AI-agents racen vooruit op financiële veiligheid. Is de industrie er klaar voor?

Ik wil graag enkele aandelen van British Airways kopen

Toen ik in de jaren tachtig op een handelsvloer in de City begon, was de telefoon het interface. Een klant belde, meestal een man die zijn geld had verdiend met iets saais en een beetje wilde investeren in aandelen, en hij zei dat hij enkele aandelen van British Airways wilde kopen. Iemand op de vloer nam de bestelling op, en dat was de handel. Twee mensen, een telefoon en een behoorlijke hoeveelheid vertrouwen in beide richtingen.

De industrie heeft vervolgens veertig jaar besteed aan het verwijderen van het telefoongesprek. Eerst de handelsschermen. Toen de elektronische terminals. Toen de API’s die een fonds toelieten om duizenden bestellingen per seconde te plaatsen zonder dat iemand een woord zei. We noemden het vooruitgang, en voor het grootste deel was het dat ook.

Nu sluit de cirkel zich weer. Het nieuwste idee in de branche is om de klant weer met de machine te laten praten, behalve dat de machine nu antwoordt. Je vertelt een AI-agent, in vrijwel gewoon Engels, om een paarhandel uit te voeren over twee assetklassen, of om een optiepositie te optimaliseren tegen een aantal voorwaarden die je opsomt, en het doet het. We hebben een generatie besteed aan het vervangen van de man op de vloer. We zijn nu bezig om hem weer in te huren, maar dan in silicium.

Ik heb geen groot bezwaar tegen al dit alles. Wat me zorgen baart, is de bedrading eronder, die een stuk jonger is dan de marketing.

De bedrading is jonger dan de hype

Het ding dat stilzwijgend de meeste van deze integratiegolf aandrijft, is het Model Context Protocol, of MCP, en dat is nog maar achttien maanden oud. Anthropic heeft het in december 2024 als open source vrijgegeven om een intern probleem op te lossen: hoe taalmodellen te verbinden met externe tools en gegevens zonder voor elke koppeling speciale integratiecode te schrijven. Tegen de tijd dat Anthropic het protocol aan de pas opgerichte Agentic AI Foundation overdroeg in december 2025, draaide het al meer dan 10.000 openbare servers en was het al gekozen door ChatGPT, Gemini en Microsoft Copilot, onder anderen. Dat is het soort adoptiecurve dat “eerst integreren” het enige vraagstuk laat dat iemand zou moeten stellen.

Het lost een echt ingenieursprobleem op. In plaats van voor elke institutionele tool handmatig een integratie te schrijven, publiceert u één uniforme catalogus van functionaliteiten en laat u het model daaruit lezen. Een frontiermodel kan dan met een dertig jaar oude database praten alsof ze op een feestje waren uitgenodigd.

Het probleem is dat dezelfde uniformiteit rechtstreeks langs de netwerkperimeter loopt die u een decennium geleden heeft gebouwd. Het interface dat het model toegang geeft tot de legacydatabase, geeft het ook toegang tot alles anders dat op hetzelfde interface is blootgesteld. En een agent die een echt werk doet in een echt handelsbedrijf, moet de buitenwereld lezen om te functioneren: marktcommentaar, nieuwsfeeds, het bestand dat iemand net heeft neergezet. Het moment dat het gaat lezen van onbetrouwbare tekst, komen de instructies en de gegevens langs dezelfde pijp, geschreven in dezelfde taal, zonder betrouwbare manier voor het model om te bepalen welke het welke is.

De agent bedriegen is gemakkelijker dan de bank breken

Dit is geen hypothetisch scenario. Een studie uit 2026 onderzocht hoe goed AI-agents daadwerkelijk weerstand bieden aan prompt-injectie, de truc om instructies te verstoppen in de inhoud die een agent leest, zodat het stilzwijgend iets anders doet dan wat de eigenaar heeft gevraagd. Bij duizenden gesimuleerde aanvallen op agents gebouwd op frontier-systemen zoals GPT-5 en Gemini, slaagde directe injectie meer dan 79% van de tijd, en indirecte aanvallen, waarbij de instructie in gewone webinhoud of metadata is begraven, kwamen ergens tussen 41% en 68% terecht. Geen enkele configuratie die ze testten, hield de lijn volledig vast.

Het OWASP GenAI Security Project maakte een stillere maar verwante punt in zijn rapport uit 2026 over agentic AI-beveiliging, gepubliceerd in juni. De eerste editie had risico’s gekatalogiseerd die meestal plausibel waren op papier. De editie 2026 is gebouwd op geregistreerde incidenten, leveranciersadviezen en geregistreerde kwetsbaarheden die bijna elke categorie risico volgen die het bijhoudt. Twee jaar, en het theoretische werd het geregistreerde. Dat alleen al is een argument voor het weten van exact wat u verbindt, en waarmee, voordat u het verbindt.

Een machine die zijn eigen exploits schrijft

Toen veranderde het beeld weer. In april 2026 onthulde Anthropic Claude Mythos Preview, een zwaar beperkt, frontier-klasse model gebouwd voor cyberwerk. Volgens de technische beschrijving van Anthropic kon Mythos zelfstandig zero-day-kwetsbaarheden vinden in grote besturingssystemen en webbrowsers en werkbare exploits produceren, zonder dat een mens zijn hand vasthield. Het AI Security Institute van het Verenigd Koninkrijk controleerde de claim onafhankelijk en vond dat Mythos een eind-tot-eind gesimuleerde 32-stappen corporate netwerkaanval voltooide en 73% van de expertniveau-uitdagingen oploste.

Mythos zelf wordt kort gehouden, beperkt tot een handvol infrastructuurproviders onder iets dat Project Glasswing heet. Maar zijn bestaan beëindigt een argument. Offensieve capaciteit loopt nu ver vooruit op de governance die het moet bevatten. Zet een capaciteit als die in de verkeerde handen, richt het op een agent die de autoriteit heeft om geld te verplaatsen, en u hebt een pijplijn die de onderliggende API’s kan kapen en activa-liquidaties of uitgaande overdrachten kan afvuren die niemand heeft geautoriseerd.

Geen van dit alles vereist het breken van de versleutelde database. Dat is het deel dat het waard is om bij stil te staan. Traditionele financiële systemen draaien op deterministische code, waarbij dezelfde actie elke keer hetzelfde antwoord oplevert, en betrouwbaar. Een agent draait op probabilistische redenering, wat een beleefde manier is om te zeggen dat het geen harde randen heeft. Dus de aanvaller slaat de kluis helemaal over en praat het model gewoon aan om zijn instructies verkeerd te lezen. Waarom het slot forceren als je langs de bewaker heen kunt praten?

Wat u daadwerkelijk beschermt, zit onder het model

Er is ook een kostencurve hier, en die wijst dezelfde kant uit. MCP is een beetje een kletskous. Het heeft veel heen-en-weer nodig, en dat heen-en-weer verbrandt tokens, wat wil zeggen geld. Naarmate die rekening stijgt, verwacht ik dat serieuze bedrijven zullen afzwenken van de generieke open standaard en naar strak geoptimaliseerde propriëtaire eindpunten van hun eigen. Goedkoper, en een stuk gemakkelijker om af te sluiten.

Omdat de veiligheidsbarrières van het model zelf niet in de buurt komen van genoeg om andermans kapitaal te beschermen. Wat het daadwerkelijk beschermt, zit onder het model, in de bedrading. Een serieuze implementatie begint met apparaatniveau-beveiliging. Bij EXANTE bouwen we het compliance-kader rechtstreeks in die gelaagde architectuur: voordat één woord de taalmodel bereikt, heeft een hardware-beveiligde perimeter al vastgesteld wie er aan de andere kant van het gesprek zit.

Daaronder moeten de API’s zelf worden herbouwd voor een machine, niet voor een persoon. Een menselijke ontwikkelaar krijgt een vrij permissief interface omdat u zijn oordeel vertrouwt. Een autonome agent krijgt een rigide schema dat scherp beperkt wat het aan de backend kan vragen, omdat een agent alles zal gebruiken wat u laat slingeren. Geef het toegang tot iets, en het zal een gebruik voor dat iets vinden. Dus productie moet zo weinig mogelijk blootstellen.

Het werk van de agent moet dan plaatsvinden in een afgeschermde omgeving, met de pijp die de wereld leest, structureel gescheiden van de machine die erop kan handelen. Lezen en handelen zijn verschillende banen en horen in verschillende kamers. En voor alles wat echt hoogrisico is, moet een persoon nog steeds ja zeggen. Iemand met een naam en een inloggegevens keurt de transactie goed voordat die ergens naartoe gaat. Die stap is niet onderhandelbaar.

De schildpad heeft een punt

U kent het verhaal. Een haas zo tevreden met zijn eigen snelheid dat hij stopt voor een dutje, en een schildpad die wint door de radicale tactiek van niet stoppen. Het is een fabel, geen handleiding, en ik zou er niet te zwaar op leunen. Maar de huidige race rijmt wel met het verhaal. De bedrijven die het hardst sprinten, verzamelen de meeste aandacht, en aandacht is niet hetzelfde als duurzaam. De markt herinnert zich de makelaar die een kwart te vroeg bewoog, veel langer dan de makelaar die wachtte.

Ondertussen halen de regels in. Naarmate kaders zoals de AI-wet van de Europese Unie het toezicht op geautomatiseerde systemen in de financiële sector aanscherpen, houdt het behandelen van compliance als iets dat u achteraf aanbrengt, opgehouden om een optie te zijn en wordt het een boete. Wanneer een gecompromitteerde agent iets doet wat het niet zou moeten doen, komt de aansprakelijkheid te liggen bij de infrastructuur die het heeft toegelaten, niet bij het model dat is bedrogen. Duurzaamheid in deze tijd zal behoren tot de bedrijven die klantactiva goed gescheiden houden, de lichten aanhouden wanneer dingen kapot gaan, en kunnen laten zien waar de gegevens naartoe zijn gegaan. Niet bij degene die de meest flashy verbinding heeft aangelegd.

Wat me terugbrengt bij mijn man aan de telefoon in 1985. Voor al zijn fouten had hij één voordeel ten opzichte van de agent die we bezig zijn te bouwen om hem te vervangen. Toen hij zei dat u British Airways moest kopen, kocht hij British Airways. U kon hem niet aanzetten tot het doorsluizen van het account naar een vreemde met behulp van een slim geformuleerde kop. Vooruitgang, dan. Van een soort. Bij EXANTE besteden we een behoorlijke hoeveelheid moeite aan het ervoor zorgen dat de siliconenversie net zo moeilijk te bedriegen is als de man met de telefoon was, wat u iets vertelt over waar veertig jaar innovatie ons heeft gebracht.