Los agentes de IA desplegados en finanzas pueden ser secuestrados a través de contenido completamente común —un correo electrónico, un documento compartido o un ticket de soporte— y convertirse en instrumentos que roban credenciales, vacían cuentas financieras y extraen datos privados, todo sin que la víctima cometa ningún error. Esa es la conclusión central de The AI Agent Threat Report, publicado por la firma de seguridad ClawSecure.

ClawSecure publicó el informe en dos volúmenes el 24 de septiembre de 2026, basado en investigaciones realizadas de mayo a julio de 2026. Sus hallazgos son directamente relevantes para quienes evalúan agentes de IA para finanzas. La clase de ataque en cuestión es la inyección de instrucciones, en la que instrucciones ocultas enterradas en el contenido que lee el agente anulan el comportamiento previsto del sistema.

"Los agentes de IA ya están gestionando finanzas, empresas y sistemas críticos, y todos ellos pueden ser secuestrados por el contenido que leen", dijo J.D. Salbego, fundador y CEO de ClawSecure.

Los modelos worker obedecieron comandos ocultos

Para los agentes de IA en finanzas, los hallazgos más específicos del informe se refieren a un modelo worker y al modelo manager colocado por encima de él: una configuración por capas en la que el modelo más económico ejecuta tareas y su salida pasa por el modelo superior. ClawSecure encontró que el nivel worker económico que un laboratorio importante comercializa para monitoreo financiero en tiempo real obedeció comandos ocultos del atacante el 91.7% de las veces (11 de 12). El problema no terminó en el worker: el modelo manager por encima de ese worker transmitió el resultado envenenado directamente en los 4 de 4 escenarios (100%), lo que significa que un payload sembrado en el nivel más económico llegó intacto al modelo superior en lugar de ser detectado.

En un payload, el modelo worker hizo el trabajo extra delante de forma gratuita, codificando los datos de la víctima en el propio enlace de exfiltración, sin que se le solicitara.

Datos robados, pantallas limpias

Según la investigación de ClawSecure, un agente secuestrado puede sustraer credenciales y claves de API y obtener datos financieros junto con los registros privados de los clientes —y puede dejar al usuario viendo una pantalla limpia que indica que todo está bien, durante todo el tiempo. Para quien monitorea un agente por su salida visible, ese detalle importa: la manipulación no necesariamente se manifestaría en lo que el agente reporta. ClawSecure ha examinado el robo de credenciales por parte de agentes de IA secuestrados en un artículo separado en su blog.

Acceso total a cuentas sin error del usuario

Para los equipos de finanzas que se preguntan si un agente de IA puede ser engañado para mover dinero, la investigación de ClawSecure muestra que un agente secuestrado puede mover dinero, abrir cuentas y actuar como su usuario en todas las herramientas conectadas. El mismo acceso que hace útil a un agente para un equipo de finanzas es exactamente lo que obtiene un atacante cuando el agente es secuestrado, y ningún miembro del personal tiene que hacer clic en algo incorrecto para que eso ocurra. Las empresas que evalúan agentes de IA en finanzas pueden leer el análisis de ClawSecure sobre los riesgos de seguridad cuando los agentes de IA realizan transacciones.

Alcance de las pruebas y divulgación

ClawSecure probó todos los modelos en las versiones vigentes al momento de la investigación; varios han sido reemplazados desde entonces, y ningún laboratorio ha afirmado haber resuelto la inyección de instrucciones. Cada empresa mencionada en el informe recibió divulgación coordinada antes de la publicación, por lo que la respuesta de los proveedores mencionados —y si las versiones sucesoras de los modelos cambian estas cifras— es el seguimiento que determinará si los resultados aún describen los modelos que los equipos de finanzas pueden desplegar hoy. El informe completo está disponible gratuitamente en la página oficial de lanzamiento de ClawSecure.