Agenții Inteligente Înving În Fața Securității Financiare. Este Industria Pregătită?

Aș vrea să cumpăr British Airways

Când am început să lucrez la o masă de tranzacționare în City, în anii 1980, interfața era telefonul. Un client suna, de obicei un bărbat care și-a făcut banii în ceva plictisitor și voia o parte din ei în acțiuni, și spunea că îi plac British Airways. Cineva de la masă lua comanda, și asta era tranzacția. Două persoane, un receptor și o cantitate considerabilă de încredere în ambele direcții.

Industria a petrecut apoi patruzeci de ani încercând să scape de apelul telefonic. Mai întâi, ecranele de tranzacționare. Apoi terminalele electronice. Apoi API-urile care permiteau unui fond să trimită mii de comenzi pe secundă fără ca cineva să spună o vorbă. Am numit-o progres, și în mare parte a fost.

Acum bucla se închide. Cea mai nouă idee în domeniu este să lase clientul să vorbească din nou cu mașina, cu excepția faptului că de data aceasta mașina răspunde. Îi spui unui agent AI, în engleză simplă, să ruleze o tranzacție pe perechi de active sau să mențină o poziție de opțiuni optimizată împotriva unor condiții pe care le numeri, și el o face. Am petrecut o generație înlocuind omul de la masă. Acum suntem pe punctul de a-l reangaja în siliciu.

Nu am nicio obiecție majoră la toate acestea. Ceea ce mă îngrijorează este cablajul de sub suprafață, care este mult mai tânăr decât marketingul.

Instalațiile sunt mai tinere decât hype-ul

Lucrul care alimentează în mod discret această undă de integrare este Protocolul de Context al Modelului, sau MCP, și are doar optsprezece luni. Anthropic a lansat MCP în mod deschis în decembrie 2024 pentru a rezolva o problemă internă: cum să conecteze modelele de limbaj la unelte și date externe fără a scrie cod de integrare personalizat pentru fiecare pereche. Până când Anthropic a predat protocolul noii fundații Agentic AI în decembrie 2025, acesta rulează peste 10.000 de servere publice și a fost adoptat de ChatGPT, Gemini și Microsoft Copilot, printre altele. Acesta este tipul de curbă de adoptare care face ca “primul care integrează” să pară singura întrebare pe care ar trebui să o pună cineva.

Rezolvă o problemă reală de inginerie. În loc să codifici manual o integrare pentru fiecare instrument instituțional, publici un catalog uniform de capacități și lași modelul să citească din el. Un model de frontieră poate vorbi cu o bază de date de treizeci de ani ca și cum cei doi ar fi fost introduși la o petrecere.

Problema este că aceeași uniformitate trece direct de perimetrul rețelei pe care ai petrecut un deceniu să o construiești. Interfața care permite modelului să ajungă la baza de date legacy îi permite să ajungă la orice altceva expus pe aceeași interfață. Și un agent care face o slujbă reală într-o firmă de tranzacționare reală trebuie să citească lumea exterioară pentru a funcționa: comentarii de piață, fluxuri de știri, fișierul pe care cineva l-a lăsat căzut. În momentul în care începe să citească text neîncredere, instrucțiunile și datele vin pe același canal, scrise în aceeași limbă, fără o modalitate de încredere pentru model de a spune care este care.

Înșelarea modelului este mai ușoară decât spargerea băncii

Acesta nu este un scenariu ipotetic. Un studiu din 2026 a încercat să măsoare cât de bine agenții AI rezistă în realitate injecției de prompt, trucul de a ascunde instrucțiuni în conținutul pe care îl citește agentul, astfel încât să facă ceva altceva decât ceea ce i-a cerut proprietarul. Pe parcursul a mii de atacuri simulate asupra agenților construiți pe sisteme de frontieră, cum ar fi GPT-5 și Gemini, injecția directă a reușit de peste 79% din timp, iar atacurile indirecte, în care instrucțiunea este îngropată în conținutul web obișnuit sau în metadate, au aterizat undeva între 41% și 68%. Nicio configurație pe care au testat-o nu a ținut complet linia.

Proiectul OWASP GenAI Security a făcut un punct mai liniștit, dar legat în raportul său din 2026 privind securitatea și guvernanța AI agenților, publicat în iunie. Prima ediție catalogase riscuri care erau în mare parte plauzibile pe hârtie. Ediția 2026 se bazează pe incidente înregistrate, consultanță de furnizor și vulnerabilități înregistrate atașate la aproape fiecare categorie de risc pe care o urmărește. Doi ani, și teoreticul a devenit înregistrat. Acesta singur este un argument pentru a ști exact la ce se conectează și la ce, înainte de a se conecta.

O mașină care își scrie propriile exploatații

Apoi imaginea s-a schimbat din nou. În aprilie 2026, Anthropic a dezvăluit Claude Mythos Preview, un model de frontieră foarte restrictiv, construit pentru lucrări cibernetice. Conform notei tehnice a Anthropic, Mythos ar putea găsi vulnerabilități zero-day în sisteme de operare și browsere web majore și produce exploatații funcționale pentru ele, fără ca nimeni să îi țină mâna. Institutul de Securitate AI al Regatului Unit a verificat afirmația în mod independent și a constatat că Mythos a finalizat un atac simulat de 32 de pași într-o rețea corporativă și a rezolvat 73% din provocările de nivel expert.

Mythos însuși este ținut în frâu, limitat la câțiva furnizori de infrastructură sub ceea ce se numește Proiectul Glasswing. Dar existența sa rezolvă o dispută. Capabilitatea ofensivă este acum înaintea guvernanței menite să o conțină. Puneți o astfel de capabilitate în mâinile greșite, îndreptați-o către un agent care are autoritatea de a muta bani, și aveți o conductă care poate prelua API-urile subiacente și trimite lichidări de active sau transferuri outbound pe care nimeni nu le-a autorizat.

Niciuna dintre acestea nu necesită spargerea bazei de date criptate. Acesta este partea care merită să o conștientizați. Sistemele financiare tradiționale rulează pe cod determinist, unde aceeași acțiune dă aceeași rezultat de fiecare dată, și în mod fiabil. Un agent rulează pe raționament probabilistic, ceea ce este un mod politicos de a spune că nu vine cu muchii tari. Așadar, atacatorul sare peste vaultul în întregime și pur și simplu vorbește modelului să înțeleagă greșit instrucțiunile sale. De ce să spargi lacătul când poți vorbi pe lângă gardă?

Ce vă protejează în realitate se află sub model

Există și un unghi de cost aici, și arată în aceeași direcție. MCP este vorbăreț. Are nevoie de multe discuții, și aceste discuții ard jetoni, ceea ce înseamnă bani. Pe măsură ce factura crește, așteptarea mea este că firmele serioase se vor îndepărta de standardul deschis generic și se vor îndrepta către puncte de capăt proprietare strâns optimizate. Mai ieftin, și mult mai ușor de blocat.

Fiindcă gardurile de siguranță ale modelului în sine nu sunt nici pe departe suficiente pentru a proteja capitalul altor oameni. Ce vă protejează în realitate se află sub model, în instalații. O implementare serioasă începe cu controlul la nivel de dispozitiv. La EXANTE, construim cadrul de conformitate direct în această arhitectură stratificată: înainte ca o singură cuvânt să ajungă la modelul de limbaj, un perimetru securizat prin hardware a stabilit deja cine se află la capătul celălalt al conversației.

Sub aceasta, API-urile însele trebuie reconstruite pentru a fi utilizate de o mașină, nu de o persoană. Un dezvoltator uman primește o interfață destul de permisivă pentru că îi încrediți judecata. Un agent autonom primește un schema rigid care limitează strict ce poate cere backend-ul să facă, pentru că un agent va folosi cu bucurie tot ce lăsați la îndemână. Dați-i acces la ceva, și va găsi o utilizare pentru acel lucru. Așadar, producția ar trebui să expună cât mai puțin posibil.

Lucrul agentului ar trebui să ruleze apoi într-un mediu izolat, cu conducta care citește lumea ținută structural separat de mașinăria care poate acționa asupra ei. Citirea și acționarea sunt lucruri diferite și aparțin în încăperi diferite. Și pentru orice risc cu adevărat ridicat, o persoană trebuie să spună da. Cineva cu un nume și o autentificare aprobă tranzacția înainte ca aceasta să meargă undeva.

Țestoasa are un punct

Știți povestea. O iepure atât de mulțumit de viteza lui încât se oprește pentru un somn, și o țestoasă care câștigă prin tactica radicală de a nu se opri. Este o fabulă, nu un manual de operare, și nu m-aș baza prea mult pe ea. Dar cursa actuală rimă cu ea. Firmele care aleargă cel mai tare strâng cea mai mare acoperire, și acoperirea nu este același lucru cu durabilitatea. Piața are tendința de a-și aminti de brokerul care s-a mișcat cu un sfert prea devreme pentru o perioadă mult mai lungă decât își amintește de cel care a așteptat.

Între timp, regulile se prind. Pe măsură ce cadre precum Actul privind Inteligența Artificială al Uniunii Europene strâng supravegherea sistemelor automate în finanțe, tratarea conformității ca ceva pe care îl atașați ulterior încetează să fie o opțiune și începe să fie o amendă. Când un agent compromis face ceva ce nu ar trebui, răspunderea cade pe infrastructura care a permis, nu pe modelul care a fost păcălit. Durabilitatea în această eră va aparține firmelor care păstrează activele clienților în mod corespunzător separate, țin lumina aprinsă atunci când lucrurile se strică, și pot arăta cum a mers datele. Nu aceluia care a conectat legătura cea mai rapidă prima dată.

Ceea ce mă aduce înapoi la omul meu de la telefon în 1985. Pentru toate defectele sale, avea un avantaj față de agentul pe care suntem ocupați să îl înlocuim. Când îți spunea să cumperi British Airways, el cumpăra British Airways. Nu puteai să îl convingi să transfere contul către un străin prin intermediul unui titlu ingenios formulat. Progres, atunci. De un fel. La EXANTE, ne străduim să ne asigurăm că versiunea în siliciu este cel puțin la fel de greu de păcălit ca și tipul de la receptor a fost, ceea ce spune ceva despre unde au ajuns patruzeci de ani de inovație.