垃圾郵件發送者將觸發詞藏在不可見的Unicode標籤中，以繞過機器學習過濾器

大約兩年來，ASCII走私一直是針對AI代理攻擊中的小眾手法：惡意提示以Unicode標籤區塊（U+E0000-U+E007F）書寫，其字元對應ASCII但呈現為不可見，因此LLM會讀到人類審查者永遠看不到的指令。2026年2月初，微軟報告指出，垃圾郵件發送者大規模採用了該區塊：Defender for Office對Unicode標籤特徵的偵測量從每天約21,000次飆升至超過130萬次，並在四天內達到250萬次。這波洪流持續了數月，隨後在5月中旬急劇下降。

其機制顛倒了意圖，但未顛倒設計。不可見標籤對讀者毫無改變，讀者仍看到「funding」，但它改變了機器所見。搜尋金額或「credit」等詞的字面過濾器，可能反而匹配到被拆開的「fun」和「ding」。現代分類器表現更差：它們先將文字分詞為子詞片段，而插入的標籤會將「funding」的熟悉詞元拆成罕見片段，或在正規化過程中被剝除，因此模型不再針對人類所見的詞進行推理。微軟的評語：意圖顛倒，機制相似，未引起懷疑。

零寬空格與不換行空格玩這套把戲已數十年；改變的是回報。機器學習與NLP模型如今驅動垃圾郵件分類，而不可見標籤恰好擊敗了這些模型所依賴的分詞步驟——微軟指出，除非對訊息截圖並執行OCR，否則分類器可能完全漏掉該攻擊。該公司發布了指引，說明如何編程過濾器以顧及ASCII走私。此事件是技術轉移的案例：一個為將指令偷渡過AI輸入之人類審查而構建的手法，同樣適用於將關鍵詞偷渡過機器審查。

那些能向人類隱藏提示注入的不可見Unicode標籤，同樣能在分詞器處將一個詞拆開，使機器對讀者永遠看不到的文字進行分類。

標籤區塊在設計上即不可見，因此一次編輯便同時擊敗人類審查與機器分詞。

採用情況是有測量依據的，而非軼事：據微軟稱，特徵偵測量從每天約21,000次，在一天之內增至130萬次，並在四天內達到250萬次。

它記錄了兩個對抗社群——AI提示注入者與垃圾郵件發送者——之間透過雙方均利用的同一特性所進行的轉移。

它定位了防禦實際所在之處：不在字串匹配，而在分詞，這正是為何正規化或對渲染視圖執行OCR才是修復之道。

針對一個對手的防禦會成為下一個對手的工具：能向人類隱藏指令的東西，也能向機器隱藏關鍵詞。修復方法：正規化文字，或對渲染視圖執行OCR。

微軟的Defender團隊追蹤了該活動，從2026年2月初的起始到5月中旬的急劇下降，隨後發布了分析與開發者指引：在分類前剝除或正規化標籤字元，或對訊息的視覺渲染進行分類。標籤字元仍留在Unicode中，而同一特性使其持續可用於向AI代理隱藏指令，因此兩條戰線上的防禦者如今都必須假設存在審查者看不到的文字。偵測量下降了，這表明過濾器已適應，但根本的較量——不可見位元組對抗分詞器——仍未完結。