スパマーは機械学習フィルターをすり抜けるために不可視のUnicodeタグにトリガーワードを隠した

約2年間、ASCIIスマグリングはAIエージェントへの攻撃におけるニッチな手法だった。Unicodeタグブロック（U+E0000-U+E007F）で書かれた悪意あるプロンプトで、その文字はASCIIを模倣するが不可視で表示されるため、LLMは人間のレビュアーが決して見ない指示を読み取る。2026年2月初旬、Microsoftは、スパマーがこのブロックを大規模に採用したと報告した。Defender for OfficeによるUnicodeタグシグネチャの検出は1日あたり約21,000件から130万件超へ急増し、4日以内に250万件に達した。この洪水は数か月続いた後、5月中旬に急激に減少した。

この仕組みは意図を反転させるが設計は変えない。不可視タグは読者にとって何も変えない。読者は依然として「funding」を見るが、機械が見るものを変える。ドル金額や「credit」のような単語を探すリテラルフィルターは、代わりに「fun」と「ding」にマッチする可能性がある。現代の分類器はさらに悪い結果となる。まずテキストをサブワード単位にトークン化するが、挿入されたタグは「funding」の馴染みのあるトークンを稀な断片に分割するか、正規化によって除去されるため、モデルはもはや人間が見る単語について推論しなくなる。Microsoftの説明はこうだ。意図は反転し、仕組みは類似し、疑念は喚起されない。

ゼロ幅スペースやノーブレークスペースは何十年もこの手を使ってきたが、変わったのはその見返りだった。現在ではMLおよびNLPモデルがスパム分類を駆動しており、不可視タグはそれらのモデルが依存するトークン化のステップを正確に打ち破る。Microsoftは、メッセージをスクリーンショットしてOCRを実行する以外に、分類器は攻撃を完全に見逃す可能性があると指摘した。同社はASCIIスマグリングを考慮するようフィルターをプログラムするためのガイダンスを公開した。この出来事は手法の転用の一例である。AI入力の人間によるレビューをすり抜けて指示を密輸するために作られたトリックは、機械によるレビューをすり抜けてキーワードを密輸するのにも同様に機能する。

プロンプトインジェクションを人間から隠すのと同じ不可視のUnicodeタグが、トークナイザーで単語を分割できるため、機械は読者が決して見ないテキストを分類する。

タグブロックは設計上不可視であるため、1回の編集で人間のレビューと機械のトークン化の両方を同時に打ち破る。

採用は逸話ではなく測定されている。Microsoftによれば、シグネチャ検出は1日あたり約21,000件から1日で130万件、4日以内に250万件へと増加した。

これは2つの敵対的コミュニティ、すなわちAIプロンプトインジェクターとスパマーの間の転用を、両者が悪用する共通の特性を通じて記録している。

防御が実際にどこにあるかを特定している。文字列マッチングではなくトークン化にあり、だからこそ正規化やレンダリングされたビューに対するOCRが修正策となる。

一方の敵に対する防御が次の敵の道具になる。人間から指示を隠すものが、機械からキーワードを隠す。修正策はテキストを正規化するか、レンダリングされたビューをOCRすることだ。

MicrosoftのDefenderチームは、2026年2月初旬の開始から5月中旬の急激な減少までこのキャンペーンを追跡し、その後、分析と開発者向けガイダンスを公開した。分類前にタグ文字を除去または正規化するか、メッセージの視覚的レンダリングに対して分類する。タグ文字はUnicodeに残っており、同じ特性がAIエージェントから指示を隠すのに有用であり続けるため、両方の戦線の防御者はレビュアーが見えないテキストを想定せざるを得なくなった。検出は減少し、フィルターが適応したことを示唆するが、根本的な競争、すなわち不可視のバイト対トークナイザーは未解決のままである。