Spammers esconderam palavras-gatilho em tags Unicode invisíveis para burlar filtros de aprendizado de máquina

Por cerca de dois anos, o contrabando ASCII foi um truque de nicho em ataques a agentes de IA: prompts maliciosos escritos no bloco de tags Unicode (U+E0000-U+E007F), cujos caracteres espelham o ASCII mas são renderizados de forma invisível, de modo que um LLM lê instruções que um revisor humano nunca vê. No início de fevereiro de 2026, a Microsoft relatou que spammers adotaram o bloco em escala: detecções do Defender for Office de assinaturas de tags Unicode dispararam de cerca de 21.000 por dia para mais de 1,3 milhão, e para 2,5 milhões em quatro dias. A enxurrada persistiu por meses, depois caiu acentuadamente em meados de maio.

O mecanismo inverte a intenção, mas não o design. As tags invisíveis não mudam nada para o leitor, que ainda vê 'funding', mas mudam o que as máquinas veem. Filtros literais que caçam valores em dólar ou palavras como 'credit' podem corresponder a 'fun' e 'ding'. Classificadores modernos se saem pior: eles tokenizam o texto em pedaços de subpalavras primeiro, e uma tag inserida quebra o token familiar de 'funding' em fragmentos raros, ou é removida pela normalização, de modo que o modelo não raciocina mais sobre a palavra que um humano vê. A explicação da Microsoft: intenção invertida, mecanismo semelhante, suspeita não levantada.

Espaços de largura zero e não separáveis jogavam esse jogo há décadas; o que mudou foi o retorno. Modelos de ML e NLP agora comandam a classificação de spam, e as tags invisíveis derrotam exatamente a etapa de tokenização da qual esses modelos dependem - a menos que se tire um screenshot da mensagem e se execute OCR, observou a Microsoft, um classificador pode deixar passar o ataque por completo. A empresa publicou orientações sobre como programar filtros para levar em conta o contrabando ASCII. O episódio é um caso de transferência de técnica: um truque criado para contrabandear instruções passando pela revisão humana de entradas de IA funciona igualmente bem para contrabandear palavras-chave passando pela revisão de máquina.

As mesmas tags Unicode invisíveis que escondem injeções de prompt das pessoas podem dividir uma palavra no tokenizador, de modo que as máquinas classificam texto que o leitor nunca vê.

O bloco de tags é invisível por design, então uma única edição derrota ao mesmo tempo a revisão humana e a tokenização de máquina.

A adoção é medida, não anedótica: as detecções de assinatura passaram de cerca de 21.000 por dia para 1,3 milhão em um dia e 2,5 milhões em quatro dias, segundo a Microsoft.

Documenta a transferência entre duas comunidades adversárias - injetores de prompt de IA e spammers - por meio de uma propriedade que ambos exploram.

Localiza onde a defesa realmente reside: não na correspondência de strings, mas na tokenização, razão pela qual a normalização ou o OCR sobre a visão renderizada é a correção.

Uma defesa contra um adversário torna-se a ferramenta do próximo: o que esconde instruções das pessoas esconde palavras-chave das máquinas. Correções: normalizar o texto, ou aplicar OCR sobre a visão renderizada.

A equipe do Defender da Microsoft acompanhou a campanha desde seu início no começo de fevereiro de 2026 até sua queda acentuada em meados de maio, depois publicou análise e orientação para desenvolvedores: remover ou normalizar caracteres de tag antes da classificação, ou classificar sobre uma renderização visual da mensagem. Os caracteres de tag permanecem no Unicode, e a mesma propriedade os mantém úteis para esconder instruções de agentes de IA, de modo que defensores em ambas as frentes agora precisam assumir texto que o revisor não consegue ver. As detecções caíram, o que sugere que os filtros se adaptaram, mas a disputa subjacente - bytes invisíveis contra tokenizadores - permanece em aberto.