Spammer versteckten Triggerwörter in unsichtbaren Unicode-Tags, um maschinell gelernte Filter zu umgehen

Etwa zwei Jahre lang war ASCII-Schmuggel ein Nischentrick bei Angriffen auf KI-Agenten: bösartige Prompts, geschrieben im Unicode-Tag-Block (U+E0000-U+E007F), dessen Zeichen ASCII spiegeln, aber unsichtbar gerendert werden, sodass ein LLM Anweisungen liest, die ein menschlicher Prüfer nie sieht. Anfang Februar 2026, so berichtete Microsoft, übernahmen Spammer den Block im großen Stil: Die Defender-for-Office-Erkennungen von Unicode-Tag-Signaturen schnellten von etwa 21.000 pro Tag auf mehr als 1,3 Millionen und innerhalb von vier Tagen auf 2,5 Millionen. Die Flut hielt Monate an und fiel dann Mitte Mai stark ab.

Der Mechanismus kehrt die Absicht um, nicht das Design. Unsichtbare Tags ändern nichts für den Leser, der weiterhin „funding“ sieht, aber sie ändern, was Maschinen sehen. Wörtliche Filter, die nach Dollarbeträgen oder Wörtern wie „credit“ suchen, treffen möglicherweise stattdessen „fun“ und „ding“. Moderne Klassifikatoren sind noch schlechter dran: Sie tokenisieren Text zunächst in Subwort-Stücke, und ein eingefügtes Tag zerlegt das vertraute Token für „funding“ in seltene Fragmente oder wird durch Normalisierung entfernt, sodass das Modell nicht mehr über das Wort schlussfolgert, das ein Mensch sieht. Microsofts Deutung: Absicht umgekehrt, Mechanismus ähnlich, Verdacht nicht erregt.

Zero-Width- und geschützte Leerzeichen spielten dieses Spiel seit Jahrzehnten; was sich änderte, war der Nutzen. ML- und NLP-Modelle treiben heute die Spam-Klassifizierung an, und unsichtbare Tags besiegen genau den Tokenisierungsschritt, auf den diese Modelle angewiesen sind – so Microsoft: Wenn man nicht einen Screenshot der Nachricht macht und OCR darauf anwendet, kann ein Klassifikator den Angriff möglicherweise vollständig verfehlen. Das Unternehmen veröffentlichte eine Anleitung dazu, wie man Filter so programmiert, dass sie ASCII-Schmuggel berücksichtigen. Der Vorfall ist ein Fall von Techniktransfer: Ein Trick, der gebaut wurde, um Anweisungen an der menschlichen Prüfung von KI-Eingaben vorbeizuschmuggeln, funktioniert ebenso gut dabei, Schlüsselwörter an der maschinellen Prüfung vorbeizuschmuggeln.

Dieselben unsichtbaren Unicode-Tags, die Prompt-Injections vor Menschen verbergen, können ein Wort am Tokenizer spalten, sodass Maschinen Text klassifizieren, den der Leser nie sieht.

Der Tag-Block ist von Natur aus unsichtbar, sodass eine einzige Bearbeitung gleichzeitig die menschliche Prüfung und die maschinelle Tokenisierung besiegt.

Die Übernahme ist gemessen, nicht anekdotisch: Laut Microsoft stiegen die Signatur-Erkennungen von etwa 21.000 pro Tag auf 1,3 Millionen an einem Tag und auf 2,5 Millionen innerhalb von vier Tagen.

Es dokumentiert den Transfer zwischen zwei gegnerischen Gemeinschaften – KI-Prompt-Injectoren und Spammern – über eine Eigenschaft, die beide ausnutzen.

Es verortet, wo die Verteidigung tatsächlich liegt: nicht im String-Matching, sondern in der Tokenisierung, weshalb Normalisierung oder OCR über die gerenderte Ansicht die Lösung ist.

Eine Verteidigung gegen einen Gegner wird zum Werkzeug des nächsten: Was Anweisungen vor Menschen verbirgt, verbirgt Schlüsselwörter vor Maschinen. Lösungen: Text normalisieren oder die gerenderte Ansicht per OCR erfassen.

Das Defender-Team von Microsoft verfolgte die Kampagne von ihrem Beginn Anfang Februar 2026 bis zu ihrem starken Abfall Mitte Mai und veröffentlichte dann eine Analyse und Entwickleranleitung: Tag-Zeichen vor der Klassifizierung entfernen oder normalisieren oder über eine visuelle Darstellung der Nachricht klassifizieren. Die Tag-Zeichen bleiben in Unicode, und dieselbe Eigenschaft macht sie weiterhin nützlich, um Anweisungen vor KI-Agenten zu verbergen, sodass Verteidiger an beiden Fronten nun annehmen müssen, dass Text existiert, den der Prüfer nicht sehen kann. Die Erkennungen gingen zurück, was darauf hindeutet, dass sich die Filter angepasst haben, aber der zugrunde liegende Wettstreit – unsichtbare Bytes gegen Tokenizer – bleibt offen.