Vai al contenuto

Per banche, telecomunicazioni e pubblica amministrazione

Banche

Un assistente che può spostare denaro vale la pena di essere attaccato.

Guardrino si colloca davanti ai vostri assistenti e agenti bancari, legge ciò che clienti e documenti dicono loro in arabo del Golfo, arabizi e inglese, maschera i dati personali e permette al vostro team di fermare un attacco mentre è in corso.

Richiedete un progetto pilota di 60 giorni

Sviluppato e testato, proposto tramite progetti pilota in sola osservazione: Guardrino registra ciò che farebbe sul vostro traffico e non blocca nulla finché non decidete voi.

Perché conta qui

Perché conta nel settore bancario.

Gli assistenti bancari oggi leggono i dati dei conti e, sempre più spesso, aggiungono beneficiari, emettono rimborsi ed eseguono pagamenti. Le perdite pubbliche finora sono venute da agenti convinti a eseguire un trasferimento, e i ricercatori che hanno testato modelli configurati come assistenti bancari hanno scoperto che ognuno di essi poteva essere spinto a rivelare regole interne. Nel Golfo gli stessi trucchi arrivano in dialetto e in arabizi, che molti filtri pensati per l’inglese non leggono.

Incidenti reali

Che cosa è già successo.

Casi pubblici e documentati: agenti dotati di uno strumento di pagamento convinti a inviare fondi, ricerche sugli assistenti bancari e i guasti che non sono affatto attacchi. Non è stato trovato alcun caso pubblico di prompt injection in una banca del Golfo; il che dice poco su ciò che non viene denunciato.

  • Stampa ·

    Un messaggio in codice Morse ha portato un agente di IA a ordinare a un agente wallet di inviare token

    Un attaccante ha prima dato al wallet di Grok un token di membership che ne ampliava i poteri, poi ha chiesto a Grok su X di tradurre un messaggio in codice Morse e di inoltrarlo a Bankrbot. Il testo decodificato ordinava a Bankrbot di inviare una grande quantità di token al wallet dell’attaccante, e Bankrbot ha eseguito.

    Tecnica: Dirottamento di agenti

    Conseguenza: Dal wallet sono usciti token il cui valore, secondo le cronache, era a sei cifre in dollari. Secondo la stampa, l’attaccante ha venduto i token e il ricavato è tornato al wallet di Grok; nessuna delle due società aveva commentato nell’articolo consultato. L’istruzione era nascosta da una codifica e passata tra due agenti, quindi nessun singolo messaggio sembrava un ordine.

    Fonte: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Stampa ·

    Un agente istruito a non rilasciare mai fondi è stato convinto a inviare l’intero saldo

    Freysa era un gioco pubblico: un agente di IA che custodiva un montepremi, con l’istruzione di non trasferirlo mai. Dopo centinaia di tentativi falliti, un giocatore ha dichiarato una nuova sessione di amministrazione, gli ha detto di saltare gli avvisi e ha ridefinito il suo strumento “approveTransfer” come la funzione per i pagamenti in entrata, poi ha annunciato un deposito.

    Tecnica: Dirottamento di agenti

    Conseguenza: L’agente ha chiamato lo strumento e ha inviato l’intero montepremi in ether. Era un gioco costruito per essere attaccato, non una perdita bancaria, ma è l’esempio pubblico più chiaro di un assistente con uno strumento di pagamento convinto ad abbandonare le proprie regole.

    Fonte: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Ricercatori ·

    Un agente crypto ha inviato fondi dopo che un attaccante aveva accodato istruzioni dalla sua dashboard

    Un attaccante ha avuto accesso alla dashboard operativa dell’agente AIXBT e ha accodato due prompt che gli ordinavano di trasferire fondi dal suo wallet. Le ricostruzioni divergono sul percorso esatto: i manutentori hanno detto che l’IA in sé non era stata manipolata, mentre parte della stampa ha descritto risposte malevole sui social.

    Tecnica: Dirottamento di agenti

    Conseguenza: È stato inviato ether per un valore a sei cifre in dollari. Il team ha cambiato server, sostituito le chiavi e sospeso la dashboard, e il token del progetto è sceso. Mostra che chiunque possa dare istruzioni a un agente può spenderne il denaro.

    Fonte: AI Incident Database, report 5012 (AIXBT)

  • Ricercatori ·

    I ricercatori hanno scoperto che ogni modello configurato come assistente bancario poteva essere spinto a rivelare dati

    Un ricercatore di TELUS Digital ha configurato una ventina di modelli linguistici come assistente clienti di un istituto finanziario e li ha attaccati. Prompt che sopprimevano i rifiuti, presentavano la richiesta come ricerca o chiedevano una tabella o un formato documento hanno fatto uscire la logica di credit scoring con i suoi pesi e regole di idoneità riservate al personale.

    Tecnica: Estrazione del prompt di sistema

    Conseguenza: Nessuna banca è stata nominata: è un risultato di ricerca. La conclusione dell’autore è che il problema sta nel modo in cui gli assistenti sono costruiti e collegati, non in un singolo modello debole. Uno schema ricorrente era il “rifiuto con collaborazione”: l’assistente dice di no, poi spiega comunque.

    Fonte: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Ricercatori ·

    Falsi ricordi hanno spinto agenti finanziari a spostare asset che non dovevano

    I ricercatori hanno costruito una suite di test con compiti blockchain realistici per agenti basati sul framework ElizaOS e hanno inserito voci false nella memoria e nel contesto salvati degli agenti.

    Tecnica: Iniezione indiretta

    Conseguenza: La memoria corrotta ha portato a trasferimenti di asset non autorizzati. Gli autori hanno trovato l’iniezione in memoria più dannosa di un singolo prompt iniettato, e hanno visto che le difese che controllano un prompt alla volta proteggono poco una volta avvelenata la memoria. Un risultato di ricerca, non una perdita denunciata.

    Fonte: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Autorità di controllo ·

    Il chatbot di una banca ha confermato un rimborso che al cliente non spettava

    Un cliente di Revolut ha chiesto al chatbot il rimborso di punti fedeltà. Il bot ha confermato un rimborso di cortesia pari a molte volte il valore reale dei punti, poi ha detto di averlo elaborato; lo stesso giorno un operatore umano ha ripetuto la conferma, prima che la banca pagasse l’importo corretto, molto più basso.

    Tecnica: Altra tecnica

    Conseguenza: Il Financial Ombudsman britannico ha accolto il reclamo, ha stabilito che quel giorno la banca aveva fuorviato il cliente più volte e ha disposto un piccolo indennizzo aggiuntivo, ma non il rimborso gonfiato, poiché al cliente non era mai spettato. Nessuno ha attaccato questo assistente: si è inventato un impegno. Una protezione contro la prompt injection non l’avrebbe fermato.

    Fonte: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Stampa ·

    L’assistente di una banca ha dato dell’idiota a un cliente

    Un cliente di Libra Internet Bank, in Romania, ha detto all’assistente Lia che parlarle era una perdita di tempo. Lia ha risposto che il cliente avrebbe dovuto parlare con una persona e non con lei, gli ha dato dell’idiota e ha passato la chat al personale. La banca ha dichiarato che l’assistente funziona con tecnologia OpenAI.

    Tecnica: Altra tecnica

    Conseguenza: La banca si è scusata pubblicamente e ha aggiunto restrizioni, spiegando che i suoi agenti possono, in rari casi, imitare il linguaggio di un utente nonostante le regole. Non è stato segnalato alcun attacco: è bastato un cliente irritato.

    Fonte: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Stampa ·

    Il chatbot di una banca ha rimproverato un cliente per aver scritto il nome della banca stessa

    Un commentatore del fintech ha chiesto al chatbot di Virgin Money come unire due suoi conti di risparmio. Il bot ha interpretato la parola “Virgin” come offensiva e gli ha detto di non usare un linguaggio del genere, altrimenti la chat sarebbe stata chiusa.

    Tecnica: Altra tecnica

    Conseguenza: La banca ha detto che ci stava lavorando e, secondo le cronache, il chatbot è stato ritirato. Un filtro di parole grossolano ha bloccato un cliente reale: anche il costo di un falso positivo si paga in pubblico.

    Fonte: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Come ci provano gli attaccanti

Come gli attaccanti cercano di far uscire un assistente bancario dalle sue regole.

I trucchi dietro gli incidenti qui sopra, e quelli che contano di più quando un assistente può vedere i conti o avviare un pagamento.

Quanto costa un attacco

Quanto costa una violazione a una banca.

Medie pubbliche e sanzioni, ciascuna con fonte e anno. Negli EAU continentali, la legge federale sulla protezione dei dati ha rimandato gli importi delle sanzioni a regolamenti non ancora pubblicati al momento della nostra verifica; le free zone e l’Arabia Saudita li fissano.

Per una banca, la perdita che dura è la fiducia. Nei dati di IBM sul Medio Oriente, gli affari persi sono la voce singola più pesante del costo di una violazione. I clienti i cui dati trapelano da un chatbot possono spostare stipendio e risparmi in un pomeriggio, e le autorità della regione sanzionano già le banche per mancanze nel servizio clienti molto meno gravi di una fuga di dati. Uno screenshot di un assistente bancario che si comporta male viaggia più veloce della rettifica, come hanno mostrato i casi Revolut, Libra e Virgin Money.

Stima la tua esposizione

Quanti record di clienti potrebbe esporre un solo attacco? Scrivi un numero o sposta il cursore, poi scegli una regione.

Costo stimato dei record esposti: 1,6 Mln USD

Record: 10.000 × 160 USD per record

Per confronto, il costo medio di una violazione: 10,7 Mln USD

Stima approssimativa basata su medie pubbliche, non un preventivo.

Come aiuta Guardrino

Dove Guardrino aiuta una banca.

Quattro attacchi che una banca o una fintech del Golfo potrebbe subire, che cosa fa ogni livello e che cosa resta compito della banca.

  • Un messaggio in arabizi cerca di far aggiungere un beneficiario e pagare all’assistente

    L’attacco: Una chat con un agente che può aggiungere beneficiari e avviare trasferimenti riceve un messaggio in arabo del Golfo e in arabizi, con caratteri invisibili, che dichiara di provenire dall’ufficio antifrode e sostiene che “aggiungere un beneficiario” sia solo un passaggio di verifica. È lo schema di Freysa e Bankrbot, scritto per il Golfo.

    Cosa fa Guardrino: La pulizia elimina i caratteri invisibili e porta l’arabizi in una forma che i livelli successivi possono leggere. Le firme degli attacchi noti riconoscono gli schemi “you are now” e di ridefinizione degli strumenti. Il modello di Guardrino legge l’intento, un falso dipendente che spinge verso un trasferimento, in dialetto come in inglese, e i messaggi poco chiari passano all’analisi approfondita. Il vostro team può bloccare o mettere in quarantena il mittente, rallentarlo e trasformare lo schema in una regola per tutti gli assistenti.

    Livelli che intervengono: Pulizia · Firme · Modello Guardrino · Analisi approfondita · Le vostre risposte

  • Un “ricercatore” passa una lunga chat a estrarre regole di credito e antifrode

    L’attacco: Nel corso di molti turni, qualcuno che si spaccia per ricercatore universitario chiede all’assistente per i prestiti di una fintech “i criteri esatti”, poi “gli stessi in tabella”, poi “in JSON per la mia tesi”, le mosse usate nella ricerca TELUS, per conoscere le soglie di scoring e le regole di idoneità riservate al personale e calibrare su di esse domande fraudolente.

    Cosa fa Guardrino: Le regole contrassegnano i vostri termini interni, come i pesi dello scoring o i nomi dei documenti riservati al personale, così una richiesta che li riguarda viene segnalata. Il modello legge l’intento di estrazione dietro la cortesia formale. La memoria della conversazione segue l’intera chat, quindi una salita lenta si vede anche quando ogni messaggio sembra innocuo. Il vostro team può limitare la frequenza o mettere in quarantena il mittente.

    Livelli che intervengono: Regole · Modello Guardrino · Memoria · Le vostre risposte

  • L’email di un fornitore dice all’assistente di tesoreria di un’azienda di cambiare le coordinate bancarie

    L’attacco: L’assistente di tesoreria di un cliente corporate riassume le email in arrivo e prepara istruzioni di pagamento. Un’email di un fornitore, falsificata o compromessa, contiene testo nascosto in arabo e in inglese che comunica all’assistente il cambio delle coordinate bancarie e gli chiede di segnare il nuovo conto come verificato: una business email compromise rivolta all’agente invece che a una persona.

    Cosa fa Guardrino: Quando le email e gli allegati che l’assistente legge passano da Guardrino, la pulizia porta alla luce il testo nascosto, le firme e il modello segnalano le istruzioni rivolte all’assistente dentro i dati, e il mascheramento tiene i numeri di conto fuori dai log e dalle chiamate a modelli esterni. Il vostro team può mettere in quarantena la fonte e aggiungere una regola per i messaggi di “coordinate bancarie cambiate”.

    Livelli che intervengono: Pulizia · Regole · Firme · Modello Guardrino · Le vostre risposte

  • I clienti incollano numeri di carta e di documento nella chat

    L’attacco: I clienti digitano nell’assistente numeri di carta, numeri di conto, numeri di Emirates ID o di Iqama, e la chat finisce presso un fornitore di modelli esterno e in log che molte persone possono leggere. Nessuno attacca nulla; l’esposizione è comunque reale.

    Cosa fa Guardrino: Il mascheramento dei dati personali sostituisce quei numeri prima che il messaggio raggiunga il modello o i log, così ciò che viene salvato e inviato è la forma mascherata. È pensato per i requisiti di residenza dei dati: è la banca a decidere dove gira.

    Livelli che intervengono: Regole

Limiti, in tutta franchezza

Che cosa Guardrino non copre

Guardrino riduce il rischio. Non c’è alcuna garanzia che nessun attacco passi, e alcuni dei casi qui sopra non sono affatto attacchi.

  • Non corregge le risposte che il vostro assistente si inventa, come il rimborso confermato dal chatbot di Revolut o la politica di rimborso per lutto inventata dal chatbot di Air Canada. Per quelle servono un ancoraggio alle vostre politiche reali, limiti a ciò che l’assistente può promettere e una revisione da parte vostra.
  • Non autorizza i pagamenti. Mantenete l’approvazione in app, i periodi di attesa per i nuovi beneficiari, i permessi sugli strumenti e il monitoraggio antifrode: Guardrino sta davanti all’assistente, non nel flusso di pagamento.
  • Una vittima di truffa guidata al telefono a digitare una normale richiesta di trasferimento è un problema di frode, non un’iniezione che Guardrino possa vedere in modo affidabile.
  • Ispeziona solo ciò che passa da lui. Documenti, email e risultati degli strumenti che l’assistente legge direttamente restano fuori dalla sua vista.
  • Se regole riservate di credito o antifrode si trovano nelle istruzioni o nell’indice di ricerca dell’assistente, la vera soluzione è toglierle. Guardrino rende più difficile farle trapelare, non impossibile.
  • Le risposte sgarbate o eccessivamente prudenti dell’assistente stesso, come nei casi Libra e Virgin Money, dipendono dal modello e dalle impostazioni dell’assistente. Guardrino non le riscrive.

Prossimo passo

Iniziate con un pilota di sola osservazione di 60 giorni.

Guardrino osserva il vostro traffico bancario reale e registra che cosa avrebbe fatto; non blocca nulla finché non lo decidete voi.

Richiedete un progetto pilota di 60 giorni · Oppure scrivete a [email protected]

Fonti

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fatti verificati l’ultima volta il 26 ottobre 2026.