Sztuczka dla AI, która teraz oszukuje też ludzkie filtry
Blog bezpieczeństwa Microsoftu ujawnił 3 września 2026 roku, że technika stworzona do przemycania ukrytych instrukcji obok modeli AI jest teraz wykorzystywana do przemycania słów kluczowych phishingu obok zwykłych filtrów antyspamowych. Technika ta, znana jako przemyt ASCII, ukrywa tekst w niewidocznych znakach Unicode z tak zwanego bloku Tags - zakresu pierwotnie przeznaczonego do znakowania języka, później przejętego przez badaczy wstrzykiwania promptów, ponieważ znaki te nie wyświetlają się w żadnej normalnej czcionce ani interfejsie. Ciąg znaków może więc nieść niewidoczną instrukcję, której żaden człowiek nigdy nie zobaczy, ale którą model językowy nadal przetwarza znak po znaku.
Atakujący znaleźli drugie zastosowanie dla tego samego niewidocznego zakresu: rozbicie odfiltrowywanego słowa tak, aby żaden skaner nigdy nie rozpoznał go w całości. Zamiast ukrywać instrukcję, wstawiają pojedynczy niewidoczny znak tagowy, taki jak znak TAG SPACE pod adresem U+E0020, w środku słowa wyzwalającego, na przykład "funding", tak że widoczny tekst nadal czyta się dla człowieka jako "funding", podczas gdy ciąg, który faktycznie analizuje filtr, rozpada się na dwa fragmenty niepasujące do żadnej listy blokowanych słów. Klasyczne filtry słów kluczowych i wiele klasyfikatorów treści opartych na AI przetwarza ten sam dosłowny ciąg znaków, dlatego ta sama sztuczka z jednym znakiem oszukała oba mechanizmy.
Legalna platforma, przynęta SBA i szczyt 2,37 miliona wiadomości
Microsoft powiązał wzrost z jedną, dobrze zorganizowaną kampanią, która wykorzystywała legalną platformę marketingu e-mailowego ActiveCampaign do masowej wysyłki. Właściwa poczta była przekierowywana przez infrastrukturę powiązaną z ActiveCampaign, a atakujący ponownie wykorzystywali własny system platformy do przepisywania adresów URL i śledzenia kliknięć, kierując linki przez domeny acemlnd.com i activehosted.com, tak aby podejrzany cel wyglądał jak zwykły link śledzący platformy marketingowej. Microsoft powiązał tę kampanię z szerszą operacją phishingową, również dostarczaną przez ActiveCampaign i skupioną na SBA, którą firma bezpieczeństwa Fortra udokumentowała już wcześniej: w jej ramach wygenerowane przez AI wiadomości-przynęty oferowały pożyczki dla firm, linie kredytowe i finansowanie zaliczkowe wnioskodawcom pożyczek Small Business Administration oraz innym małym przedsiębiorcom, kierując ich następnie na strony zbierające dane o przychodach, żądane kwoty pożyczek, oceny zdolności kredytowej i dane kontaktowe.
Wolumen mówił sam za siebie. Dzień przed rozpoczęciem kampanii sygnatura wykrywania Microsoftu dla tego nadużycia bloku Tags Unicode uruchamiała się przy poziomie bazowym około 5 000-20 000 wiadomości dziennie; 9 lutego 2026 roku liczba ta skoczyła w ciągu jednego dnia do ponad 1,3 miliona, faza wysokiego wolumenu utrzymywała się przez około trzy miesiące i osiągnęła szczyt 26 lutego 2026 roku, z 2,37 miliona wiadomości, zanim gwałtownie spadła po 15 maja 2026 roku.
| Okres | Wolumen dzienny |
|---|---|
| Poziom bazowy (przed 9 lutego 2026) | Około 5 000-20 000 wiadomości |
| 9 lutego 2026 (początek) | Ponad 1,3 miliona wiadomości |
| 26 lutego 2026 (szczyt) | 2,37 miliona wiadomości |
| Do 15 maja 2026 | Utrzymujący się wysoki wolumen, potem gwałtowny spadek |
Poza liczbami: jedna luka, dwa rodzaje filtrów
Niewygodne odkrycie nie polega na tym, że phisherzy znaleźli nową sztuczkę, ale na tym, że ta sama sztuczka działa przeciwko dwóm zupełnie różnym rodzajom ochrony z tego samego podstawowego powodu. Filtr słów kluczowych zbudowany w latach dziewięćdziesiątych i klasyfikator treści oparty na uczeniu maszynowym zbudowany w 2026 roku opierają się na tym samym założeniu: że ciąg znaków odczytywany przez system jest tym samym ciągiem, który widzi człowiek, a rozpoznanie widocznego słowa wystarcza, aby uchwycić stojącą za nim intencję. Przemyt ASCII łamie to założenie dla obu zabezpieczeń jednocześnie, ponieważ nigdy nie usuwa widocznego słowa - wstawia jedynie znak, którego żaden interfejs nie wyświetla, dzięki czemu człowiek widzi "funding", a maszyna widzi dwa fragmenty, które nic nie znaczą dla listy zablokowanych słów.
Ta luka nie kończy się na jednej kampanii wymierzonej we wnioskodawców pożyczek Small Business Administration. Każda europejska lub brytyjska firma korzystająca z filtrowania treści w Microsoft 365 lub Google Workspace, albo budująca opartego na AI asystenta poczty, który czyta surową treść skrzynki odbiorczej, zanim ją streści lub na jej podstawie podejmie działanie, opiera się na tym samym założeniu: że to, co analizuje filtr, odpowiada temu, co widzi czytelnik. Microsoft zaleca normalizację, czyli usuwanie lub oznaczanie znaków bloku Tags Unicode, zanim wiadomość dotrze do sygnatury antyspamowej lub modelu AI, właśnie dlatego, że ten sam niewidoczny znak oszukuje oba mechanizmy. Kampania ta, posługując się anglojęzycznymi przynętami, celowała w amerykańskich wnioskodawców pożyczek, i nic w dotychczasowych doniesieniach nie wskazuje na incydent specyficzny dla UE, ale sama technika jest obojętna na to, w jakim języku i wobec jakiej listy celów zostanie użyta, więc pytanie warto zadać własnemu dostawcy już teraz, a nie dopiero po tym, jak pierwsza europejska domena pojawi się w cudzym zgłoszeniu.
Czytaj dalej: Używasz Zimbry? 21 sierpnia zmienił twoje ryzyko | Windows zyskuje lokalny tryb AI, z warunkami
