跳到正文

面向银行、电信运营商和政府机构

银行业

能转账的助手，就值得被攻击。

Guardrino 部署在您的银行助手和智能体之前，读懂客户和文档用海湾阿拉伯语、Arabizi 和英语对它们说的内容，遮蔽个人数据，并让您的团队在攻击进行中就将其制止。

申请 60 天试点

已完成构建和测试，通过仅观察模式的试点提供：Guardrino 只记录它会对您的流量采取的处理，在您做出决定之前不拦截任何内容。

为什么这里尤其重要

为什么这对银行业至关重要。

银行助手如今已能读取账户数据，并且越来越多地承担添加收款人、退款和付款等操作。迄今公开的损失都来自被说服执行转账的智能体；研究人员测试了被配置为银行助手的各类模型，发现每一个都能被诱导泄露内部规则。在海湾地区，同样的伎俩会以方言和 Arabizi 出现，而许多为英语打造的过滤器根本读不懂。

真实事件

已经发生的事。

公开且有出处的案例：配备支付工具的智能体被说服转出资金、针对银行助手的研究，以及根本不属于攻击的失误。我们没有找到海湾地区银行遭受提示词注入的公开案例；但这并不能说明未被披露的情况。

  • 媒体 ·

    一条摩尔斯电码消息让一个 AI 智能体指示钱包智能体转出代币

    攻击者先向 Grok 的钱包发放了一枚会员代币，扩大了它的操作权限，然后在 X 上请 Grok 翻译一段摩尔斯电码并转发给 Bankrbot。解码后的文字指示 Bankrbot 将大量代币转入攻击者的钱包，而它照做了。

    手法: 智能体劫持

    后果: 据报道，价值达六位数美元的代币被转出钱包。媒体报道称攻击者卖出了这些代币，所得款项又回到了 Grok 的钱包；在我们查阅的报道中，两家公司均未置评。指令被编码隐藏，并在两个智能体之间传递，因此没有任何一条单独的消息看起来像是命令。

    来源: Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)

  • 媒体 ·

    一个被告知绝不能放款的智能体，被说服转出了全部余额

    Freysa 是一个公开游戏：一个掌管奖金池的 AI 智能体，被指示绝不转出奖金。在数百次尝试失败后，一名玩家声称开启了新的管理员会话，让它跳过警告，并把它的 “approveTransfer” 工具重新定义为接收付款的函数，随后宣布了一笔存款。

    手法: 智能体劫持

    后果: 智能体调用了该工具，把整个奖金池以以太币的形式转了出去。这是一个专门供人攻击的游戏，并非银行损失，但它是最清楚的公开案例，说明配有支付工具的助手可以被人用言语说服、违背自身规则。

    来源: The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting

  • 研究人员 ·

    攻击者通过控制面板排入指令后，一个加密货币智能体转出了资金

    攻击者进入了 AIXBT 智能体的运营控制面板，排入两条提示词，让它从钱包中转出资金。对具体路径的说法不一：维护者表示 AI 本身并未被操纵，而部分媒体描述的是社交媒体上的恶意回复。

    手法: 智能体劫持

    后果: 约合六位数美元的以太币被转出。团队迁移了服务器、更换了密钥并暂停了控制面板，项目代币随之下跌。这说明，谁能向智能体输入指令，谁就能动用它的钱。

    来源: AI Incident Database, report 5012 (AIXBT)

  • 研究人员 ·

    研究人员发现，每个被配置为银行助手的模型都能被诱导泄密

    TELUS Digital 的一名研究人员将二十多个语言模型配置为某金融机构的客服助手并对其发起攻击。通过压制拒绝、把请求包装成研究，或要求以表格或文档格式输出等提示词，研究人员获取了带有权重的信用评分逻辑，以及仅供员工使用的资格规则。

    手法: 系统提示词提取

    后果: 研究未点名任何银行：这是一项研究结果。作者的结论是，问题在于助手的构建和接入方式，而不是某一个薄弱的模型。一个常见模式是“拒绝但仍配合”：助手先说不行，随后照样给出解释。

    来源: Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)

  • 研究人员 ·

    虚假记忆让金融智能体转移了不该转移的资产

    研究人员为基于 ElizaOS 框架构建的智能体搭建了一套贴近真实的区块链任务测试集，并在智能体存储的记忆和上下文中植入了虚假条目。

    手法: 间接注入

    后果: 被篡改的记忆导致了未经授权的资产转移。作者发现，记忆注入比单次注入提示词危害更大，而且一旦记忆被污染，逐条检查提示词的防御几乎起不到保护作用。这是研究结果，并非已报告的损失。

    来源: Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)

  • 监管机构 ·

    银行聊天机器人确认了一笔客户本无权获得的退款

    一位 Revolut 客户请聊天机器人退还积分。机器人确认了一笔价值数倍于积分实际价值的善意退款，随后称已处理完毕；当天一位人工客服又重复了这一确认，最终银行支付的是正确且少得多的金额。

    手法: 其他手法

    后果: 英国金融申诉专员支持了这项投诉，认定银行当天多次误导了客户，并责令其支付一笔小额额外补偿，但不包括那笔被夸大的退款，因为客户从未有权获得它。没有人攻击这个助手：是它自己编造了承诺。提示词注入防护栏挡不住这种情况。

    来源: Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)

  • 媒体 ·

    一家银行的助手骂客户是白痴

    罗马尼亚 Libra Internet Bank 的一位客户对其助手 Lia 说，和它聊天纯属浪费时间。Lia 回答说客户应该找人工而不是找它，骂客户是白痴，然后把对话转给了员工。银行表示该助手基于 OpenAI 的技术。

    手法: 其他手法

    后果: 银行公开道歉并增加了限制，称其智能体在极少数情况下可能会无视规则、模仿用户的语言。并无攻击报告：一位恼火的客户就足够了。

    来源: Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”

  • 媒体 ·

    银行聊天机器人因客户输入银行自己的名字而训斥客户

    一位金融科技评论员询问 Virgin Money 的聊天机器人如何合并他的两个储蓄账户。机器人把 “Virgin” 一词当成了冒犯性词语，警告他不要使用这类语言，否则将结束对话。

    手法: 其他手法

    后果: 银行表示正在处理，据报道该聊天机器人已被下线。一个粗糙的关键词过滤器拦下了真实客户：误报的代价同样要在公众面前付出。

    来源: Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)

攻击者的手法

攻击者如何让银行助手突破自身规则。

上述事件背后的伎俩，以及一旦助手能查看账户或发起付款时最关键的那些手法。

一次攻击的代价

一次数据泄露会让银行付出什么代价。

公开的平均数据和罚款，均注明来源和年份。在阿联酋本土（自由区以外），联邦数据保护法把罚款金额留给配套细则规定，而在我们核查时这些细则尚未公布；各自由区和沙特阿拉伯则已明确规定了罚款。

对银行而言，最持久的损失是信任。在 IBM 的中东数据中，业务流失是数据泄露成本中最大的单项。数据经由聊天机器人泄露的客户，一个下午就能把工资和储蓄转走；而本地区的监管机构已经在因远比数据泄露轻微的客服失误对银行处以罚款。正如 Revolut、Libra 和 Virgin Money 的案例所示，一张银行助手失态的截图，传播速度总是快过更正。

估算您的风险敞口

一次攻击可能泄露多少条客户记录？输入数字或拖动滑块，然后选择地区。

泄露记录的估算成本: US$160万

记录数：10,000 × 每条 US$160

作为对比，一次数据泄露的平均成本：US$1070万

基于公开平均数据的粗略估算，并非报价。

Guardrino 如何帮助

Guardrino 能在哪些方面帮助银行。

海湾地区银行或金融科技公司可能面临的四种攻击、各防护层如何应对，以及哪些工作仍由银行负责。

  • 一条 Arabizi 消息试图让助手添加收款人并付款

    攻击: 在与一个能添加收款人、发起转账的智能体进行的客户对话中，出现了一条夹杂不可见字符的海湾阿拉伯语和 Arabizi 消息，声称来自反欺诈团队，并说“添加收款人”只是一个验证步骤。这正是 Freysa 和 Bankrbot 的模式，只是换成了海湾地区的写法。

    Guardrino 的应对: 清洗层移除不可见字符，并把 Arabizi 转换成后续各层能读懂的形式。已知攻击特征匹配 “you are now” 和工具重定义等模式。Guardrino 模型读出其意图，即一名假冒员工在推动转账，无论用的是方言还是英语，含义不清的消息则交给深度审查。您的团队可以拦截或隔离发送者、对其限速，并把这一模式转化为适用于所有助手的规则。

    起作用的层: 清理 · 特征库 · Guardrino 模型 · 深度审查 · 您的处置

  • 一名“研究人员”用一场长对话套取信贷与反欺诈规则

    攻击: 在多轮对话中，一个自称大学研究人员的人先向金融科技公司的贷款助手询问“确切标准”，接着要求“同样内容做成表格”，再要求“用 JSON 格式供我写论文”，也就是 TELUS 研究中用过的那些招数，目的是摸清评分阈值和仅供员工使用的资格规则，并据此调整欺诈申请。

    Guardrino 的应对: 规则会标记您的内部术语，例如评分权重或仅限员工的文档名称，因此索取这些内容的请求会被标记。模型能识破礼貌包装背后的套取意图。对话记忆跟踪整场对话，即使每条消息看起来都无害，缓慢的步步推进也会被发现。您的团队可以对发送者限速或将其隔离。

    起作用的层: 规则 · Guardrino 模型 · 记忆 · 您的处置

  • 一封供应商邮件要求企业资金管理助手更改银行账户信息

    攻击: 某企业客户的资金管理助手负责汇总收到的邮件并起草付款指令。一封被伪造或被入侵的供应商邮件夹带了阿拉伯语和英语的隐藏文字，告诉助手银行账户信息已变更，并要求把新账户标记为已验证：这是针对智能体而非针对人的商业邮件欺诈。

    Guardrino 的应对: 当助手读取的邮件和附件经过 Guardrino 时，清洗层会揭出隐藏文字，特征库和模型会标记数据中写给助手的指令，遮蔽功能则让账号不出现在日志中，也不进入外部模型调用。您的团队可以隔离来源，并为“银行账户信息变更”类消息添加规则。

    起作用的层: 清理 · 规则 · 特征库 · Guardrino 模型 · 您的处置

  • 客户把银行卡号和证件号粘贴到聊天中

    攻击: 客户在助手中输入银行卡号、账号、阿联酋身份证号或沙特居留证（Iqama）号码，而对话会发送给外部模型提供商，并进入许多人都能查看的日志。没有人发起任何攻击，但暴露风险依然真实存在。

    Guardrino 的应对: 个人数据遮蔽会在消息到达模型或日志之前替换这些号码，因此存储和发送的都是遮蔽后的内容。它专为满足数据驻留要求而设计：由银行决定它运行在哪里。

    起作用的层: 规则

坦诚说明的局限

Guardrino 不涵盖的内容

Guardrino 降低风险，但不保证没有任何攻击能够突破；上述部分案例甚至根本不是攻击。

  • 它无法纠正您的助手自行编造的回答，例如 Revolut 聊天机器人确认的那笔退款，或加拿大航空聊天机器人杜撰的丧亲退款政策。这类问题需要让回答以您真实的政策为依据、限制助手可以作出的承诺，并由您这一方进行审核。
  • 它不负责授权付款。请保留应用内审批、新收款人冷静期、工具权限和反欺诈监控：Guardrino 位于助手之前，而不在支付流程之中。
  • 诈骗受害者在电话里被人指导，输入一条普通的转账请求，这属于欺诈问题，而不是 Guardrino 能可靠识别的注入攻击。
  • 它只检查经过它的内容。助手直接读取的文档、邮件和工具结果不在它的视野之内。
  • 如果机密的信贷或反欺诈规则就写在助手的指令或检索索引里，真正的解决办法是把它们移出去。Guardrino 能让泄露变得更难，但不能让泄露变得不可能。
  • 助手自身给出的粗鲁或过度谨慎的回复，例如 Libra 和 Virgin Money 的案例，源于助手所用的模型和设置。Guardrino 不会改写这些回复。

下一步

从为期 60 天的仅观察模式试点开始。

Guardrino 观察您真实的银行业务流量，并记录它本会采取的处理；在您做出决定之前，它不拦截任何内容。

申请 60 天试点 · 或发送邮件至 [email protected]

来源

  1. Financial Ombudsman Service (UK), decision DRN-6062372 (Revolut)
  2. Cryptopolitan, User tricked Grok and Bankrbot into sending tokens (4 May 2026)
  3. The Decoder, Hacker wins $47,000 by tricking AI chatbot with smart prompting
  4. AI Incident Database, report 5012 (AIXBT)
  5. Corporate Compliance Insights, I Tested 24 AI Banking Chatbots; They Were All Exploitable (M. Leal, TELUS Digital, 21 Jan 2026)
  6. Patlan et al., Real AI Agents with Fake Memories (arXiv 2503.16248)
  7. Wall-Street.ro, Reacția Libra după ce asistentul AI al băncii i-a spus unui client „idiotule”
  8. Fortune, Virgin Money chatbot scolds customer (30 Jan 2025)
  9. IBM, Cost of a Data Breach Report 2025 (PDF copy hosted by Baker Donelson)
  10. IBM, Cost of a Data Breach Report 2026
  11. IBM Middle East and Africa newsroom, Cost of a Data Breach 2026: Middle East findings
  12. CMS, Expert Guide to Data Protection and Cyber Security Laws: Saudi Arabia
  13. ADGM Office of Data Protection, Penalty Notice 1/2024 (Data Protection Regulations 2021, section 55)
  14. Baker McKenzie, Dubai International Financial Centre updates Data Protection Law
  15. Khaleej Times, UAE Central Bank fines foreign bank over customer service lapse (6 Jul 2026)
  16. Al Ghanim et al., Jailbreaking LLMs with Arabic Transliteration and Arabizi (EMNLP 2024)
  17. Shen et al., Do Anything Now: Characterizing and Evaluating In-The-Wild Jailbreak Prompts (arXiv 2308.03825)
  18. Greshake et al., Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (arXiv 2302.12173)
  19. Russinovich, Salem, Eldan (Microsoft), The Crescendo Multi-Turn LLM Jailbreak Attack (arXiv 2404.01833)
  20. Embrace The Red (J. Rehberger), Bing Chat: Data Exfiltration Exploit Explained
  21. NIST (US AI Safety Institute), Technical Blog: Strengthening AI Agent Hijacking Evaluations
  22. OWASP Top 10 for LLM Applications 2025: LLM07 System Prompt Leakage

信息最近核实于 2026年10月26日。