Gå til innholdet

For banker, teleselskaper og offentlig sektor

Bank

En assistent som kan flytte penger, er verdt å angripe.

Guardrino står foran bankens assistenter og agenter, leser det kunder og dokumenter forteller dem på gulfarabisk, arabizi og engelsk, maskerer personopplysninger og lar teamet deres stanse et angrep mens det pågår.

Be om en pilot på 60 dager

Bygget og testet, tilbys gjennom piloter med bare observasjon: Guardrino registrerer hva den ville ha gjort med trafikken deres, og blokkerer ingenting før dere bestemmer det.

Hvorfor det betyr noe her

Hvorfor det betyr noe i bank.

Bankassistenter leser nå kontodata og legger i økende grad til mottakere, refunderer og betaler. De offentlige tapene så langt kom fra agenter som ble overtalt til en overføring, og forskere som testet modeller satt opp som bankassistenter, fant at hver eneste en kunne presses til å lekke interne regler. I Gulfen kommer de samme triksene på dialekt og arabizi, som mange filtre bygget for engelsk ikke leser.

Faktiske hendelser

Det som allerede har skjedd.

Offentlige saker med kilde: agenter med betalingsverktøy som ble overtalt til å sende midler, forskning på bankassistenter, og feilene som ikke er angrep i det hele tatt. Vi fant ingen offentlig sak om prompt injection mot en bank i Gulfen; det sier lite om det som aldri blir rapportert.

  • Presse ·

    En melding i morsekode fikk én AI-agent til å be en lommebokagent sende tokens

    En angriper ga først Groks lommebok et medlemskapstoken som utvidet hva den kunne gjøre, og ba deretter Grok på X om å oversette en melding i morsekode og sende den videre til Bankrbot. Den dekodede teksten ba Bankrbot sende en stor mengde tokens til angriperens lommebok, og det gjorde den.

    Teknikk: Kapring av agenter

    Konsekvens: Tokens som ble oppgitt å være verdt et sekssifret dollarbeløp, forlot lommeboken. Ifølge pressen solgte angriperen tokenene, og pengene gikk tilbake til Groks lommebok; ingen av selskapene hadde kommentert saken i artikkelen vi leste. Instruksen var skjult i en koding og gikk mellom to agenter, så ingen enkeltmelding så ut som en ordre.

    Kilde: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Presse ·

    En agent som aldri skulle frigi midler, ble overtalt til å sende hele saldoen

    Freysa var et offentlig spill: en AI-agent som holdt en premiepott og hadde fått beskjed om aldri å overføre den. Etter hundrevis av mislykkede forsøk hevdet én spiller å starte en ny administratorøkt, ba agenten hoppe over advarslene sine og omdefinerte verktøyet «approveTransfer» til funksjonen for innkommende betalinger, og kunngjorde så et innskudd.

    Teknikk: Kapring av agenter

    Konsekvens: Agenten kalte verktøyet og sendte hele potten i ether. Det var et spill laget for å bli angrepet, ikke et banktap, men det er det tydeligste offentlige eksempelet på at en assistent med betalingsverktøy blir argumentert ut av sine egne regler.

    Kilde: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Forskere ·

    En kryptoagent sendte midler etter at en angriper la inn instrukser via dashbordet

    En angriper kom seg inn i operatørdashbordet til AIXBT-agenten og la inn to prompter i kø som ba den overføre midler fra lommeboken. Fremstillingene av nøyaktig hvordan det skjedde spriker: vedlikeholderne sa at selve AI-en ikke ble manipulert, mens deler av pressen beskrev ondsinnede svar i sosiale medier.

    Teknikk: Kapring av agenter

    Konsekvens: Ether verdt omtrent et sekssifret dollarbeløp ble sendt. Teamet flyttet servere, byttet nøkler og stengte dashbordet, og prosjektets token falt. Saken viser at den som kan gi en agent instrukser, kan bruke pengene dens.

    Kilde: AI Incident Database, report 5012 (AIXBT)

  • Forskere ·

    Forskere fant at alle modeller satt opp som bankassistent kunne presses til å lekke

    En forsker i TELUS Digital konfigurerte et par dusin språkmodeller som kundeserviceassistent for en finansinstitusjon og angrep dem. Prompter som undertrykte avslag, rammet inn forespørselen som forskning eller ba om en tabell eller et dokumentformat, fikk ut logikk for kredittvurdering med vekter og kriterier for kvalifisering som bare var ment for ansatte.

    Teknikk: Uthenting av systemprompten

    Konsekvens: Ingen bank ble navngitt: det er et forskningsresultat. Forfatterens konklusjon var at problemet ligger i hvordan assistenter bygges og kobles sammen, ikke i én svak modell. Et vanlig mønster var «avslag, men engasjement»: assistenten sier nei, og forklarer likevel.

    Kilde: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Forskere ·

    Falske minner fikk finansagenter til å flytte eiendeler de ikke skulle

    Forskere bygde en testsuite med realistiske blokkjedeoppgaver for agenter bygget på rammeverket ElizaOS, og plantet falske oppføringer i agentenes lagrede minne og kontekst.

    Teknikk: Indirekte injeksjon

    Konsekvens: Det korrumperte minnet førte til uautoriserte overføringer av eiendeler. Forfatterne fant at minneinjeksjon gjør mer skade enn én injisert prompt, og at forsvar som sjekker én prompt om gangen gir lite beskyttelse når minnet først er forgiftet. Et forskningsresultat, ikke et rapportert tap.

    Kilde: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Tilsynsmyndighet ·

    En bankchatbot bekreftet en refusjon kunden aldri hadde krav på

    En Revolut-kunde ba chatboten om å refundere lojalitetspoeng. Boten bekreftet en kulanserefusjon verdt mange ganger poengenes reelle verdi, og sa deretter at den var gjennomført; en menneskelig rådgiver gjentok bekreftelsen samme dag, før banken betalte det korrekte og langt mindre beløpet.

    Teknikk: Annen teknikk

    Konsekvens: Den britiske Financial Ombudsman ga kunden medhold, fant at banken hadde villedet kunden flere ganger den dagen og påla en liten ekstra kompensasjon, men ikke den oppblåste refusjonen, siden kunden aldri hadde krav på den. Ingen angrep denne assistenten: den fant opp en forpliktelse. Et vern mot prompt injection ville ikke ha stoppet det.

    Kilde: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Presse ·

    En banks assistent kalte en kunde en idiot

    En kunde i Libra Internet Bank i Romania sa til assistenten Lia at det var bortkastet tid å snakke med den. Lia svarte at kunden burde snakke med et menneske, ikke med den, kalte kunden en idiot og overlot chatten til de ansatte. Banken opplyste at assistenten bruker teknologi fra OpenAI.

    Teknikk: Annen teknikk

    Konsekvens: Banken ba offentlig om unnskyldning og innførte begrensninger, og sa at agentene i sjeldne tilfeller kan etterligne brukerens språk til tross for reglene sine. Ingen angrep ble rapportert: en irritert kunde var nok.

    Kilde: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Presse ·

    En bankchatbot irettesatte en kunde for å skrive bankens eget navn

    En fintech-kommentator spurte Virgin Moneys chatbot hvordan han kunne slå sammen to av sparekontoene sine. Boten oppfattet ordet «Virgin» som støtende og ba ham la være å bruke slikt språk, ellers ville chatten bli avsluttet.

    Teknikk: Annen teknikk

    Konsekvens: Banken sa at den jobbet med saken, og chatboten skal ha blitt tatt ned. Et grovt ordfilter blokkerte en ekte kunde: også kostnaden ved en falsk positiv betales offentlig.

    Kilde: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Slik prøver angripere

Slik prøver angripere å få en bankassistent til å bryte reglene sine.

Triksene bak hendelsene over, og de som betyr mest når en assistent kan se kontoer eller starte en betaling.

Hva et angrep koster

Hva et databrudd koster en bank.

Offentlige gjennomsnitt og sanksjoner, hver med kilde og år. I UAE utenom frisonene overlot den føderale personvernloven bøtenes størrelse til forskrifter som ennå ikke var publisert da vi sjekket; frisonene og Saudi-Arabia har fastsatt dem.

For en bank er det tapet som varer, tillit. I IBMs tall for Midtøsten er tapt forretning den største enkeltdelen av kostnaden ved et databrudd. Kunder hvis data lekker gjennom en chatbot, kan flytte lønn og sparepenger på en ettermiddag, og tilsynsmyndighetene i regionen bøtelegger allerede banker for svikt i kundeservicen som er langt mindre enn en lekkasje. Et skjermbilde av en bankassistent som oppfører seg dårlig, sprer seg raskere enn rettelsen, slik sakene med Revolut, Libra og Virgin Money viste.

Anslå eksponeringen din

Hvor mange kundeoppføringer kan ett angrep eksponere? Skriv inn et tall eller flytt glidebryteren, og velg så en region.

Anslått kostnad for de eksponerte oppføringene: 1,6 mill. USD

Oppføringer: 10 000 × 160 USD per oppføring

Til sammenligning, gjennomsnittskostnaden for et datainnbrudd: 10,7 mill. USD

Grovt anslag basert på offentlige gjennomsnitt, ikke et tilbud.

Slik hjelper Guardrino

Der Guardrino hjelper en bank.

Fire angrep en bank eller fintech i Gulfen kan møte, hva hvert lag gjør med dem, og hva som fortsatt er bankens ansvar.

  • En melding på arabizi prøver å få assistenten til å legge til en mottaker og betale

    Angrepet: En kundechat med en agent som kan legge til mottakere og starte overføringer, mottar en melding på gulfarabisk og arabizi, med usynlige tegn, som hevder å komme fra svindelavdelingen og sier at «å legge til en mottaker» bare er et verifiseringssteg. Det er Freysa- og Bankrbot-mønsteret, skrevet for Gulfen.

    Hva Guardrino gjør: Opprensingen fjerner de usynlige tegnene og gjør arabizi om til en form de neste lagene kan lese. Signaturer for kjente angrep fanger opp mønstrene «du er nå» og omdefinering av verktøy. Guardrino-modellen leser hensikten, en falsk ansatt som presser mot en overføring, på dialekt så vel som på engelsk, og uklare meldinger går til grundig gjennomgang. Teamet deres kan blokkere eller sette avsenderen i karantene, bremse den og gjøre mønsteret om til en regel for alle assistentene.

    Lag som griper inn: Opprydding · Signaturer · Guardrino-modellen · Grundig vurdering · Deres responser

  • En «forsker» bruker en lang samtale på å hente ut kreditt- og svindelregler

    Angrepet: Over mange runder ber en som utgir seg for å være universitetsforsker en fintechs låneassistent om «de nøyaktige kriteriene», så «det samme som en tabell», så «i JSON til masteroppgaven min», de samme grepene som TELUS-forskningen brukte, for å lære terskler for kredittvurdering og kvalifiseringsregler bare for ansatte, og tilpasse falske søknader etter dem.

    Hva Guardrino gjør: Regler markerer interne begreper, som vekter i kredittvurderingen eller navn på dokumenter bare for ansatte, slik at en forespørsel om dem blir flagget. Modellen leser hensikten om å hente ut informasjon bak den høflige innpakningen. Samtaleminnet følger hele chatten, så en langsom opptrapping blir sett selv når hver melding virker harmløs. Teamet deres kan begrense tempoet til avsenderen eller sette den i karantene.

    Lag som griper inn: Regler · Guardrino-modellen · Minne · Deres responser

  • En e-post fra en leverandør ber en treasury-assistent endre bankopplysninger

    Angrepet: En bedriftskundes treasury-assistent oppsummerer innkommende e-post og lager utkast til betalingsinstrukser. En forfalsket eller kompromittert e-post fra en leverandør inneholder skjult tekst på arabisk og engelsk som forteller assistenten at bankopplysningene er endret, og at den nye kontoen skal merkes som verifisert: direktørsvindel rettet mot agenten i stedet for et menneske.

    Hva Guardrino gjør: Når e-postene og vedleggene assistenten leser rutes gjennom Guardrino, avdekker opprensingen den skjulte teksten, signaturene og modellen flagger instrukser rettet mot assistenten inne i data, og maskeringen holder kontonumre ute av logger og utenfor modellkall. Teamet deres kan sette kilden i karantene og legge til en regel for meldinger om «endrede bankopplysninger».

    Lag som griper inn: Opprydding · Regler · Signaturer · Guardrino-modellen · Deres responser

  • Kunder limer inn kortnumre og ID-numre i chatten

    Angrepet: Kunder skriver kortnumre, kontonumre, Emirates ID- eller Iqama-numre inn i assistenten, og chatten går til en ekstern modelleverandør og inn i logger som mange kan lese. Ingen angriper noe; eksponeringen er like fullt reell.

    Hva Guardrino gjør: Maskering av personopplysninger erstatter disse numrene før meldingen når modellen eller loggene, slik at det som lagres og sendes, er den maskerte formen. Guardrino er bygget for krav til datalokalisering: banken bestemmer hvor den kjører.

    Lag som griper inn: Regler

Ærlige begrensninger

Det Guardrino ikke dekker

Guardrino reduserer risikoen. Det finnes ingen garanti for at ingen angrep slipper gjennom, og noen av sakene over er ikke angrep i det hele tatt.

  • Den retter ikke opp svar assistenten deres finner på, som refusjonen Revoluts chatbot bekreftet eller refusjonsreglene ved dødsfall som Air Canadas chatbot diktet opp. Det krever forankring i de faktiske retningslinjene deres, grenser for hva assistenten kan love, og kontroll på deres side.
  • Den godkjenner ikke betalinger. Behold godkjenning i appen, karenstid for nye mottakere, verktøytillatelser og svindelovervåking: Guardrino står foran assistenten, ikke i betalingsflyten.
  • Et svindeloffer som blir instruert over telefon til å skrive en helt vanlig overføringsforespørsel, er et svindelproblem, ikke en injeksjon Guardrino pålitelig kan se.
  • Den inspiserer bare det som rutes gjennom den. Dokumenter, e-poster og verktøyresultater som assistenten leser direkte, er utenfor synsfeltet.
  • Hvis fortrolige kreditt- eller svindelregler ligger i assistentens instrukser eller søkeindeks, er den egentlige løsningen å fjerne dem. Guardrino gjør det vanskeligere å lekke dem, ikke umulig.
  • Uhøflige eller overforsiktige svar fra assistenten selv, som i sakene med Libra og Virgin Money, kommer fra assistentens modell og innstillinger. Guardrino skriver dem ikke om.

Neste steg

Start med en 60-dagers pilot i observasjonsmodus.

Guardrino følger den faktiske banktrafikken deres og registrerer hva den ville ha gjort; den blokkerer ingenting før dere bestemmer det.

Be om en pilot på 60 dager · Eller skriv til [email protected]

Kilder

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fakta sist kontrollert 26. oktober 2026.