L’ASCII smuggling, un bloc Unicode invisible pour les humains, se généralise, des attaques contre l’intelligence artificielle au contournement des filtres anti-spam. Cette technique a été mise en lumière il y a environ deux ans pour dissimuler des attaques par injection de prompt visant les grands modèles de langage (LLM). L’attaquant code ses instructions avec des balises Unicode spéciales au lieu d’utiliser du texte normal ; U+E0041 représente le caractère « A », tandis que U+E0061 représente « a ». Ce bloc composé de 128 balises peut être lu par les ordinateurs, mais reste presque totalement invisible pour les humains.
Microsoft a détecté une forte augmentation, au début de cette année, des spams utilisant cette méthode. Au cours d’une journée du début du mois de février, les signatures d’ASCII smuggling détectées par Microsoft Defender for Office sont passées d’environ 21 000 par jour à plus de 1,3 million ; elles ont atteint 2,5 millions en quatre jours. La hausse s’est poursuivie pendant des mois avant de chuter brutalement à la mi-mai.
Les expéditeurs de spams divisent avec des caractères invisibles les mots recherchés par les filtres, comme « credit » et « term », ou les montants d’argent. Par exemple, le mot « funding » peut être interprété par le filtre comme « fun » et « ding », tandis que le destinataire continue de voir le mot normalement. Les espaces de largeur nulle et les espaces insécables sont également utilisés à des fins similaires depuis des décennies.
Le fait que certains filtres ne reconnaissent pas ces balises et qu’elles puissent tromper les classificateurs fondés sur l’apprentissage automatique et le traitement automatique du langage pourrait expliquer leur utilisation privilégiée. L’attaque peut passer inaperçue à moins que le texte ne soit converti en image et soumis à un OCR. Microsoft a publié des recommandations à l’intention des développeurs afin que les filtres reconnaissent mieux l’ASCII smuggling.
Pourquoi c’est important
Cette méthode creuse l’écart, dans la sécurité des e-mails, entre le contenu vu par l’être humain et celui évalué par les logiciels ; elle concerne donc non seulement les utilisateurs qui consultent leur boîte de réception, mais aussi les équipes qui développent les systèmes de filtrage et de classification. Les mots séparés par des caractères invisibles révèlent les limites non seulement de l’analyse traditionnelle par mots-clés, mais aussi des contrôles fondés sur l’apprentissage automatique et le traitement automatique du langage. La même technique étant également utilisée dans les attaques par prompt injection visant les systèmes d’intelligence artificielle, le problème dépasse la détection des spams et devient une question d’interprétation fiable du texte. La question reste de savoir comment détecter ces marqueurs de manière cohérente sans convertir le texte en image et lui appliquer un OCR, et dans quelle mesure les recommandations de Microsoft à l’intention des développeurs seront mises en œuvre dans différents filtres.