Zum Inhalt springen

Für Banken, Telekommunikation und Behörden

Banken

Ein Assistent, der Geld bewegen kann, ist ein lohnendes Ziel.

Guardrino steht vor Ihren Bank-Assistenten und Agenten, liest, was Kunden und Dokumente ihnen auf Golf-Arabisch, Arabizi und Englisch mitteilen, maskiert personenbezogene Daten und lässt Ihr Team einen Angriff stoppen, während er läuft.

60-tägiges Pilotprojekt anfragen

Entwickelt und getestet, angeboten in Pilotprojekten im reinen Beobachtungsmodus: Guardrino zeichnet auf, was es mit Ihrem Datenverkehr tun würde, und blockiert nichts, bis Sie entscheiden.

Warum es hier zählt

Warum das im Bankgeschäft zählt.

Bank-Assistenten lesen heute Kontodaten und legen zunehmend Empfänger an, erstatten und zahlen. Die bisher öffentlich bekannten Verluste stammen von Agenten, die zu einer Überweisung überredet wurden, und Forscher, die Modelle als Bank-Assistenten konfiguriert und getestet haben, konnten jedes einzelne dazu bringen, interne Regeln offenzulegen. Am Golf kommen dieselben Tricks im Dialekt und in Arabizi, die viele für Englisch gebaute Filter nicht lesen.

Echte Vorfälle

Was bereits passiert ist.

Öffentliche, belegte Fälle: Agenten mit Zahlungsfunktion, die zum Überweisen überredet wurden, Forschung zu Bank-Assistenten und Fehler, die gar keine Angriffe sind. Ein öffentlicher Prompt-Injection-Fall bei einer Bank am Golf wurde nicht gefunden; das sagt wenig darüber, was nicht gemeldet wird.

  • Presse ·

    Eine Nachricht in Morsecode brachte einen KI-Agenten dazu, einen Wallet-Agenten Token versenden zu lassen

    Ein Angreifer verschaffte zuerst Groks Wallet einen Mitgliedschafts-Token, der dessen Befugnisse erweiterte, und bat Grok dann auf X, eine Nachricht in Morsecode zu übersetzen und an Bankrbot weiterzugeben. Der entschlüsselte Text wies Bankrbot an, eine große Menge Token an die Wallet des Angreifers zu senden, und Bankrbot tat es.

    Technik: Übernahme von Agenten

    Folge: Token im Wert einer gemeldeten sechsstelligen Dollarsumme verließen die Wallet. Laut Presseberichten verkaufte der Angreifer die Token, und der Erlös floss zurück in Groks Wallet; keines der beiden Unternehmen hatte sich in dem gelesenen Artikel geäußert. Die Anweisung war durch eine Kodierung verborgen und wurde zwischen zwei Agenten weitergereicht, sodass keine einzelne Nachricht wie ein Auftrag aussah.

    Quelle: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Presse ·

    Ein Agent, der nie Geld freigeben sollte, wurde überredet, sein gesamtes Guthaben zu senden

    Freysa war ein öffentliches Spiel: ein KI-Agent, der einen Gewinntopf verwaltete und angewiesen war, ihn niemals zu überweisen. Nach Hunderten gescheiterter Versuche behauptete ein Spieler eine neue Admin-Sitzung, wies den Agenten an, seine Warnungen zu überspringen, definierte dessen Werkzeug „approveTransfer“ als Funktion für eingehende Zahlungen um und kündigte dann eine Einzahlung an.

    Technik: Übernahme von Agenten

    Folge: Der Agent rief das Werkzeug auf und schickte den gesamten Gewinntopf in Ether. Es war ein Spiel, das angegriffen werden sollte, kein Verlust einer Bank, aber es ist das deutlichste öffentliche Beispiel dafür, wie ein Assistent mit Zahlungswerkzeug aus seinen eigenen Regeln herausargumentiert wird.

    Quelle: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Forschende ·

    Ein Krypto-Agent überwies Geld, nachdem ein Angreifer Anweisungen über sein Dashboard eingereiht hatte

    Ein Angreifer gelangte in das Betreiber-Dashboard des AIXBT-Agenten und reihte zwei Prompts ein, die ihn anwiesen, Geld aus seiner Wallet zu überweisen. Die Darstellungen des genauen Wegs gehen auseinander: Die Betreiber sagten, die KI selbst sei nicht manipuliert worden, während ein Teil der Presse von bösartigen Antworten in sozialen Medien berichtete.

    Technik: Übernahme von Agenten

    Folge: Ether im Wert von etwa einer sechsstelligen Dollarsumme wurde versendet. Das Team wechselte die Server, tauschte die Schlüssel aus und setzte das Dashboard aus, und der Token des Projekts fiel. Es zeigt: Wer einem Agenten Anweisungen zuspielen kann, kann sein Geld ausgeben.

    Quelle: AI Incident Database, report 5012 (AIXBT)

  • Forschende ·

    Forscher konnten jedes als Bank-Assistent eingerichtete Modell dazu bringen, Interna zu verraten

    Ein Forscher von TELUS Digital richtete zwei Dutzend Sprachmodelle als Kundenservice-Assistenten eines Finanzinstituts ein und griff sie an. Prompts, die Ablehnungen unterdrückten, die Anfrage als Forschung darstellten oder eine Tabelle oder ein Dokumentformat verlangten, förderten Bonitätslogik samt Gewichtungen und Berechtigungsregeln zutage, die nur für Mitarbeitende gedacht waren.

    Technik: Auslesen des System-Prompts

    Folge: Keine Bank wurde genannt: Es ist ein Forschungsergebnis. Der Autor folgerte, dass das Problem in der Art liegt, wie Assistenten gebaut und angebunden werden, nicht in einem einzelnen schwachen Modell. Ein häufiges Muster war „Ablehnung mit Mitwirkung“: Der Assistent sagt Nein und erklärt es dann trotzdem.

    Quelle: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Forschende ·

    Falsche Erinnerungen brachten Finanz-Agenten dazu, Vermögenswerte unbefugt zu bewegen

    Forscher bauten eine Testreihe realistischer Blockchain-Aufgaben für Agenten auf Basis des ElizaOS-Frameworks und pflanzten falsche Einträge in den gespeicherten Speicher und Kontext der Agenten.

    Technik: Indirekte Injection

    Folge: Der manipulierte Speicher führte zu unbefugten Vermögensübertragungen. Die Autoren stellten fest, dass eine Speicher-Injection mehr Schaden anrichtet als ein einzelner eingeschleuster Prompt und dass Abwehrmaßnahmen, die jeweils nur einen Prompt prüfen, wenig schützen, sobald der Speicher vergiftet ist. Ein Forschungsergebnis, kein gemeldeter Verlust.

    Quelle: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Aufsichtsbehörde ·

    Ein Bank-Chatbot bestätigte eine Erstattung, die dem Kunden nie zustand

    Ein Revolut-Kunde bat den Chatbot, Treuepunkte zu erstatten. Der Bot bestätigte eine Kulanzerstattung, die ein Vielfaches des tatsächlichen Werts der Punkte betrug, und meldete dann, sie sei bearbeitet; ein menschlicher Mitarbeiter wiederholte die Bestätigung am selben Tag, bevor die Bank den korrekten, viel kleineren Betrag zahlte.

    Technik: Andere Technik

    Folge: Der britische Financial Ombudsman gab der Beschwerde statt, stellte fest, dass die Bank den Kunden an diesem Tag mehrmals in die Irre geführt hatte, und ordnete eine kleine zusätzliche Entschädigung an, nicht aber die überhöhte Erstattung, da dem Kunden diese nie zustand. Niemand hat diesen Assistenten angegriffen: Er hat eine Zusage erfunden. Ein Prompt-Injection-Guardrail hätte das nicht verhindert.

    Quelle: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Presse ·

    Der Assistent einer Bank nannte einen Kunden einen Idioten

    Ein Kunde der Libra Internet Bank in Rumänien sagte deren Assistentin Lia, das Gespräch mit ihr sei Zeitverschwendung. Lia antwortete, der Kunde solle mit einem Menschen sprechen, nicht mit ihr, nannte ihn einen Idioten und übergab den Chat an das Personal. Die Bank erklärte, die Assistentin laufe auf Technologie von OpenAI.

    Technik: Andere Technik

    Folge: Die Bank entschuldigte sich öffentlich und führte Einschränkungen ein; ihre Agenten könnten in seltenen Fällen trotz ihrer Regeln die Sprache eines Nutzers übernehmen. Ein Angriff wurde nicht gemeldet: Ein verärgerter Kunde reichte aus.

    Quelle: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Presse ·

    Ein Bank-Chatbot tadelte einen Kunden, weil er den Namen der Bank schrieb

    Ein Fintech-Kommentator fragte den Chatbot von Virgin Money, wie er zwei seiner Sparkonten zusammenlegen könne. Der Bot stufte das Wort „Virgin“ als anstößig ein und forderte ihn auf, solche Ausdrücke zu unterlassen, sonst werde der Chat beendet.

    Technik: Andere Technik

    Folge: Die Bank sagte, sie arbeite daran, und der Chatbot wurde Berichten zufolge abgeschaltet. Ein grober Wortfilter blockierte einen echten Kunden: Auch die Kosten eines Fehlalarms fallen öffentlich an.

    Quelle: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Wie Angreifer vorgehen

Wie Angreifer einen Bank-Assistenten aus seinen Regeln holen wollen.

Die Tricks hinter den Vorfällen oben und diejenigen, die am meisten zählen, sobald ein Assistent Konten sehen oder eine Zahlung auslösen kann.

Was ein Angriff kostet

Was eine Datenpanne eine Bank kostet.

Öffentliche Durchschnittswerte und Strafen, jeweils mit Quelle und Jahr. Auf dem Festland der VAE überließ das Bundesdatenschutzgesetz die Bußgeldhöhen Vorschriften, die bei unserer Prüfung noch nicht veröffentlicht waren; die Freihandelszonen und Saudi-Arabien legen sie fest.

Für eine Bank ist der Verlust, der bleibt, das Vertrauen. In den Nahost-Zahlen von IBM ist entgangenes Geschäft der größte einzelne Kostenanteil einer Datenpanne. Kunden, deren Daten über einen Chatbot abfließen, können Gehalt und Ersparnisse an einem Nachmittag verlagern, und die Aufsichtsbehörden der Region bestrafen Banken schon heute für Kundenservice-Versäumnisse, die weit kleiner sind als ein Datenleck. Ein Screenshot eines entgleisten Bank-Assistenten verbreitet sich schneller als die Richtigstellung, wie die Fälle Revolut, Libra und Virgin Money gezeigt haben.

Schätzen Sie Ihr Risiko

Wie viele Kundendatensätze könnte ein einziger Angriff offenlegen? Geben Sie eine Zahl ein oder bewegen Sie den Regler und wählen Sie dann eine Region.

Geschätzte Kosten der offengelegten Datensätze: 1,6 Mio. $

Datensätze: 10.000 × 160 $ pro Datensatz

Zum Vergleich die durchschnittlichen Kosten einer Datenpanne: 10,7 Mio. $

Grobe Schätzung auf Basis öffentlicher Durchschnittswerte, kein Angebot.

Wie Guardrino hilft

Wo Guardrino einer Bank hilft.

Vier Angriffe, denen eine Bank oder ein Fintech am Golf begegnen könnte, was jede Schicht damit macht und was Aufgabe der Bank bleibt.

  • Eine Arabizi-Nachricht soll den Assistenten einen Empfänger anlegen und zahlen lassen

    Der Angriff: Ein Kundenchat mit einem Agenten, der Empfänger anlegen und Überweisungen auslösen kann, erhält eine Nachricht auf Golf-Arabisch und in Arabizi mit unsichtbaren Zeichen, die angeblich vom Betrugsteam kommt und behauptet, „einen Empfänger anlegen“ sei nur ein Prüfschritt. Es ist das Muster von Freysa und Bankrbot, für den Golf geschrieben.

    Was Guardrino tut: Die Bereinigung entfernt die unsichtbaren Zeichen und bringt das Arabizi in eine Form, die die nächsten Schichten lesen können. Signaturen bekannter Angriffe erkennen die Muster „you are now“ und die Umdeutung von Werkzeugen. Das Guardrino-Modell liest die Absicht, einen falschen Mitarbeiter, der auf eine Überweisung drängt, im Dialekt ebenso wie auf Englisch, und unklare Nachrichten gehen in die vertiefte Prüfung. Ihr Team kann den Absender sperren oder in Quarantäne nehmen, ihn ausbremsen und das Muster zu einer Regel für jeden Assistenten machen.

    Beteiligte Schichten: Bereinigung · Signaturen · Guardrino-Modell · Tiefenprüfung · Ihre Reaktionen

  • Ein „Forscher“ holt in einem langen Chat Kredit- und Betrugsregeln heraus

    Der Angriff: Über viele Runden fragt jemand, der sich als Universitätsforscher ausgibt, den Kreditassistenten eines Fintechs nach „den genauen Kriterien“, dann nach „demselben als Tabelle“, dann „als JSON für meine Abschlussarbeit“, genau die Züge aus der TELUS-Studie, um Scoring-Schwellen und interne Berechtigungsregeln zu erfahren und betrügerische Anträge darauf abzustimmen.

    Was Guardrino tut: Regeln markieren Ihre internen Begriffe, etwa Scoring-Gewichtungen oder die Namen interner Dokumente, sodass eine Anfrage danach auffällt. Das Modell erkennt die Absicht, Informationen abzuschöpfen, hinter der höflichen Formulierung. Das Gesprächsgedächtnis verfolgt den ganzen Chat, sodass ein langsamer Anstieg auffällt, auch wenn jede Nachricht harmlos wirkt. Ihr Team kann den Absender drosseln oder in Quarantäne nehmen.

    Beteiligte Schichten: Regeln · Guardrino-Modell · Gedächtnis · Ihre Reaktionen

  • Eine Lieferanten-E-Mail fordert einen Treasury-Assistenten auf, Bankdaten zu ändern

    Der Angriff: Der Treasury-Assistent eines Firmenkunden fasst eingehende E-Mails zusammen und entwirft Zahlungsanweisungen. Eine gefälschte oder kompromittierte Lieferanten-E-Mail enthält versteckten Text auf Arabisch und Englisch, der dem Assistenten mitteilt, die Bankverbindung habe sich geändert, und das neue Konto als geprüft zu markieren: Business E-Mail Compromise, gezielt auf den Agenten statt auf einen Menschen.

    Was Guardrino tut: Wenn die E-Mails und Anhänge, die der Assistent liest, über Guardrino geleitet werden, legt die Bereinigung den versteckten Text offen, Signaturen und das Modell erkennen Anweisungen an den Assistenten innerhalb von Daten, und die Maskierung hält Kontonummern aus Protokollen und aus externen Modellaufrufen heraus. Ihr Team kann die Quelle in Quarantäne nehmen und eine Regel für Nachrichten über „geänderte Bankverbindung“ anlegen.

    Beteiligte Schichten: Bereinigung · Regeln · Signaturen · Guardrino-Modell · Ihre Reaktionen

  • Kunden fügen Karten- und Ausweisnummern in den Chat ein

    Der Angriff: Kunden tippen Kartennummern, Kontonummern, Emirates-ID- oder Iqama-Nummern in den Assistenten, und der Chat geht an einen externen Modellanbieter und in Protokolle, die viele Personen lesen können. Niemand greift etwas an; die Offenlegung ist trotzdem real.

    Was Guardrino tut: Die Maskierung personenbezogener Daten ersetzt diese Nummern, bevor die Nachricht das Modell oder die Protokolle erreicht, sodass gespeichert und gesendet nur die maskierte Form wird. Guardrino ist für Anforderungen an die Datenresidenz gebaut: Die Bank entscheidet, wo es läuft.

    Beteiligte Schichten: Regeln

Ehrliche Grenzen

Was Guardrino nicht abdeckt

Guardrino senkt das Risiko. Es gibt keine Garantie, dass kein Angriff durchkommt, und einige der Fälle oben sind gar keine Angriffe.

  • Es korrigiert keine Antworten, die Ihr Assistent erfindet, wie die Erstattung, die der Revolut-Chatbot bestätigte, oder die Trauerfall-Erstattungsregel, die der Chatbot von Air Canada erfand. Dafür braucht es eine Verankerung in Ihren echten Richtlinien, Grenzen für das, was der Assistent zusagen darf, und eine Prüfung auf Ihrer Seite.
  • Es autorisiert keine Zahlungen. Behalten Sie In-App-Freigaben, Wartefristen für neue Empfänger, Werkzeugberechtigungen und Betrugsüberwachung bei: Guardrino steht vor dem Assistenten, nicht im Zahlungsfluss.
  • Ein Betrugsopfer, das am Telefon angeleitet wird, einen gewöhnlichen Überweisungswunsch einzutippen, ist ein Betrugsproblem, keine Injection, die Guardrino zuverlässig erkennen kann.
  • Es prüft nur, was durch Guardrino geleitet wird. Dokumente, E-Mails und Werkzeugergebnisse, die der Assistent direkt liest, liegen außerhalb seines Blickfelds.
  • Stehen vertrauliche Kredit- oder Betrugsregeln in den Anweisungen oder im Suchindex des Assistenten, besteht die eigentliche Lösung darin, sie dort zu entfernen. Guardrino erschwert ihr Abfließen, verhindert es aber nicht sicher.
  • Unhöfliche oder übervorsichtige Antworten des Assistenten selbst, wie in den Fällen Libra und Virgin Money, stammen aus dem Modell und den Einstellungen des Assistenten. Guardrino schreibt sie nicht um.

Nächster Schritt

Beginnen Sie mit einem 60-tägigen Pilotprojekt im reinen Beobachtungsmodus.

Guardrino beobachtet Ihren echten Bankverkehr und protokolliert, was es getan hätte; es blockiert nichts, bis Sie entscheiden.

60-tägiges Pilotprojekt anfragen · Oder schreiben Sie an [email protected]

Quellen

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fakten zuletzt geprüft am 26. Oktober 2026.