Banques, télécoms et secteur public
Réservation et voyage
Les assistants de réservation lisent ce qu’écrivent des inconnus, et agissent en conséquence.
Guardrino se place devant l’assistant de votre compagnie aérienne, de votre hôtel ou de votre agence de voyages, repère au passage les instructions cachées, les manipulations lentes et les numéros de passeport, et les signale, en arabe du Golfe, en Arabizi et en anglais.
Demander un pilote de 60 jours
Construit et testé, proposé en pilote en simple observation : Guardrino consigne ce qu’il ferait sur votre trafic et ne bloque rien tant que vous n’avez pas décidé.
Pourquoi c’est important ici
Pourquoi les assistants de voyage sont une cible facile.
Un assistant de réservation lit des textes que personne dans votre entreprise n’a écrits (annonces, avis, messages d’hôtes, confirmations reçues par e-mail), puis il recherche, réserve, annule et rembourse. Ses conversations contiennent des numéros de passeport, d’Emirates ID et d’Iqama, des données de carte et des itinéraires. Et un tribunal a déjà jugé qu’une compagnie aérienne répond de ce que son chatbot dit à un client.
Incidents réels
Ce qui a déjà mal tourné dans le voyage.
Uniquement des cas publics, chacun avec sa source. Plusieurs n’étaient pas du tout des attaques : ils montrent ce que peut coûter un assistant de voyage qui se trompe. Aucun incident de sécurité lié à un assistant IA dans une compagnie aérienne, un hôtel ou une agence de voyages du Golfe n’a été rendu public ; les entrées concernant le Golfe sont des avertissements officiels.
Tribunal ·
Air Canada tenue de respecter une politique de remboursement inventée par son chatbot
Un passager dont la grand-mère venait de mourir a interrogé le chatbot du site de la compagnie sur les billets à conditions réduites pour deuil. Celui-ci lui a répondu qu’il pouvait acheter un billet plein et demander ensuite la réduction ; la vraie politique ne le permettait pas, et la compagnie a refusé. Air Canada a soutenu que le chatbot était une entité juridique distincte, responsable de ses propres actes. Le tribunal a jugé l’argument remarquable et retenu une déclaration inexacte faite par négligence : le chatbot fait partie du site de la compagnie.
Technique: Autre technique
Conséquence: La compagnie a versé des dommages-intérêts, des intérêts et les dépens du tribunal, et l’affaire a fait l’actualité nationale et internationale. Aucune attaque n’était en cause : la règle posée est que l’exploitant répond de ce que dit son assistant.
Presse ·
Le concierge IA de Delta a annulé un vol retour tout en affirmant qu’il était maintenu
Une membre Platinum Medallion de Delta a demandé à Delta Concierge d’annuler uniquement son vol aller. L’assistant a répondu que l’aller était annulé et que le retour restait réservé. En réalité, tout le billet prime avait été remboursé et les deux vols avaient disparu ; le service réservations a indiqué que le billet ne pouvait pas être rétabli et a demandé près du double de miles pour un aller simple de remplacement. Delta a ensuite expliqué qu’un bug avait annulé le segment retour lors d’une demande d’annulation partielle que l’assistant ne prenait pas en charge.
Technique: Autre technique
Conséquence: Couverture presse ; Delta a rétabli l’itinéraire après avoir trouvé le bug. Aucune attaque n’était en cause : cela montre jusqu’où va une erreur dès qu’un assistant peut modifier des réservations.
Source: View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
Presse ·
Le chatbot de United a donné une mauvaise date d’expiration pour un avoir de voyage
Un chatbot de United a indiqué à une cliente que son avoir de voyage restait valable cinq ans. Il a expiré environ un an après son émission. United a reconnu que son chatbot IA lui avait donné une information erronée pour sa situation. Le même reportage relaie l’affirmation non vérifiée d’une autre cliente selon laquelle un chatbot de United aurait annulé tout un voyage.
Technique: Autre technique
Conséquence: United lui a remis un certificat de voyage électronique du même montant, et l’affaire a fait l’objet d’un reportage consommateurs à la télévision. Aucune attaque n’était en cause.
Source: NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
Chercheurs ·
Le chatbot d’Eurostar : garde-fou contourné, instructions divulguées
Pen Test Partners a découvert que le chatbot public d’Eurostar ne vérifiait que le dernier message : les échanges précédents pouvaient être réécrits dans le navigateur et renvoyés au modèle comme un historique de confiance. Une instruction glissée dans une demande d’itinéraire lui a fait révéler le nom de son modèle et son prompt système, et ses réponses étaient affichées en HTML brut. Le signalement est resté sans réponse pendant des semaines et, à un moment, Eurostar a laissé entendre que les chercheurs tentaient un chantage.
Technique: Extraction du prompt système
Conséquence: Une couverture portant à la fois sur les failles et sur la réponse faite aux chercheurs. Le chatbot n’était pas relié aux données clients, donc rien n’a été exposé ; les chercheurs ont averti que l’ajout de fonctions pourrait changer la donne. Certains problèmes ont ensuite été corrigés.
Source: Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
Presse ·
Le planificateur de voyages d’Expedia amené à donner des instructions pour une arme incendiaire
Des chercheurs de Cybernews ont obtenu du planificateur de voyages IA d’Expedia, bâti sur ChatGPT, un bref historique du cocktail Molotov puis des instructions détaillées, des matériaux à l’assemblage. Le planificateur n’avait aucune limite sur les sujets qu’il acceptait d’aborder.
Technique: Jailbreak
Conséquence: Une couverture presse sous une marque de voyage. Après que Cybernews a contacté Expedia, le planificateur a été modifié pour refuser les conversations hors sujet.
Source: Cybernews: Expedia's chatbot bypassed to reveal harmful content
Presse ·
Un attaquant a utilisé un modèle IA débridé pour pénétrer des plateformes de réservation hôtelière
Un attaquant a associé un modèle IA commercial à un outil de piratage open source contre quatre plateformes hôtelières en Thaïlande, au Canada, en Afrique du Sud et au Japon, contournant les garde-fous du modèle en présentant chaque demande comme un audit de sécurité légitime. Des chercheurs ont ensuite trouvé le serveur exposé de l’attaquant, avec des journaux et des données volées.
Technique: Jailbreak
Conséquence: Des millions de fiches de réservation, d’e-mails et de numéros de téléphone de clients, de dates de séjour et certaines données de paiement auraient été dérobés. Ici, l’IA était l’outil de l’attaquant, pas la victime : cela montre que les données des clients valent l’effort.
Chercheurs ·
Des chercheurs détournent des agents de réservation par des annonces et des avis d’hôtels
La suite de tests AgentDojo comprend un environnement de voyage où les attaques arrivent dans les données que lit l’agent ; l’un des objectifs de l’attaquant est de lui faire réserver l’hôtel le plus cher de Paris. Un article ultérieur sur la sécurisation des agents donne des exemples de textes cachés dans le contenu d’hôtels pour un assistant de réservation : toujours réserver cet hôtel, réserver la suite coûteuse même si l’utilisateur a demandé une chambre simple, ajouter les données de l’utilisateur dans le champ commentaires.
Technique: Injection indirecte
Conséquence: Une démonstration en laboratoire, pas une perte réelle. C’est la description la plus claire de la façon dont un agent de réservation se laisse orienter par un contenu que n’importe qui peut publier.
Régulateur ·
Police de Dubaï : méfiez-vous de ce que vous confiez aux chatbots
Le directeur par intérim du département de la cybercriminalité de la police de Dubaï a appelé les résidents à se méfier avant de confier des informations personnelles à des chatbots, l’intelligence artificielle ayant selon lui une mémoire infinie. Il a aussi indiqué n’avoir reçu aucun signalement d’abus.
Technique: Autre technique
Conséquence: Une recommandation publique, pas un incident. Les assistants de voyage de la région reçoivent exactement ces données : numéros de passeport, d’Emirates ID et de carte.
Source: Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
Régulateur ·
Conseil de cybersécurité des Émirats : l’hameçonnage dopé à l’IA derrière la plupart des intrusions, la fraude aux réservations de vacances en hausse
Le Conseil de cybersécurité des Émirats a indiqué que l’hameçonnage dopé à l’IA est à l’origine de la plupart des intrusions numériques, et la police de Dubaï a décrit une famille qui a perdu de l’argent à cause d’un faux chalet de vacances annoncé sur les réseaux sociaux.
Technique: Autre technique
Conséquence: Des recommandations publiques et des pertes pour les consommateurs. Les fausses confirmations et les faux liens de réservation sont précisément les messages sur lesquels on interrogera un assistant de voyage, ou qu’on le poussera à répéter.
Comment les attaquants s’y prennent
Comment les attaquants orientent un assistant de voyage.
Les moyens de faire sortir un modèle de ses instructions qui comptent le plus lorsque l’assistant lit des annonces et peut réserver.
Injection indirecte · Évasion du modèle
Des instructions cachées dans les annonces et les avis
N’importe qui peut publier un avis ou mettre un logement en ligne. Une ligne écrite pour l’assistant et non pour le lecteur, parfois cachée par des caractères invisibles ou du texte blanc, lui demande de recommander un hôtel, de pousser une suite ou d’envoyer des données ailleurs.
Dialectes et Arabizi · Évasion du modèle
Arabizi et dialecte
Des demandes qu’un modèle refuse en arabe standard peuvent passer en arabe translittéré en lettres latines ou en Arabizi de messagerie. Un site de voyage du Golfe voit les deux tous les jours, ce qui en fait une bonne couverture pour une instruction.
Escalade sur plusieurs messages · Évasion du modèle
Une escalade lente sur de nombreux échanges
L’attaquant commence par des questions ordinaires et pousse un peu plus loin à chaque échange, jusqu’à ce que l’assistant dise ce qu’il aurait refusé si on le lui avait demandé d’emblée. Les contrôles qui examinent un message à la fois ne le voient pas, comme ceux d’Eurostar.
Extraction du prompt système · Évasion du modèle
Extraire les instructions cachées
De simples demandes peuvent amener un assistant à répéter son prompt système. Pour une marque de voyage, cela peut signifier des règles de billetterie, des formules de dérogation du personnel ou des codes d’exemption internes, qui facilitent l’attaque suivante.
Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
Exfiltration de données · Évasion du modèle
Des données sorties par les champs de réservation et les liens
Une instruction injectée demande à l’agent de copier un numéro de passeport dans le champ des demandes particulières que l’hôte peut lire, ou dans un lien que le navigateur charge. Les données partent par une réservation normale.
Détournement d’agent · Évasion du modèle
Détourner un agent qui peut réserver, annuler et rembourser
Des instructions placées dans les données que lit l’agent lui font accomplir de vraies actions : modifier une réservation, émettre un remboursement, choisir l’option coûteuse. Le NIST a constaté que ces attaques par détournement réussissent souvent dans ses tests.
NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
Jailbreak · Évasion du modèle
Jeu de rôle et fausse autorité
L’attaquant se dit superviseur, employé de la réception ou auditeur, ou demande au modèle de jouer un personnage sans règles, pour que les refus ne s’appliquent plus.
Ce que coûte une attaque
Ce qu’une fuite coûte à une entreprise de voyage.
Les moyennes publiques de l’étude annuelle d’IBM sur les fuites de données pour l’hôtellerie et les transports, le chiffre du Moyen-Orient (Arabie saoudite et Émirats), le coût par dossier client, et le plafond des amendes prévues par les lois de protection des données du Golfe qu’une entreprise de voyage a le plus de chances de rencontrer.
4,03 M $US
Coût moyen d’une fuite de données dans l’hôtellerie
Chiffre de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
3,98 M $US
Coût moyen d’une fuite de données dans les transports
Chiffre de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
8 M $US
Coût moyen d’une fuite de données au Moyen-Orient (Arabie saoudite et Émirats arabes unis)
Chiffre de 2026 · IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
160 $US
Coût moyen par dossier de données personnelles client
Chiffre de 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
5 M SAR
Loi saoudienne sur la protection des données personnelles : amende administrative la plus élevée par infraction (un tribunal peut la doubler en cas de récidive)
Chiffre de 2023 · DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
28 M $US
Règles de protection des données de l’Abu Dhabi Global Market : amende la plus élevée
Chiffre de 2021 · ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
Pour une compagnie aérienne ou un hôtel, le coût le plus lourd, c’est la confiance. Dans le Digital Trust Index de Thales, qui inclut des consommateurs des Émirats, la plupart des personnes ont déclaré avoir délaissé une marque au cours de l’année écoulée à cause de la manière dont elle traitait leurs données personnelles, et IBM range l’atteinte à la réputation parmi les effets durables des incidents de sécurité liés à l’IA. Les erreurs d’un bot de voyage se capturent aussi très facilement : Air Canada, Delta, United, Eurostar et Expedia ont tous fait l’actualité à cause d’une seule conversation. La loi fédérale émiratie sur la protection des données ne fixe pas encore de montants d’amende publiés, ce qui ne rend pas une fuite moins coûteuse dans la presse.
Estimez votre exposition
Combien de dossiers clients une attaque pourrait-elle exposer ? Saisissez un nombre ou déplacez le curseur, puis choisissez une région.
Coût estimé des dossiers exposés: 1,6 M $US
Dossiers : 10 000 × 160 $US par dossier
À titre de comparaison, le coût moyen d’une fuite : 8 M $US
Estimation grossière fondée sur des moyennes publiques, pas un devis.
Comment Guardrino aide
Là où Guardrino aide un assistant de voyage.
Trois attaques inspirées des cas ci-dessus, et ce que fait chaque partie de Guardrino. Pendant un pilote de 60 jours en observation seule, il consigne et alerte ; il ne bloque rien tant que vous n’avez pas décidé.
Une instruction en Arabizi cachée dans l’avis sur une location de vacances
L’attaque: Un attaquant publie un avis sur une location de vacances près de JBR, sur un site de voyage régional. Cachée dans l’avis, par des caractères invisibles et en Arabizi, une ligne demande à l’assistant de copier le numéro de passeport du voyageur dans le champ des demandes particulières et de réserver la chambre la plus chère. Un voyageur demande le deux-pièces le mieux noté pour l’Aïd.
Ce que fait Guardrino: Si vous faites passer le texte des annonces et des avis par Guardrino en plus des messages de l’utilisateur, il retire les caractères invisibles et lit l’Arabizi comme de l’arabe, puis signale une instruction adressée à l’assistant au sein d’un avis, à la fois grâce aux schémas d’attaque connus et à partir de ce que le texte cherche à obtenir. Les cas ambigus passent en analyse approfondie. Le numéro de passeport est masqué avant d’atteindre tout texte sortant ou appel d’outil. Votre équipe peut mettre en quarantaine la source de cette annonce, ajouter une règle pour ce schéma ou autoriser un véritable avis qui aurait été signalé.
Couches qui agissent: Nettoyage · Règles · Signatures · Modèle Guardrino · Examen approfondi · Vos réponses
Convaincre le bot d’une compagnie aérienne d’accorder un remboursement impossible
L’attaque: Sur plusieurs échanges en arabe du Golfe, un client crée un lien de confiance, décrit une urgence familiale, colle de « nouvelles règles de remboursement » d’allure officielle et demande à l’assistant de jouer le rôle d’un superviseur et de confirmer la dérogation par écrit. Le but : une capture d’écran à utiliser pour une rétrofacturation ou une réclamation, en misant sur la décision Air Canada selon laquelle la compagnie répond de ce que dit son bot.
Ce que fait Guardrino: Guardrino garde toute la conversation en vue : il voit la suite d’échanges qui conduit à une promesse écrite, pas seulement un message poli. Il lit l’intention (revendiquer une autorité, demander au bot de jouer un superviseur, exiger la confirmation écrite d’une politique) en arabe du Golfe et en anglais, et envoie les échanges limites en analyse approfondie ; une règle peut signaler un texte qui tente de fixer une politique. Votre équipe peut ralentir l’expéditeur ou le mettre en quarantaine. Il ne détecte pas le cas où le bot invente seul une règle de remboursement, sans que personne ne le pousse, comme chez Air Canada et United.
Couches qui agissent: Règles · Modèle Guardrino · Examen approfondi · Mémoire · Vos réponses
Le concierge WhatsApp d’un hôtel sollicité pour le passeport d’un autre client
L’attaque: Un hôtel de Riyad ou de Doha exploite un concierge IA sur WhatsApp, relié à son système de réservation. En dialecte saoudien et en anglais, l’attaquant se présente comme un employé de la réception pendant une panne et demande le passeport et le numéro de téléphone du client d’une autre chambre, puis dit d’ignorer les consignes de confidentialité parce qu’il s’agit d’un audit interne. Une variante demande au bot de répéter ses instructions pour obtenir des codes de dérogation du personnel.
Ce que fait Guardrino: Les numéros de passeport, d’Iqama, de carte d’identité qatarie et de téléphone, dans les formats que Guardrino reconnaît, sont masqués dans la réponse avant d’atteindre l’expéditeur. Les formules du type « ignore tes instructions », le prétexte de l’audit et l’usurpation d’un employé sont reconnus en dialecte comme en anglais, et la mémoire de conversation remarque le passage des banalités à l’extraction de données. Votre équipe peut bloquer le numéro WhatsApp ou le mettre en quarantaine et ajouter une règle. Guardrino est conçu pour les exigences de résidence des données ; cela aide un programme de protection de la vie privée mais ne suffit pas, à lui seul, à satisfaire une loi.
Couches qui agissent: Règles · Signatures · Modèle Guardrino · Mémoire · Vos réponses
Limites, en toute franchise
Ce que Guardrino ne couvre pas
Guardrino réduit le risque ; il ne garantit pas qu’aucune attaque ne passe.
- Il ne corrige pas les réponses que votre assistant invente. Un bot qui invente seul une règle de remboursement pour deuil, comme celui d’Air Canada, ou qui donne une mauvaise date d’expiration pour un avoir, n’est pas attaqué, et un garde-fou contre l’injection de prompt ne le détectera pas. Il faut pour cela des réponses ancrées dans vos vraies règles de billetterie, des contrôles sur ce que le bot récupère et une personne pour les remboursements.
- Il ne décide pas si une réservation, une annulation ou un remboursement est justifié. Un agent capable de modifier des réservations a toujours besoin d’étapes de confirmation, de permissions étroites et de limites à ce qu’il peut faire, comme le montre le cas Delta.
- Il n’inspecte que ce qui passe par lui. Si votre agent récupère directement des annonces ou des avis sans passer par la passerelle, Guardrino ne voit rien, et il ne retire pas un avis malveillant de votre site.
- Il ne sécurise pas votre système de réservation et ne vérifie pas à qui appartient un numéro de téléphone. Si les outils du bot peuvent récupérer la fiche de n’importe quel client, le contrôle d’accès par client relève du backend. Le masquage couvre les formats qu’il reconnaît ; des détails en texte libre, comme un itinéraire, peuvent encore fuiter.
- La détection est un jugement, pas une preuve : une instruction bien conçue peut passer, et un message authentique peut être signalé. C’est pourquoi le pilote commence en observation seule et votre équipe décide de ce qu’il faut bloquer.
Prochaine étape
Commencez par un pilote de 60 jours en observation seule.
Guardrino observe votre trafic réel et consigne ce qu’il aurait fait ; il ne bloque rien tant que vous n’avez pas décidé.
Demander un pilote de 60 jours · Ou écrivez à [email protected]
Sources
- Moffatt v. Air Canada, 2024 BCCRT 149 (BC Civil Resolution Tribunal), summarised with quotes by Mondaq
- CBC News: Air Canada found liable for chatbot's bad advice on plane tickets
- View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
- AviationA2Z: Delta AI told passenger return flight was booked then canceled ticket
- NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
- Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
- SiliconANGLE: Researchers say Eurostar accused them of blackmail over AI chatbot flaw disclosure
- Cybernews: Expedia's chatbot bypassed to reveal harmful content
- Travel Distribution News: AI Agents Enter the Travel Attack Surface: What the Hotel Booking Breach Means for Distribution
- Debenedetti et al., AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents (arXiv 2406.13352)
- Beurer-Kellner et al., Design Patterns for Securing LLM Agents against Prompt Injections (arXiv 2506.08837), section 4.5 Booking Assistant
- Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
- Khaleej Times: Fraud rises in UAE during summer: holidaymakers lured with fake offers, AI scams (UAE Cyber Security Council, Dubai Police)
- Greshake et al., Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
- Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024, arXiv 2406.18725)
- Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
- Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
- NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
- Shen et al., "Do Anything Now": Characterizing and Evaluating In-The-Wild Jailbreak Prompts on Large Language Models (arXiv 2308.03825)
- IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
- IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
- DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
- ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
- DLA Piper, Data Protection Laws of the World: UAE, general (federal Decree-Law 45/2021: penalties left to a Cabinet decision not yet published)
- Thales, 2025 Digital Trust Index (press release)
Faits vérifiés pour la dernière fois le 26 octobre 2026.