ASCII Smuggling, ein für Menschen unsichtbarer Unicode-Block, findet zunehmend Anwendung – von Angriffen auf künstliche Intelligenz bis hin zur Umgehung von Spamfiltern. Die Technik geriet vor etwa zwei Jahren ins Blickfeld, um Prompt-Injection-Angriffe auf große Sprachmodelle (LLM) zu verbergen. Angreifer kodieren Anweisungen mit speziellen Unicode-Tags statt mit normalem Text; U+E0041 steht für das Zeichen „A“, U+E0061 für „a“. Dieser aus 128 Tags bestehende Block kann von Computern gelesen werden, bleibt für Menschen jedoch nahezu vollständig unsichtbar.
Microsoft stellte Anfang dieses Jahres einen starken Anstieg von Spam fest, der diese Methode nutzte. An einem Tag Anfang Februar stieg die Zahl der von Microsoft Defender for Office erkannten ASCII-Smuggling-Signaturen von etwa 21.000 pro Tag auf über 1,3 Millionen; innerhalb von vier Tagen erreichte sie 2,5 Millionen. Der Anstieg hielt monatelang an und ging Mitte Mai stark zurück.
Spammer teilen von Filtern gesuchte Wörter wie „credit“ und „term“ oder Geldbeträge durch unsichtbare Zeichen auf. So kann das Wort „funding“ vom Filter als „fun“ und „ding“ wahrgenommen werden, während der Empfänger das Wort weiterhin normal sieht. Zeichen mit null Breite und untrennbare Leerzeichen werden seit Jahrzehnten für ähnliche Zwecke eingesetzt.
Dass versteckte Tags bevorzugt werden, könnte daran liegen, dass einige Filter sie nicht erkennen und auf maschinellem Lernen sowie natürlicher Sprachverarbeitung basierende Klassifikatoren getäuscht werden können. Solange der Text nicht in ein Bild umgewandelt und anschließend einer OCR unterzogen wird, kann der Angriff unentdeckt bleiben. Microsoft hat Entwicklern Empfehlungen veröffentlicht, damit Filter ASCII Smuggling besser erkennen.
Warum das wichtig ist
Diese Methode vergrößert in der E-Mail-Sicherheit die Kluft zwischen den Inhalten, die Menschen sehen, und denen, die Software bewertet. Daher betrifft sie nicht nur Nutzer im Posteingang, sondern auch die Teams, die Filter- und Klassifizierungssysteme entwickeln. Wörter, die durch unsichtbare Zeichen unterbrochen werden, legen neben den Grenzen der herkömmlichen Schlüsselwortsuche auch die Grenzen von auf maschinellem Lernen und natürlicher Sprachverarbeitung basierenden Prüfungen offen. Da dieselbe Technik auch bei Prompt-Injection-Angriffen auf Systeme der künstlichen Intelligenz eingesetzt wird, geht es nicht mehr nur um die Erkennung von Spam, sondern um die zuverlässige Interpretation von Text. Die offene Frage ist, wie sich diese Zeichen konsistent erkennen lassen, ohne den Text in ein Bild umzuwandeln und einer OCR zu unterziehen, und in welchem Umfang sich Microsofts Empfehlungen für Entwickler auf verschiedene Filter anwenden lassen.