Sebuah teknik yang menjadi terkenal sebagai cara untuk menyerang model AI telah mencapai target yang jauh lebih besar: folder spam Anda. Tim keamanan Microsoft melaporkan bahwa penipu email menghabiskan waktu berbulan-bulan menggunakan "penyelundupan ASCII" – karakter Unicode tak terlihat yang tidak dapat dilihat manusia tetapi dapat dibaca oleh mesin – untuk menyelipkan jutaan email phishing melewati filter spam perusahaan, yang merupakan salah satu kasus paling jelas dari metode serangan era AI yang beralih ke kejahatan dunia maya konvensional.
Menurut The Register, peneliti ancaman Microsoft, Noam Kochavi dan Sarah Wolstencroft, menggambarkan kampanye tersebut dalam postingan blog hari Kamis. Operasi ini mencapai puncaknya pada lebih dari 2,37 juta pesan dalam satu hari kerja pada akhir Februari, kemudian terus meningkat pada hari kerja selama kurang lebih tiga bulan sebelum secara bertahap berkurang pada pertengahan Juni. Untuk konteks lebih lanjut mengenai berita ini, lihat berita AI kami yang sedang berlangsung.
Cara Kerja Penyelundupan ASCII
Penyelundupan ASCII mengeksploitasi karakter Unicode yang valid tetapi tidak dapat dirender — terutama karakter tag Unicode, sebuah blok yang awalnya dirancang untuk tag bahasa. Saat dimasukkan ke dalam dokumen, halaman web, atau email, tampilannya tidak ada sama sekali. Ketidaktampakan ini menjadikan teknik ini sebagai inti dari serangan injeksi cepat tidak langsung, di mana penyerang menyembunyikan instruksi untuk asisten AI di dalam karakter tak kasat mata yang tertanam di halaman web atau dokumen. Manusia yang meninjau halaman tidak melihat sesuatu yang aneh, tetapi sistem AI yang menyerap teks mentah dapat membaca dan mematuhi perintah tersembunyi.
Peneliti keamanan telah mendemonstrasikan teknik ini terhadap chatbot AI dan asisten email utama, itulah sebabnya teknik ini banyak dibahas sebagai masalah keamanan AI. Apa yang ditemukan tim Microsoft berbeda: karakter tersembunyi tidak ditujukan kepada AI sama sekali.
“Saat kami melihat contoh pesan yang ditandai, yang mengejutkan adalah tidak ada instruksi yang diselundupkan ke asisten AI,” tulis Kochavi dan Wolstencroft, menurut The Register. “Sebaliknya, karakter tag yang tidak terlihat dimasukkan ke dalam kata kunci keuangan umum, memisahkannya sehingga tanda tangan literal atau pencocokan kata kunci akan gagal.”
Kampanye Pemikat Keuangan Selama Berbulan-bulan
Microsoft pertama kali mendeteksi tanda tangan tersebut pada awal Februari 2026, menandai sekitar 21.000 pesan mencurigakan pada 8 Februari. Keesokan harinya, volumenya melonjak melewati 1,3 juta. Puncaknya pada tanggal 26 Februari, kampanye ini mengirimkan lebih dari 2,37 juta pesan dalam satu hari, dengan sebagian besar email berasal dari sekitar 150 domain pengirim bertema keuangan.
Operasi tersebut berjalan hampir dengan disiplin industri. Volume pesan melonjak pada hari kerja — antara 1 juta dan 2,37 juta pesan per hari — dan tidak lagi terdengar pada akhir pekan. Setelah fase pertama yang intens, volume harian pada hari kerja turun sekitar 80 persen pada akhir Maret, turun tajam setelah tanggal 15 Mei, dan berlanjut pada tingkat yang lebih rendah dengan lonjakan kecil sesekali hingga setidaknya pertengahan Juni.
Iming-imingnya bersifat finansial, dan kebingungannya sederhana namun efektif. Alih-alih menulis kata pemicu seperti "pendanaan" dalam teks biasa, penyerang menyisipkan spasi tag yang tidak terlihat di antara huruf — para peneliti mengutip spasi tag Unicode, U+E0020, yang disambung di tengah kata. Bagi pembaca manusia, kata tersebut terlihat biasa saja. Bagi filter kata kunci, mesin regex, atau pencocokan tanda tangan, ini adalah string yang tidak akan dikenali oleh daftar blokir.
Mengapa Filter Gagal dan Apa yang Harus Dilakukan Pembela HAM
Kampanye ini berhasil karena sebagian besar keamanan email masih bergantung pada pencocokan teks literal. Rekomendasi inti Microsoft adalah bahwa konten apa pun yang dievaluasi berdasarkan kata kunci, tanda tangan, atau logika regex harus terlebih dahulu menghilangkan atau melipat titik kode Unicode yang tidak terlihat dan tidak dapat dirender, sehingga menggabungkannya menjadi sebuah kata tidak lagi mengalahkan kecocokan. Memverifikasi bahwa saluran normalisasi dan tokenisasi menangani karakter tag secara konsisten, dalam pandangan peneliti, merupakan satu-satunya kontrol yang paling penting.
Perbaikan yang sama membawa bonus untuk keamanan AI: karena penyelundupan ASCII terhadap asisten AI bergantung pada karakter tak kasat mata yang bertahan dari pra-pemrosesan, menghapusnya sebelum konten mencapai filter juga mengurangi risiko injeksi cepat tersembunyi di dalam email yang diserap.
Microsoft juga mendesak para pembela HAM untuk memperhatikan indikator perilaku daripada kata kunci mentah. “Aktivitas yang diamati memiliki bentuk yang berbeda: volume massal dari churning, domain sekali pakai bertema keuangan, pada jadwal yang ketat pada hari kerja/akhir pekan,” tulis para peneliti. "Lonjakan tiba-tiba karakter pemblokiran tag yang terkonsentrasi pada pengirim bertema keuangan, yang aktif dan nonaktif setiap minggu, merupakan indikator kampanye dengan tingkat kepercayaan tinggi."
Tembakan Peringatan untuk Keamanan Era AI
Bagi para peneliti Microsoft, episode ini menggambarkan dinamika yang lebih luas: teknik yang dirintis untuk melawan sistem AI tidak hanya terbatas pada AI. “Seiring dengan semakin dipahaminya metode serangan era AI, pelaku ancaman dapat mengadaptasinya untuk digunakan dalam ancaman yang lebih tradisional seperti phishing dan spam,” tulis mereka, seraya mencatat bahwa kasus tersebut menunjukkan bagaimana metode penelitian keamanan AI “dapat dengan cepat menyebar ke ekosistem serangan yang sudah ada.”
Ars Technica dan media lain yang meliput penelitian ini mencatat ironi ini: sebuah trik yang dikembangkan untuk memanipulasi model AI kini terkenal karena menyerang filter biasa yang menjaga kotak masuk perusahaan. Bagi tim keamanan, pesan yang ingin disampaikan adalah bahwa ancaman era AI dan ancaman klasik kini semakin menyatu — dan mempertahankan diri dari serangan berikutnya berarti menghilangkan karakter yang tidak terlihat di mana pun teks diproses, tidak hanya di dalam chatbot.
---
Tetap Terdepan dalam AIDapatkan berita, analisis, dan terobosan AI terkini — semuanya di satu tempat.
Baca berita AI selengkapnya →
