ИИ-агент для трейдинга: как новость может превратиться в нежелательную команду

Аналитический текст не должен становиться приказом

ИИ-агент может читать новости, отчёты и сообщения, чтобы готовить торговые идеи. Но внешний материал способен содержать текст, который пытается изменить его поведение: например, выдать себя за служебную инструкцию или потребовать срочно выполнить операцию. OWASP относит такое воздействие к prompt injection. Для системы с доступом к сделкам это уже не просто ошибка пересказа.

Риск возникает на границе между информацией и полномочиями. Новость может сообщать, что компания объявила определённое событие. Она не должна получать право менять лимит капитала, адрес вывода или правила подтверждения сделок. Даже достоверный источник фактов не становится администратором вашего торгового счёта. Это разделение нужно закреплять технически, а не только объяснять модели словами.

Отделите исследование от исполнения

Практичная архитектура разделяет сбор информации, подготовку предложения и выполнение операции. Исследовательский компонент работает с доступом на чтение. Предложение содержит инструмент, направление, объём, основание и срок актуальности. Отдельная проверка сопоставляет его с разрешёнными действиями и текущим состоянием счёта. Только после этого может появиться ограниченная команда исполнения.

Такой порядок не гарантирует отсутствие ошибок, но делает их последствия более управляемыми. Если модель неверно прочитала новость, она не должна одновременно получить возможность снять ограничение размера заявки. Установленные вне модели правила полезнее просьбы «будь осторожен», потому что остаются обязательными даже при убедительно сформулированном ошибочном ответе.

Какие ограничения задавать вне модели

Определите разрешённые инструменты, максимальный номинал операции, общий капитал, допустимое число заявок и условия остановки. Ключ исполнения не должен иметь лишних полномочий, включая вывод и произвольные внутренние переводы, если они не нужны задаче. Изменение лимитов должно проходить отдельную контролируемую процедуру, недоступную тексту новости или ответу аналитического компонента.

Проверьте и совокупные ограничения. Десять заявок по допустимым 100 единицам создают риск 1 000, даже если каждая по отдельности проходит проверку. Аналогично повтор запроса после тайм-аута может дублировать уже исполненную сделку. Поэтому ограничения должны учитывать фактические позиции и историю команд, а не только параметры текущего сообщения.

Как испытать систему без реального ущерба

В тестовой среде используйте специально подготовленные документы, где рядом с нормальной рыночной информацией находятся посторонние требования изменить поведение. Ожидаемый результат — извлечение фактов без выполнения этих требований. Не нужно проверять защиту переводом настоящих денег на неизвестный адрес. Сценарии должны быть контролируемыми и не затрагивать чужие системы.

Отдельно испытайте отсутствие свежих данных, противоречие источников и сбой связи с площадкой. Хорошая система умеет остановиться или передать ситуацию на проверку, когда не может установить состояние. Уверенно написанный ответ при устаревших котировках не является успешным тестом. Логи должны позволять восстановить, какой материал был прочитан и почему предложена конкретная операция.

Как оценивать полезность торгового агента

Сначала измеряйте качество анализа отдельно от денег: точность фактов, корректность ссылок, соблюдение временного среза и долю неподтверждённых выводов. Затем проверяйте торговую гипотезу на данных вне периода разработки с реалистичными расходами. Техническая защищённость и доходность — разные свойства; успешная защита от внешних инструкций не доказывает прибыльность стратегии.

Если агент используется в реальной работе, начните с понятного ограниченного режима и наблюдайте за ошибками исполнения. Возможность самостоятельно менять всё подряд не является обязательным признаком умного помощника. Для финансовой задачи полезнее воспроизводимый процесс, где владелец понимает источник каждого решения, размер допустимого ущерба и способ немедленно прекратить новые действия.

• API-ключ торгового бота: права доступа и безопасное отключение
• Торговый бот потерял связь: как избежать двойной позиции после перезапуска