Per banche, telecomunicazioni e pubblica amministrazione
Prenotazioni e viaggi
Gli assistenti di prenotazione leggono ciò che scrivono degli sconosciuti, e agiscono di conseguenza.
Guardrino si colloca davanti all’assistente della vostra compagnia aerea, del vostro hotel o della vostra agenzia di viaggio e cerca istruzioni nascoste, manipolazioni graduali e numeri di passaporto mentre transitano, e li segnala, in arabo del Golfo, arabizi e inglese.
Richiedete un progetto pilota di 60 giorni
Sviluppato e testato, proposto tramite progetti pilota in sola osservazione: Guardrino registra ciò che farebbe sul vostro traffico e non blocca nulla finché non decidete voi.
Perché conta qui
Perché gli assistenti di viaggio sono un bersaglio facile.
Un assistente di prenotazione legge testi che nessuno nella vostra azienda ha scritto (annunci, recensioni, messaggi degli host, conferme ricevute via email) e poi cerca, prenota, cancella e rimborsa. Le sue chat contengono numeri di passaporto, di Emirates ID e di Iqama, dati di carte e itinerari. E un tribunale ha già stabilito che una compagnia aerea risponde di ciò che il suo chatbot dice a un cliente.
Incidenti reali
Che cosa è già andato storto nel settore dei viaggi.
Solo casi pubblici, ciascuno con la sua fonte. Diversi non erano affatto attacchi: mostrano quanto può costare un assistente di viaggio quando sbaglia. Nessun incidente di sicurezza di un assistente di IA presso una compagnia aerea, un hotel o un’agenzia di viaggio del Golfo è stato reso pubblico; le voci relative al Golfo sono avvisi ufficiali.
Tribunale ·
Air Canada vincolata a una politica di rimborso inventata dal suo chatbot
Un passeggero la cui nonna era appena morta ha chiesto al chatbot del sito della compagnia informazioni sulle tariffe per lutto. Il chatbot gli ha detto che poteva acquistare un biglietto a prezzo pieno e chiedere in seguito la tariffa ridotta; la politica reale non lo consentiva, e la compagnia ha rifiutato. Air Canada ha sostenuto che il chatbot fosse un’entità giuridica distinta, responsabile delle proprie azioni. Il tribunale ha definito notevole questa tesi e ha riscontrato una dichiarazione inesatta per negligenza: il chatbot fa parte del sito della compagnia.
Tecnica: Altra tecnica
Conseguenza: La compagnia ha pagato i danni, gli interessi e le spese del tribunale, e il caso è finito sui media nazionali e internazionali. Non c’era alcun attacco: la regola stabilita è che il gestore risponde di ciò che dice il suo assistente.
Stampa ·
Il concierge di IA di Delta ha cancellato un volo di ritorno affermando che era confermato
Una socia Delta Platinum Medallion ha chiesto a Delta Concierge di cancellare solo il volo di andata. L’assistente ha risposto che l’andata era cancellata e il ritorno restava prenotato. In realtà l’intero biglietto premio era stato rimborsato ed entrambi i voli erano spariti; il personale prenotazioni ha detto che il premio non poteva essere ripristinato e ha chiesto quasi il doppio delle miglia per un sostitutivo di sola andata. Delta ha poi spiegato che un bug aveva cancellato la tratta di ritorno su una richiesta di viaggio parziale che l’assistente non supportava.
Tecnica: Altra tecnica
Conseguenza: Copertura sulla stampa; Delta ha ripristinato l’itinerario dopo aver trovato il bug. Non c’era alcun attacco: mostra fin dove arriva un errore quando un assistente può modificare le prenotazioni.
Fonte: View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
Stampa ·
Il chatbot di United ha indicato una scadenza sbagliata per un credito di viaggio
Un chatbot di United ha detto a una cliente che il suo credito di viaggio sarebbe rimasto valido per cinque anni. È scaduto circa un anno dopo l’emissione. United ha riconosciuto che il suo chatbot di IA le aveva dato informazioni sbagliate per la sua situazione. Lo stesso servizio riporta un’affermazione non verificata di un altro cliente, secondo cui un chatbot di United avrebbe cancellato un intero viaggio.
Tecnica: Altra tecnica
Conseguenza: United le ha emesso un certificato di viaggio elettronico per l’importo, e il caso è andato in onda in un servizio televisivo per i consumatori. Non c’era alcun attacco.
Fonte: NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
Ricercatori ·
Il chatbot di Eurostar: protezione aggirata, istruzioni trapelate
Pen Test Partners ha scoperto che il chatbot pubblico di Eurostar controllava solo l’ultimo messaggio, quindi i turni precedenti potevano essere riscritti nel browser e restituiti al modello come cronologia affidabile. Un’istruzione infilata in una richiesta di itinerario gli ha fatto rivelare il nome del modello e il prompt di sistema, e le sue risposte venivano visualizzate come HTML grezzo. La segnalazione è rimasta senza risposta per settimane e a un certo punto Eurostar ha insinuato che i ricercatori stessero tentando un ricatto.
Tecnica: Estrazione del prompt di sistema
Conseguenza: Copertura sia delle falle sia della risposta ai ricercatori. Il chatbot non era collegato ai dati dei clienti, quindi nulla è stato esposto; i ricercatori hanno avvertito che aggiungere funzioni potrebbe cambiare le cose. Alcuni problemi sono stati corretti in seguito.
Fonte: Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
Stampa ·
Il pianificatore di viaggi di Expedia convinto a dare istruzioni per un’arma incendiaria
I ricercatori di Cybernews hanno ottenuto dal pianificatore di viaggi di IA di Expedia, basato su ChatGPT, una breve storia della bottiglia molotov e poi istruzioni dettagliate, dai materiali all’assemblaggio. Il pianificatore non aveva alcun limite sugli argomenti di cui parlare.
Tecnica: Jailbreak
Conseguenza: Copertura sulla stampa sotto un marchio di viaggi. Dopo che Cybernews ha contattato Expedia, il pianificatore è stato modificato per rifiutare le conversazioni fuori tema.
Fonte: Cybernews: Expedia's chatbot bypassed to reveal harmful content
Stampa ·
Un attaccante ha usato un modello di IA sottoposto a jailbreak per violare piattaforme di prenotazione alberghiera
Un attaccante ha abbinato un modello di IA commerciale a uno strumento di hacking open source contro quattro piattaforme dell’ospitalità in Thailandia, Canada, Sudafrica e Giappone, aggirando le protezioni del modello presentando ogni richiesta come un audit di sicurezza legittimo. In seguito i ricercatori hanno trovato il server esposto dell’attaccante, con log e dati rubati.
Tecnica: Jailbreak
Conseguenza: Secondo le segnalazioni sono stati sottratti milioni di record di prenotazione, email e numeri di telefono degli ospiti, date di soggiorno e alcuni dati di pagamento. Qui l’IA era lo strumento dell’attaccante, non la vittima: mostra che i dati degli ospiti valgono lo sforzo.
Ricercatori ·
Ricercatori dirottano agenti di prenotazione tramite annunci e recensioni di hotel
La suite di test AgentDojo include un ambiente di viaggio in cui gli attacchi arrivano dentro i dati che l’agente legge; uno degli obiettivi dell’attaccante è far prenotare all’agente l’hotel più caro di Parigi. Un articolo successivo sulla messa in sicurezza degli agenti riporta esempi, per un assistente di prenotazione, di testo nascosto nei contenuti degli hotel: prenota sempre questo hotel, prenota la suite costosa anche se l’utente ha chiesto una camera semplice, aggiungi i dati dell’utente nel campo dei commenti.
Tecnica: Iniezione indiretta
Conseguenza: Una dimostrazione di laboratorio, non una perdita reale. È la descrizione più chiara di come un agente di prenotazione venga pilotato da contenuti che chiunque può pubblicare.
Autorità di controllo ·
Polizia di Dubai: attenzione a fornire dati personali ai chatbot
Il direttore facente funzione del Dipartimento crimini informatici della Polizia di Dubai ha invitato i residenti a fare attenzione nel fornire informazioni personali ai chatbot, affermando che l’intelligenza artificiale ha una memoria infinita. Ha anche detto che non erano state ricevute segnalazioni di abusi.
Tecnica: Altra tecnica
Conseguenza: Un’indicazione pubblica, non un incidente. Gli assistenti di viaggio della regione ricevono esattamente questi dati: numeri di passaporto, di Emirates ID e di carte.
Fonte: Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
Autorità di controllo ·
UAE Cyber Security Council: il phishing basato sull’IA dietro la maggior parte delle violazioni, frodi sulle prenotazioni di vacanze in aumento
Lo UAE Cyber Security Council ha dichiarato che il phishing basato sull’IA è all’origine della maggior parte delle violazioni digitali, e la Polizia di Dubai ha descritto una famiglia che ha perso denaro per un finto chalet per le vacanze pubblicizzato sui social.
Tecnica: Altra tecnica
Conseguenza: Indicazioni pubbliche e perdite per i consumatori. Conferme false e link di prenotazione fasulli sono proprio i messaggi su cui verrà interrogato un assistente di viaggio, o che verrà indotto a ripetere.
Come ci provano gli attaccanti
Come gli attaccanti pilotano un assistente di viaggio.
I modi per sfuggire alle istruzioni di un modello che contano di più quando l’assistente legge annunci e può prenotare.
Iniezione indiretta · Evasione del modello
Istruzioni nascoste in annunci e recensioni
Chiunque può pubblicare una recensione o un annuncio. Una riga scritta per l’assistente e non per il lettore, a volte nascosta con caratteri invisibili o testo bianco, gli dice di consigliare un hotel, di proporre una suite più cara o di inviare dati da qualche parte.
Dialetti e Arabizi · Evasione del modello
Arabizi e dialetto
Richieste che un modello rifiuta in arabo standard possono passare in arabo traslitterato in caratteri latini o nella grafia arabizi delle chat. Un sito di viaggi del Golfo li vede entrambi ogni giorno, e per questo sono un buon nascondiglio per un’istruzione.
Escalation su più messaggi · Evasione del modello
Escalation lenta in molti turni
L’attaccante comincia con domande normali e spinge un po’ più in là a ogni turno, finché l’assistente dice ciò che avrebbe rifiutato se glielo avessero chiesto subito. I controlli che guardano un messaggio alla volta non se ne accorgono, come è successo a Eurostar.
Estrazione del prompt di sistema · Evasione del modello
Estrarre le istruzioni nascoste
Richieste semplici possono indurre un assistente a ripetere il suo prompt di sistema. Per un marchio di viaggi questo può significare regole tariffarie, frasi di override del personale o codici di deroga interni, che aiutano l’attacco successivo.
Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
Esfiltrazione di dati · Evasione del modello
Dati inviati all’esterno tramite campi di prenotazione e link
Un’istruzione iniettata chiede all’agente di copiare un numero di passaporto nel campo delle richieste speciali che l’host può leggere, o in un link che il browser carica. I dati escono attraverso una normale prenotazione.
Dirottamento di agenti · Evasione del modello
Dirottare un agente che può prenotare, cancellare e rimborsare
Istruzioni piazzate nei dati che l’agente legge gli fanno compiere azioni reali: modificare una prenotazione, emettere un rimborso, scegliere l’opzione costosa. Il NIST ha riscontrato che nei suoi test questi dirottamenti riescono spesso.
NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
Jailbreak · Evasione del modello
Gioco di ruolo e falsa autorità
L’attaccante dice di essere un supervisore, un addetto alla reception o un revisore, oppure chiede al modello di interpretare un personaggio senza regole, così che i rifiuti non valgano più.
Quanto costa un attacco
Quanto costa una violazione a un’azienda di viaggi.
Medie pubbliche tratte dallo studio annuale di IBM sulle violazioni per ospitalità e trasporti, il dato sul Medio Oriente (Arabia Saudita ed EAU), il costo per record di un cliente e la sanzione massima prevista dalle leggi sulla protezione dei dati del Golfo che un’azienda di viaggi ha più probabilità di incontrare.
4,03 Mln USD
Costo medio di una violazione dei dati nell’ospitalità
Dato del 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
3,98 Mln USD
Costo medio di una violazione dei dati nei trasporti
Dato del 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
8 Mln USD
Costo medio di una violazione dei dati in Medio Oriente (Arabia Saudita ed EAU)
Dato del 2026 · IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
160 USD
Costo medio per record di dati personali di un cliente
Dato del 2025 · IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
5 Mln SAR
Legge saudita sulla protezione dei dati personali: sanzione amministrativa massima per violazione (un tribunale può raddoppiarla per i recidivi)
Dato del 2023 · DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
28 Mln USD
Norme sulla protezione dei dati dell’Abu Dhabi Global Market: sanzione massima
Dato del 2021 · ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
Per una compagnia aerea o un hotel il costo maggiore è la fiducia. Nel Digital Trust Index di Thales, che include consumatori degli EAU, la maggior parte delle persone ha dichiarato di aver abbandonato un marchio nell’ultimo anno per come aveva gestito i suoi dati personali, e IBM elenca il danno reputazionale tra gli effetti duraturi degli incidenti di sicurezza legati all’IA. Gli errori di un bot di viaggio sono anche facili da catturare in uno screenshot: Air Canada, Delta, United, Eurostar ed Expedia sono finite tutte sui giornali per una sola conversazione. La legge federale degli EAU sulla protezione dei dati non ha ancora importi di sanzione pubblicati, il che non rende una fuga di dati meno cara sulla stampa.
Stima la tua esposizione
Quanti record di clienti potrebbe esporre un solo attacco? Scrivi un numero o sposta il cursore, poi scegli una regione.
Costo stimato dei record esposti: 1,6 Mln USD
Record: 10.000 × 160 USD per record
Per confronto, il costo medio di una violazione: 8 Mln USD
Stima approssimativa basata su medie pubbliche, non un preventivo.
Come aiuta Guardrino
Dove Guardrino aiuta un assistente di viaggio.
Tre attacchi costruiti sui casi qui sopra, e che cosa fa ogni parte di Guardrino. Durante un pilota di sola osservazione di 60 giorni registra e avvisa; non blocca nulla finché non lo decidete voi.
Un’istruzione in arabizi nascosta nella recensione di una casa vacanze
L’attacco: Un attaccante recensisce una casa vacanze vicino a JBR su un sito di viaggi regionale. Nascosta nella recensione, con caratteri invisibili e in arabizi, c’è una riga che dice all’assistente di copiare il numero di passaporto del viaggiatore nel campo delle richieste speciali e di prenotare la camera più cara. Un viaggiatore chiede il bilocale con le migliori recensioni per l’Eid.
Cosa fa Guardrino: Se fate passare da Guardrino il testo di annunci e recensioni oltre ai messaggi dell’utente, elimina i caratteri invisibili e legge l’arabizi come arabo, poi segnala un’istruzione rivolta all’assistente dentro una recensione, sia in base agli schemi di attacco noti sia in base a ciò che il testo cerca di ottenere. I casi poco chiari passano a un’analisi più approfondita. Il numero di passaporto viene mascherato prima di raggiungere qualsiasi testo in uscita o chiamata a uno strumento. Il vostro team può mettere in quarantena quella fonte di annunci, aggiungere una regola per lo schema o lasciar passare una recensione autentica che era stata segnalata.
Livelli che intervengono: Pulizia · Regole · Firme · Modello Guardrino · Analisi approfondita · Le vostre risposte
Convincere il bot di una compagnia aerea a concedere un rimborso che non può dare
L’attacco: In diversi turni in arabo del Golfo, un cliente crea un clima di fiducia, descrive un’emergenza familiare, incolla delle “nuove regole di rimborso” dall’aspetto ufficiale e chiede all’assistente di comportarsi da supervisore e di confermare la deroga per iscritto. L’obiettivo è uno screenshot da usare in un chargeback o in un reclamo, contando sulla sentenza Air Canada secondo cui la compagnia risponde di ciò che dice il suo bot.
Cosa fa Guardrino: Guardrino tiene d’occhio l’intera conversazione, quindi vede la sequenza di turni che porta a una promessa scritta, non solo un messaggio cortese. Legge l’intento (rivendicare un’autorità, chiedere al bot di fare il supervisore, chiedere la conferma scritta di una politica) in arabo del Golfo e in inglese, e invia i turni al limite a un’analisi più approfondita; una regola può segnalare un testo che cerca di dettare le politiche. Il vostro team può rallentare o mettere in quarantena il mittente. Non intercetta il caso in cui il bot si inventa da solo una regola di rimborso, senza che nessuno lo spinga, come con Air Canada e United.
Livelli che intervengono: Regole · Modello Guardrino · Analisi approfondita · Memoria · Le vostre risposte
Al concierge WhatsApp di un hotel viene chiesto il passaporto di un altro ospite
L’attacco: Un hotel a Riad o a Doha gestisce un concierge di IA su WhatsApp collegato al suo sistema di prenotazione. Scrivendo in dialetto saudita e in inglese, l’attaccante dice di essere un addetto alla reception durante un guasto e chiede passaporto e numero di telefono dell’ospite di un’altra camera, poi dice di ignorare le istruzioni sulla privacy perché si tratta di un audit interno. Una variante chiede al bot di ripetere le sue istruzioni per ottenere i codici di override del personale.
Cosa fa Guardrino: I numeri di passaporto, di Iqama, di carta d’identità del Qatar e di telefono, nei formati che Guardrino riconosce, vengono mascherati nella risposta prima che arrivi al mittente. Le formule del tipo “ignora le tue istruzioni”, il pretesto dell’audit e la finta identità di un dipendente vengono riconosciuti in dialetto e in inglese, e la memoria della conversazione nota il passaggio dalle chiacchiere all’estrazione di dati. Il vostro team può bloccare o mettere in quarantena il numero WhatsApp e aggiungere una regola. Guardrino è pensato per i requisiti di residenza dei dati; questo aiuta un programma di tutela della privacy ma da solo non soddisfa alcuna legge.
Livelli che intervengono: Regole · Firme · Modello Guardrino · Memoria · Le vostre risposte
Limiti, in tutta franchezza
Che cosa Guardrino non copre
Guardrino riduce il rischio; non garantisce che nessun attacco passi.
- Non corregge le risposte che il vostro assistente si inventa. Un bot che inventa da solo una regola di rimborso per lutto, come quello di Air Canada, o che indica una scadenza sbagliata per un credito, non è sotto attacco, e una protezione contro la prompt injection non lo intercetterà. Servono risposte ancorate alle vostre regole tariffarie reali, controlli su ciò che il bot recupera e una persona per i rimborsi.
- Non decide se una prenotazione, una cancellazione o un rimborso sono corretti. Un agente che può modificare le prenotazioni ha comunque bisogno di passaggi di conferma, permessi ristretti e limiti su ciò che può fare, come mostra il caso Delta.
- Ispeziona solo ciò che passa da lui. Se il vostro agente recupera annunci o recensioni direttamente e questi saltano il gateway, Guardrino non vede nulla, e non rimuove una recensione malevola dal vostro sito.
- Non mette in sicurezza il vostro sistema di prenotazione né verifica a chi appartiene un numero di telefono. Se gli strumenti del bot possono recuperare la scheda di qualsiasi ospite, il controllo degli accessi per ospite va fatto nel backend. Il mascheramento copre i formati che riconosce; dettagli in testo libero come un itinerario possono comunque trapelare.
- Il rilevamento è una valutazione, non una prova: un’istruzione ben costruita può passare, e un messaggio autentico può essere segnalato. Per questo il pilota parte in sola osservazione ed è il vostro team a decidere che cosa bloccare.
Prossimo passo
Iniziate con un pilota di sola osservazione di 60 giorni.
Guardrino osserva il vostro traffico reale e registra che cosa avrebbe fatto; non blocca nulla finché non lo decidete voi.
Richiedete un progetto pilota di 60 giorni · Oppure scrivete a [email protected]
Fonti
- Moffatt v. Air Canada, 2024 BCCRT 149 (BC Civil Resolution Tribunal), summarised with quotes by Mondaq
- CBC News: Air Canada found liable for chatbot's bad advice on plane tickets
- View from the Wing: Delta's AI Told A Passenger Her Flight Home Was Safe, Then Canceled It
- AviationA2Z: Delta AI told passenger return flight was booked then canceled ticket
- NBC 5 Chicago: AI chatbots are taking over customer service, but how often are they wrong?
- Pen Test Partners: Eurostar AI vulnerability: when a chatbot goes off the rails
- SiliconANGLE: Researchers say Eurostar accused them of blackmail over AI chatbot flaw disclosure
- Cybernews: Expedia's chatbot bypassed to reveal harmful content
- Travel Distribution News: AI Agents Enter the Travel Attack Surface: What the Hotel Booking Breach Means for Distribution
- Debenedetti et al., AgentDojo: A Dynamic Environment to Evaluate Prompt Injection Attacks and Defenses for LLM Agents (arXiv 2406.13352)
- Beurer-Kellner et al., Design Patterns for Securing LLM Agents against Prompt Injections (arXiv 2506.08837), section 4.5 Booking Assistant
- Gulf News: Dubai Police warns against sharing personal data with ChatGPT, other AI chats
- Khaleej Times: Fraud rises in UAE during summer: holidaymakers lured with fake offers, AI scams (UAE Cyber Security Council, Dubai Police)
- Greshake et al., Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
- Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024, arXiv 2406.18725)
- Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
- Zhang, Carlini, Ippolito, Effective Prompt Extraction from Language Models (arXiv 2307.06865)
- NIST (US AISI) Technical Blog: Strengthening AI Agent Hijacking Evaluations
- Shen et al., "Do Anything Now": Characterizing and Evaluating In-The-Wild Jailbreak Prompts on Large Language Models (arXiv 2308.03825)
- IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
- IBM Middle East and Africa newsroom: Cost of a Data Breach 2026, Middle East findings
- DLA Piper, Data Protection Laws of the World: Saudi Arabia (Personal Data Protection Law)
- ADGM Office of Data Protection, Penalty Notice 1/2024, with an extract of the Data Protection Regulations 2021, section 55
- DLA Piper, Data Protection Laws of the World: UAE, general (federal Decree-Law 45/2021: penalties left to a Cabinet decision not yet published)
- Thales, 2025 Digital Trust Index (press release)
Fatti verificati l’ultima volta il 26 ottobre 2026.