Una tecnica diventata famigerata come metodo per attaccare i modelli di intelligenza artificiale ha raggiunto un obiettivo molto più grande: la cartella spam. Il team di sicurezza di Microsoft riferisce che i truffatori via email hanno trascorso mesi utilizzando il "contrabbando ASCII" (caratteri Unicode invisibili che gli esseri umani non possono vedere ma le macchine possono leggere) per far passare milioni di email di phishing oltre i filtri antispam aziendali, in uno dei casi più chiari finora di un metodo di attacco dell'era dell'intelligenza artificiale che sconfina nel crimine informatico convenzionale.
Secondo The Register, i ricercatori Microsoft sulle minacce Noam Kochavi e Sarah Wolstencroft hanno descritto la campagna in un post sul blog di giovedì. L’operazione ha raggiunto il picco di oltre 2,37 milioni di messaggi in un solo giorno feriale alla fine di febbraio, per poi rimanere elevata nei giorni feriali per circa tre mesi prima di diminuire gradualmente verso la metà di giugno. Per ulteriori informazioni su questa storia, consulta le nostre notizie sull'AI.
Come funziona il contrabbando ASCII
Il contrabbando ASCII sfrutta i caratteri Unicode validi ma non renderizzati, in particolare i caratteri tag Unicode, un blocco originariamente progettato per i tag linguistici. Quando vengono inseriti in un documento, una pagina Web o un'e-mail, non vengono visualizzati affatto. Questa invisibilità ha reso la tecnica un punto fermo degli attacchi indiretti di pronta iniezione, in cui un utente malintenzionato nasconde le istruzioni per un assistente AI all’interno di caratteri invisibili incorporati in una pagina web o un documento. Un essere umano che esamina la pagina non vede nulla di insolito, ma un sistema di intelligenza artificiale che ingerisce il testo grezzo può leggere e obbedire ai comandi nascosti.
I ricercatori di sicurezza hanno dimostrato la tecnica contro i principali chatbot e assistenti di posta elettronica basati sull’intelligenza artificiale, motivo per cui è stato per lo più discusso come un problema di sicurezza dell’intelligenza artificiale. Ciò che il team di Microsoft ha scoperto è diverso: i personaggi nascosti non erano affatto indirizzati a un'intelligenza artificiale.
"Quando abbiamo esaminato un campione dei messaggi segnalati, la sorpresa è stata che non c'erano istruzioni di contrabbando per un assistente AI", hanno scritto Kochavi e Wolstencroft, secondo The Register. "Invece, i caratteri dei tag invisibili sono stati inseriti all'interno di parole chiave finanziarie comuni, dividendole in modo che una firma letterale o una corrispondenza di parole chiave fallissero."
Una campagna di richiamo finanziario lunga mesi
Microsoft ha rilevato la firma per la prima volta all’inizio di febbraio 2026, segnalando circa 21.000 messaggi sospetti l’8 febbraio. Il giorno successivo, il volume è salito alle stelle superando 1,3 milioni. Al suo apice, il 26 febbraio, la campagna ha inviato più di 2,37 milioni di messaggi in un solo giorno, con la maggior parte delle email provenienti da circa 150 domini di mittenti a tema finanziario.
L'operazione si è svolta con una disciplina quasi industriale. I volumi sono aumentati nei giorni feriali – tra 1 milione e 2,37 milioni di messaggi al giorno – e sono rimasti silenziosi nei fine settimana. Dopo la prima fase intensa, i volumi giornalieri nei giorni feriali sono diminuiti di circa l’80% entro la fine di marzo, sono diminuiti bruscamente dopo il 15 maggio e sono continuati a livelli più bassi con picchi minori occasionali almeno fino a metà giugno.
Le esche erano finanziarie e l'offuscamento era semplice ma efficace. Invece di scrivere una parola chiave come "finanziamento" in testo semplice, gli aggressori hanno inserito spazi di tag invisibili tra le lettere: i ricercatori citano uno spazio di tag Unicode, U+E0020, inserito nel mezzo delle parole. A un lettore umano, la parola sembra perfettamente normale. Per un filtro di parole chiave, un motore regex o un abbinamento di firme, è una stringa che nessuna blocklist riconoscerà.
Perché i filtri non hanno funzionato e cosa dovrebbero fare i difensori
La campagna ha funzionato perché gran parte della sicurezza della posta elettronica dipende ancora dalla corrispondenza letterale del testo. La raccomandazione principale di Microsoft è che qualsiasi contenuto valutato in base a parole chiave, firma o logica regex dovrebbe prima avere punti di codice Unicode invisibili e non renderizzati rimossi o piegati, in modo che unirli in una parola non annulli più la corrispondenza. Verificare che le pipeline di normalizzazione e tokenizzazione gestiscano i caratteri dei tag in modo coerente è, secondo i ricercatori, il controllo più importante.
La stessa soluzione comporta un vantaggio per la sicurezza dell’IA: poiché il contrabbando ASCII contro gli assistenti AI dipende dagli stessi caratteri invisibili che sopravvivono alla preelaborazione, rimuoverli prima che il contenuto raggiunga un filtro riduce anche il rischio di prompt injection nascosti all’interno delle e-mail ingerite.
Microsoft esorta inoltre i difensori a prestare attenzione agli indicatori comportamentali piuttosto che alle parole chiave grezze. "L'attività osservata aveva una forma particolare: volume di massa proveniente da domini usa e getta a tema finanziario, secondo un rigido programma di giorni feriali e fine settimana liberi", hanno scritto i ricercatori. "Un picco improvviso di caratteri con blocco dei tag concentrato su mittenti a tema finanziario, che si accendono e si spengono settimanalmente, è un indicatore di campagna ad alta fiducia."
Un avvertimento per la sicurezza nell'era dell'intelligenza artificiale
Per i ricercatori di Microsoft, l’episodio illustra una dinamica più ampia: le tecniche sperimentate contro i sistemi di intelligenza artificiale non rimangono confinate all’intelligenza artificiale. "Man mano che i metodi di attacco dell'era dell'intelligenza artificiale vengono meglio compresi, gli autori delle minacce potrebbero adattarli per l'uso in minacce più tradizionali come phishing e spam", hanno scritto, sottolineando che il caso mostra come i metodi della ricerca sulla sicurezza dell'intelligenza artificiale "possono rapidamente penetrare in ecosistemi di attacco consolidati".
Ars Technica e altri organi di informazione che hanno seguito la ricerca hanno notato l’ironia: un trucco sviluppato per manipolare i modelli di intelligenza artificiale è ora meglio conosciuto per attaccare i banali filtri che proteggono le caselle di posta aziendali. Per i team di sicurezza, il messaggio è che le minacce dell’era dell’intelligenza artificiale e le minacce classiche stanno convergendo e che difendersi dalla prossima campagna significa eliminare i caratteri invisibili ovunque venga elaborato il testo, non solo all’interno dei chatbot.
---
Stai al passo con l'intelligenza artificialeRicevi le ultime notizie, analisi e scoperte sull'intelligenza artificiale, tutto in un unico posto.
Leggi altre notizie sull'AI →
