İnsanların göremediği bir Unicode bloğu olan ASCII smuggling, yapay zekâ saldırılarından spam filtrelerini aşmaya kadar yaygınlaşıyor. Teknik, yaklaşık iki yıl önce, büyük dil modellerine (LLM) yönelik prompt injection saldırılarını gizlemek için gündeme geldi. Saldırgan talimatları normal metin yerine özel Unicode etiketleriyle kodluyor; U+E0041 “A”, U+E0061 ise “a” karakterini temsil ediyor. 128 etiketten oluşan bu blok bilgisayarlarca okunabiliyor, ancak insanlar için neredeyse tamamen görünmez kalıyor.
Microsoft, bu yılın başlarında söz konusu yöntemi kullanan spamlerde büyük artış tespit etti. Şubat başındaki bir günde Microsoft Defender for Office’in saptadığı ASCII smuggling imzaları, günlük yaklaşık 21,000’den 1.3 milyonun üzerine çıktı; dört gün içinde 2.5 milyona ulaştı. Artış aylarca sürdü ve mayıs ortasında keskin biçimde düştü.
Spam gönderenler, “credit” ve “term” gibi filtrelerin aradığı kelimeleri ya da para miktarlarını görünmez karakterlerle bölüyor. Örneğin “funding” kelimesi, filtre tarafından “fun” ve “ding” olarak algılanabilirken alıcı kelimeyi normal görmeye devam ediyor. Sıfır genişlikli ve bölünmez boşluklar da benzer amaçlarla onlarca yıldır kullanılıyor.
Gizli etiketlerin tercih edilmesinde, bazı filtrelerin bunları tanımaması ve makine öğrenmesi ile doğal dil işleme tabanlı sınıflandırıcıları yanıltabilmesi etkili olabilir. Metin görüntüye çevrilip OCR uygulanmadıkça saldırı kaçırılabilir. Microsoft, filtrelerin ASCII smuggling’i daha iyi tanıması için geliştiricilere öneriler yayımladı.
Neden önemli
Bu yöntem, e-posta güvenliğinde insanın gördüğü içerikle yazılımların değerlendirdiği içerik arasındaki farkı büyütüyor; bu nedenle yalnızca gelen kutusundaki kullanıcıları değil, filtre ve sınıflandırma sistemlerini geliştiren ekipleri de ilgilendiriyor. Görünmez karakterlerle bölünen kelimeler, geleneksel anahtar kelime taramasının yanı sıra makine öğrenmesi ve doğal dil işleme tabanlı denetimlerin de sınırlarını ortaya koyuyor. Aynı teknik yapay zekâ sistemlerine yönelik prompt injection saldırılarında da kullanıldığı için sorun, spam tespitinin ötesinde metnin güvenilir biçimde yorumlanması meselesine dönüşüyor. Açık soru, metni görüntüye çevirip OCR uygulamadan bu işaretlerin nasıl tutarlı biçimde saptanacağı ve Microsoft’un geliştirici önerilerinin farklı filtrelerde ne ölçüde uygulanacağı.