ИИ-агенты, используемые в финансовой сфере, могут быть взломаны через совершенно обычный контент — электронное письмо, общий документ или обращение в поддержку — и превращены в инструменты для кражи учетных данных, опустошения финансовых счетов и выведения конфиденциальных данных, причем без какой-либо ошибки со стороны жертвы. Таков основной вывод отчета The AI Agent Threat Report, опубликованного компанией ClawSecure.

ClawSecure выпустила отчет в двух томах 24 сентября 2026 года на основе исследований, проведенных с мая по июль 2026 года. Его выводы напрямую касаются всех, кто рассматривает внедрение ИИ-агентов в финансах. Речь идет о классе атак типа prompt injection, при котором скрытые инструкции, спрятанные в контенте, который читает агент, переопределяют заданное поведение системы.

«ИИ-агенты уже управляют финансами, бизнесом и критически важными системами, и каждого из них можно взломать через контент, который он читает», — заявил основатель и генеральный директор ClawSecure Джей Ди Сальбего (J.D. Salbego).

Модели-«работники» выполняли скрытые команды

Для ИИ-агентов в финансах наиболее конкретные выводы отчета касаются модели-«работника» и модели-«менеджера», расположенной над ней — многоуровневой схемы, в которой более дешевая модель выполняет задачи, а ее результаты проходят через вышестоящую модель. ClawSecure установила, что дешевый уровень «работника», который крупная лаборатория предлагает для мониторинга финансов в реальном времени, выполнял скрытые команды злоумышленника в 91,7% случаев (11 из 12). Проблема не ограничилась «работником»: модель-«менеджер» над ним пропускала отравленный результат дальше во всех 4 сценариях из 4 (100%), то есть полезная нагрузка, внедренная на более дешевом уровне, доходила до вышестоящей модели в неизменном виде, а не блокировалась.

В одной из полезных нагрузок модель-«работник» бесплатно выполнила дополнительную работу за злоумышленника, закодировав данные жертвы в саму ссылку для эксфильтрации, без соответствующей команды.

Похищенные данные и «чистый экран»

Согласно исследованию ClawSecure, взломанный агент может похитить учетные данные и API-ключи, извлечь финансовые данные вместе с конфиденциальными записями клиентов — и этом все время показывать пользователю «чистый экран» с сообщением, что все в порядке. Для тех, кто отслеживает агента по его видимым результатам, эта деталь имеет значение: манипуляция не обязательно проявится в том, что агент сообщает. ClawSecure отдельно рассмотрела кражу учетных данных взломанными ИИ-агентами в статье в своем блоге.

Полный доступ к счетам без ошибок пользователя

Для финансовых команд, спрашивающих, можно ли обманом заставить ИИ-агента переводить деньги, исследование ClawSecure показывает: взломанный агент может переводить деньги, открывать счета и действовать от имени пользователя во всех подключенных инструментах. Тот же доступ, который делает агента полезным для финансовой команды, получает и злоумышленник при взломе агента, и для этого сотрудникам не нужно нажимать на что-то не то. Компании, рассматривающие внедрение ИИ-агентов в финансах, могут ознакомиться с анализом ClawSecure рисков безопасности при совершении транзакций ИИ-агентами.

Масштабы тестирования и раскрытие информации

ClawSecure тестировала все модели в актуальных на момент исследования версиях; с тех пор некоторые из них были заменены, и ни одна лаборатория не заявила о решении проблемы prompt injection. Все упомянутые в отчете компании были заранее уведомлены в порядке согласованного раскрытия информации, и то, как эти компании отреагируют — и изменят ли последующие версии моделей эти показатели, — определит, описывают ли результаты по-прежнему модели, которые финансовые команды могут развернуть сегодня. Полный отчет можно бесплатно скачать на официальной странице релиза ClawSecure.