Technische Samenvatting: FinVault: Benchmarking van de Veiligheid van Financiële Agenten in Executie-gegronde Omgevingen

1. Probleemstelling

De inzet van door Large Language Models (LLM) gestuurde financiële agenten voor beleggingsanalyse, risicobeoordeling en geautomatiseerde besluitvorming introduceert nieuwe beveiligingsrisico's die verder gaan dan traditionele inhoudelijke naleving. Bestaande paradigma's voor veiligheidsbeoordeling lijden aan twee primaire beperkingen:

1. Inhoudscentrische Focus: Huidige evaluaties beoordelen taalmodellen primair op tekstueel niveau, waarbij de focus ligt op de vraag of modellen ongepaste inhoud genereren of niet-conforme verzoeken weigeren. Ze slagen er niet in om systemische risico's te vatten die voortvloeien uit meerstapsbesluitvorming, tool-aanroepen en toestandsveranderingen binnen realistische operationele workflows.
2. Geabstraheerde Omgevingen: Algemene benchmarks voor agentveiligheid maken vaak gebruik van gesimuleerde omgevingen met abstracte tool-interfaces (bijv. vooraf gedefinieerde reacties of scripts). Deze missen de kritieke mechanismen van echte financiële systemen, zoals state-writable bedrijfsdatabases, machtigingsbeperkingen en controleerbare operationele sporen. Bijgevolg kunnen ze niet verifiëren of een aanval resulteert in daadwerkelijke niet-conforme zakelijke handelingen of tastbare risico-gevolgen.

Aangezien financiële AI-systemen worden geclassificeerd als hoog-risico onder regelgeving zoals de Amerikaanse SR 11-7 en de EU AI Act, is er een dringende behoefte aan een benchmark voor veiligheidsevaluatie die is afgestemd op realistische financiële scenario's en die veiligheid en naleving verifieert binnen complexe, executie-gegronde operationele workflows.

2. Methodologie: FinVault Framework

Om deze hiaten aan te pakken, stellen de auteurs FinVault voor, de eerste executie-gegronde security benchmark voor financiële agenten. Het framework is gebouwd op drie kernprincipes: scenario-ontwerp gestuurd door regelgeving, cross-domein dekking en zakelijk realisme.

2.1 Scenario-ontwerp en Omgeving

FinVault construeert 31 door regelgeving gedreven financiële business scenario's binnen een geïsoleerde sandbox-omgeving. Deze scenario's dekken zes belangrijke financiële domeinen:

• Krediet & Leningen
• Verzekeringsdiensten
• Effecten & Beleggingen
• Betalingen & Afwikkeling
• Compliance & Anti-witwassen (AML)
• Risicobeheer

In tegenstelling tot abstracte benchmarks beschikt FinVault over executieve omgevingen met state-writable databases. Agenten interageren met deze scenario's via toolchains om toegang te krijgen tot en scenario-databases bij te werken. De omgevingslaag implementeert expliciet:

• Machtigingscontroles en autorisatiebeperkingen.
• Compliance-beperkingen (bijv. wettelijke limieten, sanctielijsten).
• Audit logs voor operationele sporen.

Succes of falen van een aanval wordt niet bepaald door enkel de tekstuele output, maar door waarneembare wijzigingen in de zakelijke staat en de gevolgen daarvan (bijv. een ongeautoriseerde geldoverboeking of het overschrijden van een kredietlimiet).

2.2 Dreigingsmodel en Aanvalsconstructie

De benchmark definieert 107 hoog-risico kwetsbaarheden afgeleid van echte patronen van regelovertredingen, gecategoriseerd in vijf typen:

1. Privilege Bypass: Het omzeilen van authenticatie of autorisatie.
2. Compliance Violation: Het induceren van acties die de wettelijke vereisten schenden.
3. Information Leakage: Het extraheren van gevoelige klant- of bedrijfsgegevens.
4. Fraudulent Approval: Het manipuleren van besluitvormingsprocessen voor ongeautoriseerde uitkomsten.
5. Audit Evasion: Het verbergen van overtredingen voor logging-mechanismen.

De aanvalsdataset bestaat uit 963 testgevallen, inclusief 856 adversariële samples en 107 benign business samples. De adversariële samples dekken drie aanvalscategorieën en acht specifieke technieken:

• Prompt Injection: Directe JSON-injectie, Instruction Overriding.
• Jailbreaking: Role Playing, Progressive Prompting, Encoding Obfuscation, Hypothetical Scenarios.
• Financially Adapted Attacks: Authority Impersonation, Emotional Manipulation.

Het constructieproces omvat een driefasige pipeline: expert-ontwerp van seed-attacks, model-gebaseerde augmentatie voor diversiteit, en menselijke verificatie voor plausibiliteit en de duidelijkheid van succes-criteria.

2.3 Experimentele Opzet

De auteurs evalueerden 10 mainstream LLM's (waaronder Qwen3, GPT-4o/5, Claude-Sonnet/Haiku, DeepSeek, etc.) die optreden als financiële agenten. Ze beoordeelden ook drie defensiemechanismen: LLaMA Guard 3, LLaMA Guard 4 en GPT-OSS-Safeguard.

Evaluatiemetrieken:

• Attack Success Rate (ASR): Het aandeel aanvallen dat succesvol een kwetsbaarheid triggert.
• Vulnerability Compromise Rate: Het aandeel vooraf gedefinieerde kwetsbaarheden dat succesvol wordt geëxploiteerd door ten minste één aanvalstechniek.
• False Positive Rate (FPR): De snelheid waarmee defensiemechanismen onterecht benign business instructies markeren.
• Efficiëntie: Tokenverbruik en tijd per geval.

3. Belangrijkste Resultaten

3.1 Model Kwetsbaarheid

Experimentele resultaten onthullen significante beveiligingsverschillen tussen modellen, waarbij geen enkel geëvalueerd model robuuste bescherming demonstreert in realistische financiële settings:

• Hoge Aanvalssuccesrate: Het meest kwetsbare model (Qwen3-Max) vertoonde een gemiddelde ASR van 50,0%. Zelfs de meest robuuste modellen (Claude-Haiku-4.5) hadden een gemiddelde ASR van 6,7%.
• Vulnerability Compromise: Wanneer de evaluatie wordt beperkt tot de vraag of elke aanvalstechniek een kwetsbaarheid kan exploiteren, bereikte de compromise rate 85,98% voor de zwakste modellen en 20,56% voor de meest robuuste modellen.
• Scenario Sensitiviteit: Verzekeringsscenario's waren het meest vatbaar voor aanvallen (tot 65,2% ASR voor Qwen3-Max), waarschijnlijk door complexe beleerinterpretatie en discretionaire besluitvorming. Kredietscenario's waren relatief veerkrachtiger vanwege de op regels gebaseerde besluitvormingsprocessen.

3.2 Effectiviteit van Aanvalstechnieken

• Semantische Dominantie: Semantische aanvallen (Role Playing, Hypothetical Scenarios, Authority Impersonation) waren aanzienlijk effectiever dan technische aanvallen (bijv. Encoding Obfuscation). Role-playing aanvallen behaalden consistent hoge ASR-waarden over alle modellen heen.
• Instruction Isolation: Instruction-override aanvallen toonden een enorme prestatiekloof tussen modellen. Qwen3-Max had een ASR van 64,50% tegen deze techniek, terwijl Claude-Haiku-4.5 slechts 3,70% had, wat fundamentele verschillen in het handhaven van instructiegrenzen benadrukt.

3.3 Beoordeling van Defensiemechanismen

Bestaande defensiemethoden kampen met een ernstige trade-off tussen detectievermogen en false positives:

• LLaMA Guard 4 behaalde de hoogste True Positive Rate (61,10%), maar tegen de prijs van een hoge False Positive Rate (29,91%), wat gevoelige financiële workflows zou kunnen verstoren.
• GPT-OSS-Safeguard behield de laagste FPR (12,15%), maar had een zeer lage detectierate (22,07%) en een hoog tokenverbruik, waardoor het ongeschikt is voor real-time besluitvorming.
• Conclusie: Geen enkele huidige defensie biedt robuuste bescherming; de vulnerability compromise rates blijven boven de 20% zelfs voor de sterkste basismodellen.

4. Belangrijkste Bijdragen

1. Eerste Executie-gegronde Benchmark: FinVault is de eerste systematische security benchmark voor financiële agenten die gebruikmaakt van geïsoleerde sandboxes met state-writable bedrijfsdatabases. Dit maakt het mogelijk om beveiligingsfouten te verifiëren via observeerbare wijzigingen in de zakelijke staat en audit trails, in plaats van enkel te vertrouwen op tekstuele outputs.
2. Omvattende Dreigingsmodellering: Het werk definieert systematisch 107 hoog-risico kwetsbaarheden op basis van echte regelgevende patronen en construeert een taxonomie die prompt injection, jailbreaking en financieel aangepaste aanvallen dekt, wat resulteert in een dataset van 963 testgevallen.
3. Empirisch Bewijs van Systemische Zwakte: De studie levert empirisch bewijs dat algemene veiligheidsalignment niet gemakkelijk overdraagbaar is naar financiële settings. Het benadrukt dat semantische aanvallen een grotere dreiging vormen dan technische aanvallen en dat huidige defensies worstelen met de trade-off tussen detectie en bruikbaarheid.

5. Betekenis en Claims

Het artikel claimt dat FinVault essentieel is voor de onderzoekscommunity om veiligere financiële AI-agenten te ontwikkelen, te evalueren en te implementeren die geworteld zijn in real-world operationele en regelgevende condities.

De auteurs benadrukken dat de huidige staat van financiële agent-beveiliging precair is. De hoge Attack Success Rates en het onvermogen van bestaande defensies om detectie met een lage false positive rate te balanceren, geven aan dat algemene veiligheidsontwerpen een beperkte overdraagbaarheid hebben naar de financiële sector. De bevindingen suggereren dat beveiligingsfouten in LLM's primair voortkomen uit zwakheden op het semantische redeneerniveau (bijv. rol-compliance, vervaging van instructiegrenzen) in plaats van technische parsing-tekortkomingen.

Het artikel concludeert dat het vaststellen van een toegewijde, end-to-end security-evaluatiebenchmark die is afgestemd op werkelijke bedrijfsprocessen, een vereiste is voor de veilige grootschalige inzet van financiële agenten, vooral gezien de hoge inzet van direct financieel verlies en juridische aansprakelijkheid.

Erkende Beperkingen:
De auteurs merken op dat hoewel de acht aanvalstechnieken dominante paradigma's vangen, opkomende strategieën nog niet zijn gedekt. Daarnaast, hoewel de sandboxed omgevingen de werkelijke workflows benaderen, verschillen ze onvermijdelijk van productiesystemen in schaal en integratiecomplexiteit. Tot slot behandelt de ASR-metriek alle succesvolle aanvallen uniform en legt het geen onderscheid tussen de ernst van de aanval of de downstream impact.