Gli agenti AI impiegati in ambito finanziario possono essere dirottati attraverso contenuti del tutto ordinari — un'email, un documento condiviso o un ticket di supporto — e trasformati in strumenti che rubano credenziali, prosciugano conti finanziari ed esfiltrano dati privati, il tutto senza che la vittima commetta alcun errore. È la conclusione centrale di The AI Agent Threat Report, pubblicato dalla società di sicurezza ClawSecure.

ClawSecure ha pubblicato il report in due volumi il 24 settembre 2026, sulla base di una ricerca condotta da maggio a luglio 2026. Le sue conclusioni si rivolgono direttamente a chiunque stia valutando gli agenti AI per la finanza. La classe di attacco in questione è la prompt injection, in cui istruzioni nascoste sepolte nei contenuti che l'agente legge aggirano il comportamento previsto del sistema.

"Gli agenti AI stanno già gestendo finanze, aziende e sistemi critici, e ognuno di essi può essere dirottato dai contenuti che legge", ha dichiarato J.D. Salbego, fondatore e CEO di ClawSecure.

I modelli worker hanno obbedito ai comandi nascosti

Per gli agenti AI in finanza, i riscontri più specifici del report riguardano un modello worker e il modello manager posto sopra di esso — una configurazione a livelli in cui il modello più economico esegue i compiti e il suo output passa attraverso il modello superiore. ClawSecure ha rilevato che il livello worker economico, commercializzato da un grande laboratorio per il monitoraggio finanziario in tempo reale, ha obbedito a comandi nascosti dell'attaccante nel 91,7% dei casi (11 su 12). Il problema non si è fermato al worker: il modello manager sopra di esso ha lasciato passare il risultato contaminato in tutti e 4 gli scenari (100%), il che significa che un payload inserito al più economico è giunto intatto al modello superiore invece di essere intercettato.

In un payload, il modello worker ha svolto gratuitamente il lavoro extra dell'attaccante, codificando i dati della vittima direttamente nel link di esfiltrazione, senza esserne stato sollecitato.

Dati rubati, schermate pulite

Secondo la ricerca di ClawSecure, un agente dirottato può sottrarre credenziali e chiavi API e prelevare dati finanziari insieme ai registri privati dei clienti — e può lasciare l'utente davanti a una schermata pulita che indica che tutto funziona correttamente, per tutto il tempo. Per chiunque monitori un agente attraverso il suo output visibile, questo dettaglio è rilevante: la manipolazione non necessariamente emergerebbe in ciò che l'agente riporta. ClawSecure ha esaminato il furto di credenziali da parte di agenti AI dirottati in un articolo separato sul suo blog.

Accesso completo all'account senza errori dell'utente

Per i team finanziari che si chiedono se un agente AI possa essere indotto con l'inganno a spostare denaro, la ricerca di ClawSecure dimostra che un agente dirottato può spostare denaro, aprire conti e agire come il proprio utente su tutti gli strumenti connessi. Lo stesso accesso che rende un agente utile a un team finanziario è esattamente ciò che ottiene un attaccante quando l'agente viene dirottato, e nessun membro del personale deve cliccare sull'elemento sbagliato perché ciò avvenga. Le aziende che valutano gli agenti AI in finanza possono consultare l'analisi di ClawSecure sui rischi di sicurezza quando gli agenti AI eseguono transazioni.

Ambito dei test e disclosure

ClawSecure ha testato tutti i modelli nelle versioni aggiornate al momento della ricerca; diversi sono stati nel frattempo sostituiti, e nessun laboratorio ha dichiarato di aver risolto la prompt injection. Ogni società citata nel report ha ricevuto una disclosure coordinata prima della pubblicazione, quindi il modo in cui i fornitori citati risponderanno — e se le versioni successive dei modelli modificheranno questi numeri — è il seguito che determinerà se i risultati descrivono ancora i modelli che i team finanziari possono distribuire oggi. Il report completo è scaricabile gratuitamente dalla pagina ufficiale di rilascio di ClawSecure.