Agenci AI wyścigają się z bezpieczeństwem finansowym. Czy branża jest gotowa?

Chciałbym kupić niektóre akcje British Airways

Kiedy zacząłem pracę na giełdzie w latach 80., interfejsem był telefon. Klient dzwonił, zwykle mężczyzna, który zarobił pieniądze na czymś nudnym i chciał część z nich inwestować w akcje, i mówił, że chce kupić akcje British Airways. Ktoś na placu giełdowym przyjmował zamówienie, i taka była transakcja. Dwóch ludzi, słuchawka i sporo zaufania w obie strony.

Wtedy branża przez czterdzieści lat pozbywała się połączeń telefonicznych. Najpierw ekranów transakcyjnych. Potem terminali elektronicznych. Potem API, które pozwalały funduszom na wykonywanie tysięcy zamówień na sekundę bez konieczności mówienia słowa. Nazywaliśmy to postępem, i w większości przypadków tak było.

Teraz pętla zaczyna się zamykać. Najnowszy pomysł w branży to pozwolenie klientowi na rozmowę z maszyną, tylko tym razem maszyna odpowiada. Mówisz agentowi AI, w mniej lub bardziej zwykłym języku, aby wykonał transakcję na dwóch klasach aktywów lub aby utrzymał optymalną pozycję w opcjach przeciwko kilku warunkom, które wymieniasz, i on to robi. Spędziliśmy pokolenie na zastępowaniu człowieka na placu giełdowym. Teraz mamy zamiar go ponownie zatrudnić, tym razem w postaci silikonu.

Nie mam wielkich zastrzeżeń do tego. To, co mnie martwi, to podłączenie pod spodem, które jest o wiele młodsze niż marketing.

Podłączenie jest młodsze niż hype

Rzeczą, która cicho napędza większość tej fali integracji, jest Model Context Protocol, czyli MCP, i jest on ledwie osiemnastomiesięczny. Anthropic udostępnił go na zewnątrz w listopadzie 2024 roku, aby rozwiązać wewnętrzny problem: jak połączyć modele językowe z zewnętrznymi narzędziami i danymi bez konieczności pisania specjalnego kodu integracyjnego dla każdej pary. Do czasu, gdy Anthropic przekazał protokół nowo utworzonej fundacji Agentic AI w grudniu 2025 roku, już działał na ponad 10 000 publicznych serwerach i został wybrany przez ChatGPT, Gemini i Microsoft Copilot, wśród innych. To jest rodzaj krzywej adopcji, który sprawia, że “pierwszy do integracji” wydaje się być jedynym pytaniem, które ktoś powinien zadać.

Rozwiązuje on prawdziwy problem inżynierski. Zamiast ręcznego kodowania integracji dla każdego instytucjonalnego narzędzia, publikujesz jeden ujednolicony katalog możliwości i pozwalasz modelowi odczytać go. Model może wtedy rozmawiać z trzydziestoletnią bazą danych, jakby zostali przedstawieni na przyjęciu.

Problem polega na tym, że ta sama ujednoliconość przechodzi prosto obok sieciowego obwodu, który spędziłeś dekadę na budowaniu. Interfejs, który pozwala modelowi dotrzeć do dziedziczonej bazy danych, pozwala mu również dotrzeć do wszystkiego innego, co jest narażone na tym samym interfejsie. A agent, który wykonuje prawdziwą pracę w prawdziwej firmie handlowej, musi czytać zewnętrzny świat, aby funkcjonować: komentarze rynkowe, kanały informacyjne, pliki, które ktoś właśnie upuścił. W momencie, gdy zaczyna czytać niezaufane teksty, instrukcje i dane przychodzą tym samym kanałem, napisane tym samym językiem, bez żadnego pewnego sposobu, aby model mógł rozróżnić, które jest które.

Łatwiej oszukać model niż złamać bank

To nie jest hipotetyczne. Badanie z 2026 roku miało na celu zmierzyć, jak dobrze agenci AI rzeczywiście opierają się wstrzykiwaniu podpowiedzi, czyli sztuczce ukrywania instrukcji w treści, którą agent czyta, tak aby cicho zrobił coś innego niż to, o co poprosił jego właściciel. Przez tysiące symulowanych ataków na agenty zbudowane na systemach takich jak GPT-5 i Gemini, bezpośrednie wstrzyknięcie powiodło się więcej niż 79% czasu, a pośrednie ataki, gdzie instrukcja jest pogrzebana w zwykłej treści internetowej lub metadanych, wylądowały gdzieś pomiędzy 41% a 68%. Żadna z konfiguracji, które przetestowali, nie utrzymała linii zupełnie.

Projekt OWASP GenAI Security zrobił cichsze, ale powiązane spostrzeżenie w swoim raporcie z 2026 roku na temat bezpieczeństwa i zarządzania AI agentyką, opublikowanym w czerwcu. Pierwsza edycja katalogowała ryzyka, które były w większości prawdopodobne na papierze. Edycja z 2026 roku jest zbudowana na podstawie zarejestrowanych incydentów, porad sprzedawców i zarejestrowanych podatności dołączonych do prawie każdej kategorii ryzyka, które śledzi. Dwa lata i teoretyczne stały się zapisane. To samo w sobie jest argumentem za tym, aby wiedzieć dokładnie, z czym i do czego łączysz, zanim to zrobisz.

Maszyna, która pisze własne eksploity

Potem obraz zmienił się ponownie. W kwietniu 2026 roku Anthropic ujawnił Claude Mythos Preview, ciężko ograniczony, model klasy frontier, zbudowany do pracy cybernetycznej. Według własnego technicznego opisu Anthropic, Mythos mógł samodzielnie znaleźć zero-day podatności w głównych systemach operacyjnych i przeglądarkach internetowych oraz wyprodukować działające eksploity dla nich, bez konieczności trzymania jego ręki. Brytyjski Instytut Bezpieczeństwa AI sprawdził twierdzenie niezależnie i stwierdził, że Mythos ukończył symulowaną 32-krokową atak na korporacyjną sieć i rozwiązał 73% wyzwań ekspertów.

Mythos sam jest trzymany na krótkiej smyczy, ograniczony do garstki dostawców infrastruktury w ramach projektu Project Glasswing. Ale jego istnienie rozstrzyga spór. Ofensywna zdolność jest teraz znacznie bardziej zaawansowana niż rządy, które mają ją zawierać. Umieść taką zdolność w niewłaściwych rękach, wskąż ją na agenta, który ma uprawnienia do przenoszenia pieniędzy, i masz rurociąg, który może przejąć podstawowe API i wystrzelić likwidacje aktywów lub transfery wychodzące, których nikt nie autoryzował.

Nic z tego nie wymaga łamania zaszyfrowanej bazy danych. To jest ta część, nad którą warto usiąść. Tradycyjne systemy finansowe działają na deterministyczny kod, gdzie ta sama akcja daje ci te same odpowiedzi za każdym razem, i niezawodnie. Agent działa na probabilistycznym rozumowaniu, co jest grzecznym sposobem powiedzenia, że nie ma twardych krawędzi. Więc atakujący omija skarbiec całkowicie i po prostu rozmawia z modelem, aby źle zrozumiał swoje instrukcje. Dlaczego wybierać zamków, gdy możesz rozmawiać swoim sposobem obok strażnika?

Co naprawdę chroni cię, siedzi pod modelem

Jest tu również kąt kosztowy, i wskazuje on w tym samym kierunku. MCP jest gadatliwy. Potrzebuje wielu rozmów, i te rozmowy spalają tokeny, co oznacza pieniądze. Gdy rachunek rośnie, moje oczekiwanie jest takie, że poważne firmy odsuną się od ogólnego otwartego standardu i w kierunku ściśle zoptymalizowanych, własnych punktów końcowych. Tanio, i o wiele łatwiej zabezpieczyć.

Ponieważ same zabezpieczenia modelu nie są nawet zbliżone do wystarczających, aby chronić cudze kapitały. To, co naprawdę je chroni, siedzi pod modelem, w podłączeniu. Poważna wdrożenie zaczyna się od urządzenia poziomu bramki. W EXANTE budujemy ramy zgodności bezpośrednio w tej warstwowej architekturze: zanim pojedyncze słowo dotrze do modelu językowego, zabezpieczona obwodem peryferyjnym bramka już ustaliła, kto jest na drugim końcu rozmowy.

Poniżej, same API muszą być odbudowane dla maszyny, a nie dla człowieka. Ludzki deweloper otrzymuje dość permissive interfejs, ponieważ ufasz jego osądowi. Autonomiczny agent otrzymuje sztywny schemat, który ostro ogranicza, co może poprosić backend o zrobienie, ponieważ agent będzie chętnie używał wszystkiego, co zostawisz leżące. Da mu dostęp do czegoś, i znajdzie użycie dla tej rzeczy. Więc produkcja powinna ujawniać jak najmniej, co może.

Praca agenta powinna dziać się w otoczeniu ogrodzonym, z rurą, która czyta świat, trzymaną strukturalnie oddzielnie od maszyny, która może działać na nim. Czytanie i działanie to różne prace i należą do różnych pokoi. A dla wszystkiego, co jest naprawdę wysokiego ryzyka, osoba nadal musi powiedzieć tak. Ktoś z imieniem i nazwą logowania zatwierdza transakcję, zanim pójdzie gdziekolwiek. Ten krok nie jest do negocjacji.

Żółw ma rację

Znasz historię. Zając tak zadowolony ze swojej własnej szybkości, że zatrzymuje się na drzemkę, a żółw, który wygrywa dzięki radykalnej taktyce nie zatrzymywania się. To jest bajka, a nie instrukcja obsługi, i nie powinienem zbyt mocno na nią polegać. Ale obecny wyścig rhymuje z nią. Firmy, które biegną najszybciej, zbierają najwięcej pokrycia, a pokrycie nie jest tym samym co trwałość. Rynek ma tendencję do pamiętania brokera, który ruszył o kwartał za wcześnie, o wiele dłużej niż pamięta tego, który czekał.

Tymczasem reguły doganiają. Gdy ramy takie jak Unijny Akt AI zacieśniają nadzór nad systemami automatycznymi w finansach, traktowanie zgodności jako czegoś, co bolt on później, przestaje być opcją i zaczyna być karą. Gdy skompromitowany agent robi coś, czego nie powinien, odpowiedzialność spada na infrastrukturę, która pozwoliła na to, a nie na model, który został oszukany. Trwałość w tej erze będzie należała do firm, które utrzymują aktywa klientów właściwie rozdzielone, utrzymują światła włączone, gdy coś się psuje, i mogą pokazać, gdzie poszły dane. Nie do tego, kto najpierw podłączył najbardziej błyskotliwe połączenie.

Czymś, co mnie wraca do mojego człowieka na telefonie w 1985 roku. Dla wszystkich swoich wad miał on jedną przewagę nad agentem, którego jesteśmy zajęci budowaniem, aby go zastąpić. Gdy mówił, aby kupić akcje British Airways, kupił akcje British Airways. Nie mogłeś go przekonać, aby przelał konto do obcego za pomocą sprytnie sformułowanego nagłówka. Postęp, wtedy. Jakiś. W EXANTE spędzamy sporo wysiłku, aby upewnić się, że wersja silikonowa jest przynajmniej tak trudna do oszukania, jak facet z słuchawką, co mówi coś o tym, gdzie czterdzieści lat innowacji nas zaprowadziło.