Une technique devenue tristement célèbre pour attaquer les modèles d’IA s’est propagée vers une cible bien plus vaste : votre dossier spam. L'équipe de sécurité de Microsoft rapporte que les fraudeurs par courrier électronique ont passé des mois à utiliser la « contrebande ASCII » (caractères Unicode invisibles que les humains ne peuvent pas voir mais que les machines peuvent lire) pour faire passer des millions d'e-mails de phishing au-delà des filtres anti-spam d'entreprise, dans l'un des cas les plus clairs à ce jour d'une méthode d'attaque de l'ère de l'IA se transformant en cybercriminalité conventionnelle.
Selon The Register, les chercheurs en menaces de Microsoft, Noam Kochavi et Sarah Wolstencroft, ont décrit la campagne dans un article de blog publié jeudi. L'opération a culminé à plus de 2,37 millions de messages en un seul jour de semaine fin février, puis est restée élevée en semaine pendant environ trois mois avant de diminuer progressivement à la mi-juin. Pour plus de contexte sur cette histoire, consultez nos AI news en cours.
Comment fonctionne la contrebande ASCII
La contrebande ASCII exploite les caractères Unicode qui sont valides mais qui ne sont pas rendus, notamment les caractères de balise Unicode, un bloc conçu à l'origine pour les balises de langue. Lorsqu'ils sont insérés dans un document, une page Web ou un courrier électronique, ils s'affichent comme rien du tout. Cette invisibilité a fait de cette technique un incontournable des attaques par injection indirecte, dans lesquelles un attaquant cache les instructions destinées à un assistant IA dans des caractères invisibles intégrés dans une page Web ou un document. Un humain examinant la page ne voit rien d’inhabituel, mais un système d’IA ingérant le texte brut peut lire et obéir aux commandes cachées.
Les chercheurs en sécurité ont démontré cette technique contre les principaux chatbots et assistants de messagerie IA, c'est pourquoi elle a été principalement évoquée comme un problème de sécurité de l'IA. Ce que l'équipe de Microsoft a découvert était différent : les personnages cachés n'étaient pas du tout adressés à une IA.
"Lorsque nous avons examiné un échantillon des messages signalés, la surprise a été qu'aucune instruction n'ait été transmise clandestinement à un assistant IA", ont écrit Kochavi et Wolstencroft, selon The Register. "Au lieu de cela, les caractères invisibles des balises ont été insérés dans des mots-clés financiers courants, les séparant de sorte qu'une signature littérale ou une correspondance de mot-clé échouerait."
Une campagne d'attrait financier d'un mois
Microsoft a détecté la signature pour la première fois début février 2026, signalant environ 21 000 messages suspects le 8 février. Le lendemain, le volume a grimpé au-delà de 1,3 million. À son apogée le 26 février, la campagne a envoyé plus de 2,37 millions de messages en une seule journée, la plupart des e-mails provenant d'environ 150 domaines d'expéditeurs sur le thème de la finance.
L'opération s'est déroulée avec une discipline presque industrielle. Les volumes ont augmenté en semaine – entre 1 million et 2,37 millions de messages par jour – et sont restés silencieux le week-end. Après une première phase intense, les volumes quotidiens en semaine ont diminué d'environ 80 % fin mars, ont fortement chuté après le 15 mai et se sont maintenus à des niveaux inférieurs avec des pics occasionnels plus petits jusqu'à la mi-juin au moins.
Les leurres étaient financiers et la dissimulation était simple mais efficace. Au lieu d'écrire un mot déclencheur tel que « financement » en texte brut, les attaquants ont inséré des espaces de balises invisibles entre les lettres. Les chercheurs citent un espace de balises Unicode, U+E0020, inséré au milieu des mots. Pour un lecteur humain, le mot semble parfaitement normal. Pour un filtre de mots-clés, un moteur d'expression régulière ou un outil de correspondance de signatures, il s'agit d'une chaîne qu'aucune liste de blocage ne reconnaîtra.
Pourquoi les filtres ont échoué et ce que les défenseurs devraient faire
La campagne a fonctionné parce qu'une grande partie de la sécurité des e-mails dépend encore de la correspondance littérale du texte. La principale recommandation de Microsoft est que tout contenu évalué par mot-clé, signature ou logique d'expression régulière doit d'abord avoir des points de code Unicode invisibles et sans rendu, supprimés ou pliés, afin que leur fusion en un mot ne fasse plus échouer la correspondance. Vérifier que les pipelines de normalisation et de tokenisation gèrent les caractères des balises de manière cohérente est, de l'avis des chercheurs, le contrôle le plus important.
Ce même correctif comporte un bonus pour la sécurité de l'IA : étant donné que la contrebande ASCII contre les assistants IA dépend de la survie des mêmes caractères invisibles au prétraitement, les supprimer avant que le contenu n'atteigne un filtre réduit également le risque d'injection d'invites cachées dans les e-mails ingérés.
Microsoft exhorte également les défenseurs à surveiller les indicateurs comportementaux plutôt que les mots-clés bruts. "L'activité observée avait une forme particulière : un volume important provenant de domaines jetables sur le thème de la finance, selon un horaire strict en semaine et pendant le week-end", ont écrit les chercheurs. "Une augmentation soudaine de caractères de blocage concentrés sur des expéditeurs à thème financier, s'activant et s'éteignant chaque semaine, est un indicateur de campagne de haute confiance."
Un coup de semonce pour la sécurité de l'ère de l'IA
Pour les chercheurs de Microsoft, l'épisode illustre une dynamique plus large : les techniques mises au point contre les systèmes d'IA ne se limitent pas à l'IA. "À mesure que les méthodes d'attaque de l'ère de l'IA sont mieux comprises, les auteurs de menaces peuvent les adapter pour les utiliser dans des menaces plus traditionnelles telles que le phishing et le spam", ont-ils écrit, notant que l'affaire montre comment les méthodes issues de la recherche sur la sécurité de l'IA "peuvent rapidement se répercuter sur les écosystèmes d'attaque établis".
Ars Technica et d'autres médias qui ont couvert l'étude ont souligné l'ironie : une astuce développée pour manipuler les modèles d'IA est désormais surtout connue pour attaquer les filtres banals qui protègent les boîtes de réception des entreprises. Pour les équipes de sécurité, le message est que les menaces de l’ère de l’IA et les menaces classiques convergent – et que se défendre contre la prochaine campagne signifie supprimer les caractères invisibles partout où le texte est traité, et pas seulement dans les chatbots.
---
Gardez une longueur d'avance sur l'IARecevez les dernières actualités, analyses et avancées en matière d'IA, le tout en un seul endroit.
Lire plus d'actualités sur l'IA →
