ASCII Smuggling、プロンプトインジェクションからメール攻撃へ――不可視Unicodeが分類器のトークン化を撹乱

[Microsoft Security Research](https://www.microsoft.com/en-us/security/blog/2026/09/03/ascii-smuggling-crosses-over-from-ai-prompt-injection-to-phishing-evasion/)は、大規模なフィッシングキャンペーンを公表した。攻撃者は、Unicode Tagsブロックの不可視文字`U+E0000–U+E007F`を、`funding`や`credit`といった誘導用の単語に挿入していた。受信者には完全な単語が表示される一方、元の文字列は`fun<U+E0020>ding`のようになっている可能性があり、文字列の完全一致、正規表現、下流のtokenizerには異なる入力として認識される。

この手法はもともと、AIへのプロンプトインジェクションをきっかけに注目された。Tag文字は通常、UIやフォントには表示されないが、言語モデルやテキスト処理プログラムは読み取れるため、人間には見えない命令をメールエージェントや文書ベースのRAGシステムへ送り込める。今回のキャンペーンではエージェント向けの命令を隠すのではなく、同じ表現レイヤー間の差異を利用して重みの大きい単語を分断している。分類器は一般的なtokenを2つのsubwordと希少文字に分割したり、未知tokenとして処理したりする可能性がある。

Microsoftの検出シグナルは、2026年2月8日に約2万1,000件を記録し、翌日には130万件超、2月11日には230万件超に急増した。大量送信の段階は約3カ月間続いた。検出件数の約96%は、金融関連の語句を組み合わせた送信ドメインに由来していた。ただし研究チームは、これは特定の文字手法に関するテレメトリにすぎず、検出されたすべてのケースでフィッシングが成功したことを意味するわけではないと強調している。Defenderにはレピュテーション、URL、認証、OCRなどの防御レイヤーもあり、サンプルの99%以上は別のシグナルによってもブロックされていた。

エンジニアリング上の要点は、ルール処理、tokenization、AI ingestionより前に正規化を行い、Tagsブロックを異常シグナルとして扱うことだ。同時に、イングランド、スコットランド、ウェールズの旗などに使われる正当なシーケンスを除外し、乱暴な削除による誤検知を避けなければならない。[Ars Technica](https://arstechnica.com/security/2026/09/once-popular-for-attacking-ai-ascii-smuggling-is-embraced-by-spammers/)の続報も、OCRだけでは汎用的な解決策にならないと指摘している。今後、メールエージェント、文書parser、コンテンツファイアウォールは、単に文字をブロックするルールを1つ追加するのではなく、「画面に表示されるテキスト、正規化後のテキスト、モデルが実際に認識するtoken」が一致しているかをテストすべきだ。