Los spammers ocultaron palabras desencadenantes en etiquetas Unicode invisibles para sortear filtros de aprendizaje automático

Durante unos dos años, el contrabando ASCII fue un truco de nicho en ataques contra agentes de IA: prompts maliciosos escritos en el bloque de etiquetas Unicode (U+E0000-U+E007F), cuyos caracteres reflejan ASCII pero se renderizan de forma invisible, de modo que un LLM lee instrucciones que un revisor humano nunca ve. A principios de febrero de 2026, según informó Microsoft, los spammers adoptaron el bloque a escala: las detecciones de firmas de etiquetas Unicode en Defender for Office se dispararon de aproximadamente 21.000 al día a más de 1,3 millones, y a 2,5 millones en cuatro días. La avalancha persistió durante meses y luego cayó bruscamente a mediados de mayo.

El mecanismo invierte la intención pero no el diseño. Las etiquetas invisibles no cambian nada para el lector, que sigue viendo «funding», pero cambian lo que ven las máquinas. Los filtros literales que buscan cantidades en dólares o palabras como «credit» pueden coincidir con «fun» y «ding» en su lugar. Los clasificadores modernos funcionan peor: primero tokenizan el texto en piezas subpalabra, y una etiqueta insertada rompe el token familiar de «funding» en fragmentos poco frecuentes, o es eliminada por la normalización, de modo que el modelo ya no razona sobre la palabra que ve un humano. La glosa de Microsoft: intención invertida, mecanismo similar, sospecha no suscitada.

Los espacios de ancho cero y de no separación llevaban décadas jugando a este juego; lo que cambió fue el beneficio. Los modelos de ML y NLP ahora impulsan la clasificación de spam, y las etiquetas invisibles derrotan exactamente el paso de tokenización del que dependen esos modelos; salvo tomar una captura de pantalla del mensaje y ejecutar OCR, señaló Microsoft, un clasificador puede pasar por alto el ataque por completo. La empresa publicó orientación sobre cómo programar filtros para tener en cuenta el contrabando ASCII. El episodio es un caso de transferencia de técnica: un truco creado para introducir instrucciones de contrabando ante la revisión humana de entradas de IA funciona igual de bien para introducir palabras clave de contrabando ante la revisión automática.

Las mismas etiquetas Unicode invisibles que ocultan inyecciones de prompts a las personas pueden dividir una palabra en el tokenizador, de modo que las máquinas clasifican texto que el lector nunca ve.

El bloque de etiquetas es invisible por diseño, de modo que una sola edición derrota a la vez la revisión humana y la tokenización automática.

La adopción está medida, no es anecdótica: las detecciones de firmas pasaron de unas 21.000 al día a 1,3 millones en un día y a 2,5 millones en cuatro días, según Microsoft.

Documenta la transferencia entre dos comunidades adversarias —inyectores de prompts de IA y spammers— mediante una propiedad que ambas explotan.

Ubica dónde reside realmente la defensa: no en la coincidencia de cadenas sino en la tokenización, razón por la cual la normalización o el OCR sobre la vista renderizada es la solución.

Una defensa contra un adversario se convierte en la herramienta del siguiente: lo que oculta instrucciones a las personas oculta palabras clave a las máquinas. Soluciones: normalizar el texto, o aplicar OCR a la vista renderizada.

El equipo de Defender de Microsoft siguió la campaña desde su inicio a principios de febrero de 2026 hasta su brusca caída a mediados de mayo, y luego publicó un análisis y orientación para desarrolladores: eliminar o normalizar los caracteres de etiqueta antes de la clasificación, o clasificar sobre una representación visual del mensaje. Los caracteres de etiqueta permanecen en Unicode, y la misma propiedad los mantiene útiles para ocultar instrucciones a los agentes de IA, por lo que los defensores en ambos frentes ahora deben asumir texto que el revisor no puede ver. Las detecciones disminuyeron, lo que sugiere que los filtros se adaptaron, pero la contienda subyacente —bytes invisibles contra tokenizadores— sigue abierta.