垃圾邮件发送者将触发词隐藏在不可见的 Unicode 标签中，以绕过机器学习过滤器

大约两年来，ASCII 走私一直是针对 AI 代理攻击中的一种小众伎俩：恶意提示词用 Unicode 标签块（U+E0000-U+E007F）书写，该块的字符与 ASCII 对应但渲染为不可见，因此 LLM 会读取人类审阅者永远看不到的指令。2026 年 2 月初，微软报告称，垃圾邮件发送者大规模采用了该标签块：Defender for Office 对 Unicode 标签特征的检测量从每天约 21,000 次激增至超过 130 万次，并在四天内达到 250 万次。这股洪流持续了数月，随后在 5 月中旬急剧下降。

该机制颠倒了意图，但并未改变设计。不可见标签对读者毫无影响，读者仍然看到“funding”，但它们改变了机器所看到的内容。搜寻美元金额或“credit”等字面词的过滤器可能反而匹配到“fun”和“ding”。现代分类器表现更差：它们首先将文本分词为子词片段，而插入的标签会将“funding”这一熟悉的词元拆成罕见片段，或在归一化过程中被剥离，因此模型不再基于人类所见的那个词进行推理。微软的评述是：意图颠倒，机制相似，未引起怀疑。

零宽空格和不换行空格玩这种把戏已有数十年；改变的是回报。如今机器学习和 NLP 模型驱动垃圾邮件分类，而不可见标签恰好击败了这些模型所依赖的分词步骤——微软指出，除非对消息截图并运行 OCR，否则分类器可能完全错过该攻击。该公司发布了关于编写过滤器以考虑 ASCII 走私的指南。这一事件是技术转移的案例：一种为将指令偷运过 AI 输入的人工审阅而构建的伎俩，同样适用于将关键词偷运过机器审阅。

那些能将提示注入对人隐藏的不可见 Unicode 标签，同样可以在分词器处拆分一个词，使机器对读者永远看不到的文本进行分类。

标签块在设计上就是不可见的，因此一次编辑同时击败了人工审阅和机器分词。

采用情况是有数据衡量的，而非轶事：据微软称，特征检测量从每天约 21,000 次增至一天内 130 万次，并在四天内达到 250 万次。

它记录了两个对抗性群体——AI 提示注入者和垃圾邮件发送者——之间通过双方共同利用的某一属性所实现的技术转移。

它定位了防御实际所在之处：不在字符串匹配，而在分词，这就是为什么归一化或对渲染视图进行 OCR 才是修复之道。

针对一个对手的防御会成为下一个对手的工具：能对人隐藏指令的东西，也能对机器隐藏关键词。修复方法：归一化文本，或对渲染视图进行 OCR。

微软的 Defender 团队追踪了该活动，从 2026 年 2 月初开始到 5 月中旬急剧下降，随后发布了分析和开发者指南：在分类前剥离或归一化标签字符，或对消息的视觉渲染进行分类。标签字符仍保留在 Unicode 中，同一属性使它们继续适用于对 AI 代理隐藏指令，因此两个战线上的防御者现在都必须假定存在审阅者看不到的文本。检测量下降了，这表明过滤器已适应，但底层的较量——不可见字节对分词器——仍未结束。