Les spammeurs ont caché des mots déclencheurs dans des balises Unicode invisibles pour contourner les filtres à apprentissage automatique

Pendant environ deux ans, la contrebande ASCII est restée une astuce de niche dans les attaques contre les agents d'IA : des prompts malveillants écrits dans le bloc de balises Unicode (U+E0000-U+E007F), dont les caractères reproduisent l'ASCII mais s'affichent de façon invisible, de sorte qu'un LLM lit des instructions qu'un relecteur humain ne voit jamais. Début février 2026, selon Microsoft, les spammeurs ont adopté ce bloc à grande échelle : les détections de signatures à balises Unicode par Defender for Office sont passées d'environ 21 000 par jour à plus de 1,3 million, puis à 2,5 millions en quatre jours. Le déluge a persisté pendant des mois, avant de chuter fortement à la mi-mai.

Le mécanisme inverse l'intention mais pas la conception. Les balises invisibles ne changent rien pour le lecteur, qui voit toujours « funding », mais elles changent ce que voient les machines. Les filtres littéraux qui traquent les montants en dollars ou des mots comme « credit » peuvent correspondre à « fun » et « ding » à la place. Les classificateurs modernes s'en sortent moins bien : ils tokenisent d'abord le texte en sous-mots, et une balise insérée brise le token familier de « funding » en fragments rares, ou est supprimée par la normalisation, si bien que le modèle ne raisonne plus sur le mot qu'un humain voit. Le commentaire de Microsoft : intention inversée, mécanisme similaire, soupçon non éveillé.

Les espaces de largeur nulle et insécables jouent à ce jeu depuis des décennies ; ce qui a changé, c'est le gain. Les modèles de ML et de NLP pilotent désormais la classification du spam, et les balises invisibles déjouent précisément l'étape de tokenisation dont ces modèles dépendent — à moins de faire une capture d'écran du message et d'exécuter un OCR, a noté Microsoft, un classificateur peut manquer entièrement l'attaque. L'entreprise a publié des recommandations pour programmer les filtres afin de tenir compte de la contrebande ASCII. L'épisode est un cas de transfert de technique : une astuce conçue pour faire passer des instructions au-delà de la relecture humaine des entrées d'IA fonctionne tout aussi bien pour faire passer des mots-clés au-delà de l'examen machine.

Les mêmes balises Unicode invisibles qui cachent les injections de prompt aux personnes peuvent fractionner un mot au niveau du tokenizer, de sorte que les machines classifient un texte que le lecteur ne voit jamais.

Le bloc de balises est invisible par conception, si bien qu'une seule modification déjoue à la fois la relecture humaine et la tokenisation machine.

L'adoption est mesurée, non anecdotique : les détections de signatures sont passées d'environ 21 000 par jour à 1,3 million en un jour et à 2,5 millions en quatre jours, selon Microsoft.

Cela documente un transfert entre deux communautés adverses — les injecteurs de prompts d'IA et les spammeurs — via une propriété que les deux exploitent.

Cela localise où réside réellement la défense : non dans la correspondance de chaînes mais dans la tokenisation, ce qui explique pourquoi la normalisation ou l'OCR sur la vue rendue constituent la solution.

Une défense contre un adversaire devient l'outil du suivant : ce qui cache des instructions aux personnes cache des mots-clés aux machines. Correctifs : normaliser le texte, ou faire un OCR de la vue rendue.

L'équipe Defender de Microsoft a suivi la campagne depuis son apparition début février 2026 jusqu'à sa forte baisse à la mi-mai, puis a publié une analyse et des recommandations pour les développeurs : supprimer ou normaliser les caractères de balise avant la classification, ou classer à partir d'un rendu visuel du message. Les caractères de balise restent dans Unicode, et la même propriété les rend utiles pour cacher des instructions aux agents d'IA, si bien que les défenseurs sur les deux fronts doivent désormais partir du principe que le texte échappe au relecteur. Les détections ont chuté, ce qui suggère que les filtres se sont adaptés, mais la compétition sous-jacente — octets invisibles contre tokenizers — reste ouverte.