Uma técnica que se tornou famosa como forma de atacar modelos de IA saltou para um alvo muito maior: sua pasta de spam. A equipe de segurança da Microsoft relata que os fraudadores de e-mail passaram meses usando o “contrabando ASCII” – caracteres Unicode invisíveis que os humanos não podem ver, mas as máquinas podem ler – para passar milhões de e-mails de phishing pelos filtros de spam corporativos, em um dos casos mais claros até agora de um método de ataque da era da IA passando para o crime cibernético convencional.
De acordo com o The Register, os pesquisadores de ameaças da Microsoft, Noam Kochavi e Sarah Wolstencroft, descreveram a campanha em uma postagem no blog na quinta-feira. A operação atingiu o pico de mais de 2,37 milhões de mensagens num único dia da semana no final de fevereiro, depois permaneceu elevada durante a semana durante cerca de três meses, antes de diminuir gradualmente em meados de junho. Para obter mais contexto sobre esta história, consulte nossas notícias sobre IA em andamento.
Como funciona o contrabando de ASCII
O contrabando de ASCII explora caracteres Unicode que são válidos, mas não podem ser renderizados – principalmente caracteres de tags Unicode, um bloco originalmente projetado para tags de idioma. Quando inseridos em um documento, página da web ou e-mail, eles não são exibidos como nada. Essa invisibilidade tornou a técnica um elemento básico dos ataques indiretos de injeção imediata, nos quais um invasor esconde instruções para um assistente de IA dentro de caracteres invisíveis incorporados em uma página da web ou documento. Um ser humano que revisa a página não vê nada de incomum, mas um sistema de IA que ingere o texto bruto pode ler e obedecer aos comandos ocultos.
Pesquisadores de segurança demonstraram a técnica contra os principais chatbots e assistentes de e-mail de IA, e é por isso que ela tem sido discutida principalmente como um problema de segurança de IA. O que a equipe da Microsoft descobriu foi diferente: os caracteres ocultos não eram endereçados a uma IA.
“Quando analisamos uma amostra das mensagens sinalizadas, a surpresa foi que não havia instruções contrabandeadas para um assistente de IA”, escreveram Kochavi e Wolstencroft, de acordo com o The Register. “Em vez disso, os caracteres invisíveis da tag foram inseridos dentro de palavras-chave financeiras comuns, separando-os para que uma assinatura literal ou correspondência de palavra-chave falhasse”.
Uma campanha de atração financeira de meses
A Microsoft detectou a assinatura pela primeira vez no início de fevereiro de 2026, sinalizando cerca de 21.000 mensagens suspeitas em 8 de fevereiro. No dia seguinte, o volume disparou para mais de 1,3 milhão. No seu auge, em 26 de fevereiro, a campanha enviou mais de 2,37 milhões de mensagens num único dia, com a maioria dos e-mails originados de cerca de 150 domínios de remetentes com temas financeiros.
A operação decorreu com disciplina quase industrial. Os volumes aumentaram durante a semana – entre 1 milhão e 2,37 milhões de mensagens por dia – e silenciaram nos fins de semana. Após a intensa primeira fase, os volumes diários durante a semana diminuíram cerca de 80% no final de Março, caíram acentuadamente após 15 de Maio e continuaram em níveis mais baixos, com picos ocasionais mais pequenos, pelo menos até meados de Junho.
As iscas eram financeiras e a ofuscação era simples, mas eficaz. Em vez de escrever uma palavra-chave como “financiamento” em texto simples, os invasores inseriram espaços de tags invisíveis entre as letras – os pesquisadores citam um espaço de tags Unicode, U+E0020, dividido no meio das palavras. Para um leitor humano, a palavra parece perfeitamente normal. Para um filtro de palavras-chave, mecanismo regex ou correspondente de assinatura, é uma string que nenhuma lista de bloqueio reconhecerá.
Por que os filtros falharam e o que os defensores devem fazer
A campanha funcionou porque grande parte da segurança do e-mail ainda depende da correspondência literal do texto. A principal recomendação da Microsoft é que qualquer conteúdo avaliado por palavra-chave, assinatura ou lógica regex deve primeiro ter pontos de código Unicode invisíveis e sem renderização removidos ou dobrados, de modo que juntá-los em uma palavra não anule mais a correspondência. Verificar se os pipelines de normalização e tokenização lidam com caracteres de tags de forma consistente é, na opinião dos pesquisadores, o controle mais importante.
Essa mesma correção traz um bônus para a segurança da IA: como o contrabando de ASCII contra assistentes de IA depende dos mesmos caracteres invisíveis que sobrevivem ao pré-processamento, retirá-los antes que o conteúdo chegue a um filtro também reduz o risco de injeção de prompt oculto dentro do e-mail ingerido.
A Microsoft também incentiva os defensores a observarem indicadores comportamentais em vez de palavras-chave brutas. “A atividade observada tinha uma forma distinta: volume em massa proveniente de domínios descartáveis com tema financeiro agitados, em uma programação estrita de dias de semana/fim de semana”, escreveram os pesquisadores. "Um aumento repentino de caracteres de bloco de tags concentrados em remetentes com temas financeiros, ligando e desligando semanalmente, é um indicador de campanha de alta confiança."
Um tiro de alerta para a segurança da era da IA
Para os investigadores da Microsoft, o episódio ilustra uma dinâmica mais ampla: as técnicas pioneiras contra os sistemas de IA não ficam confinadas à IA. “À medida que os métodos de ataque da era da IA se tornam mais bem compreendidos, os agentes de ameaças podem adaptá-los para uso em ameaças mais tradicionais, como phishing e spam”, escreveram eles, observando que o caso mostra como os métodos da pesquisa de segurança da IA “podem rapidamente passar para ecossistemas de ataque estabelecidos”.
A Ars Technica e outros veículos que cobriram a pesquisa notaram a ironia: um truque desenvolvido para manipular modelos de IA é agora mais conhecido por atacar os filtros mundanos que protegem as caixas de entrada corporativas. Para as equipes de segurança, a mensagem é que as ameaças da era da IA e as ameaças clássicas estão convergindo – e que a defesa contra a próxima campanha significa limpar caracteres invisíveis em todos os lugares onde o texto é processado, não apenas dentro dos chatbots.
---
Fique à frente da IAReceba as últimas notícias, análises e avanços sobre IA — tudo em um só lugar.
Leia mais notícias sobre IA →
