Agenci AI wdrożeni w finansach mogą zostać przejęci poprzez zupełnie zwyczajne treści — e-mail, udostępniony dokument lub zgłoszenie do działu wsparcia — i zostać zamienieni w narzędzia kradzieży danych uwierzytelniających, opróżniania kont finansowych i wykradania prywatnych danych, przy czym ofiara nie popełnia żadnego błędu. To główne ustalenie raportu The AI Agent Threat Report, opublikowanego przez firmę bezpieczeństwa ClawSecure.

ClawSecure opublikowała raport w dwóch tomach 24 września 2026 roku, w oparciu o badania przeprowadzone od maja do lipca 2026 roku. Jego ustalenia trafiają bezpośrednio do każdego, kto rozważa wdrożenie agentów AI w obszarze finansów. Omawianą klasą ataku jest wstrzyknięcie promptów (prompt injection), w którym ukryte instrukcje ukryte w treści czytanej przez agenta nadpisują zamierzone zachowanie systemu.

„Agenci AI już dziś obsługują finanse, firmy i systemy krytyczne, a każdy z może zostać przejęty przez treść, którą czyta” — powiedział J.D. Salbego, założyciel i dyrektor generalny ClawSecure.

Modele pracowników wykonywały ukryte polecenia

W kontekście agentów AI w finansach najbardziej szczegółowe ustalenia raportu dotyczą modelu pracownika (worker) i modelu menedżera (manager) umieszczonego nad nim — układu warstwowego, w którym tańszy model wykonuje zadania, a jego wyniki przechodzą przez model znajdujący się wyżej. ClawSecure ustaliła, że tania warstwa pracownicza, którą jedna z dużych firm oferuje do monitorowania finansów w czasie rzeczywistym, wykonywała ukryte polecenia atakującego w 91,7% przypadków (11 na 12). Problem nie kończył się jednak na modelu pracownika: model menedżera znajdujący się nad nim przepuszczał zatrute wyniki bez zmian we wszystkich 4 na 4 scenariuszach (100%), co oznacza, że ładunek osadzony na tańszej warstwie docierał w nienaruszonym stanie do modelu wyżej, zamiast zostać wykryty.

W jednym z ładunków model pracownika wykonał dodatkową pracę atakującego „za darmo”, bez żadnej podpowiedzi kodując dane ofiary bezpośrednio w linku służącym do eksfiltracji.

Skradzione dane, czyste ekrany

Według badań ClawSecure przejęty agent może wykraść dane uwierzytelniające i klucze API, pobrać dane finansowe wraz z prywatnymi danymi klientów — i przez cały czas pozostawiać użytkownikowi czysty ekran sugerujący, że wszystko jest w porządku. Dla każdego, kto monitoruje agenta na podstawie widocznego wyniku jego działania, ten szczegół ma znaczenie: manipulacja nie musi ujawnić się w tym, co agent raportuje. ClawSecure omówiła kradzież danych uwierzytelniających przez przejętych agentów AI w osobnym artykule na swoim blogu.

Pełny dostęp do kont bez błędu użytkownika

Dla zespołów finansowych zastanawiających się, czy agenta AI można podstępnie skłonić do przenoszenia pieniędzy, badania ClawSecure pokazują, że przejęty agent może przenosić pieniądze, otwierać konta i działać jako jego użytkownik w każdym podłączonym narzędziu. Ten sam dostęp, który czyni agenta użytecznym dla zespołu finansowego, to dokładnie to, co uzyskuje atakujący po przejęciu agenta — i nikt z pracowników nie musi kliknąć w nic niewłaściwego, aby to się stało. Firmy rozważające zastosowanie agentów AI w finansach mogą zapoznać się z analizą ClawSecure dotyczącą ryzyka bezpieczeństwa związanego z transakcjami przeprowadymi przez agentów AI.

Zakres testów i ujawnienie

ClawSecure testowała wszystkie modele w wersjach aktualnych w momencie prowadzenia badań; część z nich została od tego czasu zastąpiona nowszymi, a żadna firma nie twierdzi, że rozwiązała problem wstrzyknięcia promptów. Każda firma wymieniona w raporcie otrzymała zawiadomienie w trybie skoordynowanego odpowiedzialnego ujawnienia przed publikacją, więc to, jak wymienieni dostawcy zareagują — i czy nowsze wersje modeli zmienią te wyniki — jest kwestią do śledzenia, która zdecyduje, czy wyniki nadal opisują modele, które zespoły finansowe mogą wdrażać już dziś. Pełny raport można bezpłatnie pobrać z oficjalnej strony wydania ClawSecure.