Technika, która zyskała sławę jako sposób atakowania modeli sztucznej inteligencji, osiągnęła znacznie większy cel: folder ze spamem. Zespół ds. bezpieczeństwa firmy Microsoft informuje, że oszuści korzystający z poczty e-mail miesiącami korzystali z „przemytu ASCII” — niewidocznych znaków Unicode, których ludzie nie widzą, ale maszyny mogą odczytać — aby przepuścić miliony wiadomości phishingowych przez korporacyjne filtry spamu, co jest jednym z najwyraźniejszych jak dotąd przypadków przejścia metody ataku z ery sztucznej inteligencji do konwencjonalnej cyberprzestępczości.
Według The Register badacze zagrożeń firmy Microsoft Noam Kochavi i Sarah Wolstencroft opisali kampanię w czwartkowym poście na blogu. Wartość szczytowa osiągnęła poziom ponad 2,37 mln wiadomości w jeden dzień powszedni pod koniec lutego, następnie utrzymywała się na wysokim poziomie w dni powszednie przez około trzy miesiące, po czym stopniowo spadała do połowy czerwca. Więcej kontekstu tej historii znajdziesz w naszych bieżących wiadomościach dotyczących sztucznej inteligencji.
Jak działa przemyt ASCII
Przemyt ASCII wykorzystuje znaki Unicode, które są prawidłowe, ale nie renderują się — w szczególności znaki znaczników Unicode, blok pierwotnie zaprojektowany dla znaczników językowych. Po wstawieniu do dokumentu, strony internetowej lub wiadomości e-mail nie są one wyświetlane w ogóle. Ta niewidzialność sprawiła, że technika ta stała się podstawą pośrednich ataków polegających na wstrzyknięciu natychmiastowym, podczas których osoba atakująca ukrywa instrukcje dla asystenta AI w niewidzialnych znakach osadzonych na stronie internetowej lub w dokumencie. Człowiek przeglądający stronę nie widzi niczego niezwykłego, ale system sztucznej inteligencji przetwarzający surowy tekst może przeczytać ukryte polecenia i zastosować się do nich.
Badacze zajmujący się bezpieczeństwem zademonstrowali tę technikę przeciwko głównym chatbotom AI i asystentom e-mailowym, dlatego najczęściej omawiano ją jako problem bezpieczeństwa AI. Zespół Microsoftu odkrył coś innego: ukryte postacie w ogóle nie były adresowane do sztucznej inteligencji.
„Kiedy przyjrzeliśmy się próbce oznaczonych wiadomości, zaskoczeniem było to, że nie zawierały żadnych przemyconych instrukcji dla asystenta AI” – napisali Kochavi i Wolstencroft według The Register. „Zamiast tego niewidoczne znaki znaczników zostały wstawione do typowych finansowych słów kluczowych, rozdzielając je tak, że dosłowny podpis lub dopasowanie słowa kluczowego nie powiodłoby się”.
Miesięczna kampania przyciągająca finanse
Firma Microsoft po raz pierwszy wykryła sygnaturę na początku lutego 2026 r., zgłaszając około 21 000 podejrzanych wiadomości 8 lutego. Następnego dnia ich liczba gwałtownie wzrosła, przekraczając 1,3 miliona. W szczytowym momencie, czyli 26 lutego, kampania wysłała w ciągu jednego dnia ponad 2,37 miliona wiadomości, przy czym większość e-maili pochodziła z około 150 domen nadawców o tematyce finansowej.
Operacja przebiegała z niemal przemysłową dyscypliną. Liczba wiadomości rosła w dni powszednie – od 1 miliona do 2,37 miliona wiadomości dziennie – a w weekendy cichła. Po intensywnej pierwszej fazie dzienne wolumeny w dni powszednie spadły o około 80 procent pod koniec marca, gwałtownie spadły po 15 maja i utrzymywały się na niższych poziomach, z okazjonalnymi mniejszymi skokami co najmniej do połowy czerwca.
Przynęty miały charakter finansowy, a zaciemnianie było proste, ale skuteczne. Zamiast pisać zwykłym tekstem słowo wyzwalające, takie jak „funding”, napastnicy wstawiali między literami niewidoczne spacje znaczników — badacze cytują spację znaczników Unicode, U+E0020, umieszczoną w środku słów. Dla ludzkiego czytelnika słowo to wygląda zupełnie normalnie. Dla filtra słów kluczowych, mechanizmu regex lub mechanizmu dopasowującego podpis jest to ciąg znaków, którego żadna lista bloków nie rozpozna.
Dlaczego filtry zawiodły i co powinni zrobić obrońcy
Kampania okazała się skuteczna, ponieważ bezpieczeństwo poczty e-mail w dalszym ciągu zależy od dosłownego dopasowywania tekstu. Podstawowym zaleceniem firmy Microsoft jest to, że jakakolwiek treść oceniana na podstawie słowa kluczowego, podpisu lub logiki wyrażenia regularnego powinna najpierw zostać pozbawiona lub złożona niewidocznych i nierenderujących punktów kodowych Unicode, tak aby połączenie ich w słowo nie uniemożliwiało już dopasowania. Weryfikacja, czy potoki normalizacji i tokenizacji konsekwentnie obsługują znaki znaczników, jest zdaniem badaczy najważniejszą pojedynczą kontrolą.
Ta sama poprawka niesie ze sobą premię w zakresie bezpieczeństwa sztucznej inteligencji: ponieważ przemyt ASCII do asystentów AI zależy od tego, czy te same niewidzialne znaki przetrwają wstępne przetwarzanie, usuwanie ich, zanim treść dotrze do filtra, zmniejsza również ryzyko ukrytego wstrzyknięcia monitu do otrzymywanej wiadomości e-mail.
Microsoft nalega również, aby obrońcy zwracali uwagę na wskaźniki behawioralne, a nie na surowe słowa kluczowe. „Zaobserwowana aktywność miała charakterystyczny kształt: masowy wolumen z szybko rozwijających się domen jednorazowych o tematyce finansowej, według ścisłego harmonogramu pracy w dni powszednie i weekendów” – napisali naukowcy. „Nagły wzrost liczby znaków blokujących tagi, skupionych wokół nadawców o tematyce finansowej, włączanych i wyłączanych co tydzień, jest wskaźnikiem wiarygodności kampanii”.
Strzał ostrzegawczy dla bezpieczeństwa ery AI
Dla badaczy Microsoftu ten epizod ilustruje szerszą dynamikę: pionierskie techniki stosowane przeciwko systemom sztucznej inteligencji nie ograniczają się do sztucznej inteligencji. „W miarę lepszego zrozumienia metod ataków z epoki sztucznej inteligencji przestępcy mogą dostosować je do stosowania w bardziej tradycyjnych zagrożeniach, takich jak phishing i spam” – napisali, zauważając, że ten przypadek pokazuje, jak metody z badań nad bezpieczeństwem sztucznej inteligencji „mogą szybko przedostać się do ustalonych ekosystemów ataków”.
Ars Technica i inne agencje zajmujące się badaniem zauważyły ironię losu: sztuczka opracowana w celu manipulowania modelami sztucznej inteligencji jest obecnie najbardziej znana z atakowania przyziemnych filtrów strzegących firmowych skrzynek odbiorczych. Dla zespołów ds. bezpieczeństwa wiadomość jest taka, że zagrożenia ery sztucznej inteligencji i klasyczne zagrożenia zbliżają się do siebie – a obrona przed następną kampanią oznacza usuwanie niewidzialnych znaków wszędzie tam, gdzie przetwarzany jest tekst, a nie tylko w chatbotach.
---
Wyprzedź sztuczną inteligencjęOtrzymuj najnowsze wiadomości, analizy i przełomowe informacje dotyczące sztucznej inteligencji — wszystko w jednym miejscu.
Przeczytaj więcej aktualności o sztucznej inteligencji →
