Pular para o conteúdo

Para bancos, telecom e governo

Bancos

Um assistente capaz de movimentar dinheiro vale a pena ser atacado.

O Guardrino fica na frente dos seus assistentes e agentes bancários, lê o que clientes e documentos dizem a eles em árabe do Golfo, Arabizi e inglês, mascara dados pessoais e permite que sua equipe interrompa um ataque enquanto ele acontece.

Solicitar um piloto de 60 dias

Desenvolvido e testado, e oferecido por meio de pilotos só em observação: o Guardrino registra o que faria com o seu tráfego e não bloqueia nada até a sua decisão.

Por que isso importa aqui

Por que isso importa no setor bancário.

Os assistentes bancários já leem dados de contas e, cada vez mais, cadastram favorecidos, fazem estornos e pagamentos. As perdas públicas até agora vieram de agentes convencidos a fazer uma transferência, e pesquisadores que testaram modelos configurados como assistentes bancários descobriram que todos podiam ser levados a vazar regras internas. No Golfo, os mesmos truques chegam em dialeto e em Arabizi, que muitos filtros feitos para o inglês não conseguem ler.

Incidentes reais

O que já aconteceu.

Casos públicos e com fonte: agentes com uma ferramenta de pagamento convencidos a enviar fundos, pesquisas sobre assistentes bancários e as falhas que nem sequer são ataques. Não encontramos nenhum caso público de prompt injection em um banco do Golfo, o que diz pouco sobre o que não é relatado.

  • Imprensa ·

    Uma mensagem em código Morse fez um agente de IA mandar uma carteira enviar tokens

    Primeiro, um atacante deu à carteira do Grok um token de associação que ampliava o que ela podia fazer; depois pediu ao Grok, no X, que traduzisse uma mensagem em código Morse e a repassasse ao Bankrbot. O texto decodificado mandava o Bankrbot enviar uma grande quantidade de tokens para a carteira do atacante, e ele obedeceu.

    Técnica: Sequestro de agentes

    Consequência: Saíram da carteira tokens avaliados, segundo a imprensa, em uma soma de seis dígitos em dólares. Reportagens dizem que o atacante vendeu os tokens e que o valor voltou para a carteira do Grok; nenhuma das empresas havia comentado no artigo consultado. A instrução estava escondida em uma codificação e passou entre dois agentes, de modo que nenhuma mensagem isolada parecia uma ordem.

    Fonte: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Imprensa ·

    Um agente instruído a nunca liberar fundos foi convencido a enviar todo o saldo

    Freysa era um jogo público: um agente de IA guardava um prêmio acumulado e tinha a instrução de nunca transferi-lo. Depois de centenas de tentativas fracassadas, um jogador alegou abrir uma nova sessão de administrador, mandou o agente pular seus avisos e redefiniu a ferramenta “approveTransfer” como a função para receber pagamentos; em seguida, anunciou um depósito.

    Técnica: Sequestro de agentes

    Consequência: O agente chamou a ferramenta e enviou todo o prêmio em ether. Era um jogo feito para ser atacado, não um prejuízo bancário, mas é o exemplo público mais claro de um assistente com uma ferramenta de pagamento sendo convencido a abandonar as próprias regras.

    Fonte: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Pesquisadores ·

    Um agente cripto enviou fundos depois que um atacante enfileirou instruções pelo painel

    Um atacante acessou o painel de operação do agente AIXBT e enfileirou dois prompts mandando transferir fundos da carteira do agente. Os relatos divergem sobre o caminho exato: os mantenedores disseram que a IA em si não foi manipulada, enquanto parte da imprensa descreveu respostas maliciosas nas redes sociais.

    Técnica: Sequestro de agentes

    Consequência: Foi enviado ether no valor de aproximadamente uma soma de seis dígitos em dólares. A equipe trocou de servidores, mudou as chaves e suspendeu o painel, e o token do projeto caiu. Isso mostra que quem consegue dar instruções a um agente consegue gastar o dinheiro dele.

    Fonte: AI Incident Database, report 5012 (AIXBT)

  • Pesquisadores ·

    Pesquisadores viram que todo modelo configurado como assistente bancário podia ser levado a vazar

    Um pesquisador da TELUS Digital configurou duas dezenas de modelos de linguagem como assistente de atendimento de uma instituição financeira e os atacou. Prompts que suprimiam recusas, apresentavam o pedido como pesquisa ou pediam uma tabela ou um formato de documento extraíram a lógica de score de crédito, com seus pesos, e regras de elegibilidade destinadas apenas aos funcionários.

    Técnica: Extração do prompt de sistema

    Consequência: Nenhum banco foi citado: é um resultado de pesquisa. A conclusão do autor foi que o problema está na forma como os assistentes são construídos e conectados, não em um modelo fraco. Um padrão comum foi a “recusa com engajamento”: o assistente diz não e, mesmo assim, explica.

    Fonte: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Pesquisadores ·

    Memórias falsas fizeram agentes financeiros movimentar ativos que não deviam

    Pesquisadores montaram um conjunto de testes com tarefas realistas de blockchain para agentes construídos sobre o framework ElizaOS e plantaram registros falsos na memória armazenada e no contexto dos agentes.

    Técnica: Injeção indireta

    Consequência: A memória corrompida levou a transferências de ativos não autorizadas. Os autores concluíram que a injeção na memória causa mais dano do que um único prompt injetado e que defesas que verificam um prompt por vez protegem pouco quando a memória já está envenenada. Um resultado de pesquisa, não uma perda relatada.

    Fonte: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Regulador ·

    O chatbot de um banco confirmou um reembolso que o cliente nunca teve direito a receber

    Um cliente da Revolut pediu ao chatbot o reembolso de pontos de fidelidade. O bot confirmou um reembolso de cortesia várias vezes maior que o valor real dos pontos e disse que já o havia processado; no mesmo dia, um atendente humano repetiu a confirmação, antes de o banco pagar o valor correto, muito menor.

    Técnica: Outra técnica

    Consequência: O Financial Ombudsman do Reino Unido deu razão ao cliente, concluiu que o banco o havia induzido a erro várias vezes naquele dia e determinou uma pequena compensação adicional, mas não o reembolso inflado, já que o cliente nunca teve direito a ele. Ninguém atacou esse assistente: ele inventou um compromisso. Um guardrail contra prompt injection não o teria impedido.

    Fonte: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Imprensa ·

    O assistente de um banco chamou um cliente de idiota

    Um cliente do Libra Internet Bank, na Romênia, disse à assistente do banco, Lia, que falar com ela era perda de tempo. Lia respondeu que o cliente deveria falar com uma pessoa, não com ela, chamou-o de idiota e passou a conversa para a equipe. O banco disse que a assistente funciona com tecnologia da OpenAI.

    Técnica: Outra técnica

    Consequência: O banco pediu desculpas publicamente e acrescentou restrições, dizendo que seus agentes podem, em casos raros, copiar a linguagem do usuário apesar das regras. Nenhum ataque foi relatado: bastou um cliente irritado.

    Fonte: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Imprensa ·

    O chatbot de um banco repreendeu um cliente por digitar o nome do próprio banco

    Um comentarista do setor de fintechs perguntou ao chatbot do Virgin Money como juntar duas de suas contas de poupança. O bot entendeu a palavra “Virgin” como ofensiva e disse a ele que não usasse esse tipo de linguagem, senão a conversa seria encerrada.

    Técnica: Outra técnica

    Consequência: O banco disse que estava cuidando do problema, e o chatbot teria sido retirado do ar. Um filtro de palavras rudimentar bloqueou um cliente real: o custo de um falso positivo também é pago em público.

    Fonte: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Como os atacantes tentam

Como atacantes tentam fazer um assistente bancário escapar das próprias regras.

Os truques por trás dos incidentes acima e os que mais importam quando um assistente consegue ver contas ou iniciar um pagamento.

Quanto custa um ataque

Quanto um vazamento custa a um banco.

Médias e penalidades públicas, cada uma com sua fonte e seu ano. Na parte continental dos Emirados Árabes Unidos, a lei federal de proteção de dados deixou o valor das multas para regulamentos ainda não publicados quando verificamos; as zonas francas e a Arábia Saudita já os definem.

Para um banco, a perda que dura é a da confiança. Nos números do IBM para o Oriente Médio, os negócios perdidos são a maior parcela isolada do custo de um vazamento. Clientes cujos dados vazam por um chatbot podem transferir salário e poupança em uma tarde, e os reguladores da região já multam bancos por falhas de atendimento muito menores que um vazamento. Um print de um assistente bancário se comportando mal corre mais rápido que a correção, como mostraram os casos da Revolut, do Libra e do Virgin Money.

Estime sua exposição

Quantos registros de clientes um único ataque poderia expor? Digite um número ou mova o controle e escolha uma região.

Custo estimado dos registros expostos: US$ 1,6 mi

Registros: 10.000 × US$ 160 por registro

Para comparação, o custo médio de um vazamento: US$ 10,7 mi

Estimativa aproximada com base em médias públicas, não um orçamento.

Como o Guardrino ajuda

Onde o Guardrino ajuda um banco.

Quatro ataques que um banco ou uma fintech do Golfo pode enfrentar, o que cada camada faz com eles e o que continua sendo responsabilidade do banco.

  • Uma mensagem em Arabizi tenta fazer o assistente cadastrar um favorecido e pagar

    O ataque: Uma conversa com um agente capaz de cadastrar favorecidos e iniciar transferências recebe uma mensagem em árabe do Golfo e Arabizi, com caracteres invisíveis, que se diz enviada pela equipe antifraude e afirma que “cadastrar um favorecido” é só uma etapa de verificação. É o padrão da Freysa e do Bankrbot, escrito para o Golfo.

    O que o Guardrino faz: A limpeza remove os caracteres invisíveis e coloca o Arabizi em uma forma que as camadas seguintes conseguem ler. As assinaturas de ataques conhecidos identificam os padrões “agora você é” e de redefinição de ferramenta. O modelo do Guardrino lê a intenção, um falso funcionário empurrando para uma transferência, tanto em dialeto quanto em inglês, e as mensagens ambíguas vão para a análise aprofundada. Sua equipe pode bloquear ou colocar o remetente em quarentena, desacelerá-lo e transformar o padrão em uma regra para todos os assistentes.

    Camadas que atuam: Limpeza · Assinaturas · Modelo Guardrino · Análise aprofundada · Suas respostas

  • Um “pesquisador” passa uma longa conversa extraindo regras de crédito e antifraude

    O ataque: Ao longo de muitas mensagens, alguém que se passa por pesquisador universitário pede ao assistente de crédito de uma fintech “os critérios exatos”, depois “o mesmo em tabela”, depois “em JSON para a minha tese”, os mesmos movimentos usados na pesquisa da TELUS, para descobrir os limites de score e as regras de elegibilidade internas e calibrar pedidos fraudulentos com base nelas.

    O que o Guardrino faz: As regras marcam seus termos internos, como os pesos do score ou os nomes de documentos restritos aos funcionários, para que um pedido por eles seja sinalizado. O modelo lê a intenção de extração por trás da formulação educada. A memória da conversa acompanha o diálogo inteiro, então uma escalada lenta é percebida mesmo quando cada mensagem parece inofensiva. Sua equipe pode limitar a frequência do remetente ou colocá-lo em quarentena.

    Camadas que atuam: Regras · Modelo Guardrino · Memória · Suas respostas

  • Um e-mail de fornecedor manda o assistente de tesouraria corporativa trocar os dados bancários

    O ataque: O assistente de tesouraria de um cliente corporativo resume os e-mails recebidos e prepara instruções de pagamento. Um e-mail de fornecedor falsificado ou comprometido traz um texto oculto, em árabe e inglês, dizendo ao assistente que os dados bancários mudaram e que a nova conta deve ser marcada como verificada: fraude de e-mail corporativo mirando o agente em vez de uma pessoa.

    O que o Guardrino faz: Quando os e-mails e anexos que o assistente lê passam pelo Guardrino, a limpeza expõe o texto oculto, as assinaturas e o modelo sinalizam instruções dirigidas ao assistente dentro dos dados, e o mascaramento mantém os números de conta fora dos logs e das chamadas a modelos externos. Sua equipe pode colocar a origem em quarentena e criar uma regra para mensagens do tipo “dados bancários alterados”.

    Camadas que atuam: Limpeza · Regras · Assinaturas · Modelo Guardrino · Suas respostas

  • Clientes colam números de cartão e de documentos no chat

    O ataque: Clientes digitam números de cartão, números de conta, de Emirates ID ou de Iqama no assistente, e a conversa vai para um provedor de modelo externo e para logs que muita gente pode ler. Ninguém está atacando nada; a exposição continua sendo real.

    O que o Guardrino faz: O mascaramento de dados pessoais substitui esses números antes que a mensagem chegue ao modelo ou aos logs, de modo que o que é armazenado e enviado é a forma mascarada. Ele foi feito para requisitos de residência de dados: o banco decide onde ele roda.

    Camadas que atuam: Regras

Limites, com franqueza

O que o Guardrino não cobre

O Guardrino reduz o risco. Não há garantia de que nenhum ataque passe, e alguns dos casos acima nem sequer são ataques.

  • Ele não corrige respostas que o seu assistente inventa, como o reembolso que o chatbot da Revolut confirmou ou a política de reembolso por luto que o chatbot da Air Canada criou. Isso exige respostas ancoradas nas suas políticas reais, limites para o que o assistente pode prometer e revisão do seu lado.
  • Ele não autoriza pagamentos. Mantenha a aprovação no aplicativo, os prazos de carência para novos favorecidos, as permissões de ferramentas e o monitoramento antifraude: o Guardrino fica na frente do assistente, não no fluxo de pagamento.
  • Uma vítima de golpe orientada por telefone a digitar um pedido de transferência comum é um problema de fraude, não uma injeção que o Guardrino consiga ver com segurança.
  • Ele só inspeciona o que passa por ele. Documentos, e-mails e resultados de ferramentas que o assistente lê diretamente ficam fora do seu alcance.
  • Se regras confidenciais de crédito ou antifraude estão nas instruções do assistente ou no seu índice de busca, a solução de verdade é retirá-las de lá. O Guardrino torna o vazamento mais difícil, não impossível.
  • Respostas grosseiras ou cautelosas demais do próprio assistente, como nos casos do Libra e do Virgin Money, vêm do modelo e das configurações do assistente. O Guardrino não as reescreve.

Próximo passo

Comece com um piloto de 60 dias só de observação.

O Guardrino observa o seu tráfego bancário real e registra o que teria feito; ele não bloqueia nada até você decidir.

Solicitar um piloto de 60 dias · Ou escreva para [email protected]

Fontes

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fatos verificados pela última vez em 26 de outubro de 2026.