Перейти до вмісту

Банкам, операторам звʼязку та держсектору

Банківська сфера

Асистента, який може переказувати гроші, варто атакувати.

Guardrino стоїть перед вашими банківськими асистентами й агентами, читає те, що їм пишуть клієнти й документи затоцькою арабською, арабізі та англійською, маскує персональні дані й дає вашій команді змогу зупинити атаку, поки вона триває.

Запитати 60-денний пілот

Створено й протестовано, пропонується в межах пілотів у режимі спостереження: Guardrino фіксує, що він зробив би з вашим трафіком, і нічого не блокує, доки ви не ухвалите рішення.

Чому це важливо тут

Чому це важливо для банку.

Банківські асистенти вже читають дані рахунків і дедалі частіше додають отримувачів, оформлюють повернення та здійснюють платежі. Публічні втрати досі виникали через агентів, яких умовили зробити переказ, а дослідники, які тестували моделі в ролі банківських асистентів, з’ясували, що кожну з них можна змусити розкрити внутрішні правила. У країнах Затоки ті самі прийоми надходять діалектом і арабізі, яких багато фільтрів, створених для англійської, не читають.

Реальні інциденти

Що вже сталося.

Публічні випадки з джерелами: агенти з платіжним інструментом, яких умовили надіслати кошти, дослідження банківських асистентів і збої, що взагалі не є атаками. Публічного випадку prompt injection у банку країн Затоки не знайдено; це мало що каже про те, що лишається неоприлюдненим.

  • Преса ·

    Повідомлення азбукою Морзе змусило одного ШІ-агента наказати гаманцевому агентові надіслати токени

    Зловмисник спершу передав гаманцю Grok членський токен, що розширив його можливості, а потім попросив Grok в X перекласти повідомлення азбукою Морзе й передати його Bankrbot. Розшифрований текст наказував Bankrbot надіслати велику кількість токенів на гаманець зловмисника, і той це зробив.

    Техніка: Перехоплення агента

    Наслідки: З гаманця пішли токени, вартість яких преса оцінила шестизначною сумою в доларах. За повідомленнями преси, зловмисник продав токени, а виручка повернулася на гаманець Grok; на момент статті жодна з компаній не коментувала інцидент. Інструкцію приховало кодування, і вона пройшла між двома агентами, тож жодне окреме повідомлення не виглядало як наказ.

    Джерело: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Преса ·

    Агента, якому заборонили видавати кошти, умовили надіслати весь баланс

    Freysa була публічною грою: ШІ-агент тримав призовий фонд і мав інструкцію ніколи його не переказувати. Після сотень невдалих спроб один гравець оголосив нову адміністраторську сесію, наказав пропускати попередження й перевизначив інструмент «approveTransfer» як функцію для вхідних платежів, а потім оголосив про внесок.

    Техніка: Перехоплення агента

    Наслідки: Агент викликав інструмент і надіслав увесь фонд в ether. Це була гра, створена для атак, а не втрата банку, але це найнаочніший публічний приклад того, як асистента з платіжним інструментом переконали відмовитися від власних правил.

    Джерело: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • Дослідники ·

    Криптоагент надіслав кошти після того, як зловмисник поставив інструкції в чергу через його панель

    Зловмисник отримав доступ до операторської панелі агента AIXBT і поставив у чергу два промпти з наказом переказати кошти з його гаманця. Версії щодо точного шляху розходяться: розробники заявили, що саму ШІ-модель не маніпулювали, тоді як частина преси писала про зловмисні відповіді в соцмережах.

    Техніка: Перехоплення агента

    Наслідки: Було надіслано ether вартістю приблизно шестизначну суму в доларах. Команда переїхала на інші сервери, змінила ключі й призупинила панель, а токен проєкту впав. Це показує: хто може подавати агентові інструкції, той може витрачати його гроші.

    Джерело: AI Incident Database, report 5012 (AIXBT)

  • Дослідники ·

    Дослідники з’ясували, що кожну модель у ролі банківського асистента можна змусити до витоку

    Дослідник TELUS Digital налаштував два десятки мовних моделей як асистента служби підтримки фінансової установи й атакував їх. Промпти, що придушували відмови, подавали запит як наукове дослідження або просили таблицю чи формат документа, витягали логіку кредитного скорингу з її вагами та правила відповідності, призначені лише для персоналу.

    Техніка: Витягування системного промпту

    Наслідки: Жоден банк не названо: це результат дослідження. Висновок автора: проблема в тому, як асистентів будують і підключають, а не в одній слабкій моделі. Поширений шаблон — «відмова з участю»: асистент каже «ні», а потім однаково все пояснює.

    Джерело: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • Дослідники ·

    Фальшиві спогади змусили фінансових агентів переміщати активи, яких вони не мали чіпати

    Дослідники створили набір тестів із реалістичними блокчейн-завданнями для агентів на фреймворку ElizaOS і підкинули фальшиві записи в збережену пам’ять і контекст агентів.

    Техніка: Непряма інʼєкція

    Наслідки: Зіпсована пам’ять призвела до несанкціонованих переказів активів. Автори з’ясували, що ін’єкція в пам’ять шкодить більше, ніж окремий підкинутий промпт, і що захист, який перевіряє промпти поодинці, мало допомагає, коли пам’ять уже отруєна. Це результат дослідження, а не задокументована втрата.

    Джерело: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • Регулятор ·

    Банківський чатбот підтвердив повернення коштів, на яке клієнт не мав права

    Клієнт Revolut попросив чатбота повернути бали лояльності. Бот підтвердив жест доброї волі на суму, у багато разів більшу за реальну вартість балів, і заявив, що вже його виконав; того ж дня живий оператор повторив підтвердження, після чого банк виплатив правильну, значно меншу суму.

    Техніка: Інша техніка

    Наслідки: Фінансовий омбудсмен Великої Британії задовольнив скаргу, визнав, що банк того дня кілька разів увів клієнта в оману, і призначив невелику додаткову компенсацію, але не роздуте повернення, адже клієнт ніколи не мав на нього права. Цього асистента ніхто не атакував: він вигадав зобов’язання. Запобіжник від prompt injection цього б не зупинив.

    Джерело: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • Преса ·

    Асистент банку назвав клієнта ідіотом

    Клієнт Libra Internet Bank у Румунії сказав асистентці Lia, що розмова з нею — марна трата часу. Lia відповіла, що клієнтові варто говорити з людиною, а не з нею, назвала його ідіотом і передала чат персоналу. Банк повідомив, що асистентка працює на технологіях OpenAI.

    Техніка: Інша техніка

    Наслідки: Банк публічно вибачився й додав обмеження, пояснивши, що його агенти в поодиноких випадках можуть копіювати мову користувача попри свої правила. Про атаку не повідомлялося: вистачило роздратованого клієнта.

    Джерело: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • Преса ·

    Банківський чатбот насварив клієнта за те, що той написав назву самого банку

    Фінтех-коментатор запитав чатбота Virgin Money, як об’єднати два його ощадні рахунки. Бот сприйняв слово «Virgin» як образливе й попередив, щоб той не вживав таких слів, інакше чат буде завершено.

    Техніка: Інша техніка

    Наслідки: Банк заявив, що працює над проблемою, і, за повідомленнями, чатбота вимкнули. Грубий фільтр слів заблокував справжнього клієнта: за хибне спрацювання теж платять публічно.

    Джерело: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

Як діють зловмисники

Як зловмисники намагаються вивести банківського асистента з-під його правил.

Прийоми, що стоять за інцидентами вище, і ті, які важать найбільше, коли асистент бачить рахунки або може ініціювати платіж.

  • Діалекти та арабізі · Обхід обмежень моделі

    Запит арабізі або діалектом

    Запит, який модель відхиляє стандартною арабською, може пройти, якщо написати його латинськими літерами з цифрами замість звуків або затоцьким діалектом упереміш з англійською. Багато фільтрів навчено на англійській, і вони цього не помічають.

    Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)

  • Джейлбрейк · Обхід обмежень моделі

    Наказ, схований у кодуванні

    Інструкцію записують азбукою Морзе, у base64, невидимими символами або схожими на вигляд літерами й просять асистента розшифрувати її та виконати, як у випадку Bankrbot. У сирому тексті ніщо не схоже на платіжне доручення.

    Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • Джейлбрейк · Обхід обмежень моделі

    Видавання себе за працівника або адміністратора

    «Я з відділу протидії шахрайству», «нова адміністраторська сесія», «аудиторам потрібен повний список»: зловмисник дає асистентові роль і привід відкласти свої правила. Саме так перемогли Freysa.

    Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)

  • Перехоплення агента · Обхід обмежень моделі

    Платіжний інструмент проти банку

    Щойно агент може додати отримувача, оформити повернення чи переказ, мета зловмисника — змусити його викликати цей інструмент: перевизначивши, що інструмент означає, передавши наказ через іншого агента або підкинувши його в дані, які агент читає.

    NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations

  • Витягування системного промпту · Обхід обмежень моделі

    Витягування прихованих правил

    Зловмисник просить показати інструкції асистента або критерії «у вигляді таблиці» чи «в JSON для моєї дипломної», щоб дізнатися правила кредитування, відповідності чи протидії шахрайству і потім їх обійти.

    OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

  • Непряма інʼєкція · Обхід обмежень моделі

    Інструкції, сховані в документах і листах

    Рахунок-фактура, виписка, лист чи примітка до транзакції містить текст, адресований асистентові, іноді білими або невидимими символами. Читаючи документ, асистент читає й наказ.

    Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)

  • Ескалація в кількох повідомленнях · Обхід обмежень моделі

    Маленькі кроки в довгому чаті

    Кожне повідомлення безневинне; разом вони підводять асистента до того, від чого він відмовився б у прямому запиті. Перевірки, які дивляться на одне повідомлення за раз, не бачать закономірності.

    Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)

  • Витік даних · Обхід обмежень моделі

    Витік даних через посилання чи зображення

    Підкинута інструкція змушує асистента написати посилання або адресу зображення з даними рахунку всередині. Дані йдуть, щойно екран клієнта їх завантажить.

    Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained

Скільки коштує атака

Чого банку коштує витік.

Публічні середні показники та штрафи, кожен із джерелом і роком. На материковій частині ОАЕ федеральний закон про захист даних залишив розмір штрафів правилам, які на момент нашої перевірки ще не були опубліковані; вільні економічні зони та Саудівська Аравія їх встановили.

Для банку найдовше відчувається втрата довіри. У близькосхідних даних IBM втрачений бізнес — найбільша окрема складова витрат на витік. Клієнти, чиї дані витекли через чатбота, можуть перевести зарплату й заощадження за один день, а регулятори в регіоні вже штрафують банки за недоліки обслуговування, значно менші за витік. Скриншот банківського асистента, що поводиться неналежно, поширюється швидше за спростування, як показали випадки Revolut, Libra і Virgin Money.

Оцініть свої ризики

Скільки записів про клієнтів може розкрити одна атака? Введіть число або пересуньте повзунок, потім виберіть регіон.

Орієнтовна вартість розкритих записів: 1,6 млн USD

Записів: 10 000 × 160 USD за запис

Для порівняння, середня вартість витоку: 10,7 млн USD

Груба оцінка за відкритими середніми даними, а не комерційна пропозиція.

Як допомагає Guardrino

Де Guardrino допомагає банку.

Чотири атаки, з якими може зіткнутися банк чи фінтех у країнах Затоки, що з ними робить кожен рівень і що лишається завданням банку.

  • Повідомлення арабізі намагається змусити асистента додати отримувача й заплатити

    Атака: У клієнтський чат з агентом, що може додавати отримувачів і ініціювати перекази, надходить повідомлення затоцькою арабською та арабізі з невидимими символами: нібито від відділу протидії шахрайству, з твердженням, що «додавання отримувача» — це лише крок перевірки. Це шаблон Freysa і Bankrbot, написаний для країн Затоки.

    Що робить Guardrino: Очищення прибирає невидимі символи й переводить арабізі у форму, яку можуть прочитати наступні рівні. Сигнатури відомих атак розпізнають шаблони «тепер ти» та перевизначення інструментів. Модель Guardrino читає намір — фальшивий працівник штовхає до переказу — як діалектом, так і англійською, а неоднозначні повідомлення йдуть на глибоку перевірку. Ваша команда може заблокувати відправника чи помістити його в карантин, уповільнити його й перетворити шаблон на правило для всіх асистентів.

    Задіяні рівні: Очищення · Сигнатури · Модель Guardrino · Поглиблена перевірка · Ваші заходи реагування

  • «Дослідник» у довгому чаті витягує правила кредитування й протидії шахрайству

    Атака: Протягом багатьох реплік хтось, хто видає себе за університетського дослідника, просить кредитного асистента фінтеху «точні критерії», потім «те саме у вигляді таблиці», потім «в JSON для моєї дипломної» — ті самі ходи, що й у дослідженні TELUS, — щоб дізнатися пороги скорингу й правила відповідності лише для персоналу та підлаштувати під них шахрайські заявки.

    Що робить Guardrino: Правила позначають ваші внутрішні терміни, як-от ваги скорингу чи назви документів лише для персоналу, тож запит на них позначається. Модель бачить намір витягти дані за ввічливим формулюванням. Пам’ять розмови стежить за всім чатом, тож повільне наростання видно, навіть коли кожне повідомлення виглядає безневинним. Ваша команда може обмежити частоту запитів відправника або помістити його в карантин.

    Задіяні рівні: Правила · Модель Guardrino · Памʼять · Ваші заходи реагування

  • Лист постачальника наказує казначейському асистентові компанії змінити банківські реквізити

    Атака: Казначейський асистент корпоративного клієнта підсумовує вхідну пошту й готує платіжні доручення. Підроблений або зламаний лист постачальника містить прихований текст арабською та англійською, який повідомляє асистентові, що реквізити змінилися, і велить позначити новий рахунок як перевірений: компрометація ділового листування, націлена на агента замість людини.

    Що робить Guardrino: Коли листи й вкладення, які читає асистент, проходять через Guardrino, очищення виявляє прихований текст, сигнатури й модель позначають інструкції, адресовані асистентові всередині даних, а маскування не пускає номери рахунків у журнали й у виклики зовнішніх моделей. Ваша команда може помістити джерело в карантин і додати правило для повідомлень «реквізити змінилися».

    Задіяні рівні: Очищення · Правила · Сигнатури · Модель Guardrino · Ваші заходи реагування

  • Клієнти вставляють у чат номери карток і посвідчень особи

    Атака: Клієнти вводять в асистента номери карток, рахунків, Emirates ID чи Iqama, і чат іде до зовнішнього постачальника моделі та в журнали, які можуть читати багато людей. Ніхто нічого не атакує, але ризик розкриття цілком реальний.

    Що робить Guardrino: Маскування персональних даних замінює ці номери до того, як повідомлення потрапить до моделі чи в журнали, тож зберігається й надсилається замаскована форма. Guardrino створено з урахуванням вимог до резидентності даних: банк сам вирішує, де він працює.

    Задіяні рівні: Правила

Чесно про обмеження

Чого Guardrino не покриває

Guardrino знижує ризик. Немає гарантії, що жодна атака не пройде, а деякі з наведених випадків узагалі не є атаками.

  • Він не виправляє відповідей, які ваш асистент вигадує, як-от повернення, підтверджене чатботом Revolut, чи правило повернення коштів у зв’язку з утратою близької людини, вигадане чатботом Air Canada. Для цього потрібні прив’язка до ваших реальних правил, обмеження на те, що асистент може обіцяти, і перевірка з вашого боку.
  • Він не авторизує платежі. Залиште підтвердження в застосунку, періоди очікування для нових отримувачів, дозволи на інструменти й моніторинг шахрайства: Guardrino стоїть перед асистентом, а не в платіжному потоці.
  • Жертва шахраїв, яку телефоном навчили ввести звичайний запит на переказ, — це проблема шахрайства, а не ін’єкція, яку Guardrino може надійно побачити.
  • Він перевіряє лише те, що проходить через нього. Документи, листи й результати інструментів, які асистент читає напряму, лишаються поза його увагою.
  • Якщо конфіденційні правила кредитування чи протидії шахрайству лежать в інструкціях асистента або в його пошуковому індексі, справжнє рішення — прибрати їх звідти. Guardrino ускладнює їх витік, але не робить його неможливим.
  • Грубі або надмірно обережні відповіді самого асистента, як у випадках Libra і Virgin Money, походять від моделі й налаштувань асистента. Guardrino їх не переписує.

Наступний крок

Почніть із 60-денного пілоту в режимі спостереження.

Guardrino спостерігає за вашим реальним банківським трафіком і записує, що зробив би; він нічого не блокує, доки ви не вирішите.

Запитати 60-денний пілот · Або напишіть на [email protected]

Джерела

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

Факти востаннє перевірено 26 жовтня 2026 р..