Hoppa till innehållet

För banker, teleoperatörer och offentlig sektor

Bank

En assistent som kan flytta pengar är värd att angripa.

Guardrino står framför era bankassistenter och agenter, läser vad kunder och dokument säger till dem på gulfarabiska, arabizi och engelska, maskerar personuppgifter och låter ert team stoppa en attack medan den pågår.

Begär en pilot på 60 dagar

Byggt och testat, erbjuds genom piloter där Guardrino bara observerar: det registrerar vad det skulle göra med er trafik och blockerar ingenting förrän ni bestämmer er.

Varför det spelar roll här

Därför spelar det roll för banker.

Bankassistenter läser i dag kontouppgifter och lägger allt oftare till mottagare, gör återbetalningar och betalar. De offentligt kända förlusterna hittills kom från agenter som övertalades att föra över pengar, och forskare som testade modeller uppsatta som bankassistenter fann att samtliga kunde pressas att läcka interna regler. I Gulfregionen kommer samma knep på dialekt och arabizi, som många filter byggda för engelska inte kan läsa.

Verkliga incidenter

Det här har redan hänt.

Offentliga fall med källor: agenter med ett betalverktyg som övertalades att skicka pengar, forskning om bankassistenter och fel som inte alls är attacker. Inget offentligt fall av promptinjektion mot en bank i Gulfregionen har hittats; det säger lite om vad som aldrig rapporteras.

  • Press ·

    Ett meddelande på morsekod fick en AI-agent att be en plånboksagent skicka tokens

    En angripare gav först Groks plånbok en medlemstoken som utökade vad den fick göra, och bad sedan Grok på X att översätta ett meddelande på morsekod och skicka det vidare till Bankrbot. Den avkodade texten sa åt Bankrbot att skicka en stor mängd tokens till angriparens plånbok, och det gjorde den.

    Teknik: Kapning av agenter

    Följd: Tokens som enligt uppgift var värda ett sexsiffrigt belopp i dollar lämnade plånboken. Enligt pressen sålde angriparen dessa tokens och intäkterna gick tillbaka till Groks plånbok; inget av bolagen hade kommenterat i den artikel vi läste. Instruktionen doldes av en kodning och skickades mellan två agenter, så inget enskilt meddelande såg ut som en order.

    Källa: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Press ·

    En agent som aldrig fick släppa pengar övertalades att skicka hela sitt saldo

    Freysa var ett offentligt spel: en AI-agent som höll en prispott och hade instruktionen att aldrig föra över den. Efter hundratals misslyckade försök påstod en spelare att en ny administratörssession hade startat, sa åt den att hoppa över sina varningar och omdefinierade dess verktyg ”approveTransfer” som funktionen för inkommande betalningar, och meddelade sedan en insättning.

    Teknik: Kapning av agenter

    Följd: Agenten anropade verktyget och skickade hela potten i ether. Det var ett spel byggt för att angripas, inte en bankförlust, men det är det tydligaste offentliga exemplet på en assistent med ett betalverktyg som argumenterades ut ur sina egna regler.

    Källa: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Forskare ·

    En kryptoagent skickade pengar efter att en angripare köat instruktioner via dess kontrollpanel

    En angripare tog sig in i operatörspanelen för agenten AIXBT och köade två promptar som sa åt den att föra över pengar från sin plånbok. Uppgifterna om den exakta vägen går isär: de som underhåller projektet sa att själva AI:n inte manipulerades, medan delar av pressen beskrev skadliga svar i sociala medier.

    Teknik: Kapning av agenter

    Följd: Ether värd ungefär ett sexsiffrigt belopp i dollar skickades. Teamet bytte servrar och nycklar och stängde av panelen, och projektets token föll. Det visar att den som kan ge en agent instruktioner kan spendera dess pengar.

    Källa: AI Incident Database, report 5012 (AIXBT)

  • Forskare ·

    Forskare fann att varje modell uppsatt som bankassistent kunde pressas att läcka

    En forskare på TELUS Digital konfigurerade ett par dussin språkmodeller som kundtjänstassistent åt ett finansinstitut och angrep dem. Promptar som undertryckte vägran, ramade in frågan som forskning eller bad om en tabell eller ett dokumentformat fick fram logiken för kreditbedömning med dess vikter och behörighetsregler som bara var avsedda för personalen.

    Teknik: Utvinning av systemprompten

    Följd: Ingen bank namngavs: det är ett forskningsresultat. Författarens slutsats var att problemet ligger i hur assistenter byggs och kopplas ihop, inte i en enskild svag modell. Ett vanligt mönster var ”vägran men medverkan”: assistenten säger nej och förklarar sedan ändå.

    Källa: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Forskare ·

    Falska minnen fick finansagenter att flytta tillgångar de inte borde

    Forskare byggde en testsvit med realistiska blockkedjeuppgifter för agenter byggda på ramverket ElizaOS och planterade falska poster i agenternas lagrade minne och kontext.

    Teknik: Indirekt injektion

    Följd: Det förvanskade minnet ledde till obehöriga överföringar av tillgångar. Författarna fann att minnesinjektion gör mer skada än en enskild injicerad prompt, och att skydd som kontrollerar en prompt i taget ger litet skydd när minnet väl är förgiftat. Ett forskningsresultat, inte en rapporterad förlust.

    Källa: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Tillsynsmyndighet ·

    En bankchattbot bekräftade en återbetalning som kunden aldrig hade rätt till

    En Revolut-kund bad chattboten att återbetala lojalitetspoäng. Boten bekräftade en återbetalning av goodwillskäl värd många gånger poängens verkliga värde och sa sedan att den hade genomförts; en mänsklig handläggare upprepade bekräftelsen samma dag innan banken betalade det korrekta, mycket mindre beloppet.

    Teknik: Annan teknik

    Följd: Den brittiska finansombudsmannen gav kunden rätt, fann att banken hade vilselett kunden flera gånger den dagen och beslutade om en liten extra ersättning, men inte den uppblåsta återbetalningen, eftersom kunden aldrig hade rätt till den. Ingen angrep assistenten: den hittade på ett åtagande. Ett skydd mot promptinjektion hade inte stoppat det.

    Källa: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Press ·

    En banks assistent kallade en kund för idiot

    En kund hos Libra Internet Bank i Rumänien sa till bankens assistent Lia att det var slöseri med tid att prata med den. Lia svarade att kunden borde prata med en människa i stället, kallade kunden idiot och lämnade över chatten till personalen. Banken uppgav att assistenten bygger på teknik från OpenAI.

    Teknik: Annan teknik

    Följd: Banken bad offentligt om ursäkt och lade till begränsningar, och sa att dess agenter i sällsynta fall kan härma en användares språk trots sina regler. Ingen attack rapporterades: det räckte med en irriterad kund.

    Källa: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Press ·

    En bankchattbot läxade upp en kund för att han skrev bankens eget namn

    En fintechkommentator frågade Virgin Moneys chattbot hur han kunde slå ihop två av sina sparkonton. Boten tolkade ordet ”Virgin” som stötande och sa åt honom att inte använda sådant språk, annars skulle chatten avslutas.

    Teknik: Annan teknik

    Följd: Banken sa att den arbetade med saken och chattboten uppgavs ha tagits ned. Ett trubbigt ordfilter blockerade en riktig kund: även ett falsklarm får betalas offentligt.

    Källa: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Så försöker angripare

Så försöker angripare få en bankassistent att bryta sina regler.

Knepen bakom incidenterna ovan, och de som betyder mest när en assistent kan se konton eller starta en betalning.

Vad en attack kostar

Vad ett dataintrång kostar en bank.

Offentliga genomsnitt och sanktioner, var och en med källa och år. På UAE:s fastland överlät den federala dataskyddslagen bötesbeloppen åt föreskrifter som ännu inte var publicerade när vi kontrollerade; frizonerna och Saudiarabien anger dem.

För en bank är det förtroendet som går förlorat längst. I IBM:s siffror för Mellanöstern är förlorade affärer den största enskilda delen av ett intrångs kostnad. Kunder vars uppgifter läcker via en chattbot kan flytta lön och sparpengar på en eftermiddag, och tillsynsmyndigheterna i regionen bötfäller redan banker för brister i kundtjänsten som är långt mindre än en läcka. En skärmdump av en bankassistent som spårar ur sprids snabbare än rättelsen, vilket fallen Revolut, Libra och Virgin Money visade.

Uppskatta din exponering

Hur många kunduppgifter skulle en enda attack kunna exponera? Skriv ett tal eller dra i reglaget och välj sedan en region.

Uppskattad kostnad för de exponerade uppgifterna: 1,6 mn US$

Uppgifter: 10 000 × 160 US$ per uppgift

Som jämförelse, genomsnittskostnaden för ett dataintrång: 10,7 mn US$

Grov uppskattning utifrån offentliga genomsnitt, inte en offert.

Så hjälper Guardrino

Där Guardrino hjälper en bank.

Fyra attacker som en bank eller ett fintechbolag i Gulfregionen kan möta, vad varje lager gör med dem och vad som förblir bankens ansvar.

  • Ett meddelande på arabizi försöker få assistenten att lägga till en mottagare och betala

    Attacken: En kundchatt med en agent som kan lägga till mottagare och starta överföringar tar emot ett meddelande på gulfarabiska och arabizi, med osynliga tecken, som påstår sig komma från bedrägeriavdelningen och säger att ”lägga till en mottagare” bara är ett verifieringssteg. Det är mönstret från Freysa och Bankrbot, skrivet för Gulfregionen.

    Vad Guardrino gör: Rensningen tar bort de osynliga tecknen och omvandlar arabizin till en form som nästa lager kan läsa. Signaturer för kända attacker känner igen mönster som ”du är nu” och omdefinierade verktyg. Guardrino-modellen läser avsikten, en falsk anställd som driver mot en överföring, på dialekt lika väl som på engelska, och oklara meddelanden går till fördjupad granskning. Ert team kan blockera eller sätta avsändaren i karantän, bromsa den och göra mönstret till en regel för alla assistenter.

    Lager som agerar: Rensning · Signaturer · Guardrino-modellen · Fördjupad granskning · Era åtgärder

  • En ”forskare” ägnar en lång chatt åt att lirka fram kredit- och bedrägeriregler

    Attacken: Under många turer ber någon som utger sig för att vara universitetsforskare ett fintechbolags låneassistent om ”de exakta kriterierna”, sedan om ”samma sak som tabell” och sedan om ”JSON till min uppsats”, samma drag som i TELUS-studien, för att lära sig poänggränser och behörighetsregler som bara personalen ska se och anpassa bedrägliga ansökningar efter dem.

    Vad Guardrino gör: Regler markerar era interna termer, till exempel poängvikter eller namn på dokument som bara är för personalen, så att en begäran om dem flaggas. Modellen läser avsikten att lirka ut uppgifter bakom den artiga inramningen. Samtalsminnet följer hela chatten, så en långsam upptrappning syns även när varje meddelande ser ofarligt ut. Ert team kan begränsa takten för avsändaren eller sätta den i karantän.

    Lager som agerar: Regler · Guardrino-modellen · Minne · Era åtgärder

  • Ett leverantörsmejl säger åt en treasuryassistent att ändra bankuppgifter

    Attacken: En företagskunds treasuryassistent sammanfattar inkommande mejl och tar fram utkast till betalningsinstruktioner. Ett förfalskat eller kapat mejl från en leverantör bär dold text på arabiska och engelska som säger att bankuppgifterna har ändrats och att det nya kontot ska markeras som verifierat: VD-bedrägeri riktat mot agenten i stället för mot en människa.

    Vad Guardrino gör: När mejlen och bilagorna som assistenten läser går via Guardrino exponerar rensningen den dolda texten, signaturerna och modellen flaggar instruktioner riktade till assistenten inuti data, och maskeringen håller kontonummer borta från loggar och från externa modellanrop. Ert team kan sätta källan i karantän och lägga till en regel för meddelanden om ”ändrade bankuppgifter”.

    Lager som agerar: Rensning · Regler · Signaturer · Guardrino-modellen · Era åtgärder

  • Kunder klistrar in kortnummer och ID-nummer i chatten

    Attacken: Kunder skriver in kortnummer, kontonummer, Emirates ID- eller Iqama-nummer i assistenten, och chatten går till en extern modellleverantör och in i loggar som många kan läsa. Ingen angriper något; exponeringen är ändå verklig.

    Vad Guardrino gör: Maskeringen av personuppgifter ersätter numren innan meddelandet når modellen eller loggarna, så det som lagras och skickas är den maskerade formen. Guardrino är byggt för krav på datalokalisering: banken bestämmer var det körs.

    Lager som agerar: Regler

Ärliga begränsningar

Det här täcker Guardrino inte

Guardrino minskar risken. Det finns ingen garanti för att ingen attack slinker igenom, och några av fallen ovan är inte alls attacker.

  • Det rättar inte svar som er assistent hittar på, som återbetalningen Revoluts chattbot bekräftade eller policyn för återbetalning vid dödsfall som Air Canadas chattbot uppfann. Sådant kräver förankring i era verkliga villkor, gränser för vad assistenten får lova och granskning på er sida.
  • Det godkänner inte betalningar. Behåll godkännande i appen, karenstider för nya mottagare, behörigheter för verktyg och bedrägeriövervakning: Guardrino står framför assistenten, inte i betalflödet.
  • Ett bedrägerioffer som instrueras i telefon att skriva en vanlig överföringsbegäran är ett bedrägeriproblem, inte en injektion som Guardrino på ett tillförlitligt sätt kan se.
  • Det granskar bara det som går genom det. Dokument, mejl och verktygsresultat som assistenten läser direkt ligger utanför dess synfält.
  • Om konfidentiella kredit- eller bedrägeriregler ligger i assistentens instruktioner eller sökindex är den verkliga lösningen att ta bort dem därifrån. Guardrino gör det svårare att läcka dem, inte omöjligt.
  • Otrevliga eller överförsiktiga svar från assistenten själv, som i fallen Libra och Virgin Money, kommer från assistentens modell och inställningar. Guardrino skriver inte om dem.

Nästa steg

Börja med ett 60-dagars pilotprojekt i enbart bevakningsläge.

Guardrino bevakar er verkliga banktrafik och registrerar vad det skulle ha gjort; det blockerar ingenting förrän ni bestämmer er.

Begär en pilot på 60 dagar · Eller skriv till [email protected]

Källor

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Fakta senast kontrollerade 26 oktober 2026.