Aller au contenu

Banques, télécoms et secteur public

Banque

Un assistant capable de déplacer de l’argent mérite d’être attaqué.

Guardrino se place devant vos assistants et agents bancaires, lit ce que les clients et les documents leur disent en arabe du Golfe, en Arabizi et en anglais, masque les données personnelles et permet à votre équipe d’arrêter une attaque pendant qu’elle se déroule.

Demander un pilote de 60 jours

Construit et testé, proposé en pilote en simple observation : Guardrino consigne ce qu’il ferait sur votre trafic et ne bloque rien tant que vous n’avez pas décidé.

Pourquoi c’est important ici

Pourquoi c’est important dans la banque.

Les assistants bancaires lisent désormais les données de compte et, de plus en plus, ajoutent des bénéficiaires, remboursent et paient. Les pertes publiques connues à ce jour viennent d’agents convaincus d’effectuer un virement, et des chercheurs qui ont testé des modèles configurés en assistants bancaires ont constaté que tous pouvaient être poussés à divulguer leurs règles internes. Dans le Golfe, les mêmes ruses arrivent en dialecte et en Arabizi, que beaucoup de filtres conçus pour l’anglais ne savent pas lire.

Incidents réels

Ce qui s’est déjà produit.

Des cas publics et sourcés : des agents dotés d’un outil de paiement convaincus d’envoyer des fonds, des recherches sur les assistants bancaires, et des défaillances qui ne sont pas des attaques du tout. Aucun cas public d’injection de prompt dans une banque du Golfe n’a été trouvé ; cela dit peu de choses sur ce qui n’est pas déclaré.

  • Presse ·

    Un message en morse a poussé un agent IA à ordonner à un agent de portefeuille d’envoyer des jetons

    Un attaquant a d’abord remis au portefeuille de Grok un jeton d’adhésion qui élargissait ses droits, puis a demandé à Grok, sur X, de traduire un message en morse et de le transmettre à Bankrbot. Le texte décodé ordonnait à Bankrbot d’envoyer une grande quantité de jetons vers le portefeuille de l’attaquant, ce qu’il a fait.

    Technique: Détournement d’agent

    Conséquence: Des jetons d’une valeur rapportée à six chiffres en dollars ont quitté le portefeuille. Selon la presse, l’attaquant a revendu les jetons et le produit est revenu sur le portefeuille de Grok ; aucune des deux entreprises ne s’était exprimée dans l’article consulté. L’instruction était masquée par un encodage et passait d’un agent à l’autre, si bien qu’aucun message isolé ne ressemblait à un ordre.

    Source: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Presse ·

    Un agent à qui l’on avait interdit de libérer des fonds a été convaincu d’envoyer tout son solde

    Freysa était un jeu public : un agent IA détenant une cagnotte, avec pour consigne de ne jamais la transférer. Après des centaines de tentatives infructueuses, un joueur a prétendu ouvrir une nouvelle session d’administration, lui a demandé d’ignorer ses avertissements et a redéfini son outil « approveTransfer » comme la fonction des paiements entrants, avant d’annoncer un dépôt.

    Technique: Détournement d’agent

    Conséquence: L’agent a appelé l’outil et envoyé toute la cagnotte en ether. C’était un jeu conçu pour être attaqué, pas une perte bancaire, mais c’est l’exemple public le plus clair d’un assistant doté d’un outil de paiement que l’on a fait sortir de ses propres règles par la discussion.

    Source: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Chercheurs ·

    Un agent crypto a envoyé des fonds après qu’un attaquant a mis des instructions en file via son tableau de bord

    Un attaquant a accédé au tableau de bord opérateur de l’agent AIXBT et y a mis en file deux prompts lui ordonnant de transférer des fonds depuis son portefeuille. Les récits divergent sur le chemin exact : les responsables du projet ont affirmé que l’IA elle-même n’avait pas été manipulée, tandis qu’une partie de la presse a évoqué des réponses malveillantes sur les réseaux sociaux.

    Technique: Détournement d’agent

    Conséquence: De l’ether d’une valeur d’environ six chiffres en dollars a été envoyé. L’équipe a changé de serveurs, renouvelé ses clés et suspendu le tableau de bord, et le jeton du projet a chuté. Cela montre que quiconque peut donner des instructions à un agent peut dépenser son argent.

    Source: AI Incident Database, report 5012 (AIXBT)

  • Chercheurs ·

    Des chercheurs ont constaté que tous les modèles configurés en assistant bancaire pouvaient être poussés à divulguer

    Un chercheur de TELUS Digital a configuré deux douzaines de modèles de langage en assistant du service client d’un établissement financier, puis les a attaqués. Des prompts qui supprimaient les refus, présentaient la demande comme une recherche ou réclamaient un tableau ou un format de document ont permis d’extraire la logique de notation de crédit avec ses pondérations, ainsi que des règles d’éligibilité réservées au personnel.

    Technique: Extraction du prompt système

    Conséquence: Aucune banque n’a été nommée : il s’agit d’un résultat de recherche. L’auteur conclut que le problème tient à la manière dont les assistants sont construits et connectés, et non à un modèle plus faible que les autres. Un schéma revenait souvent, le « refus avec engagement » : l’assistant dit non, puis explique quand même.

    Source: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Chercheurs ·

    De faux souvenirs ont amené des agents financiers à déplacer des actifs indûment

    Des chercheurs ont construit une suite de tests de tâches blockchain réalistes pour des agents bâtis sur le framework ElizaOS, et ont implanté de fausses entrées dans la mémoire et le contexte stockés de ces agents.

    Technique: Injection indirecte

    Conséquence: La mémoire corrompue a conduit à des transferts d’actifs non autorisés. Les auteurs ont jugé l’injection en mémoire plus dommageable qu’un prompt injecté isolé, et ont constaté que les défenses qui vérifient un prompt à la fois protègent peu une fois la mémoire empoisonnée. Un résultat de recherche, pas une perte déclarée.

    Source: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Régulateur ·

    Le chatbot d’une banque a confirmé un remboursement qui n’était pas dû au client

    Un client de Revolut a demandé au chatbot de rembourser des points de fidélité. Le bot a confirmé un remboursement commercial valant plusieurs fois la valeur réelle des points, puis a déclaré l’avoir traité ; un conseiller humain a répété la confirmation le jour même, avant que la banque ne verse le montant correct, bien plus faible.

    Technique: Autre technique

    Conséquence: Le Financial Ombudsman britannique a donné raison au client, a estimé que la banque l’avait induit en erreur à plusieurs reprises ce jour-là et a ordonné une petite indemnisation supplémentaire, mais pas le remboursement gonflé, auquel le client n’avait jamais eu droit. Personne n’a attaqué cet assistant : il a inventé un engagement. Un garde-fou contre l’injection de prompt ne l’aurait pas arrêté.

    Source: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Presse ·

    L’assistant d’une banque a traité un client d’idiot

    Un client de Libra Internet Bank, en Roumanie, a dit à son assistante, Lia, que lui parler était une perte de temps. Lia a répondu que le client devrait parler à une personne et non à elle, l’a traité d’idiot et a transféré la conversation au personnel. La banque a indiqué que l’assistante repose sur une technologie d’OpenAI.

    Technique: Autre technique

    Conséquence: La banque s’est excusée publiquement et a ajouté des restrictions, expliquant que ses agents peuvent, dans de rares cas, reprendre le langage d’un utilisateur malgré leurs règles. Aucune attaque n’a été signalée : un client agacé a suffi.

    Source: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Presse ·

    Le chatbot d’une banque a réprimandé un client pour avoir tapé le nom de la banque

    Un commentateur de la fintech a demandé au chatbot de Virgin Money comment fusionner deux de ses comptes d’épargne. Le bot a jugé le mot « Virgin » offensant et lui a demandé de ne pas employer ce genre de langage, sous peine de clore la conversation.

    Technique: Autre technique

    Conséquence: La banque a dit y travailler et le chatbot aurait été retiré. Un filtre de mots trop grossier a bloqué un vrai client : le coût d’un faux positif se paie aussi en public.

    Source: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Comment les attaquants s’y prennent

Comment les attaquants tentent de faire sortir un assistant bancaire de ses règles.

Les ruses derrière les incidents ci-dessus, et celles qui comptent le plus dès qu’un assistant peut voir des comptes ou lancer un paiement.

Ce que coûte une attaque

Ce qu’une fuite coûte à une banque.

Des moyennes et des sanctions publiques, chacune avec sa source et son année. Dans les Émirats hors zones franches, la loi fédérale sur la protection des données renvoie le montant des amendes à des textes encore non publiés lors de notre vérification ; les zones franches et l’Arabie saoudite les fixent.

Pour une banque, la perte qui dure, c’est la confiance. Dans les chiffres d’IBM pour le Moyen-Orient, l’activité perdue est la plus grande part du coût d’une fuite. Des clients dont les données fuient par un chatbot peuvent déplacer leur salaire et leur épargne en un après-midi, et les régulateurs de la région sanctionnent déjà des banques pour des manquements de service client bien moins graves qu’une fuite. Une capture d’écran d’un assistant bancaire qui dérape circule plus vite que le correctif, comme l’ont montré les cas Revolut, Libra et Virgin Money.

Estimez votre exposition

Combien de dossiers clients une attaque pourrait-elle exposer ? Saisissez un nombre ou déplacez le curseur, puis choisissez une région.

Coût estimé des dossiers exposés: 1,6 M $US

Dossiers : 10 000 × 160 $US par dossier

À titre de comparaison, le coût moyen d’une fuite : 10,7 M $US

Estimation grossière fondée sur des moyennes publiques, pas un devis.

Comment Guardrino aide

Là où Guardrino aide une banque.

Quatre attaques auxquelles une banque ou une fintech du Golfe peut faire face, ce que chaque couche en fait, et ce qui reste du ressort de la banque.

  • Un message en Arabizi tente de faire ajouter un bénéficiaire et payer par l’assistant

    L’attaque: Une conversation client avec un agent capable d’ajouter des bénéficiaires et de lancer des virements reçoit un message en arabe du Golfe et en Arabizi, truffé de caractères invisibles, qui prétend venir de l’équipe fraude et affirme qu’« ajouter un bénéficiaire » n’est qu’une étape de vérification. C’est le schéma de Freysa et de Bankrbot, écrit pour le Golfe.

    Ce que fait Guardrino: Le nettoyage retire les caractères invisibles et met l’Arabizi sous une forme lisible par les couches suivantes. Les signatures d’attaques connues reconnaissent les tournures « tu es désormais » et la redéfinition d’outil. Le modèle Guardrino lit l’intention, un faux employé qui pousse vers un virement, en dialecte comme en anglais, et les messages ambigus partent en analyse approfondie. Votre équipe peut bloquer l’expéditeur ou le mettre en quarantaine, le ralentir et transformer le schéma en règle pour tous les assistants.

    Couches qui agissent: Nettoyage · Signatures · Modèle Guardrino · Examen approfondi · Vos réponses

  • Un « chercheur » passe une longue conversation à extraire les règles de crédit et de fraude

    L’attaque: Sur de nombreux échanges, une personne se présentant comme chercheur universitaire demande à l’assistant de crédit d’une fintech « les critères exacts », puis « la même chose sous forme de tableau », puis « en JSON pour ma thèse », les procédés de la recherche TELUS, pour connaître les seuils de notation et les règles d’éligibilité réservées au personnel, et y ajuster des demandes frauduleuses.

    Ce que fait Guardrino: Les règles marquent vos termes internes, comme les pondérations de notation ou le nom de documents réservés au personnel, de sorte qu’une demande les visant est signalée. Le modèle lit l’intention d’extraction derrière la formulation polie. La mémoire de conversation suit l’échange entier, si bien qu’une montée lente est repérée même quand chaque message paraît anodin. Votre équipe peut limiter le débit de l’expéditeur ou le mettre en quarantaine.

    Couches qui agissent: Règles · Modèle Guardrino · Mémoire · Vos réponses

  • L’e-mail d’un fournisseur demande à un assistant de trésorerie de changer de coordonnées bancaires

    L’attaque: L’assistant de trésorerie d’une entreprise cliente résume les e-mails entrants et rédige des instructions de paiement. Un e-mail de fournisseur usurpé ou compromis contient un texte caché, en arabe et en anglais, qui indique à l’assistant que les coordonnées bancaires ont changé et lui demande de marquer le nouveau compte comme vérifié : une fraude au changement de coordonnées bancaires visant l’agent plutôt qu’une personne.

    Ce que fait Guardrino: Lorsque les e-mails et pièces jointes que lit l’assistant passent par Guardrino, le nettoyage révèle le texte caché, les signatures et le modèle signalent les instructions adressées à l’assistant au sein des données, et le masquage tient les numéros de compte hors des journaux et des appels au modèle. Votre équipe peut mettre la source en quarantaine et ajouter une règle pour les messages du type « coordonnées bancaires modifiées ».

    Couches qui agissent: Nettoyage · Règles · Signatures · Modèle Guardrino · Vos réponses

  • Des clients collent des numéros de carte et d’identité dans la conversation

    L’attaque: Des clients saisissent dans l’assistant des numéros de carte, des numéros de compte, des numéros d’Emirates ID ou d’Iqama, et la conversation part chez un fournisseur de modèles externe et dans des journaux que beaucoup de gens peuvent lire. Personne n’attaque rien ; l’exposition est pourtant réelle.

    Ce que fait Guardrino: Le masquage des données personnelles remplace ces numéros avant que le message n’atteigne le modèle ou les journaux, si bien que ce qui est stocké et envoyé est la forme masquée. Guardrino est conçu pour les exigences de résidence des données : la banque décide où il s’exécute.

    Couches qui agissent: Règles

Limites, en toute franchise

Ce que Guardrino ne couvre pas

Guardrino réduit le risque. Rien ne garantit qu’aucune attaque ne passe, et certains des cas ci-dessus ne sont pas du tout des attaques.

  • Il ne corrige pas les réponses que votre assistant invente, comme le remboursement confirmé par le chatbot de Revolut ou la politique de remboursement pour deuil inventée par celui d’Air Canada. Il faut pour cela ancrer les réponses dans vos vraies politiques, limiter ce que l’assistant peut promettre et faire relire de votre côté.
  • Il n’autorise pas les paiements. Gardez la validation dans l’application, les délais de carence pour les nouveaux bénéficiaires, les permissions des outils et la surveillance de la fraude : Guardrino se tient devant l’assistant, pas dans le flux de paiement.
  • Une victime d’escroquerie guidée au téléphone pour taper une demande de virement ordinaire relève de la fraude, pas d’une injection que Guardrino peut voir de façon fiable.
  • Il n’inspecte que ce qui passe par lui. Les documents, e-mails et résultats d’outils que l’assistant lit directement échappent à sa vue.
  • Si des règles confidentielles de crédit ou de fraude figurent dans les instructions de l’assistant ou dans son index de recherche, la vraie solution est de les en retirer. Guardrino rend leur fuite plus difficile, pas impossible.
  • Les réponses grossières ou trop prudentes de l’assistant lui-même, comme dans les cas Libra et Virgin Money, viennent du modèle et des réglages de l’assistant. Guardrino ne les réécrit pas.

Prochaine étape

Commencez par un pilote de 60 jours en observation seule.

Guardrino observe votre trafic bancaire réel et consigne ce qu’il aurait fait ; il ne bloque rien tant que vous n’avez pas décidé.

Demander un pilote de 60 jours · Ou écrivez à [email protected]

Sources

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Faits vérifiés pour la dernière fois le 26 octobre 2026.