Levantamento sistemático mostra que 100% de 15 esquemas acadêmicos de trading com LLM têm falhas de segurança

O artigo é um SoK (Systematization of Knowledge), ou seja, não descobre uma vulnerabilidade isolada mas sistematiza como a literatura acadêmica de agentes de trading autônomos baseados em LLM lida (ou, majoritariamente, não lida) com segurança. A motivação é o fato de que agentes de trading têm autoridade de execução direta sobre capital real, em um mercado adversarial e reflexivo — ou seja, as próprias ações do agente podem mover o preço que ele está tentando prever, criando um ciclo de retroalimentação que amplia qualquer erro ou manipulação.

O framework FARSIGHT testa três categorias de ataque: manipulação das fontes de informação que alimentam a decisão do agente (por exemplo, notícias ou dados de mercado forjados/injetados), ataques diretos contra o próprio agente (como prompt injection para alterar sua estratégia), e comportamento agente-como-atacante, em que um agente comprometido é usado deliberadamente para disparar eventos de mercado adversos, como um flash-crash. Essa terceira categoria é a mais preocupante porque combina a autonomia de execução do agente com o potencial de dano sistêmico: um único agente comprometido, se tiver autoridade suficiente, pode iniciar uma cascata que afeta o mercado inteiro.

Os números do levantamento são duros para o estado da arte acadêmico: 80% dos 15 esquemas avaliados falham em pelo menos uma métrica central de robustez sob condições de mercado turbulentas, e literalmente 100% exibem alguma vulnerabilidade de segurança nos três eixos testados. Os autores argumentam que essas duas falhas — robustez e segurança — não são independentes: um pequeno erro de julgamento do agente pode, por si só, causar um colapso de mercado, e um atacante pode provocar deliberadamente o mesmo colapso a um custo mínimo, explorando exatamente as mesmas fragilidades estruturais.

Para quem acompanha a adoção de agentes autônomos em domínios de alto risco, este SoK serve como um alerta de que a pesquisa acadêmica em agentes financeiros de LLM tem, em sua maioria, otimizado para desempenho de retorno e ignorado praticamente por completo o modelo de ameaça adversarial realista em que esses sistemas seriam efetivamente implantados. Isso é relevante além do domínio financeiro: qualquer agente de LLM com autoridade de execução direta sobre um sistema de alto impacto (infraestrutura, saúde, mercados) herda essa mesma lacuna estrutural entre funcionar nos benchmarks e resistir a um adversário com incentivo econômico para quebrá-lo.