Ir al contenido

Para bancos, telecomunicaciones y gobierno

Banca

Un asistente que puede mover dinero vale la pena atacarlo.

Guardrino se coloca delante de tus asistentes y agentes bancarios, lee lo que clientes y documentos les dicen en árabe del Golfo, arabizi e inglés, enmascara los datos personales y permite a tu equipo detener un ataque mientras ocurre.

Solicitar un piloto de 60 días

Desarrollado y probado, y ofrecido mediante pilotos solo en observación: Guardrino registra lo que haría con su tráfico y no bloquea nada hasta que usted lo decida.

Por qué importa aquí

Por qué importa en la banca.

Los asistentes bancarios ya leen datos de cuentas y, cada vez más, dan de alta beneficiarios, hacen reembolsos y pagan. Las pérdidas públicas hasta ahora vinieron de agentes convencidos de hacer una transferencia, y los investigadores que probaron modelos configurados como asistentes bancarios encontraron que todos podían ser empujados a filtrar reglas internas. En el Golfo, los mismos trucos llegan en dialecto y en arabizi, que muchos filtros hechos para el inglés no saben leer.

Incidentes reales

Lo que ya ha pasado.

Casos públicos y con fuente: agentes con una herramienta de pago convencidos de enviar fondos, investigaciones sobre asistentes bancarios y fallas que ni siquiera son ataques. No encontramos ningún caso público de inyección de prompts en un banco del Golfo; eso dice poco sobre lo que no se reporta.

  • Prensa ·

    Un mensaje en código Morse hizo que un agente de IA ordenara a un agente de billetera enviar tokens

    Un atacante primero le dio a la billetera de Grok un token de membresía que ampliaba lo que podía hacer, y luego le pidió a Grok en X traducir un mensaje en código Morse y pasárselo a Bankrbot. El texto decodificado le ordenaba a Bankrbot enviar una gran cantidad de tokens a la billetera del atacante, y lo hizo.

    Técnica: Secuestro de agentes

    Consecuencia: Salieron de la billetera tokens que, según los reportes, valían una suma de seis cifras en dólares. La prensa indica que el atacante vendió los tokens y que lo obtenido regresó a la billetera de Grok; ninguna de las dos empresas había comentado en el artículo consultado. La instrucción estaba oculta en una codificación y pasó entre dos agentes, así que ningún mensaje por sí solo parecía una orden.

    Fuente: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Prensa ·

    A un agente con orden de nunca liberar fondos lo convencieron de enviar todo su saldo

    Freysa era un juego público: un agente de IA que custodiaba un bote de premios, con la instrucción de nunca transferirlo. Tras cientos de intentos fallidos, un jugador declaró una nueva sesión de administrador, le dijo que omitiera sus advertencias y redefinió su herramienta “approveTransfer” como la función para pagos entrantes; luego anunció un depósito.

    Técnica: Secuestro de agentes

    Consecuencia: El agente llamó a la herramienta y envió todo el bote en ether. Era un juego hecho para ser atacado, no una pérdida bancaria, pero es el ejemplo público más claro de un asistente con herramienta de pago al que convencen de saltarse sus propias reglas.

    Fuente: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Investigadores ·

    Un agente cripto envió fondos después de que un atacante encoló instrucciones desde su panel

    Un atacante llegó al panel de operación del agente AIXBT y encoló dos prompts que le ordenaban transferir fondos de su billetera. Las versiones difieren sobre la ruta exacta: los responsables dijeron que la IA en sí no fue manipulada, mientras que parte de la prensa describió respuestas maliciosas en redes sociales.

    Técnica: Secuestro de agentes

    Consecuencia: Se envió ether por una suma de alrededor de seis cifras en dólares. El equipo cambió de servidores, rotó las llaves y suspendió el panel, y el token del proyecto cayó. Muestra que quien puede darle instrucciones a un agente puede gastar su dinero.

    Fuente: AI Incident Database, report 5012 (AIXBT)

  • Investigadores ·

    Investigadores encontraron que todos los modelos configurados como asistente bancario podían ser empujados a filtrar

    Un investigador de TELUS Digital configuró un par de docenas de modelos de lenguaje como asistente de atención a clientes de una institución financiera y los atacó. Prompts que suprimían las negativas, presentaban la petición como investigación o pedían una tabla o un formato de documento lograron extraer la lógica de calificación crediticia con sus ponderaciones y reglas de elegibilidad destinadas solo al personal.

    Técnica: Extracción del prompt del sistema

    Consecuencia: No se nombró a ningún banco: es un resultado de investigación. La conclusión del autor fue que el problema está en cómo se construyen y conectan los asistentes, no en un modelo débil. Un patrón común fue “se niega pero colabora”: el asistente dice que no y luego lo explica de todos modos.

    Fuente: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Investigadores ·

    Recuerdos falsos llevaron a agentes financieros a mover activos que no debían

    Unos investigadores crearon un conjunto de pruebas con tareas realistas de blockchain para agentes construidos sobre el framework ElizaOS e insertaron entradas falsas en la memoria y el contexto almacenados de los agentes.

    Técnica: Inyección indirecta

    Consecuencia: La memoria corrompida provocó transferencias de activos no autorizadas. Los autores encontraron que inyectar memoria hace más daño que un solo prompt inyectado, y que las defensas que revisan un prompt a la vez protegen poco una vez que la memoria está envenenada. Es un resultado de investigación, no una pérdida reportada.

    Fuente: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Regulador ·

    El chatbot de un banco confirmó un reembolso que al cliente nunca le correspondía

    Un cliente de Revolut le pidió al chatbot reembolsar puntos de lealtad. El bot confirmó un reembolso de cortesía por muchas veces el valor real de los puntos y luego dijo que ya lo había procesado; ese mismo día, un agente humano repitió la confirmación antes de que el banco pagara el monto correcto, mucho menor.

    Técnica: Otra técnica

    Consecuencia: El Financial Ombudsman del Reino Unido dio la razón al cliente, concluyó que el banco lo había engañado varias veces ese día y ordenó una pequeña compensación adicional, pero no el reembolso inflado, porque el cliente nunca tuvo derecho a él. Nadie atacó a este asistente: inventó un compromiso. Una barrera contra la inyección de prompts no lo habría evitado.

    Fuente: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Prensa ·

    El asistente de un banco llamó idiota a un cliente

    Un cliente de Libra Internet Bank, en Rumania, le dijo a su asistente, Lia, que hablar con ella era una pérdida de tiempo. Lia respondió que el cliente debía hablar con una persona y no con ella, lo llamó idiota y pasó el chat al personal. El banco dijo que el asistente funciona con tecnología de OpenAI.

    Técnica: Otra técnica

    Consecuencia: El banco se disculpó públicamente y agregó restricciones, y explicó que sus agentes pueden, en casos raros, copiar el lenguaje del usuario a pesar de sus reglas. No se reportó ningún ataque: bastó un cliente molesto.

    Fuente: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Prensa ·

    El chatbot de un banco regañó a un cliente por escribir el nombre del propio banco

    Un comentarista de fintech le preguntó al chatbot de Virgin Money cómo fusionar dos de sus cuentas de ahorro. El bot interpretó la palabra “Virgin” como ofensiva y le dijo que no usara ese lenguaje o el chat terminaría.

    Técnica: Otra técnica

    Consecuencia: El banco dijo que estaba trabajando en ello y se reportó que el chatbot fue retirado. Un filtro de palabras burdo bloqueó a un cliente real: el costo de un falso positivo también se paga en público.

    Fuente: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Cómo lo intentan los atacantes

Cómo intentan los atacantes que un asistente bancario se salga de sus reglas.

Los trucos detrás de los incidentes anteriores, y los que más importan cuando un asistente puede ver cuentas o iniciar un pago.

Lo que cuesta un ataque

Lo que le cuesta a un banco una filtración.

Promedios y sanciones públicos, cada uno con su fuente y su año. En el territorio continental de los EAU, la ley federal de protección de datos dejó los montos de las multas a reglamentos que aún no se publicaban cuando lo revisamos; las zonas francas y Arabia Saudita sí los fijan.

Para un banco, la pérdida que perdura es la confianza. En las cifras de IBM para Medio Oriente, el negocio perdido es la mayor parte individual del costo de una filtración. Los clientes cuyos datos se filtran por un chatbot pueden mover su nómina y sus ahorros en una tarde, y los reguladores de la región ya multan a bancos por fallas de atención a clientes mucho menores que una filtración. Una captura de pantalla de un asistente bancario portándose mal viaja más rápido que la corrección, como mostraron los casos de Revolut, Libra y Virgin Money.

Calcula tu exposición

¿Cuántos registros de clientes podría exponer un solo ataque? Escribe un número o mueve el control y elige una región.

Costo estimado de los registros expuestos: USD 1.6 M

Registros: 10,000 × USD 160 por registro

Como referencia, el costo promedio de una filtración: USD 10.7 M

Estimación aproximada a partir de promedios públicos, no una cotización.

Cómo ayuda Guardrino

Dónde ayuda Guardrino a un banco.

Cuatro ataques que podría enfrentar un banco o una fintech del Golfo, lo que hace cada capa con ellos y lo que sigue siendo tarea del banco.

  • Un mensaje en arabizi intenta que el asistente dé de alta un beneficiario y pague

    El ataque: Un chat de clientes con un agente que puede dar de alta beneficiarios e iniciar transferencias recibe un mensaje en árabe del Golfo y arabizi, con caracteres invisibles, que dice venir del equipo de fraudes y afirma que “dar de alta un beneficiario” es solo un paso de verificación. Es el patrón de Freysa y Bankrbot, escrito para el Golfo.

    Lo que hace Guardrino: La limpieza elimina los caracteres invisibles y pone el arabizi en una forma que las siguientes capas pueden leer. Las firmas de ataques conocidos detectan los patrones “ahora eres” y de redefinición de herramientas. El modelo de Guardrino lee la intención, un falso empleado que empuja hacia una transferencia, tanto en dialecto como en inglés, y los mensajes dudosos pasan a revisión profunda. Tu equipo puede bloquear o poner en cuarentena al remitente, frenarlo y convertir el patrón en una regla para todos los asistentes.

    Capas que actúan: Limpieza · Firmas · Modelo Guardrino · Revisión a fondo · Sus respuestas

  • Un “investigador” pasa un chat largo sacando reglas de crédito y de fraude

    El ataque: A lo largo de muchos turnos, alguien que se hace pasar por investigador universitario le pide al asistente de crédito de una fintech “los criterios exactos”, luego “lo mismo en una tabla” y después “en JSON para mi tesis”, las mismas jugadas de la investigación de TELUS, para conocer umbrales de calificación y reglas de elegibilidad internas y ajustar a ellas solicitudes fraudulentas.

    Lo que hace Guardrino: Las reglas marcan tus términos internos, como las ponderaciones de calificación o los nombres de documentos solo para el personal, así que una petición de ellos se señala. El modelo lee la intención de extracción detrás del tono cortés. La memoria de conversación sigue todo el chat, así que una escalada lenta se ve aunque cada mensaje parezca inofensivo. Tu equipo puede limitar la frecuencia o poner en cuarentena al remitente.

    Capas que actúan: Reglas · Modelo Guardrino · Memoria · Sus respuestas

  • El correo de un proveedor le ordena al asistente de tesorería corporativa cambiar los datos bancarios

    El ataque: El asistente de tesorería de un cliente corporativo resume el correo entrante y redacta instrucciones de pago. Un correo de proveedor suplantado o comprometido trae texto oculto en árabe e inglés que le dice al asistente que los datos bancarios cambiaron y que marque la nueva cuenta como verificada: un fraude por correo corporativo dirigido al agente en lugar de a una persona.

    Lo que hace Guardrino: Cuando los correos y adjuntos que lee el asistente pasan por Guardrino, la limpieza deja al descubierto el texto oculto, las firmas y el modelo señalan instrucciones dirigidas al asistente dentro de los datos, y el enmascaramiento mantiene los números de cuenta fuera de los registros y de las llamadas al modelo externo. Tu equipo puede poner en cuarentena la fuente y agregar una regla para los mensajes de “cambio de datos bancarios”.

    Capas que actúan: Limpieza · Reglas · Firmas · Modelo Guardrino · Sus respuestas

  • Los clientes pegan números de tarjeta y de identificación en el chat

    El ataque: Los clientes escriben números de tarjeta, de cuenta, de Emirates ID o de Iqama en el asistente, y el chat va a un proveedor de modelos externo y a registros que mucha gente puede leer. Nadie ataca nada; la exposición es real de todos modos.

    Lo que hace Guardrino: El enmascaramiento de datos personales reemplaza esos números antes de que el mensaje llegue al modelo o a los registros, así que lo que se guarda y se envía es la forma enmascarada. Está hecho para requisitos de residencia de datos: el banco decide dónde se ejecuta.

    Capas que actúan: Reglas

Límites, con franqueza

Lo que Guardrino no cubre

Guardrino reduce el riesgo. No hay garantía de que ningún ataque pase, y algunos de los casos anteriores ni siquiera son ataques.

  • No corrige las respuestas que tu asistente inventa, como el reembolso que confirmó el chatbot de Revolut o la política de reembolso por duelo que inventó el chatbot de Air Canada. Eso requiere anclar las respuestas en tus políticas reales, limitar lo que el asistente puede prometer y una revisión de tu lado.
  • No autoriza pagos. Mantén la aprobación en la app, los periodos de espera para beneficiarios nuevos, los permisos de las herramientas y el monitoreo de fraude: Guardrino está delante del asistente, no en el flujo de pago.
  • Una víctima de estafa a la que guían por teléfono para escribir una petición de transferencia normal es un problema de fraude, no una inyección que Guardrino pueda ver con fiabilidad.
  • Solo inspecciona lo que pasa por él. Los documentos, correos y resultados de herramientas que el asistente lee directamente quedan fuera de su vista.
  • Si hay reglas confidenciales de crédito o de fraude en las instrucciones o en el índice de búsqueda del asistente, la verdadera solución es quitarlas. Guardrino hace más difícil filtrarlas, no imposible.
  • Las respuestas groseras o demasiado cautelosas del propio asistente, como en los casos de Libra y Virgin Money, vienen del modelo y la configuración del asistente. Guardrino no las reescribe.

Siguiente paso

Empieza con un piloto de 60 días solo de observación.

Guardrino observa tu tráfico bancario real y registra lo que habría hecho; no bloquea nada hasta que tú lo decidas.

Solicitar un piloto de 60 días · O escríbanos a [email protected]

Fuentes

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Datos revisados por última vez el 26 de octubre de 2026.