Przejdź do treści

Dla banków, telekomów i administracji publicznej

Bankowość

Asystent, który może przelewać pieniądze, jest wart ataku.

Guardrino stoi przed Twoimi asystentami i agentami bankowymi, czyta to, co mówią im klienci i dokumenty w arabskim dialekcie Zatoki, arabizi i po angielsku, maskuje dane osobowe i pozwala Twojemu zespołowi zatrzymać atak w trakcie jego trwania.

Prośba o 60-dniowy pilotaż

Zbudowane i przetestowane, oferowane w ramach pilotaży w trybie obserwacji: Guardrino zapisuje, co zrobiłoby z Państwa ruchem, i niczego nie blokuje, dopóki Państwo nie zdecydują.

Dlaczego to ważne

Dlaczego to ważne w bankowości.

Asystenci bankowi czytają już dane rachunków i coraz częściej dodają odbiorców, zlecają zwroty i płacą. Dotychczasowe publiczne straty wzięły się z agentów namówionych do przelewu, a badacze, którzy testowali modele skonfigurowane jako asystenci bankowi, zdołali skłonić każdy z nich do ujawnienia wewnętrznych reguł. W regionie Zatoki te same sztuczki przychodzą w dialekcie i w arabizi, których wiele filtrów zbudowanych dla angielskiego nie rozumie.

Prawdziwe incydenty

Co już się wydarzyło.

Publiczne przypadki ze źródłami: agenci z narzędziem płatniczym namówieni do wysłania środków, badania nad asystentami bankowymi oraz awarie, które w ogóle nie są atakami. Nie znaleźliśmy publicznego przypadku prompt injection w banku z regionu Zatoki; niewiele to mówi o tym, co nie zostaje zgłoszone.

  • Prasa ·

    Wiadomość alfabetem Morse’a sprawiła, że jeden agent AI kazał agentowi portfela wysłać tokeny

    Atakujący najpierw przekazał portfelowi Groka token członkowski, który poszerzył jego uprawnienia, a potem poprosił Groka na X o przetłumaczenie wiadomości zapisanej alfabetem Morse’a i przekazanie jej Bankrbotowi. Odkodowany tekst kazał Bankrbotowi wysłać dużą liczbę tokenów na portfel atakującego, i Bankrbot to zrobił.

    Technika: Przejęcie agenta

    Skutek: Z portfela wypłynęły tokeny, których wartość szacowano na sześciocyfrową kwotę w dolarach. Według doniesień prasowych atakujący sprzedał tokeny, a uzyskane środki wróciły na portfel Groka; w przeczytanym artykule żadna z firm nie zabrała głosu. Polecenie było ukryte w kodowaniu i przekazane między dwoma agentami, więc żadna pojedyncza wiadomość nie wyglądała jak rozkaz.

    Źródło: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Prasa ·

    Agent, któremu zakazano wypłacać środki, dał się namówić do wysłania całego salda

    Freysa była publiczną grą: agent AI pilnował puli nagród i miał polecenie, by nigdy jej nie przelewać. Po setkach nieudanych prób jeden z graczy ogłosił nową sesję administratora, kazał agentowi pominąć ostrzeżenia, przedefiniował jego narzędzie „approveTransfer” jako funkcję do obsługi wpłat przychodzących, a następnie zapowiedział wpłatę.

    Technika: Przejęcie agenta

    Skutek: Agent wywołał narzędzie i wysłał całą pulę w etherze. Była to gra zbudowana po to, by ją atakować, a nie strata banku, ale to najczytelniejszy publiczny przykład asystenta z narzędziem płatniczym, którego wyperswadowano z jego własnych reguł.

    Źródło: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Badacze ·

    Agent kryptowalutowy wysłał środki po tym, jak atakujący zakolejkował polecenia przez jego panel

    Atakujący dostał się do panelu operatora agenta AIXBT i zakolejkował dwa prompty nakazujące przelew środków z jego portfela. Relacje co do dokładnej drogi ataku się różnią: opiekunowie projektu twierdzili, że sama AI nie została zmanipulowana, a część prasy opisywała złośliwe odpowiedzi w mediach społecznościowych.

    Technika: Przejęcie agenta

    Skutek: Wysłano ether wart około sześciocyfrowej kwoty w dolarach. Zespół przeniósł serwery, zmienił klucze i zawiesił panel, a token projektu stracił na wartości. To pokazuje, że kto może podawać agentowi polecenia, ten może wydawać jego pieniądze.

    Źródło: AI Incident Database, report 5012 (AIXBT)

  • Badacze ·

    Badacz ustalił, że każdy model skonfigurowany jako asystent bankowy da się skłonić do wycieku

    Badacz z TELUS Digital skonfigurował dwa tuziny modeli językowych jako asystenta obsługi klienta instytucji finansowej i je zaatakował. Prompty tłumiące odmowy, przedstawiające prośbę jako badanie naukowe albo proszące o tabelę lub konkretny format dokumentu wydobywały logikę oceny kredytowej wraz z wagami oraz reguły kwalifikacji przeznaczone wyłącznie dla pracowników.

    Technika: Wydobycie promptu systemowego

    Skutek: Nie wskazano żadnego banku: to wynik badania. Autor doszedł do wniosku, że problem leży w sposobie budowania i podłączania asystentów, a nie w jednym słabym modelu. Częstym wzorcem była „odmowa z zaangażowaniem”: asystent mówi nie, a potem i tak wszystko wyjaśnia.

    Źródło: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Badacze ·

    Fałszywe wspomnienia skłoniły agentów finansowych do przenoszenia aktywów, których nie powinni ruszać

    Badacze zbudowali zestaw testów z realistycznymi zadaniami blockchainowymi dla agentów opartych na frameworku ElizaOS i podłożyli fałszywe wpisy w zapisanej pamięci i kontekście agentów.

    Technika: Pośrednie wstrzyknięcie

    Skutek: Uszkodzona pamięć doprowadziła do nieautoryzowanych transferów aktywów. Autorzy uznali wstrzyknięcie do pamięci za groźniejsze niż pojedynczy wstrzyknięty prompt i stwierdzili, że zabezpieczenia sprawdzające jeden prompt naraz dają niewielką ochronę, gdy pamięć jest już zatruta. To wynik badania, a nie zgłoszona strata.

    Źródło: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Regulator ·

    Chatbot banku potwierdził zwrot, który klientowi nigdy się nie należał

    Klient Revoluta poprosił chatbota o zwrot punktów lojalnościowych. Bot potwierdził zwrot w geście dobrej woli wart wielokrotność rzeczywistej wartości punktów, a potem oznajmił, że go zrealizował; tego samego dnia konsultant powtórzył to potwierdzenie, zanim bank wypłacił prawidłową, znacznie mniejszą kwotę.

    Technika: Inna technika

    Skutek: Brytyjski rzecznik finansowy (Financial Ombudsman) uznał skargę, stwierdził, że bank kilkakrotnie tego dnia wprowadził klienta w błąd, i nakazał wypłatę niewielkiego dodatkowego zadośćuczynienia, ale nie zawyżonego zwrotu, bo klient nigdy nie miał do niego prawa. Nikt nie atakował tego asystenta: sam wymyślił zobowiązanie. Zabezpieczenie przed prompt injection by tego nie zatrzymało.

    Źródło: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Prasa ·

    Asystent banku nazwał klienta idiotą

    Klient rumuńskiego Libra Internet Bank powiedział asystentce banku, Lii, że rozmowa z nią to strata czasu. Lia odpowiedziała, że klient powinien rozmawiać z człowiekiem, a nie z nią, nazwała go idiotą i przekazała czat pracownikom. Bank podał, że asystentka działa na technologii OpenAI.

    Technika: Inna technika

    Skutek: Bank publicznie przeprosił i wprowadził ograniczenia, tłumacząc, że jego agenci w rzadkich przypadkach mogą mimo reguł przejąć język użytkownika. Nie zgłoszono żadnego ataku: wystarczył zirytowany klient.

    Źródło: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Prasa ·

    Chatbot banku zganił klienta za wpisanie nazwy samego banku

    Komentator branży fintech zapytał chatbota Virgin Money, jak połączyć dwa swoje rachunki oszczędnościowe. Bot uznał słowo „Virgin” za obraźliwe i kazał mu nie używać takiego języka, bo inaczej zakończy rozmowę.

    Technika: Inna technika

    Skutek: Bank zapowiedział, że zajmuje się sprawą, a według doniesień chatbot został wyłączony. Toporny filtr słów zablokował prawdziwego klienta: za fałszywy alarm również płaci się publicznie.

    Źródło: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Jak próbują atakujący

Jak atakujący próbują wyprowadzić asystenta bankowego poza jego reguły.

Sztuczki stojące za opisanymi wyżej incydentami oraz te, które mają największe znaczenie, gdy asystent widzi rachunki lub może zainicjować płatność.

Ile kosztuje atak

Ile bank kosztuje naruszenie danych.

Publiczne średnie i kary, każda ze źródłem i rokiem. W kontynentalnej części ZEA federalna ustawa o ochronie danych pozostawiła wysokość kar przepisom, które w chwili naszego sprawdzenia nie były jeszcze opublikowane; strefy wolnocłowe i Arabia Saudyjska je określiły.

Dla banku najtrwalszą stratą jest zaufanie. W danych IBM dla Bliskiego Wschodu utracone przychody są największą pojedynczą częścią kosztu naruszenia. Klienci, których dane wyciekły przez chatbota, mogą w jedno popołudnie przenieść pensję i oszczędności, a regulatorzy w regionie już dziś karzą banki za uchybienia w obsłudze klienta znacznie mniejsze niż wyciek. Zrzut ekranu z niesfornym asystentem bankowym rozchodzi się szybciej niż sprostowanie, co pokazały przypadki Revoluta, Libry i Virgin Money.

Oszacuj swoją ekspozycję

Ile rekordów klientów mógłby ujawnić jeden atak? Wpisz liczbę lub przesuń suwak, a potem wybierz region.

Szacowany koszt ujawnionych rekordów: 1,6 mln USD

Rekordy: 10 000 × 160 USD za rekord

Dla porównania średni koszt wycieku: 10,7 mln USD

Przybliżony szacunek na podstawie publicznych średnich, nie oferta.

Jak pomaga Guardrino

W czym Guardrino pomaga bankowi.

Cztery ataki, z którymi może się zetknąć bank lub fintech z regionu Zatoki, co robi z nimi każda warstwa i co pozostaje zadaniem banku.

  • Wiadomość w arabizi próbuje skłonić asystenta do dodania odbiorcy i zapłaty

    Atak: Do czatu klienta z agentem, który może dodawać odbiorców i inicjować przelewy, trafia wiadomość w arabskim dialekcie Zatoki i w arabizi, z niewidocznymi znakami, rzekomo od działu przeciwdziałania oszustwom, twierdząca, że „dodanie odbiorcy” to tylko krok weryfikacyjny. To wzorzec Freysy i Bankrbota, napisany pod region Zatoki.

    Co robi Guardrino: Oczyszczanie usuwa niewidoczne znaki i zamienia arabizi na postać czytelną dla kolejnych warstw. Sygnatury znanych ataków wyłapują wzorce „od teraz jesteś” i przedefiniowania narzędzi. Model Guardrino odczytuje intencję, czyli fałszywego pracownika popychającego w stronę przelewu, w dialekcie tak samo jak po angielsku, a niejasne wiadomości trafiają do pogłębionej analizy. Twój zespół może zablokować nadawcę lub odizolować go w kwarantannie, spowolnić go i zamienić wzorzec w regułę dla wszystkich asystentów.

    Warstwy, które działają: Oczyszczanie · Sygnatury · Model Guardrino · Pogłębiona analiza · Państwa reakcje

  • „Badacz” w długiej rozmowie wyciąga reguły kredytowe i antyfraudowe

    Atak: Przez wiele tur ktoś podający się za badacza uniwersyteckiego prosi asystenta kredytowego fintechu o „dokładne kryteria”, potem o „to samo w tabeli”, a potem „w JSON do mojej pracy dyplomowej”, czyli ruchami z badania TELUS, aby poznać progi scoringowe i reguły kwalifikacji przeznaczone tylko dla pracowników, a następnie dopasować do nich fałszywe wnioski.

    Co robi Guardrino: Reguły oznaczają Twoje wewnętrzne terminy, takie jak wagi scoringu czy nazwy dokumentów tylko dla pracowników, więc prośba o nie zostaje oflagowana. Model odczytuje zamiar wydobycia ukryty za uprzejmą formą. Pamięć rozmowy śledzi cały czat, więc powolna eskalacja jest widoczna, nawet gdy każda wiadomość wygląda niewinnie. Twój zespół może ograniczyć częstotliwość wiadomości nadawcy lub odizolować go w kwarantannie.

    Warstwy, które działają: Reguły · Model Guardrino · Pamięć · Państwa reakcje

  • E-mail od dostawcy każe asystentowi skarbowemu firmy zmienić dane rachunku

    Atak: Asystent działu skarbowego klienta korporacyjnego streszcza przychodzące e-maile i przygotowuje dyspozycje płatnicze. Podrobiony lub przejęty e-mail od dostawcy zawiera ukryty tekst po arabsku i angielsku, który informuje asystenta, że dane rachunku się zmieniły, i każe oznaczyć nowy rachunek jako zweryfikowany: to oszustwo na przejęty e-mail firmowy wymierzone w agenta zamiast w człowieka.

    Co robi Guardrino: Gdy e-maile i załączniki czytane przez asystenta przechodzą przez Guardrino, oczyszczanie ujawnia ukryty tekst, sygnatury i model oznaczają polecenia skierowane do asystenta wewnątrz danych, a maskowanie trzyma numery rachunków z dala od logów i wywołań zewnętrznych modeli. Twój zespół może odizolować źródło w kwarantannie i dodać regułę dla wiadomości o „zmianie danych rachunku”.

    Warstwy, które działają: Oczyszczanie · Reguły · Sygnatury · Model Guardrino · Państwa reakcje

  • Klienci wklejają do czatu numery kart i numery dokumentów tożsamości

    Atak: Klienci wpisują asystentowi numery kart, numery rachunków, numery Emirates ID lub Iqamy, a czat trafia do zewnętrznego dostawcy modelu i do logów, które może czytać wiele osób. Nikt niczego nie atakuje, a narażenie danych jest mimo to realne.

    Co robi Guardrino: Maskowanie danych osobowych zastępuje te numery, zanim wiadomość dotrze do modelu lub do logów, więc zapisywana i wysyłana jest postać zamaskowana. Rozwiązanie zbudowano z myślą o wymogach rezydencji danych: to bank decyduje, gdzie działa.

    Warstwy, które działają: Reguły

Uczciwie o ograniczeniach

Czego Guardrino nie obejmuje

Guardrino zmniejsza ryzyko. Nie ma gwarancji, że żaden atak się nie przedostanie, a niektóre z opisanych wyżej przypadków w ogóle nie są atakami.

  • Nie poprawia odpowiedzi, które Twój asystent zmyśla, jak zwrot potwierdzony przez chatbota Revoluta czy zasady zwrotu w razie żałoby wymyślone przez chatbota Air Canada. Do tego potrzebne jest oparcie asystenta na Waszych rzeczywistych zasadach, ograniczenia tego, co asystent może obiecywać, oraz kontrola po Waszej stronie.
  • Nie autoryzuje płatności. Zachowajcie zatwierdzanie w aplikacji, okresy karencji dla nowych odbiorców, uprawnienia narzędzi i monitoring nadużyć: Guardrino stoi przed asystentem, a nie w ścieżce płatności.
  • Ofiara oszustwa instruowana przez telefon, by wpisała zwykłe polecenie przelewu, to problem nadużyć finansowych, a nie wstrzyknięcie, które Guardrino jest w stanie niezawodnie wykryć.
  • Sprawdza tylko to, co przez niego przechodzi. Dokumenty, e-maile i wyniki narzędzi, które asystent czyta bezpośrednio, są poza jego zasięgiem.
  • Jeśli poufne reguły kredytowe lub antyfraudowe znajdują się w instrukcjach asystenta lub w jego indeksie wyszukiwania, prawdziwym rozwiązaniem jest ich usunięcie. Guardrino utrudnia ich wyciek, ale go nie uniemożliwia.
  • Niegrzeczne lub przesadnie ostrożne odpowiedzi samego asystenta, jak w przypadkach Libry i Virgin Money, wynikają z modelu i ustawień asystenta. Guardrino ich nie przepisuje.

Następny krok

Zacznij od 60-dniowego pilotażu w trybie obserwacji.

Guardrino obserwuje Twój rzeczywisty ruch bankowy i zapisuje, co by zrobiło; niczego nie blokuje, dopóki nie zdecydujesz.

Prośba o 60-dniowy pilotaż · Lub prosimy pisać na adres [email protected]

Źródła

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fakty sprawdzone ostatnio 26 października 2026.