswing. Ale jeho existence ukončuje debatu. Útočná schopnost je nyní daleko před gouvernancí, která by ji měla obsahovat. Umístěte schopnost, jako je tato, do špatných rukou, namíříte ji na agenta, který má autoritu přesouvat peníze, a máte pipeline, která může ukrást základní API a vypálit likvidace aktiv nebo outbound transfery, které nikdo neautorizoval.

To vše nevyžaduje prolomení šifrované databáze. To je část, kterou stojí za to projít. Tradiční finanční systémy běží na deterministickém kódu, kde stejná akce dává stejnou odpověď každým časem, a spolehlivě. Agent běží na probabilistickém uvažování, což je slušný způsob, jak říci, že nemá tvrdé hrany. Takže útočník úplně přeskočí trezor a prostě promluví modelu do nesprávného čtení jeho pokynů. Proč vybírat zámek, když můžete promluvit se strážcem?

To, co vás skutečně chrání, sedí pod modelem

Je tu také úhel nákladů, a ten ukazuje stejným směrem. MCP je rozumný. Potřebuje hodně zpětné vazby, a ta zpětná vazba spaluje tokeny, což znamená peníze. Jakmile se tato faktura zvyšuje, můj předpoklad je, že vážné firmy se budou odchylovat od obecného otevřeného standardu a směrem k těsně optimalizovaným proprietárním koncovým bodům. Levnější a mnohem snazší uzamknout.

Protože bezpečnostní zábrany modelu nejsou ani zdaleka dostatečné k ochraně cizího kapitálu. To, co vás skutečně chrání, sedí pod modelem, v podkladové infrastruktuře. Závažné nasazení začíná na úrovni zařízení. V EXANTE stavíme rámec compliance přímo do té vrstvené architektury: předtím, než jediné slovo dosáhne jazykového modelu, hardwarově zabezpečený perimetr již stanovil, kdo je na druhé straně konverzace.

Pod tím, API sama musí být přestavěna pro stroj, ne pro člověka. Lidský vývojář dostává poměrně permissive rozhraní, protože důvěřujete jeho úsudku. Autonomní agent dostává rigidní schéma, které ostře omezuje, co může požádat backend o provedení, protože agent bude rád použít vše, co mu necháte ležet. Dejte mu přístup k věci, a najde použití pro věc. Tak by produkce měla vystavit co nejméně.

Práce agenta by pak měla běžet uvnitř ohraničeného prostředí, s potrubím, které čte svět, odděleným od stroje, který na něj může reagovat. Čtení a reagování jsou různé úkoly a patří do různých místností. A pro cokoliv skutečně rizikového, člověk stále musí říci ano. Někdo se jménem a přihlašovacím jménem schválí transakci, než půjde kamkoli.

Želva má pointu

Víte tu historku. Zajíc tak spokojený se svou vlastní rychlostí, že se zastaví na spánek, a želva, která vyhrává radikální taktikou, že se nezastaví. Je to bajka, ne provozní manuál, a já bych na ní nesáhl příliš tvrdě. Ale současný závod se s ní rýmuje. Firmy, které běží nejrychleji, sbírají nejvíce pokrytí, a pokrytí není totéž co trvanlivost. Trh si记ná brokera, který se pohyboval o čtvrtinu příliš brzy, mnohem déle, než si vzpomene na toho, kdo čekal.

Mezitím se pravidla dotahují. Jakmile se rámcové směrnice, jako je Evropská AI směrnice, zpřísňují dohled nad automatizovanými systémy ve financích, zacházení s compliance jako něco, co se přidává později, přestává být možností a začíná být pokutou. Když kompromitovaný agent udělá něco, co by neměl, odpovědnost dopadá na infrastrukturu, která to umožnila, ne na model, který byl oklamaný. Trvanlivost v této éře bude patřit firmám, které udržují klientovy aktiva řádně segregována, udržují světla zapnutá, když se věci rozbijí, a mohou ukázat svou práci na tom, kam šla data. Ne tomu, kdo propojil nejrychlejší spojení první.

To mě přivádí zpět k mému muži na telefonu v roce 1985. Navzdory všem jeho chybám měl jednu výhodu oproti agentovi, kterého jsme právě stavíme, abychom ho nahradili. Když vám řekl, abyste koupili akcie British Airways, koupil akcie British Airways. Nemohli jste ho přesvědčit, aby vám účet přenesl na cizího člověka pomocí chytrého nadpisu. Pokrok, pak. Určitého druhu. V EXANTE se snažíme zajistit, aby verze z křemíku byla alespoň tak obtížně oklamatelná, jako byl chlapík s telefonem, což vám něco říká o tom, kam čtyřicet let inovací dovezlo.