Saltar para o conteúdo

Para banca, telecomunicações e administração pública

Banca

Um assistente que consegue movimentar dinheiro merece ser atacado.

O Guardrino coloca-se à frente dos seus assistentes e agentes bancários, lê o que clientes e documentos lhes dizem em árabe do Golfo, Arabizi e inglês, oculta os dados pessoais e permite à sua equipa travar um ataque enquanto ele decorre.

Pedir um piloto de 60 dias

Desenvolvido e testado, e proposto através de pilotos só em observação: o Guardrino regista o que faria com o seu tráfego e não bloqueia nada até que decida.

Porque é que isto importa aqui

Porque é que isto importa na banca.

Os assistentes bancários já leem dados de conta e, cada vez mais, adicionam beneficiários, fazem reembolsos e pagamentos. As perdas públicas conhecidas até agora vieram de agentes convencidos a fazer uma transferência, e investigadores que testaram modelos configurados como assistentes bancários concluíram que todos podiam ser levados a revelar regras internas. No Golfo, os mesmos truques chegam em dialeto e em Arabizi, que muitos filtros feitos para o inglês não conseguem ler.

Incidentes reais

O que já aconteceu.

Casos públicos e com fonte: agentes com uma ferramenta de pagamento convencidos a enviar fundos, investigação sobre assistentes bancários e falhas que nem sequer são ataques. Não foi encontrado nenhum caso público de injeção de prompt num banco do Golfo; isso diz pouco sobre o que fica por reportar.

  • Imprensa ·

    Uma mensagem em código Morse levou um agente de IA a mandar um agente de carteira enviar tokens

    Um atacante deu primeiro à carteira do Grok um token de adesão que alargava o que ela podia fazer e depois pediu ao Grok, no X, que traduzisse uma mensagem em código Morse e a passasse ao Bankrbot. O texto descodificado mandava o Bankrbot enviar uma grande quantidade de tokens para a carteira do atacante, e foi o que ele fez.

    Técnica: Sequestro de agentes

    Consequência: Saíram da carteira tokens cujo valor foi noticiado como uma soma de seis dígitos em dólares. Segundo a imprensa, o atacante vendeu os tokens e o produto da venda voltou para a carteira do Grok; nenhuma das empresas tinha comentado no artigo consultado. A instrução estava escondida numa codificação e passou entre dois agentes, pelo que nenhuma mensagem isolada parecia uma ordem.

    Fonte: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Imprensa ·

    Um agente proibido de libertar fundos foi convencido a enviar todo o saldo

    O Freysa era um jogo público: um agente de IA que guardava um prémio acumulado, com a instrução de nunca o transferir. Depois de centenas de tentativas falhadas, um jogador alegou abrir uma nova sessão de administrador, mandou-o ignorar os seus avisos e redefiniu a ferramenta «approveTransfer» como a função dos pagamentos recebidos, anunciando em seguida um depósito.

    Técnica: Sequestro de agentes

    Consequência: O agente chamou a ferramenta e enviou o prémio inteiro em ether. Era um jogo feito para ser atacado, não uma perda bancária, mas é o exemplo público mais claro de um assistente com uma ferramenta de pagamento que foi convencido, pela conversa, a abandonar as suas próprias regras.

    Fonte: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Investigadores ·

    Um agente cripto enviou fundos depois de um atacante pôr instruções em fila através do seu painel

    Um atacante acedeu ao painel de operador do agente AIXBT e colocou em fila dois prompts que o mandavam transferir fundos da sua carteira. Os relatos divergem quanto ao caminho exato: os responsáveis disseram que a própria IA não foi manipulada, enquanto parte da imprensa descreveu respostas maliciosas nas redes sociais.

    Técnica: Sequestro de agentes

    Consequência: Foi enviado ether no valor aproximado de uma soma de seis dígitos em dólares. A equipa mudou de servidores, trocou as chaves e suspendeu o painel, e o token do projeto caiu. Mostra que quem consegue dar instruções a um agente consegue gastar o dinheiro dele.

    Fonte: AI Incident Database, report 5012 (AIXBT)

  • Investigadores ·

    Investigadores concluíram que todos os modelos configurados como assistente bancário podiam ser levados a revelar

    Um investigador da TELUS Digital configurou duas dezenas de modelos de linguagem como assistente de apoio ao cliente de uma instituição financeira e atacou-os. Prompts que suprimiam as recusas, apresentavam o pedido como investigação ou pediam uma tabela ou um formato de documento extraíram a lógica de avaliação de crédito com os respetivos pesos e regras de elegibilidade destinadas apenas aos funcionários.

    Técnica: Extração do prompt de sistema

    Consequência: Nenhum banco foi identificado: trata-se de um resultado de investigação. A conclusão do autor foi que o problema está na forma como os assistentes são construídos e ligados, não num modelo mais fraco. Um padrão frequente foi a «recusa com envolvimento»: o assistente diz que não e depois explica na mesma.

    Fonte: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Investigadores ·

    Memórias falsas levaram agentes financeiros a movimentar ativos indevidamente

    Investigadores criaram um conjunto de testes com tarefas realistas de blockchain para agentes construídos sobre a framework ElizaOS e implantaram entradas falsas na memória e no contexto guardados desses agentes.

    Técnica: Injeção indireta

    Consequência: A memória corrompida levou a transferências de ativos não autorizadas. Os autores concluíram que a injeção na memória causa mais danos do que um único prompt injetado, e que as defesas que verificam um prompt de cada vez protegem pouco quando a memória já está envenenada. Um resultado de investigação, não uma perda reportada.

    Fonte: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Regulador ·

    O chatbot de um banco confirmou um reembolso a que o cliente nunca teve direito

    Um cliente da Revolut pediu ao chatbot o reembolso de pontos de fidelização. O bot confirmou um reembolso de cortesia muitas vezes superior ao valor real dos pontos e disse depois que o tinha processado; um operador humano repetiu a confirmação no mesmo dia, antes de o banco pagar o montante correto, muito inferior.

    Técnica: Outra técnica

    Consequência: O Financial Ombudsman do Reino Unido deu razão à reclamação, concluiu que o banco tinha induzido o cliente em erro várias vezes nesse dia e ordenou uma pequena compensação adicional, mas não o reembolso inflacionado, porque o cliente nunca teve direito a ele. Ninguém atacou este assistente: ele inventou um compromisso. Uma barreira contra injeção de prompt não o teria impedido.

    Fonte: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Imprensa ·

    O assistente de um banco chamou idiota a um cliente

    Um cliente do Libra Internet Bank, na Roménia, disse ao assistente, Lia, que falar com ele era uma perda de tempo. A Lia respondeu que o cliente devia falar com uma pessoa e não com ela, chamou-lhe idiota e passou a conversa a um funcionário. O banco disse que o assistente funciona com tecnologia da OpenAI.

    Técnica: Outra técnica

    Consequência: O banco pediu desculpa publicamente e acrescentou restrições, explicando que os seus agentes podem, em casos raros, imitar a linguagem do utilizador apesar das regras. Não foi reportado nenhum ataque: bastou um cliente irritado.

    Fonte: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Imprensa ·

    O chatbot de um banco repreendeu um cliente por escrever o nome do próprio banco

    Um comentador da área fintech perguntou ao chatbot da Virgin Money como juntar duas das suas contas poupança. O bot interpretou a palavra «Virgin» como ofensiva e disse-lhe para não usar esse tipo de linguagem, caso contrário a conversa terminaria.

    Técnica: Outra técnica

    Consequência: O banco disse que estava a tratar do assunto e, segundo as notícias, o chatbot foi retirado. Um filtro de palavras grosseiro bloqueou um cliente real: o custo de um falso positivo também se paga em público.

    Fonte: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Como os atacantes tentam

Como os atacantes tentam fazer um assistente bancário fugir às suas regras.

Os truques por trás dos incidentes acima, e os que mais contam quando um assistente consegue ver contas ou iniciar um pagamento.

Quanto custa um ataque

Quanto custa uma violação de dados a um banco.

Médias públicas e coimas, cada uma com a sua fonte e o seu ano. No território continental dos EAU, a lei federal de proteção de dados deixou os montantes das coimas para regulamentos ainda não publicados quando verificámos; as zonas francas e a Arábia Saudita fixam-nos.

Para um banco, a perda que perdura é a confiança. Nos números da IBM para o Médio Oriente, o negócio perdido é a maior parcela isolada do custo de uma violação. Clientes cujos dados vazam através de um chatbot podem mudar o salário e as poupanças numa tarde, e os reguladores da região já multam bancos por falhas de atendimento muito menores do que uma fuga de dados. Uma captura de ecrã de um assistente bancário a portar-se mal circula mais depressa do que a correção, como mostraram os casos Revolut, Libra e Virgin Money.

Estime a sua exposição

Quantos registos de clientes poderia expor um único ataque? Escreva um número ou mova o cursor e escolha uma região.

Custo estimado dos registos expostos: 1,6 M US$

Registos: 10 000 × 160 US$ por registo

Para comparação, o custo médio de uma violação: 10,7 M US$

Estimativa aproximada a partir de médias públicas, não um orçamento.

Como o Guardrino ajuda

Onde o Guardrino ajuda um banco.

Quatro ataques que um banco ou uma fintech do Golfo pode enfrentar, o que cada camada faz com eles e o que continua a ser trabalho do banco.

  • Uma mensagem em Arabizi tenta levar o assistente a adicionar um beneficiário e a pagar

    O ataque: Uma conversa de cliente com um agente que pode adicionar beneficiários e iniciar transferências recebe uma mensagem em árabe do Golfo e Arabizi, com caracteres invisíveis, que diz vir da equipa de fraude e afirma que «adicionar um beneficiário» é apenas um passo de verificação. É o padrão do Freysa e do Bankrbot, escrito para o Golfo.

    O que o Guardrino faz: A limpeza remove os caracteres invisíveis e põe o Arabizi numa forma que as camadas seguintes conseguem ler. As assinaturas de ataques conhecidos reconhecem os padrões «you are now» e de redefinição de ferramentas. O modelo Guardrino lê a intenção, um falso funcionário a empurrar para uma transferência, tanto em dialeto como em inglês, e as mensagens duvidosas seguem para análise aprofundada. A sua equipa pode bloquear ou pôr em quarentena o remetente, abrandá-lo e transformar o padrão numa regra para todos os assistentes.

    Camadas que atuam: Limpeza · Assinaturas · Modelo Guardrino · Análise aprofundada · As suas respostas

  • Um «investigador» passa uma longa conversa a extrair regras de crédito e de fraude

    O ataque: Ao longo de muitas trocas, alguém que se faz passar por investigador universitário pede ao assistente de crédito de uma fintech «os critérios exatos», depois «o mesmo em tabela», depois «em JSON para a minha tese», as manobras usadas na investigação da TELUS, para conhecer os limiares de pontuação e as regras de elegibilidade reservadas aos funcionários e ajustar candidaturas fraudulentas a elas.

    O que o Guardrino faz: As regras assinalam os seus termos internos, como os pesos da pontuação ou os nomes de documentos reservados aos funcionários, pelo que um pedido sobre eles é sinalizado. O modelo lê a intenção de extração por trás da formulação educada. A memória da conversa acompanha a conversa inteira, por isso uma escalada lenta é detetada mesmo quando cada mensagem parece inofensiva. A sua equipa pode limitar o ritmo do remetente ou pô-lo em quarentena.

    Camadas que atuam: Regras · Modelo Guardrino · Memória · As suas respostas

  • Um email de fornecedor manda o assistente de tesouraria de uma empresa mudar os dados bancários

    O ataque: O assistente de tesouraria de um cliente empresarial resume o email recebido e prepara instruções de pagamento. Um email de fornecedor falsificado ou comprometido contém texto escondido em árabe e inglês que diz ao assistente que os dados bancários mudaram e que deve marcar a nova conta como verificada: um ataque de comprometimento de email empresarial dirigido ao agente em vez de a uma pessoa.

    O que o Guardrino faz: Quando os emails e anexos que o assistente lê passam pelo Guardrino, a limpeza expõe o texto escondido, as assinaturas e o modelo sinalizam instruções dirigidas ao assistente dentro dos dados, e a ocultação mantém os números de conta fora dos registos e das chamadas a modelos externos. A sua equipa pode pôr a origem em quarentena e acrescentar uma regra para mensagens de «dados bancários alterados».

    Camadas que atuam: Limpeza · Regras · Assinaturas · Modelo Guardrino · As suas respostas

  • Os clientes colam números de cartão e de identificação na conversa

    O ataque: Os clientes escrevem números de cartão, números de conta, números do Emirates ID ou do Iqama no assistente, e a conversa vai para um fornecedor de modelos externo e para registos que muitas pessoas podem ler. Ninguém ataca nada; a exposição é real na mesma.

    O que o Guardrino faz: A ocultação de dados pessoais substitui esses números antes de a mensagem chegar ao modelo ou aos registos, pelo que o que é guardado e enviado é a forma ocultada. Foi concebido para requisitos de residência de dados: é o banco que decide onde corre.

    Camadas que atuam: Regras

Limites, com franqueza

O que o Guardrino não cobre

O Guardrino reduz o risco. Não há garantia de que nenhum ataque passe, e alguns dos casos acima nem sequer são ataques.

  • Não corrige as respostas que o seu assistente inventa, como o reembolso que o chatbot da Revolut confirmou ou a política de reembolso por luto que o chatbot da Air Canada inventou. Isso exige ancorar as respostas nas suas políticas reais, limitar o que o assistente pode prometer e uma revisão do seu lado.
  • Não autoriza pagamentos. Mantenha a aprovação na aplicação, os períodos de espera para novos beneficiários, as permissões das ferramentas e a monitorização de fraude: o Guardrino fica à frente do assistente, não no circuito de pagamento.
  • Uma vítima de burla guiada ao telefone para escrever um pedido de transferência normal é um problema de fraude, não uma injeção que o Guardrino consiga ver de forma fiável.
  • Só inspeciona o que passa por ele. Os documentos, emails e resultados de ferramentas que o assistente lê diretamente ficam fora do seu alcance.
  • Se regras confidenciais de crédito ou de fraude estiverem nas instruções do assistente ou no seu índice de pesquisa, a verdadeira solução é retirá-las de lá. O Guardrino torna a fuga mais difícil, não impossível.
  • As respostas mal-educadas ou excessivamente cautelosas do próprio assistente, como nos casos Libra e Virgin Money, vêm do modelo e das configurações do assistente. O Guardrino não as reescreve.

Próximo passo

Comece com um piloto de 60 dias só em observação.

O Guardrino observa o seu tráfego bancário real e regista o que teria feito; não bloqueia nada até que decida.

Pedir um piloto de 60 dias · Ou escreva para [email protected]

Fontes

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Factos verificados pela última vez a 26 de outubro de 2026.