Os Agentes de IA Estão Avançando Mais Rápido do que a Segurança Financeira. A Indústria Está Preparada?

Eu gostaria de comprar algumas ações da British Airways

Quando comecei a trabalhar em uma mesa de negociação da City em 1980, o telefone era a interface. Um cliente ligava, geralmente um homem que havia feito seu dinheiro em algo entediante e queria um pouco disso em ações, e ele diria que gostaria de comprar algumas ações da British Airways. Alguém na mesa registrava o pedido, e isso era o negócio. Duas pessoas, um aparelho de telefone e uma grande confiança em ambas as direções.

A indústria então passou quarenta anos se livrando da ligação telefônica. Primeiro, as telas de negociação. Em seguida, os terminais eletrônicos. Em seguida, as APIs que permitiam que um fundo disparasse milhares de pedidos por segundo sem que ninguém dissesse uma palavra. Nós chamamos isso de progresso, e na maioria das vezes era.

Agora o círculo está se fechando. A nova ideia no negócio é permitir que o cliente fale com a máquina novamente, exceto que desta vez a máquina responde. Você diz a um agente de IA, em inglês simples, para executar uma operação de pares em duas classes de ativos, ou para manter uma posição de opções otimizada contra um punhado de condições que você lista, e ele vai e faz isso. Passamos uma geração substituindo o homem na mesa. Agora estamos prestes a recontratá-lo em silício.

Eu não tenho nenhuma grande objeção a nada disso. O que me preocupa é o fio abaixo, que é muito mais jovem do que o marketing.

O encanamento é mais jovem do que o hype

A coisa que está impulsionando silenciosamente a maior parte dessa onda de integração é o Protocolo de Contexto de Modelo, ou MCP, e ele tem apenas dezoito meses de idade. A Anthropic o liberou como open-source em fins de 2024 para resolver um problema interno: como conectar modelos de linguagem a ferramentas e dados externos sem escrever código de integração personalizado para cada par. No momento em que a Anthropic entregou o protocolo à recém-formada Fundação Agentic AI em dezembro de 2025, ele já estava executando mais de 10.000 servidores públicos e havia sido adotado pelo ChatGPT, Gemini e Microsoft Copilot, entre outros. Essa é o tipo de curva de adoção que faz com que “primeiro a integrar” pareça a única pergunta que alguém deve fazer.

Ele resolve um problema de engenharia real. Em vez de codificar uma integração personalizada para cada ferramenta institucional, você publica um catálogo uniforme de capacidades e deixa o modelo ler a partir dele. Um modelo de fronteira pode então falar com um banco de dados de trinta anos como se os dois tivessem sido apresentados em uma festa.

O problema é que a mesma uniformidade passa direto pela perímetro da rede que você passou uma década construindo. A interface que permite que o modelo alcance o banco de dados legado permite que ele alcance qualquer outra coisa exposta na mesma interface. E um agente que está fazendo um trabalho real em uma empresa de negociação real precisa ler o mundo exterior para funcionar: comentários do mercado, feeds de notícias, o arquivo que alguém acabou de soltar. No momento em que ele começa a ler texto não confiável, as instruções e os dados chegam pelo mesmo canal, escritos na mesma linguagem, sem uma maneira confiável para o modelo distinguir entre eles.

Enganar o modelo é mais fácil do que quebrar o banco

que não é hipotético. Um estudo de 2026 se propôs a medir como os agentes de IA realmente resistem à injeção de prompt, o truque de esconder instruções dentro do conteúdo que um agente está lendo, para que ele faça algo diferente do que seu proprietário pediu. Em milhares de ataques simulados a agentes construídos em sistemas de fronteira, como GPT-5 e Gemini, a injeção direta teve sucesso mais de 79% das vezes, e ataques indiretos, onde a instrução está enterrada em conteúdo web comum ou metadados, aterrissaram em algum lugar entre 41% e 68%. Nenhuma configuração que eles testaram manteve a linha completamente.

O Projeto de Segurança de IA GenAI da OWASP fez um ponto mais silencioso, mas relacionado em seu relatório de 2026 sobre segurança e governança de IA agente, publicado em junho. A primeira edição havia catalogado riscos que eram principalmente plausíveis no papel. A edição de 2026 é baseada em incidentes registrados, avisos de fornecedores e vulnerabilidades registradas anexadas a quase todas as categorias de risco que ela rastreia. Dois anos, e o teórico se tornou o registrado. Isso sozinho é um argumento para saber exatamente o que você está conectando e a quê antes de conectá-lo.

Uma máquina que escreve seus próprios exploits

Então a imagem mudou novamente. Em abril de 2026, a Anthropic divulgou o Claude Mythos Preview, um modelo de fronteira fortemente restrito, construído para trabalho cibernético. De acordo com a própria descrição técnica da Anthropic, o Mythos poderia encontrar autonomamente vulnerabilidades zero-day em sistemas operacionais e navegadores da web principais e produzir exploits funcionais para elas, sem ninguém segurando sua mão. O Instituto de Segurança de IA do Reino Unido verificou a afirmação de forma independente e descobriu que o Mythos completou um ataque de rede corporativa simulado de 32 etapas e resolveu 73% dos desafios de nível de especialista.

O Mythos em si é mantido em uma curta rédea, restrito a uma mão cheia de provedores de infraestrutura sob algo chamado Projeto Glasswing. Mas sua existência resolve um argumento. A capacidade ofensiva agora está correndo bem à frente da governança destinada a contê-la. Coloque uma capacidade como essa nas mãos erradas, aponte-a para um agente que tem autoridade para mover dinheiro e você tem um pipeline que pode interceptar as APIs subjacentes e disparar liquidações de ativos ou transferências de saída que ninguém autorizou.

Nada disso requer quebrar o banco de dados criptografado. Essa é a parte que vale a pena sentar e pensar. Os sistemas financeiros tradicionais funcionam com código determinístico, onde a mesma ação dá a você a mesma resposta todas as vezes, e de forma confiável. Um agente funciona com raciocínio probabilístico, o que é um jeito educado de dizer que não vem com bordas duras. Então, o atacante pula o cofre inteiro e simplesmente fala com o modelo para que ele mal interprete suas instruções. Por que arrombar a fechadura quando você pode falar seu caminho para passar pelo guarda?

O que realmente protege você está abaixo do modelo

Há um ângulo de custo aqui também, e ele aponta na mesma direção. O MCP é tagarela. Ele precisa de muito vai e vem, e esse vai e vem queima tokens, o que significa dinheiro. À medida que a conta aumenta, minha expectativa é que as empresas sérias se afastem do padrão aberto genérico e em direção a pontos de extremidade proprietários otimizados com firmeza. Mais barato, e muito mais fácil de bloquear.

Porque as próprias barreiras de segurança do modelo não são remotamente suficientes para proteger o capital de outras pessoas. O que realmente o protege está abaixo do modelo, no encanamento. Uma implantação séria começa com uma porta de nível de dispositivo. Na EXANTE, construímos o quadro de conformidade diretamente nessa arquitetura em camadas: antes que uma única palavra alcance o modelo de linguagem, um perímetro seguro por hardware já estabeleceu quem está no outro lado da conversa.

Abaixo disso, as próprias APIs precisam ser reconstruídas para que uma máquina as use, e não uma pessoa. Um desenvolvedor humano obtém uma interface razoavelmente permissiva porque você confia no seu julgamento. Um agente autônomo obtém um esquema rígido que limita fortemente o que ele pode pedir ao backend para fazer, porque um agente usará alegremente tudo o que você deixar ao redor. Dê a ele acesso a uma coisa, e ele encontrará um uso para a coisa. Portanto, a produção deve expor o mínimo que puder escapar.

O trabalho do agente deve então ser executado dentro de um ambiente cercado, com o pipe que lê o mundo mantido estruturalmente separado da máquina que pode agir sobre ele. Ler e agir são trabalhos diferentes e pertencem a salas diferentes. E para qualquer coisa genuinamente de alto risco, uma pessoa ainda precisa dizer sim. Alguém com um nome e um login aprova a transação antes que ela vá a qualquer lugar. Esse passo não está aberto a negociação.

A tartaruga tem um ponto

Você conhece a história. Uma lebre tão satisfeita com sua própria velocidade que para para tirar uma soneca, e uma tartaruga que vence com a tática radical de não parar. É uma fábula, não um manual de operações, e eu não me apoiaria nela com muita força. Mas a corrida atual rimou com isso. As empresas que estão correndo mais rápido estão coletando a maior cobertura, e cobertura não é a mesma coisa que duradoura. O mercado tende a lembrar do corretor que se moveu um quarto de segundo cedo por muito mais tempo do que lembra o que esperou.

Enquanto isso, as regras estão se aproximando. À medida que quadros como o Ato de IA da União Europeia apertam a supervisão de sistemas automatizados na área financeira, tratar a conformidade como algo que você pode acrescentar posteriormente deixa de ser uma opção e começa a ser uma multa. Quando um agente comprometido faz algo que não deve, a responsabilidade recai sobre a infraestrutura que o permitiu, e não sobre o modelo que foi enganado. A durabilidade nesta era pertencerá às empresas que mantêm os ativos dos clientes devidamente segregados, mantêm as luzes acesas quando as coisas quebram e podem mostrar seu trabalho sobre para onde os dados foram. Não para quem conectou a conexão mais rápida primeiro.

O que me traz de volta ao meu homem no telefone em 1985. Para todos os seus defeitos, ele tinha uma vantagem sobre o agente que estamos ocupados em construir para substituí-lo. Quando ele dizia para você comprar ações da British Airways, ele comprava ações da British Airways. Você não poderia falar com ele para transferir a conta para um estranho por meio de um título astutamente redigido. Progresso, então. De uma espécie. Na EXANTE, estamos gastando uma grande quantidade de esforço para garantir que a versão de silício seja pelo menos tão difícil de enganar quanto o cara com o aparelho de telefone era, o que nos diz algo sobre para onde quarenta anos de inovação nos levaram.