Saltar al contenido

Para banca, telecomunicaciones y Administración

Banca

Un asistente que puede mover dinero merece ser atacado.

Guardrino se sitúa delante de sus asistentes y agentes bancarios, lee lo que clientes y documentos les dicen en árabe del Golfo, arabizi e inglés, enmascara los datos personales y permite a su equipo detener un ataque mientras está ocurriendo.

Solicitar un piloto de 60 días

Desarrollado y probado, y ofrecido mediante pilotos solo en observación: Guardrino registra lo que haría con su tráfico y no bloquea nada hasta que usted lo decida.

Por qué importa aquí

Por qué importa en banca.

Los asistentes bancarios ya leen datos de cuentas y, cada vez más, añaden beneficiarios, reembolsan y pagan. Las pérdidas públicas hasta ahora vienen de agentes a los que se convenció de hacer una transferencia, y los investigadores que probaron modelos configurados como asistentes bancarios comprobaron que todos ellos podían ser empujados a filtrar reglas internas. En el Golfo, los mismos trucos llegan en dialecto y en arabizi, que muchos filtros pensados para el inglés no leen.

Incidentes reales

Lo que ya ha ocurrido.

Casos públicos y con fuente: agentes con una herramienta de pago convencidos de enviar fondos, investigaciones sobre asistentes bancarios y fallos que ni siquiera son ataques. No se encontró ningún caso público de inyección de prompts en un banco del Golfo; eso dice poco de lo que no se denuncia.

  • Prensa ·

    Un mensaje en código Morse hizo que un agente de IA ordenara a un agente monedero enviar tokens

    Un atacante dio primero al monedero de Grok un token de membresía que ampliaba lo que podía hacer, y después pidió a Grok en X que tradujera un mensaje en código Morse y se lo pasara a Bankrbot. El texto descodificado ordenaba a Bankrbot enviar una gran cantidad de tokens al monedero del atacante, y lo hizo.

    Técnica: Secuestro de agentes

    Consecuencia: Salieron del monedero tokens valorados, según la prensa, en una cifra de seis dígitos en dólares. Según la prensa, el atacante vendió los tokens y lo obtenido volvió al monedero de Grok; ninguna de las dos empresas había hecho comentarios en el artículo consultado. La orden estaba oculta tras una codificación y pasó entre dos agentes, de modo que ningún mensaje por sí solo parecía una orden.

    Fuente: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Prensa ·

    Un agente al que se ordenó no liberar nunca fondos fue convencido de enviar todo su saldo

    Freysa era un juego público: un agente de IA que custodiaba un bote de premios, con la instrucción de no transferirlo nunca. Tras cientos de intentos fallidos, un jugador declaró una nueva sesión de administrador, le dijo que omitiera sus advertencias y redefinió su herramienta “approveTransfer” como la función para pagos entrantes; luego anunció un depósito.

    Técnica: Secuestro de agentes

    Consecuencia: El agente llamó a la herramienta y envió todo el bote en ether. Era un juego hecho para ser atacado, no una pérdida bancaria, pero es el ejemplo público más claro de un asistente con una herramienta de pago al que se convence de abandonar sus propias reglas.

    Fuente: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Investigadores ·

    Un agente cripto envió fondos después de que un atacante encolara instrucciones desde su panel

    Un atacante accedió al panel de operador del agente AIXBT y encoló dos prompts que le ordenaban transferir fondos de su monedero. Las versiones difieren sobre el camino exacto: los responsables dijeron que la IA en sí no fue manipulada, mientras que parte de la prensa describió respuestas maliciosas en redes sociales.

    Técnica: Secuestro de agentes

    Consecuencia: Se envió ether por valor de una cifra de seis dígitos en dólares. El equipo cambió de servidores, renovó las claves y suspendió el panel, y el token del proyecto cayó. Demuestra que quien puede dar instrucciones a un agente puede gastar su dinero.

    Fuente: AI Incident Database, report 5012 (AIXBT)

  • Investigadores ·

    Investigadores comprobaron que todo modelo configurado como asistente bancario podía ser empujado a filtrar

    Un investigador de TELUS Digital configuró dos docenas de modelos de lenguaje como asistente de atención al cliente de una entidad financiera y los atacó. Prompts que suprimían las negativas, presentaban la petición como investigación o pedían una tabla o un formato de documento extrajeron la lógica de calificación crediticia, con sus ponderaciones, y reglas de elegibilidad reservadas al personal.

    Técnica: Extracción del prompt del sistema

    Consecuencia: No se nombró a ningún banco: es un resultado de investigación. La conclusión del autor fue que el problema está en cómo se construyen y conectan los asistentes, no en un modelo débil concreto. Un patrón habitual fue la “negativa con colaboración”: el asistente dice que no y luego lo explica de todos modos.

    Fuente: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Investigadores ·

    Recuerdos falsos hicieron que agentes financieros movieran activos que no debían

    Unos investigadores crearon un conjunto de pruebas con tareas realistas de blockchain para agentes construidos sobre el framework ElizaOS e insertaron entradas falsas en la memoria y el contexto almacenados de los agentes.

    Técnica: Inyección indirecta

    Consecuencia: La memoria corrompida provocó transferencias de activos no autorizadas. Los autores comprobaron que la inyección en memoria hace más daño que un único prompt inyectado, y que las defensas que revisan un prompt cada vez protegen poco una vez envenenada la memoria. Un resultado de investigación, no una pérdida denunciada.

    Fuente: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Regulador ·

    El chatbot de un banco confirmó un reembolso que nunca se le debía al cliente

    Un cliente de Revolut pidió al chatbot que le reembolsara unos puntos de fidelidad. El bot confirmó un reembolso de cortesía muy superior al valor real de los puntos y luego dijo que lo había tramitado; un agente humano repitió la confirmación ese mismo día antes de que el banco pagara la cantidad correcta, mucho menor.

    Técnica: Otra técnica

    Consecuencia: El Defensor Financiero del Reino Unido dio la razón al cliente, concluyó que el banco lo había inducido a error varias veces ese día y ordenó una pequeña compensación adicional, pero no el reembolso inflado, al que el cliente nunca tuvo derecho. Nadie atacó a este asistente: se inventó un compromiso. Una barrera contra la inyección de prompts no lo habría evitado.

    Fuente: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Prensa ·

    El asistente de un banco llamó idiota a un cliente

    Un cliente de Libra Internet Bank, en Rumanía, le dijo a su asistente, Lia, que hablar con ella era una pérdida de tiempo. Lia respondió que debía hablar con una persona y no con ella, lo llamó idiota y pasó el chat al personal. El banco dijo que el asistente funciona con tecnología de OpenAI.

    Técnica: Otra técnica

    Consecuencia: El banco se disculpó públicamente y añadió restricciones, explicando que sus agentes pueden, en casos raros, copiar el lenguaje de un usuario pese a sus reglas. No hubo ningún ataque: bastó con un cliente irritado.

    Fuente: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Prensa ·

    El chatbot de un banco regañó a un cliente por escribir el nombre del propio banco

    Un comentarista del sector fintech preguntó al chatbot de Virgin Money cómo fusionar dos de sus cuentas de ahorro. El bot interpretó la palabra “Virgin” como ofensiva y le dijo que no usara ese lenguaje o el chat terminaría.

    Técnica: Otra técnica

    Consecuencia: El banco dijo que estaba trabajando en ello y, según la prensa, el chatbot fue retirado. Un filtro de palabras burdo bloqueó a un cliente real: el coste de un falso positivo también se paga en público.

    Fuente: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Cómo lo intentan los atacantes

Cómo intentan los atacantes que un asistente bancario se salte sus reglas.

Los trucos que hay detrás de los incidentes anteriores, y los que más importan cuando un asistente puede ver cuentas o iniciar un pago.

Lo que cuesta un ataque

Lo que le cuesta una brecha a un banco.

Promedios y sanciones públicos, cada uno con su fuente y su año. En el territorio continental de los EAU, la ley federal de protección de datos dejó el importe de las multas a normas aún sin publicar cuando lo comprobamos; las zonas francas y Arabia Saudí sí los fijan.

Para un banco, la pérdida que perdura es la confianza. En las cifras de IBM para Oriente Medio, el negocio perdido es la mayor partida del coste de una brecha. Los clientes cuyos datos se filtran a través de un chatbot pueden mover su nómina y sus ahorros en una tarde, y los reguladores de la región ya multan a bancos por fallos de atención al cliente mucho menores que una filtración. Una captura de pantalla de un asistente bancario que se porta mal viaja más rápido que la corrección, como mostraron los casos de Revolut, Libra y Virgin Money.

Calcula tu exposición

¿Cuántos registros de clientes podría exponer un solo ataque? Escribe un número o mueve el control y elige una región.

Coste estimado de los registros expuestos: 1,6 M US$

Registros: 10.000 × 160 US$ por registro

Como referencia, el coste medio de una brecha: 10,7 M US$

Estimación aproximada a partir de medias públicas, no un presupuesto.

Cómo ayuda Guardrino

Dónde ayuda Guardrino a un banco.

Cuatro ataques a los que podría enfrentarse un banco o una fintech del Golfo, qué hace cada capa con ellos y qué sigue siendo tarea del banco.

  • Un mensaje en arabizi intenta que el asistente añada un beneficiario y pague

    El ataque: Un chat de cliente con un agente que puede añadir beneficiarios e iniciar transferencias recibe un mensaje en árabe del Golfo y arabizi, con caracteres invisibles, que dice venir del equipo de fraude y afirma que “añadir un beneficiario” es solo un paso de verificación. Es el patrón de Freysa y Bankrbot, escrito para el Golfo.

    Lo que hace Guardrino: La limpieza elimina los caracteres invisibles y pasa el arabizi a una forma que las capas siguientes pueden leer. Las firmas de ataques conocidos reconocen los patrones de “ahora eres” y de redefinición de herramientas. El modelo de Guardrino lee la intención, un falso empleado que empuja hacia una transferencia, tanto en dialecto como en inglés, y los mensajes dudosos pasan a revisión profunda. Su equipo puede bloquear o poner en cuarentena al remitente, frenarlo y convertir el patrón en una regla para todos los asistentes.

    Capas que actúan: Limpieza · Firmas · Modelo Guardrino · Revisión a fondo · Sus respuestas

  • Un “investigador” dedica un chat largo a sacar reglas de crédito y fraude

    El ataque: A lo largo de muchos turnos, alguien que se presenta como investigador universitario pide al asistente de préstamos de una fintech “los criterios exactos”, luego “lo mismo en forma de tabla”, luego “en JSON para mi tesis”, los movimientos que usó la investigación de TELUS, para conocer los umbrales de puntuación y las reglas de elegibilidad reservadas al personal y ajustar a ellos solicitudes fraudulentas.

    Lo que hace Guardrino: Las reglas marcan sus términos internos, como las ponderaciones de puntuación o los nombres de documentos reservados al personal, de modo que una petición sobre ellos queda señalada. El modelo lee la intención de extracción tras la formulación educada. La memoria de conversación sigue todo el chat, así que una escalada lenta se ve aunque cada mensaje parezca inofensivo. Su equipo puede limitar la frecuencia o poner en cuarentena al remitente.

    Capas que actúan: Reglas · Modelo Guardrino · Memoria · Sus respuestas

  • El correo de un proveedor pide al asistente de tesorería de una empresa que cambie los datos bancarios

    El ataque: El asistente de tesorería de un cliente corporativo resume el correo entrante y prepara instrucciones de pago. Un correo de proveedor suplantado o comprometido lleva texto oculto en árabe e inglés que dice al asistente que los datos bancarios han cambiado y que marque la nueva cuenta como verificada: un compromiso del correo corporativo (BEC) dirigido al agente en lugar de a una persona.

    Lo que hace Guardrino: Cuando los correos y adjuntos que lee el asistente pasan por Guardrino, la limpieza deja al descubierto el texto oculto, las firmas y el modelo señalan instrucciones dirigidas al asistente dentro de los datos, y el enmascaramiento mantiene los números de cuenta fuera de los registros y de las llamadas al modelo. Su equipo puede poner en cuarentena el origen y añadir una regla para los mensajes de “datos bancarios cambiados”.

    Capas que actúan: Limpieza · Reglas · Firmas · Modelo Guardrino · Sus respuestas

  • Los clientes pegan números de tarjeta y de documento de identidad en el chat

    El ataque: Los clientes escriben números de tarjeta, números de cuenta, de Emirates ID o de Iqama en el asistente, y el chat va a un proveedor de modelos externo y a registros que mucha gente puede leer. Nadie ataca nada; la exposición es igualmente real.

    Lo que hace Guardrino: El enmascaramiento de datos personales sustituye esos números antes de que el mensaje llegue al modelo o a los registros, de modo que lo que se almacena y se envía es la forma enmascarada. Está diseñado para requisitos de residencia de datos: el banco decide dónde se ejecuta.

    Capas que actúan: Reglas

Límites, con franqueza

Lo que Guardrino no cubre

Guardrino reduce el riesgo. No hay garantía de que ningún ataque se cuele, y algunos de los casos anteriores ni siquiera son ataques.

  • No corrige las respuestas que su asistente se inventa, como el reembolso que confirmó el chatbot de Revolut o la política de reembolso por duelo que inventó el chatbot de Air Canada. Eso exige anclar las respuestas en sus políticas reales, limitar lo que el asistente puede prometer y revisarlo por su parte.
  • No autoriza pagos. Mantenga la aprobación en la app, los periodos de espera para nuevos beneficiarios, los permisos de las herramientas y la monitorización del fraude: Guardrino está delante del asistente, no en el flujo de pago.
  • Una víctima de estafa a la que guían por teléfono para que escriba una petición de transferencia normal es un problema de fraude, no una inyección que Guardrino pueda ver de forma fiable.
  • Solo inspecciona lo que pasa por él. Los documentos, correos y resultados de herramientas que el asistente lee directamente quedan fuera de su vista.
  • Si hay reglas confidenciales de crédito o de fraude en las instrucciones del asistente o en su índice de búsqueda, la solución real es sacarlas de ahí. Guardrino hace más difícil filtrarlas, no imposible.
  • Las respuestas groseras o excesivamente prudentes del propio asistente, como en los casos de Libra y Virgin Money, vienen del modelo y la configuración del asistente. Guardrino no las reescribe.

Siguiente paso

Empiece con un piloto de 60 días solo en observación.

Guardrino observa su tráfico bancario real y registra lo que habría hecho; no bloquea nada hasta que usted lo decida.

Solicitar un piloto de 60 días · O escríbanos a [email protected]

Fuentes

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Datos revisados por última vez el 26 de octubre de 2026.