ASCII Smuggling 從提示注入轉向郵件攻擊，隱形 Unicode 擾亂分類器分詞

Microsoft Security Research 公開一波大規模釣魚活動：攻擊者把 Unicode Tags 區段 U+E0000–U+E007F 的不可見字元插入 funding、credit 等誘餌詞中。收件者仍會看到完整單字，但原始字串可能變成 fun<U+E0020>ding，使逐字比對、正規表示式及下游分詞器取得不同輸入。

這套技巧原本因 AI 提示注入而受到注意。Tag 字元通常不會由介面或字型顯示，語言模型與文字處理程式卻仍能讀取，因此可把人類看不見的指令送進郵件代理或文件型 RAG 系統。新活動沒有藏入代理指令，而是把同一種表示層落差用於切斷高權重詞彙：分類器可能把一個常見 token 拆成兩個子詞、一個罕見字元，甚至未知 token。

Microsoft 的偵測訊號在 2026 年 2 月 8 日約有 2.1 萬次命中，翌日升至逾 130 萬次，2 月 11 日超過 230 萬次；高流量階段持續約三個月。約 96% 命中量來自以金融詞彙排列組合的寄件網域，但研究強調，這只是特定字元手法的遙測，不等於每次命中都是成功釣魚。Defender 另有聲譽、網址、驗證與 OCR 等層次，超過 99% 樣本也被其他訊號攔下。

工程上的重點是把正規化放在規則、tokenization 與 AI ingestion 之前，並將 Tag 區段視為異常訊號；同時必須排除英格蘭、蘇格蘭及威爾斯旗幟等合法序列，避免粗暴刪除造成誤判。Ars Technica 的後續分析也指出，單靠 OCR 並非通用解法。郵件代理、文件解析器與內容防火牆接下來應測試「畫面可見文字、正規化文字、模型實際 token」是否一致，而不只是新增一條字元封鎖規則。