스패머들이 보이지 않는 유니코드 태그에 트리거 단어를 숨겨 머신러닝 필터를 통과했다

약 2년 동안 ASCII 스머글링은 AI 에이전트 공격에서 틈새 기법이었다. 유니코드 태그 블록(U+E0000-U+E007F)으로 작성된 악성 프롬프트는 ASCII를 그대로 반영하지만 보이지 않게 렌더링되는 문자를 사용하므로, LLM은 사람 검토자가 결코 보지 못하는 지시를 읽게 된다. 2026년 2월 초, Microsoft는 스패머들이 이 블록을 대규모로 채택했다고 보고했다. Defender for Office의 유니코드 태그 시그니처 탐지는 하루 약 21,000건에서 130만 건 이상으로 급증했고, 나흘 만에 250만 건에 이르렀다. 이 홍수는 몇 달간 지속되다가 5월 중순에 급격히 줄어들었다.

이 메커니즘은 의도를 뒤집지만 설계를 뒤집지는 않는다. 보이지 않는 태그는 여전히 'funding'을 보는 독자에게는 아무것도 바꾸지 않지만, 기계가 보는 것을 바꾼다. 달러 금액이나 'credit' 같은 단어를 찾는 리터럴 필터는 대신 'fun'과 'ding'에 매칭될 수 있다. 현대의 분류기는 더 나쁘다. 이들은 먼저 텍스트를 하위 단어 조각으로 토큰화하는데, 삽입된 태그는 'funding'의 익숙한 토큰을 희귀한 파편으로 쪼개거나 정규화 과정에서 제거되어, 모델이 더 이상 사람이 보는 단어에 대해 추론하지 못하게 된다. Microsoft의 설명: 의도는 뒤집혔고, 메커니즘은 유사하며, 의심은 제기되지 않았다.

제로폭 및 비분리 공백(줄바꿈 방지 공백)은 수십 년간 이 게임을 해왔다. 달라진 것은 그 대가였다. 이제 ML 및 NLP 모델이 스팸 분류를 주도하며, 보이지 않는 태그는 바로 그 모델들이 의존하는 토큰화 단계를 정확히 무력화한다. Microsoft가 지적했듯이, 메시지를 스크린샷으로 찍어 OCR을 돌리지 않는 한, 분류기는 공격을 놓칠 수 있다. 이 회사는 ASCII 스머글링을 고려하도록 필터를 프로그래밍하는 방법에 대한 지침을 발표했다. 이 사례는 기법 전이의 한 예이다. AI 입력에 대한 인간 검토를 우회하여 지시를 밀반입하도록 만들어진 트릭이, 기계 검토를 우회하여 키워드를 밀반입하는 데에도 똑같이 잘 작동한다.

사람으로부터 프롬프트 인젝션을 숨기는 바로 그 보이지 않는 유니코드 태그가 토크나이저 단계에서 단어를 분할할 수 있어, 기계는 독자가 결코 보지 못하는 텍스트를 분류하게 된다.

태그 블록은 설계상 보이지 않으므로, 한 번의 편집으로 인간 검토와 기계 토큰화를 동시에 무력화한다.

채택은 일화가 아니라 측정된 것이다. Microsoft에 따르면 시그니처 탐지는 하루 약 21,000건에서 하루 만에 130만 건으로, 나흘 만에 250만 건으로 증가했다.

이는 두 적대적 커뮤니티, 즉 AI 프롬프트 인젝터와 스패머 사이의 전이를, 양쪽이 악용하는 하나의 속성을 통해 문서화한다.

이는 방어가 실제로 어디에 있는지를 규명한다. 문자열 매칭이 아니라 토큰화에 있으며, 이것이 정규화나 렌더링된 뷰에 대한 OCR이 해결책인 이유이다.

한 적대자에 대한 방어가 다음 적대자의 도구가 된다. 사람으로부터 지시를 숨기는 것이 기계로부터 키워드를 숨긴다. 해결책: 텍스트를 정규화하거나, 렌더링된 뷰에 OCR을 적용하라.

Microsoft의 Defender 팀은 2026년 2월 초 시작부터 5월 중순의 급격한 감소까지 이 캠페인을 추적한 뒤, 분석과 개발자 지침을 발표했다. 분류 전에 태그 문자를 제거하거나 정규화하거나, 메시지의 시각적 렌더링에 대해 분류하라는 것이다. 태그 문자는 유니코드에 남아 있으며, 같은 속성이 AI 에이전트로부터 지시를 숨기는 데 계속 유용하게 작용하므로, 두 전선의 방어자들은 이제 검토자가 볼 수 없는 텍스트를 가정해야 한다. 탐지는 감소했으며, 이는 필터가 적응했음을 시사하지만, 보이지 않는 바이트 대 토크나이저라는 근본적인 경쟁은 여전히 열려 있다.