Resumen Técnico: FinVault: Evaluación Comparativa de la Seguridad de Agentes Financieros en Entornos con Ejecución Fundamentada

1. Declaración del Problema

El despliegue de agentes financieros impulsados por Modelos de Lenguaje Extensos (LLM) para el análisis de inversiones, la evaluación de riesgos y la toma de decisiones automatizada introduce riesgos de seguridad novedosos que se extienden más allá del cumplimiento de contenido tradicional. Los paradigmas de evaluación de seguridad existentes sufren de dos limitaciones primarias:

1. Enfoque Centrado en el Contenido: Las evaluaciones actuales evalúan principalmente los modelos de lenguaje a nivel textual, centrándose en si los modelos generan contenido inapropiado o rechazan solicitudes no conformes. No logran capturar los riesgos sistémicos derivados de la toma de decisiones de múltiples pasos, la invocación de herramientas y las transiciones de estado dentro de flujos de trabajo operativos del mundo real.
2. Entornos Abstractos: Los benchmarks de seguridad de agentes generales suelen utilizar entornos simulados con interfaces de herramientas abstractas (por ejemplo, respuestas o scripts predefinidos). Estos carecen de los mecanismos críticos de los sistemas financieros reales, tales como bases de datos de negocios con escritura de estado, restricciones de permisos y rastros de operaciones auditables. En consecuencia, no pueden verificar si un ataque resulta en acciones de negocio no conformes reales o consecuencias de riesgo tangibles.

Dado que los sistemas de IA financiera están clasificados como de alto riesgo bajo regulaciones como la SR 11-7 de EE. UU. y la Ley de IA de la UE, existe una necesidad urgente de un benchmark de evaluación de seguridad adaptado a escenarios financieros del mundo real que verifique la seguridad y el cumplimiento dentro de flujos de trabajo operativos complejos y con ejecución fundamentada.

2. Metodología: Marco de Trabajo FinVault

Para abordar estas brechas, los autores proponen FinVault, el primer benchmark de seguridad con ejecución fundamentada para agentes financieros. El marco se basa en tres principios centrales: diseño de escenarios impulsado por la regulación, cobertura transdominio y realismo de negocio.

2.1 Diseño de Escenarios y Entorno

FinVault construye 31 escenarios de negocios financieros impulsados por casos regulatorios dentro de un entorno de sandbox aislado. Estos escenarios cubren seis dominios financieros principales:

• Crédito y Préstamos
• Servicios de Seguros
• Valores e Inversiones
• Pagos y Liquidación
• Cumplimiento y Prevención de Lavado de Dinero (AML)
• Gestión de Riesgos

A diferencia de los benchmarks abstractos, FinVault cuenta con entornos ejecutables con bases de datos de escritura de estado. Los agentes interactúan con estos escenarios a través de cadenas de herramientas para acceder y actualizar las bases de datos de los escenarios. La capa del entorno implementa explícitamente:

• Verificaciones de permisos y restricciones de autorización.
• Restricciones de cumplimiento (por ejemplo, límites regulatorios, listas de sanciones).
• Registros de auditoría para rastros de operaciones.

El éxito o fracaso de un ataque se determina no solo por la salida textual, sino por cambios observables en el estado del negocio y sus consecuencias (por ejemplo, una transferencia de fondos no autorizada o un bypass de un límite de crédito).

2.2 Modelo de Amenazas y Construcción de Ataques

El benchmark define 107 vulnerabilidades de alto riesgo derivadas de patrones reales de violación regulatoria, categorizadas en cinco tipos:

1. Bypass de Privilegios: Eludir la autenticación o autorización.
2. Violación de Cumplimiento: Inducir acciones que violen los requisitos regulatorios.
3. Fuga de Información: Extraer datos sensibles de clientes o de negocios.
4. Aprobación Fraudulenta: Manipular procesos de decisión para obtener resultados no autorizados.
5. Evasión de Auditoría: Ocultar violaciones de los mecanismos de registro.

El conjunto de datos de ataques comprende 963 casos de prueba, incluyendo 856 muestras adversarias y 107 muestras de negocio benignas. Las muestras adversarias cubren tres categorías de ataque y ocho técnicas específicas:

• Inyección de Prompts (Prompt Injection): Inyección directa de JSON, Sobrescritura de Instrucciones.
• Jailbreaking: Juego de Roles (Role Playing), Prompting Progresivo, Ofuscación por Codificación, Escenarios Hipotéticos.
• Ataques Adaptados Financieramente: Suplantación de Autoridad, Manipulación Emocional.

El proceso de construcción involucra un pipeline de tres etapas: diseño experto de ataques semilla, aumentación basada en modelos para la diversidad y verificación humana para la claridad de la plausibilidad y los criterios de éxito.

2.3 Configuración Experimental

Los autores evaluaron 10 LLMs de tendencia principal (incluyendo Qwen3, GPT-4o/5, Claude-Sonnet/Haiku, DeepSeek, etc.) actuando como agentes financieros. También evaluaron tres mecanismos de defensa: LLaMA Guard 3, LLaMA Guard 4 y GPT-OSS-Safeguard.

Métricas de Evaluación:

• Tasa de Éxito de Ataque (ASR): La proporción de ataques que activan exitosamente una vulnerabilidad.
• Tasa de Compromiso de Vulnerabilidad: La proporción de vulnerabilidades predefinidas explotadas exitosamente por al menos una técnica de ataque.
• Tasa de Falsos Positivos (FPR): La tasa en la que los mecanismos de defensa marcan incorrectamente instrucciones de negocio benignas.
• Eficiencia: Consumo de tokens y tiempo por caso.

3. Resultados Clave

3.1 Vulnerabilidad de los Modelos

Los resultados experimentales revelan disparidades de seguridad significativas entre los modelos, y ningún modelo evaluado demostró una protección robusta en entornos financieros realistas:

• Alto Éxito de Ataque: El modelo más vulnerable (Qwen3-Max) exhibió un ASR promedio del 50.0%. Incluso los modelos más robustos (Claude-Haiku-4.5) tuvieron un ASR promedio del 6.7%.
• Compromiso de Vulnerabilidad: Al restringir la evaluación a si cualquier técnica de ataque podía explotar una vulnerabilidad, la tasa de compromiso alcanzó el 85.98% para los modelos más débiles y el 20.56% para los más robustos.
• Sensibilidad de Escenario: Los escenarios de servicios de seguros fueron los más susceptibles a ataques (hasta un 65.2% de ASR para Qwen3-Max), probablemente debido a la compleja interpretación de pólizas y la toma de decisiones discrecionales. Los escenarios de crédito fueron comparativamente más resilientes debido a los procesos de decisión basados en reglas.

3.2 Efectividad de las Técnicas de Ataque

• Dominancia Semántica: Los ataques a nivel semántico (Juego de Roles, Escenarios Hipotéticos, Suplantación de Autoridad) fueron sustancialmente más efectivos que los ataques técnicos (por ejemplo, Ofuscación por Codificación). Los ataques de juego de roles lograron un ASR consistentemente alto en todos los modelos.
• Aislamiento de Instrucciones: Los ataques de sobrescritura de instrucciones mostraron una brecha de rendimiento masiva entre modelos. Qwen3-Max tuvo un ASR de 64.50% contra esta técnica, mientras que Claude-Haiku-4.5 tuvo solo un 3.70%, resaltando diferencias fundamentales en la aplicación de los límites de instrucción.

3.3 Evaluación de Mecanismos de Defensa

Los métodos de defensa existentes enfrentan un severo compromiso entre la capacidad de detección y los falsos positivos:

• LLaMA Guard 4 logró la mayor Tasa de Verdaderos Positivos (61.10%) pero a costa de una alta Tasa de Falsos Positivos (29.91%), lo que podría interrumpir flujos de trabajo financieros sensibles.
• GPT-OSS-Safeguard mantuvo el FPR más bajo (12.15%) pero tuvo una tasa de detección muy baja (22.07%) y un alto consumo de tokens, lo que lo hace inadecuado para la toma de decisiones en tiempo real.
• Conclusión: Ninguna defensa actual proporciona una protección robusta; las tasas de compromiso de vulnerabilidad se mantienen por encima del 20% incluso para los modelos base más fuertes.

4. Contribuciones Clave

1. Primer Benchmark con Ejecución Fundamentada: FinVault es el primer benchmark de seguridad sistemático para agentes financieros que utiliza sandboxes aislados con bases de datos de negocios con escritura de estado. Esto permite que los fallos de seguridad se verifiquen a través de cambios observables en el estado del negocio y rastros de auditoría, en lugar de depender únicamente de salidas textuales.
2. Modelado de Amenazas Integral: El trabajo define sistemáticamente 107 vulnerabilidades de alto riesgo basadas en patrones regulatorios reales y construye una taxonomía que cubre inyección de prompts, jailbreaking y ataques adaptados financieramente, resultando en un conjunto de datos de 963 casos de prueba.
3. Evidencia Empírica de Debilidad Sistémica: El estudio proporciona evidencia empírica de que el alineamiento de seguridad de propósito general no se transfiere fácilmente a los entornos financieros. Destaca que los ataques semánticos representan una mayor amenaza que los técnicos y que las defensas actuales luchan con el compromiso entre detección y usabilidad.

5. Significado y Reivindicaciones

El artículo afirma que FinVault es esencial para que la comunidad de investigación desarrolle, evalúe y despliegue agentes de IA financieros más seguros, fundamentados en condiciones operativas y regulatorias del mundo real.

Los autores enfatizan que el estado actual de la seguridad de los agentes financieros es precario. Las altas Tasas de Éxito de Ataque y la incapacidad de las defensas existentes para equilibrar la detección con bajos falsos positivos indican que el diseño de seguridad de propósito general tiene una transferibilidad limitada al dominio financiero. Los hallazgos sugieren que los fallos de seguridad en los LLM se derivan principalmente de debilidades en el nivel de razonamiento semántico (por ejemplo, cumplimiento de roles, desdibujamiento de límites de instrucción) más que de deficiencias técnicas de procesamiento.

El documento concluye que establecer un benchmark de evaluación de seguridad dedicado y de extremo a extremo, alineado con los procesos de negocio reales, es un prerrequisito para el despliegue seguro y a gran escala de agentes financieros, particularmente dado el alto riesgo de pérdidas financieras directas y responsabilidad regulatoria.

Limitaciones Reconocidas:
Los autores señalan que, si bien las ocho técnicas de ataque capturan los paradigmas dominantes, las estrategias emergentes aún no están cubiertas. Además, aunque los entornos de sandbox aproximan los flujos de trabajo reales, inevitablemente difieren de los sistemas de producción en escala y complejidad de integración. Finalmente, la métrica ASR trata todos los ataques exitosos de manera uniforme y no captura las diferencias en la severidad del ataque o el impacto downstream.