AI-agenter løper foran finansiell sikkerhet. Er industrien klar?

Jeg ønsker å kjøpe noen British Airways

Da jeg startet på en City-handelsplass i 1980-årene, var telefonen grensesnittet. En kunde ringte, vanligvis en mann som hadde tjent penger på noe kjedelig og ønsket å plassere en del av dem i aksjer, og han sa at han ønsket å kjøpe noen British Airways. Noen på plassen tok imot ordren, og det var handelen. To personer, en håndsett og en god del tillit i begge retninger.

Deretter tilbrakte industrien førti år på å bli kvitt telefonen. Først handelsskjermer. Deretter elektroniske terminaler. Deretter API-er som lot en fond utsende tusenvis av ordrer per sekund uten at noen sa et ord. Vi kalte det fremgang, og for det meste var det det.

Nå lukker løkken seg. Den nyeste ideen i bransjen er å la kunden snakke med maskinen igjen, bare denne gangen svarer maskinen. Du forteller en AI-agent, på mer eller mindre vanlig engelsk, å kjøre en par-transeksjon over to verdiklasser eller å holde en opsjon posisjon optimalisert mot en håndfull betingelser du oppgir, og den gjør det. Vi tilbrakte en generasjon med å erstatte mannen på plassen. Vi er nå i ferd med å gjenansette ham i silisium.

Jeg har ingen stor innvending mot noen av dette. Det som bekymrer meg, er ledningene under, som er mye yngre enn markedsføringen.

Ledningene er yngre enn hype

Det som stille driver mye av denne integrasjonsbølgen, er Modell Kontekst Protokoll, eller MCP, og det er knapt atten måneder gammelt. Anthropic åpnet kilden for det i desember 2024 for å løse et internproblem: hvordan man kobler språkmodeller til eksterne verktøy og data uten å skrive spesialtilpasset integrasjonskode for hver kombinasjon. Da Anthropic overførte protokollen til den nystiftede Agentic AI Foundation i desember 2025, kjørte det allerede over 10 000 offentlige servere og var blitt valgt av ChatGPT, Gemini og Microsoft Copilot, blant andre. Det er den type adopsjonskurve som gjør at “først til å integrere” føles som det eneste spørsmålet noen bør stille.

Det løser et reelt ingeniørproblem. I stedet for å kode en integrasjon for hvert enkelt institusjonelt verktøy, publiserer du én enhetlig katalog over funksjoner og lar modellen lese fra den. En frontmodell kan deretter snakke med en tretti år gammel database som om de to hadde blitt introdusert på en fest.

Problemet er at samme enhetlighet går rett forbi nettverksperimeteret du tilbrakte ti år på å bygge. Grensesnittet som lar modellen nå legacy-databasen, lar den også nå alt annet som er eksponert på samme grensesnitt. Og en agent som gjør et ekte arbeid i et ekte handelsfirma, må lese utenomverdenen for å fungere: markedskommentarer, nyhetsstrømmer, filen noen nettopp droppet. Øyeblikket det begynner å lese upålitelig tekst, ankommer instruksjonene og dataene ned samme rør, skrevet på samme språk, uten noen pålitelig måte for modellen å vite hvilken som er hvilken.

Å lure modellen er enklere enn å knekke banken

Dette er ikke et hypotetisk scenario. En studie fra 2026 satte ut til å måle hvor godt AI-agenter faktisk motstår promptinjeksjon, trikset med å gjemme instruksjoner inne i innholdet en agent leser, så den stille gjør noe annet enn det eieren ba om. Over tusenvis av simulerede angrep på agenter bygget på frontsystemer som GPT-5 og Gemini, lyktes direkte injeksjon over 79% av gangene, og indirekte angrep, der instruksjonen er gravd i vanlig nettinnhold eller metadata, landet et sted mellom 41% og 68%. Ingen av konfigurasjonene de testet, holdt fullstendig stand.

OWASP GenAI Security Project gjorde en mer beskjeden, men relatert poeng i sin rapport fra 2026 om agentic AI-sikkerhet, publisert i juni. Første utgaven hadde katalogisert risikoer som for det meste var plausibelt på papir. 2026-utgaven er bygget på innrapporterte hendelser, leverandørvarsel og registrerte sårbarheter knyttet til nesten hver eneste kategori risiko det sporer. To år, og det teoretiske ble det innrapporterte. Det alene er et argument for å vite nøyaktig hva du kobler til, og hva, før du kobler det til.

En maskin som skriver sine egne utnyttelser

Deretter endret bildet seg igjen. I april 2026 avdekket Anthropic Claude Mythos Preview, en tungt begrenset, frontklasse-modell bygget for cyberarbeid. Ifølge Anthropics egen tekniske skriv, kunne Mythos selvstendig finne null-dags-sårbarheter over store operativsystemer og nettlesere og produsere arbeidende utnyttelser for dem, uten at noen menneske holdt hånden over den. Storbritannias AI-sikkerhetsinstitutt sjekket påstanden uavhengig og fant at Mythos fullførte en simulert 32-trinns bedriftsnettangrep og løste 73% av ekspertnivå-utfordringer.

Mythos selv er holdt på kort snor, begrenset til en håndfull infrastruktur-leverandører under et prosjekt kalt Project Glasswing. Men dens eksistens avgjør en diskusjon. Offensiv kapasitet løper nå langt foran styringen som skal holde den tilbake. Plasser en kapasitet som den i feil hender, peker den mot en agent som har autorisasjon til å flytte penger, og du har en pipeline som kan kapre de underliggende API-ene og utsende eiendomslikvidasjoner eller utgående overføringer ingen autoriserte.

Ingen av dette krever å knekke den krypterte databasen. Det er den delen som er verdt å sitte med. Tradisjonelle finansielle systemer kjører på deterministisk kode, hvor samme handling gir deg samme svar hver gang, og pålitelig. En agent kjører på sannsynliggjøring, som er en fin måte å si at den ikke kommer med harde kanter. Så angriperen hopper over hvelvet helt og snakker bare modellen til å misforstå instruksjonene sine. Hvorfor låse opp når du kan snakke deg forbi vaktene?

Hva som faktisk beskytter deg, sitter under modellen

Det er også en kostnadsvinkel her, og den peker samme vei. MCP er snakkende. Den trenger mye frem og tilbake, og den frem- og tilbake-kommunikasjonen brenner token, som vil si penger. Etterhvert som regningen stiger, forventer jeg at seriøse firmaer vil gli bort fra den generiske åpne standarden og mot tett optimerte proprietære endepunkter av sine egne. Billigere, og mye enklere å låse ned.

Fordi modellens egne sikkerhetsskjermer er ikke på langt nær nok til å beskytte andre folks kapital. Hva som faktisk beskytter den, sitter under modellen, i ledningene. En seriøs utbredelse starter med enhetsnivå-gatekeeping. Hos EXANTE bygger vi compliance-rammeverket rett inn i den lagdelte arkitekturen: før et enkelt ord når språkmodellen, har en hardvarusikret perimetre allerede etablert hvem som er på den andre siden av samtalen.

Under det må API-ene selv bli bygget om for en maskin å bruke, ikke en person. En menneskelig utvikler får et ganske tillatende grensesnitt fordi du stoler på deres dømmekraft. En autonom agent får et rigidt schema som skarpt begrenser hva den kan be backend om å gjøre, fordi en agent vil glede seg over å bruke alt du lar ligge. Gi den tilgang til en ting, og den vil finne en bruk for tingene. Så produksjon bør eksponere så lite som den kan komme unna.

Agentens arbeid bør deretter kjøre innen en ringført miljø, med røret som leser verden holdt strukturelt adskilt fra maskineriet som kan handle på det. Lesing og handling er forskjellige jobber og hører hjemme i forskjellige rom. Og for alt som er virkelig høyrisiko, må en person fortsatt si ja. En person med et navn og en innlogging godkjenner transaksjonen før den går noen steder. Det steget er ikke oppe til forhandling.

Skilpadden har en poeng

Du kjenner historien. En hare så fornøyd med sin egen fart at den stopper for å sove, og en skilpadde som vinner ved den radikale taktikken å ikke stoppe. Det er en fabel, ikke en driftshåndbok, og jeg ville ikke læne meg for hardt mot den. Men den nåværende kappløpet rimt med den. Firmene som spurter hardest, samler mest dekning, og dekning er ikke det samme som varig. Markedet tenderer til å huske megleren som flyttet en kvart for tidlig mye lenger enn det husker den som ventet.

Mens reglene fanger opp. Etterhvert som rammer som EUAs AI-akt strammer tilsynet av automatiserte systemer i finans, blir å behandle compliance som noe du skruer på etterpå ikke lenger et alternativ, men en bot. Når en kompromittert agent gjør noe den ikke bør, lander ansvarligheten på infrastrukturen som lot det, ikke på modellen som ble lurt. Varighet i denne æraen vil tilhøre firmaene som holder kundeaktivumene ordentlig adskilt, holder lysene på når ting bryter sammen, og kan vise deres arbeid på hvor dataene gikk. Ikke til den som koblet opp den flashete forbindelsen først.

Det bringer meg tilbake til mannen min på telefonen i 1985. For all hans feil, hadde han en fordel fremfor agenten vi er i ferd med å bygge for å erstatte ham. Når han sa at du skulle kjøpe British Airways, kjøpte han British Airways. Du kunne ikke snakke ham til å overføre kontoen til en fremmed ved hjelp av en flott formulert overskrift. Fremgang, da. Av en sort. Hos EXANTE tilbringer vi en god del innsats på å sikre at silisiumversjonen er like vanskelig å lure som mannen med håndsettet var, noe som forteller deg noe om hvor førti års innovasjon har landet oss.