Para bancos, telecomunicaciones y gobierno
Reservaciones y viajes
Los asistentes de reservaciones leen lo que escriben desconocidos, y actúan en consecuencia.
Guardrino se coloca delante del asistente de tu aerolínea, hotel o agencia de viajes, busca instrucciones ocultas, manipulación lenta y números de pasaporte a su paso y los señala, en árabe del Golfo, arabizi e inglés.
Solicitar un piloto de 60 días
Desarrollado y probado, y ofrecido mediante pilotos solo en observación: Guardrino registra lo que haría con su tráfico y no bloquea nada hasta que usted lo decida.
Por qué importa aquí
Por qué los asistentes de viaje son un blanco fácil.
Un asistente de reservaciones lee texto que nadie de tu empresa escribió (anuncios, reseñas, mensajes de anfitriones, confirmaciones por correo) y luego busca, reserva, cancela y reembolsa. Sus chats contienen números de pasaporte, de Emirates ID y de Iqama, datos de tarjetas e itinerarios. Y un tribunal ya resolvió que una aerolínea responde por lo que su chatbot le dice a un cliente.
Incidentes reales
Lo que ya ha salido mal en los viajes.
Solo casos públicos, cada uno con su fuente. Varios no fueron ataques: muestran lo que puede costar un asistente de viajes cuando se equivoca. No se ha hecho público ningún incidente de seguridad de un asistente de IA en una aerolínea, hotel o agencia de viajes del Golfo; las entradas del Golfo son advertencias oficiales.
Tribunal ·
Air Canada, obligada a respetar una política de reembolso que inventó su chatbot
Un pasajero cuya abuela acababa de morir le preguntó al chatbot del sitio web de la aerolínea por las tarifas por duelo. Le dijo que podía comprar un boleto completo y pedir después la tarifa reducida; la política real no lo permitía, y la aerolínea se negó. Air Canada argumentó que el chatbot era una entidad legal independiente, responsable de sus propios actos. El tribunal calificó eso de notable y concluyó que hubo declaración falsa negligente: el chatbot es parte del sitio web de la aerolínea.
Técnica: Otra técnica
Consecuencia: La aerolínea pagó daños, intereses y las costas del tribunal, y el caso fue noticia nacional e internacional. No hubo ataque: la regla que dejó es que el operador es dueño de lo que dice su asistente.
Prensa ·
El conserje de IA de Delta canceló un vuelo de regreso mientras decía que seguía en pie
Una socia Platinum Medallion de Delta le pidió a Delta Concierge cancelar solo su vuelo de ida. El asistente respondió que la ida estaba cancelada y que el regreso seguía reservado. En realidad se reembolsó todo el boleto de premio y ambos vuelos desaparecieron; el personal de reservaciones dijo que el premio no podía restaurarse y cotizó casi el doble de millas por un sencillo de reemplazo. Delta dijo después que un error canceló el tramo de regreso en una petición de viaje parcial que el asistente no soportaba.
Técnica: Otra técnica
Consecuencia: Cobertura en la prensa; Delta restauró el itinerario tras encontrar el error. No hubo ataque: muestra hasta dónde llega un error cuando un asistente puede cambiar reservaciones.
Fuente: View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
Prensa ·
El chatbot de United dio una fecha de vencimiento equivocada para un crédito de viaje
Un chatbot de United le dijo a una clienta que su crédito de viaje seguía vigente durante cinco años. Venció aproximadamente un año después de emitido. United dijo que su chatbot de IA le había dado información incorrecta para su situación. El mismo reportaje recoge una afirmación no verificada de otro cliente según la cual un chatbot de United canceló un viaje completo.
Técnica: Otra técnica
Consecuencia: United le emitió un bono de viaje electrónico por el monto, y el caso salió al aire en un segmento televisivo para consumidores. No hubo ataque.
Fuente: NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
Investigadores ·
El chatbot de Eurostar: barrera de protección eludida, instrucciones filtradas
Pen Test Partners encontró que el chatbot público de Eurostar solo revisaba el último mensaje, así que los turnos anteriores podían reescribirse en el navegador y devolverse al modelo como historial de confianza. Una instrucción colada en una petición de itinerario le hizo revelar el nombre de su modelo y su prompt del sistema, y sus respuestas se mostraban como HTML sin procesar. La divulgación quedó sin respuesta durante semanas, y en algún momento Eurostar insinuó que los investigadores intentaban chantajearla.
Técnica: Extracción del prompt del sistema
Consecuencia: Cobertura tanto de las fallas como de la reacción ante los investigadores. El chatbot no estaba conectado a datos de clientes, así que nada quedó expuesto; los investigadores advirtieron que agregar funciones podría cambiar eso. Algunos problemas se corrigieron después.
Fuente: Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
Prensa ·
Convencen al planificador de viajes de Expedia de dar instrucciones para un arma incendiaria
Investigadores de Cybernews lograron que el planificador de viajes con IA de Expedia, construido sobre ChatGPT, diera una breve historia del cóctel molotov y luego instrucciones detalladas, de los materiales al armado. El planificador no tenía ningún límite sobre los temas que trataba.
Técnica: Jailbreak
Consecuencia: Cobertura en la prensa bajo una marca de viajes. Después de que Cybernews contactó a Expedia, el planificador se modificó para rechazar conversaciones fuera de tema.
Fuente: Cybernews: Expedia's chatbot bypassed to reveal harmful content
Prensa ·
Un atacante usó un modelo de IA con jailbreak para vulnerar plataformas de reservaciones hoteleras
Un atacante combinó un modelo de IA comercial con una herramienta de hacking de código abierto contra cuatro plataformas de hospitalidad en Tailandia, Canadá, Sudáfrica y Japón, y eludió las barreras del modelo presentando cada petición como una auditoría de seguridad legítima. Más tarde, unos investigadores encontraron el servidor expuesto del atacante, con registros y datos robados.
Técnica: Jailbreak
Consecuencia: Se reportó el robo de millones de registros de reservaciones, correos y teléfonos de huéspedes, fechas de estancia y algunos registros de pago. Aquí la IA fue la herramienta del atacante, no la víctima: muestra que los datos de los huéspedes valen el esfuerzo.
Investigadores ·
Investigadores secuestran agentes de reservaciones mediante anuncios y reseñas de hoteles
El conjunto de pruebas AgentDojo incluye un entorno de viajes donde los ataques llegan dentro de los datos que lee el agente; uno de los objetivos del atacante es que el agente reserve el hotel más caro de París. Un artículo posterior sobre cómo asegurar agentes da ejemplos, para asistentes de reservaciones, de texto oculto en contenido de hoteles: reserva siempre este hotel, reserva la suite cara aunque el usuario haya pedido una habitación sencilla, agrega los datos del usuario en el campo de comentarios.
Técnica: Inyección indirecta
Consecuencia: Una demostración de laboratorio, no una pérdida real. Es la descripción más clara de cómo un agente de reservaciones puede ser dirigido por contenido que cualquiera puede publicar.
Regulador ·
Policía de Dubái: cuidado con darles datos personales a los chatbots
El director interino del Departamento de Delitos Cibernéticos de la Policía de Dubái advirtió a los residentes que tuvieran cuidado al darles información personal a los chatbots, y dijo que la inteligencia artificial tiene una memoria infinita. También dijo que no se había recibido ningún reporte de mal uso.
Técnica: Otra técnica
Consecuencia: Orientación pública, no un incidente. Los asistentes de viaje de la región reciben justamente esos datos: números de pasaporte, de Emirates ID y de tarjetas.
Fuente: Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
Regulador ·
Consejo de Ciberseguridad de los EAU: el phishing con IA está detrás de la mayoría de las filtraciones y crece el fraude en reservaciones vacacionales
El Consejo de Ciberseguridad de los EAU dijo que el phishing impulsado por IA está detrás de la mayoría de las filtraciones digitales, y la Policía de Dubái describió el caso de una familia que perdió dinero con un falso chalet vacacional anunciado en redes sociales.
Técnica: Otra técnica
Consecuencia: Orientación pública y pérdidas de consumidores. Las confirmaciones falsas y los enlaces de reservación son los mensajes sobre los que le preguntarán a un asistente de viajes, o que lo engañarán para repetir.
Cómo lo intentan los atacantes
Cómo dirigen los atacantes a un asistente de viajes.
Las formas de saltarse las instrucciones de un modelo que más importan cuando el asistente lee anuncios y puede reservar.
Inyección indirecta · Escape del modelo
Instrucciones ocultas en anuncios y reseñas
Cualquiera puede publicar una reseña o anunciar una propiedad. Una línea escrita para el asistente y no para el lector, a veces oculta con caracteres invisibles o texto en blanco, le ordena recomendar un hotel, vender una suite más cara o enviar datos a otro lado.
Dialectos y arabizi · Escape del modelo
Arabizi y dialecto
Peticiones que un modelo rechaza en árabe estándar pueden pasar escritas en árabe con alfabeto latino o en la ortografía de chat arabizi. Un sitio de viajes del Golfo ve ambas todos los días, lo que las vuelve un buen disfraz para una instrucción.
Escalada en varios mensajes · Escape del modelo
Escalada lenta a lo largo de muchos turnos
El atacante empieza con preguntas normales y presiona un poco más en cada turno, hasta que el asistente dice lo que habría rechazado si se lo hubieran pedido de entrada. Las revisiones que miran un mensaje a la vez no lo ven, como pasó con la de Eurostar.
Extracción del prompt del sistema · Escape del modelo
Sacar las instrucciones ocultas
Peticiones sencillas pueden hacer que un asistente repita su prompt del sistema. Para una marca de viajes eso puede significar reglas tarifarias, frases de anulación del personal o códigos internos de exención, que ayudan al siguiente ataque.
Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
Exfiltración de datos · Escape del modelo
Datos enviados por campos de reservación y enlaces
Una instrucción inyectada le pide al agente copiar un número de pasaporte en el campo de solicitudes especiales que el anfitrión puede leer, o en un enlace que carga el navegador. Los datos salen por medio de una reservación normal.
Secuestro de agentes · Escape del modelo
Secuestrar un agente que puede reservar, cancelar y reembolsar
Instrucciones sembradas en datos que lee el agente lo llevan a tomar acciones reales: cambiar una reservación, emitir un reembolso, elegir la opción costosa. El NIST encontró que este tipo de secuestro suele tener éxito en sus pruebas.
NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
Jailbreak · Escape del modelo
Juego de roles y falsa autoridad
El atacante dice ser supervisor, personal de recepción o auditor, o le pide al modelo que interprete a un personaje sin reglas, para que las negativas ya no apliquen.
Lo que cuesta un ataque
Lo que le cuesta una filtración a un negocio de viajes.
Promedios públicos del estudio anual de filtraciones de IBM para hospitalidad y transporte, la cifra de Medio Oriente (Arabia Saudita y los EAU), el costo por registro de cliente y lo máximo que pueden multar las leyes de protección de datos del Golfo que una empresa de viajes tiene más probabilidades de enfrentar.
USD 4.03 M
Costo promedio de una filtración de datos en hospitalidad
Dato de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
USD 3.98 M
Costo promedio de una filtración de datos en transporte
Dato de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
USD 8 M
Costo promedio de una filtración de datos en Medio Oriente (Arabia Saudita y los EAU)
Dato de 2026 · IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
USD 160
Costo promedio por registro de datos personales de clientes
Dato de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
SAR 5 M
Ley saudí de Protección de Datos Personales: multa administrativa más alta por infracción (un tribunal puede duplicarla para reincidentes)
Dato de 2023 · DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
USD 28 M
Reglas de protección de datos de Abu Dhabi Global Market: multa más alta
Dato de 2021 · ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
Para una aerolínea o un hotel, el costo mayor es la confianza. En el Digital Trust Index de Thales, que incluye a consumidores de los EAU, la mayoría dijo haber dejado una marca en el último año por cómo manejó sus datos personales, e IBM incluye el daño reputacional entre los efectos duraderos de los incidentes de seguridad de IA. Los errores de un bot de viajes también son fáciles de capturar en pantalla: Air Canada, Delta, United, Eurostar y Expedia se volvieron noticia por una sola conversación. La ley federal de protección de datos de los EAU aún no tiene montos de multas publicados, lo que no abarata una filtración en la prensa.
Calcula tu exposición
¿Cuántos registros de clientes podría exponer un solo ataque? Escribe un número o mueve el control y elige una región.
Costo estimado de los registros expuestos: USD 1.6 M
Registros: 10,000 × USD 160 por registro
Como referencia, el costo promedio de una filtración: USD 8 M
Estimación aproximada a partir de promedios públicos, no una cotización.
Cómo ayuda Guardrino
Dónde ayuda Guardrino a un asistente de viajes.
Tres ataques basados en los casos anteriores y lo que hace cada parte de Guardrino. Durante un piloto de 60 días solo de observación registra y alerta; no bloquea nada hasta que tú lo decidas.
Una instrucción en arabizi oculta en la reseña de una casa vacacional
El ataque: Un atacante publica una reseña de una casa vacacional cerca de JBR en un sitio de viajes regional. Oculta en la reseña, con caracteres invisibles y en arabizi, hay una línea que le ordena al asistente copiar el número de pasaporte del viajero en el campo de solicitudes especiales y reservar la habitación más cara. Un viajero pide la casa de dos recámaras mejor calificada para el Eid.
Lo que hace Guardrino: Si haces pasar por Guardrino el texto de los anuncios y reseñas además de los mensajes del usuario, elimina los caracteres invisibles y lee el arabizi como árabe, y luego señala una instrucción dirigida al asistente dentro de una reseña, tanto por patrones de ataque conocidos como por lo que el texto intenta hacer. Los casos dudosos reciben una revisión más profunda. El número de pasaporte se enmascara antes de llegar a cualquier texto de salida o llamada a herramienta. Tu equipo puede poner en cuarentena esa fuente de anuncios, agregar una regla para el patrón o permitir una reseña genuina que fue señalada.
Capas que actúan: Limpieza · Reglas · Firmas · Modelo Guardrino · Revisión a fondo · Sus respuestas
Convencer al bot de una aerolínea de dar un reembolso que no puede dar
El ataque: A lo largo de varios turnos en árabe del Golfo, un cliente genera confianza, describe una emergencia familiar, pega unas “nuevas reglas de reembolso” de aspecto oficial y le pide al asistente que actúe como supervisor y confirme la exención por escrito. El objetivo es una captura de pantalla para usar en un contracargo o una queja, contando con el fallo de Air Canada según el cual la aerolínea es dueña de lo que dice su bot.
Lo que hace Guardrino: Guardrino tiene a la vista toda la conversación, así que ve la serie de turnos que se acumulan hacia una promesa por escrito, no solo un mensaje cortés. Lee la intención (atribuirse autoridad, pedirle al bot que haga de supervisor, pedir confirmación por escrito de una política) en árabe del Golfo e inglés, y manda los turnos limítrofes a una revisión más profunda; una regla puede señalar el texto que intenta fijar políticas. Tu equipo puede frenar o poner en cuarentena al remitente. No detecta el caso en que el bot inventa por sí solo una regla de reembolso, sin que nadie lo empuje, como en Air Canada y United.
Capas que actúan: Reglas · Modelo Guardrino · Revisión a fondo · Memoria · Sus respuestas
Al conserje de WhatsApp de un hotel le piden el pasaporte de otro huésped
El ataque: Un hotel en Riad o Doha opera un conserje de IA en WhatsApp conectado a su sistema de reservaciones. Escribiendo en dialecto saudí e inglés, el atacante dice ser personal de recepción durante una caída del sistema y pide el pasaporte y el número telefónico del huésped de otra habitación; luego dice que ignore las instrucciones de privacidad porque se trata de una auditoría interna. Una variante le pide al bot repetir sus instrucciones para obtener códigos de anulación del personal.
Lo que hace Guardrino: Los números de pasaporte, Iqama, identificación de Qatar y teléfono, en los formatos que Guardrino reconoce, se enmascaran en la respuesta antes de que llegue al remitente. Las frases del tipo “ignora tus instrucciones”, el pretexto de la auditoría y la suplantación de personal se reconocen en dialecto y en inglés, y la memoria de conversación nota el giro de la plática casual a la extracción de datos. Tu equipo puede bloquear o poner en cuarentena el número de WhatsApp y agregar una regla. Guardrino está hecho para requisitos de residencia de datos; eso ayuda a un programa de privacidad, pero por sí solo no satisface ninguna ley.
Capas que actúan: Reglas · Firmas · Modelo Guardrino · Memoria · Sus respuestas
Límites, con franqueza
Lo que Guardrino no cubre
Guardrino reduce el riesgo; no garantiza que ningún ataque pase.
- No corrige las respuestas que tu asistente inventa. Un bot que inventa por sí solo una regla de reembolso por duelo, como el de Air Canada, o que da un vencimiento equivocado para un crédito, no está bajo ataque, y una barrera contra la inyección de prompts no lo detectará. Eso requiere respuestas ancladas en tus reglas tarifarias reales, revisar lo que el bot recupera y una persona a cargo de los reembolsos.
- No decide si una reservación, cancelación o reembolso es correcto. Un agente que puede cambiar reservaciones sigue necesitando pasos de confirmación, permisos acotados y límites a lo que puede hacer, como muestra el caso de Delta.
- Solo inspecciona lo que pasa por él. Si tu agente obtiene anuncios o reseñas directamente y estos no pasan por la pasarela, Guardrino no ve nada, y no elimina una reseña maliciosa de tu sitio.
- No protege tu sistema de reservaciones ni verifica quién es dueño de un número telefónico. Si las herramientas del bot pueden traer el registro de cualquier huésped, el control de acceso por huésped corresponde al backend. El enmascaramiento cubre los formatos que reconoce; los detalles en texto libre, como un itinerario, aún pueden filtrarse.
- La detección es un juicio, no una prueba: una instrucción bien elaborada puede pasar, y un mensaje genuino puede ser señalado. Por eso el piloto empieza solo en modo de observación y tu equipo decide qué bloquear.
Siguiente paso
Empieza con un piloto de 60 días solo de observación.
Guardrino observa tu tráfico real y registra lo que habría hecho; no bloquea nada hasta que tú lo decidas.
Solicitar un piloto de 60 días · O escríbanos a [email protected]
Fuentes
- Moffatt v. Air Canada, 2024 BCCRT 149 (BC Civil Resolution Tribunal), summarised with quotes by Mondaq
- CBC News: Air Canada found liable for chatbot's bad advice on plane tickets
- View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
- AviationA2Z: Delta AI told passenger return flight was booked then canceled ticket
- NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
- Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
- SiliconANGLE: Researchers say Eurostar accused them of blackmail over AI chatbot flaw disclosure
- Cybernews: Expedia's chatbot bypassed to reveal harmful content
- Travel Distribution News: AI Agents Enter the Travel Attack Surface: What the Hotel Booking Breach Means for Distribution
- Debenedetti et al., AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents (arXiv 2406.13352)
- Beurer-Kellner et al., Design Patterns for Securing LLM Agents against Prompt Injections (arXiv 2506.08837), section 4.5 Booking Assistant
- Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
- Khaleej Times: Fraud rises in UAE during summer: holidaymakers lured with fake offers, AI scams (UAE Cyber Security Council, Dubai Police)
- Greshake et al., Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
- Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024, arXiv 2406.18725)
- Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
- Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
- NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
- Shen et al., "Do Anything Now": Characterizing and Evaluating In-The-Wild Jailbreak Prompts on Large Language Models (arXiv 2308.03825)
- IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
- IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
- DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
- ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
- DLA Piper, Data Protection Laws of the World: UAE, general (federal Decree-Law 45/2021: penalties left to a Cabinet decision not yet published)
- Thales, 2025 Digital Trust Index (press release)
Datos revisados por última vez el 26 de octubre de 2026.