AI-agenter er på vej til at overhale finansiel sikkerhed. Er branchen parat?

Jeg vil gerne købe nogle British Airways

Da jeg startede på en handelsbord i byen i 1980’erne, var telefonen grænsefladen. En kunde ville ringe, som regel en mand, der havde tjent sin penge på noget kedeligt og ville have en del af dem i aktier, og han ville sige, at han kunne lide at købe nogle British Airways. Nogen på bordet tog ordren, og det var handlen. To personer, en håndtaske og en fair mængde tillid i begge retninger.

Branchen brugte derefter fyrre år på at afskaffe telefonopkaldet. Først handelsskærme. Så elektroniske terminaler. Så API’er, der lod en fond af fyre tusindvis af ordrer per sekund uden, at nogen sagde et ord. Vi kaldte det fremskridt, og for det meste var det det.

Nu lukker cirklen sig. Den nyeste idé i branchen er at lade kunden tale med maskinen igen, blot denne gang svarer maskinen. Du fortæller en AI-agent, på godt og vel plain English, at køre en par-handel over to aktiver eller at holde en optionsposition optimeret mod en håndfuld betingelser, du rækker af, og den går og gør det. Vi brugte en generation på at erstatte manden på bordet. Vi er nu ved at genansætte ham i silikone.

Jeg har ingen større indvendinger mod noget af dette. Det, der bekymrer mig, er ledningerne under, som er betydelig yngre end marketingen.

Ledningerne er yngre end hypen

Det, der stille og roligt driver denne integrationsbølge, er Model Context Protocol, eller MCP, og det er kun godt atten måneder gammelt. Anthropic åbnede det i slutningen af 2024 for at løse et internt problem: hvordan man kobler sprogmodeller til eksterne værktøjer og data uden at skrive tilpasset integrationskode til hver parning. Da Anthropic overdrog protokollen til den nydannede Agentic AI Foundation i december 2025, kørte det allerede over 10.000 offentlige servere og var blevet valgt af ChatGPT, Gemini og Microsoft Copilot, blandt andre. Det er den type adoptionskurve, der gør “først til integrering” til det eneste spørgsmål, nogen burde stille.

Det løser et rigtigt ingeniørproblem. I stedet for at kode en integration for hvert institutionelt værktøj publicerer du en uniform katalog over funktioner og lader modellen læse fra den. En frontmodell kan så tale med en 30 år gammel database, som om de to var blevet introduceret på en fest.

Problemet er, at den samme ensartethed går lige forbi netværksperimetret, du har brugt en årrække på at bygge op. Grænsefladen, der lader modellen nå den arvede database, lader den også nå noget andet, der er åbent på samme grænseflade. Og en agent, der udfører et rigtigt job i et rigtigt handelsfirma, må læse den ydre verden for at fungere: markedskommentarer, nyhedsstrømme, den fil, nogen lige har lagt i. Øjeblikket det begynder at læse upålidelig tekst, ankommer instruktionerne og dataene ned ad samme rør, skrevet i samme sprog, med ingen pålidelig måde for modellen at vide, hvilken der er hvilken.

At narre modellen er nemmere end at bryde banken

Dette er ikke hypotetisk. En studie fra 2026 satte sig for at måle, hvor godt AI-agenter i virkeligheden modstår promptinjektion, tricketyllen med at gemme instruktioner inde i indholdet, en agent læser, så den stille og roligt gør noget andet end det, dens ejer bad om. Over tusindvis af simulerede angreb på agenter bygget på frontsystemer som GPT-5 og Gemini lykkedes direkte injektion mere end 79% af tiden, og indirekte angreb, hvor instruktionen er begravet i almindelig webindhold eller metadata, landede et sted mellem 41% og 68%. Ingen af de konfigurationer, de testede, holdt fuldstændig stand.

OWASP GenAI Security Project gjorde et mere stille, men relateret punkt i sin rapport fra 2026 om agentic AI-sikkerhed, offentliggjort i juni. Første udgave havde katalogiseret risici, der for det meste var plausibelt på papir. 2026-udgaven er bygget på registrerede hændelser, leverandør-vejledninger og registrerede sårbarheder knyttet til næsten hver eneste kategori af risiko, det sporer. To år, og det teoretiske blev det loggede. Det alene er et argument for at vide præcis, hvad du kobler, og til hvad, før du kobler det.

En maskine, der skriver sine egne udnyttelser

Så ændrede billedet sig igen. I april 2026 afslørede Anthropic Claude Mythos Preview, en tungt begrænset, frontklasse-model bygget til cyberarbejde. Ifølge Anthropics egen tekniske beskrivelse kunne Mythos autonomt finde zero-day-sårbarheder på store operativsystemer og webbrowser samt producere fungerende udnyttelser for dem, uden at nogen menneske holdt i den. Storbritanniens AI-Sikkerhedsinstitut kontrollerede påstanden uafhængigt og fandt, at Mythos gennemførte en end-to-end-simuleret 32-trins corporate netværksangreb og løste 73% af ekspertniveau-udfordringer.

Mythos selv holdes på en kort snor, begrænset til en håndfuld infrastrukturudbydere under noget, der hedder Project Glasswing. Men dens eksistens afslutter en diskussion. Offensiv kapacitet er nu løbet langt foran den styring, der skal indeholde den. Sæt en kapacitet som den i forkerte hænder, peg på en agent, der har myndighed til at flytte penge, og du har en rørledning, der kan kapre de underliggende API’er og af fyre aktie likvidationer eller udgående overførsler, ingen autoriserede.

Ingen af dette kræver at bryde den krypterede database. Det er den del, der er værd at sidde med. Traditionelle finansielle systemer kører på deterministisk kode, hvor samme handling giver dig samme svar hver gang, og pålideligt. En agent kører på sandsynlighedsbaseret resonnering, som er en pæn måde at sige på, at den ikke kommer med hårde kanter. Så angriberen springer selv vaulten over og taler blot modellen til at mislæse sine instruktioner. Hvorfor låse op, når du kan tale dig forbi vagten?

Det, der faktisk beskytter dig, sidder under modellen

Der er også en omkostningsvinkel her, og den peger samme vej. MCP er snakkesalig. Det kræver en masse frem og tilbage, og det frem- og tilbage brænder tokens, som siger penge. Da regningen stiger, forventer jeg, at seriøse firmaer vil glide væk fra den generiske åbne standard og mod stramt optimerede proprietære endpunkter af deres egen. Billigere, og langt lettere at låse ned.

Fordi modellens egne sikkerhedsskodgardiner ikke er næsten nok til at beskytte andre menneskers kapital. Det, der faktisk beskytter det, sidder under modellen, i ledningerne. Et seriøst udrulning starter med enhedsniveau-gatekeeping. Hos EXANTE bygger vi compliance-rammen direkte ind i den lagdelte arkitektur: Før et enkelt ord når sprogmodellen, har en hardware-sikret perimetre allerede etableret, hvem der er på den anden side af samtalen.

Neden under det skal API’erne selv genopbygges, så en maskine kan bruge dem, ikke en person. En menneskelig udvikler får en ret permissiv grænseflade, fordi du stoler på deres dømmekraft. En autonom agent får en stiv skema, der skarpt begrænser, hvad den kan bede backend om at gøre, fordi en agent vil bruge alt, du lader ligge. Giv den adgang til noget, og den vil finde en brug for det. Så produktionen skal eksponere så lidt, som den kan slippe af sted med.

Agentens arbejde skal derefter køre inden for en ringhegnet miljø, hvor røret, der læser verden, holdes strukturelt adskilt fra maskineriet, der kan handle på det. Læsning og handling er to forskellige job og hører hjemme i forskellige rum. Og for alt, der er virkelig højrisiko, skal en person stadig sige ja. Nogen med et navn og en login godkender transaktionen, før den går noget sted hen. Det skridt er ikke op for forhandling.

Skildpadden har en pointe

Du kender historien. En hare så tilfreds med sin egen fart, at den standsede for at sove, og en skildpad, der vandt ved den radikale taktik at ikke stoppe. Det er en fabel, ikke en driftsvejledning, og jeg ville ikke læne mig for hårdt op ad den. Men den nuværende kapløb rimrer på den. Firmaerne, der sprinter hårdest, samler det meste dækning, og dækning er ikke det samme som varighed. Markedet har tendens til at huske mægleren, der flyttede en kvartel for tidligt, i langt længere tid end det husker den, der ventede.

Imens indhenter reglerne. Da rammer som EU’s AI-akt strammer tilsynets greb om automatiserede systemer i finansverdenen, bliver behandling af compliance som noget, du skruer på bagefter, ikke længere en mulighed, men en bøde. Når en kompromitteret agent gør noget, det ikke skal, lander ansvarligheden på den infrastruktur, der lod det, ikke på modellen, der blev narret. Varighed i denne æra vil tilhøre firmaerne, der holder kundeaktiver ordentligt adskilt, holder lyset tændt, når tingene går galt, og kan vise deres arbejde på, hvor dataene gik. Ikke til dem, der wirede op den flotteste forbindelse først.

Det bringer mig tilbage til min mand på telefonen i 1985. For alle hans fejl havde han en fordel over agenten, vi er ved at bygge for at erstatte ham. Når han sagde, at du skulle købe British Airways, købte han British Airways. Du kunne ikke tale ham til at wire over kontot til en fremmed via en snedig formulering. Fremskridt, så. På en måde. Hos EXANTE bruger vi en del kræfter på at sikre, at silikonversionen er mindst lige så svær at snyde som fyren med håndtasken var, hvilket fortæller noget om, hvor fyrre års innovation har bragt os.