L’ASCII smuggling, un blocco Unicode invisibile alle persone, si sta diffondendo dagli attacchi all’intelligenza artificiale fino all’elusione dei filtri antispam. La tecnica è emersa circa due anni fa per nascondere gli attacchi di prompt injection rivolti ai modelli linguistici di grandi dimensioni (LLM). L’aggressore codifica le istruzioni con speciali tag Unicode invece che con testo normale; U+E0041 rappresenta il carattere “A”, mentre U+E0061 rappresenta “a”. Questo blocco, composto da 128 tag, può essere letto dai computer, ma rimane quasi completamente invisibile alle persone.
Microsoft ha rilevato un forte aumento, all’inizio di quest’anno, dello spam che utilizza questo metodo. In un giorno all’inizio di febbraio, le firme di ASCII smuggling rilevate da Microsoft Defender for Office sono passate da circa 21,000 al giorno a oltre 1.3 milioni, raggiungendo 2.5 milioni entro quattro giorni. L’aumento è proseguito per mesi, per poi diminuire bruscamente a metà maggio.
Gli spammer dividono con caratteri invisibili le parole cercate dai filtri, come “credit” e “term”, oppure gli importi di denaro. Per esempio, la parola “funding” può essere interpretata dal filtro come “fun” e “ding”, mentre il destinatario continua a visualizzare normalmente la parola. Anche gli spazi a larghezza zero e gli spazi indivisibili vengono utilizzati da decenni per scopi analoghi.
Il fatto che alcuni filtri non riconoscano questi tag e che possano ingannare i classificatori basati sull’apprendimento automatico e sull’elaborazione del linguaggio naturale potrebbe aver favorito la scelta dei tag nascosti. L’attacco può sfuggire al rilevamento se il testo non viene convertito in un’immagine e sottoposto a OCR. Microsoft ha pubblicato raccomandazioni per gli sviluppatori affinché i filtri riconoscano meglio l’ASCII smuggling.
Perché è importante
Questo metodo amplia il divario, nella sicurezza delle e-mail, tra il contenuto visualizzato dall’essere umano e quello valutato dai software; per questo riguarda non solo gli utenti delle caselle di posta in arrivo, ma anche i team che sviluppano sistemi di filtraggio e classificazione. Le parole divise da caratteri invisibili mettono in luce i limiti non solo della tradizionale scansione delle parole chiave, ma anche dei controlli basati sull’apprendimento automatico e sull’elaborazione del linguaggio naturale. Poiché la stessa tecnica viene utilizzata anche negli attacchi di prompt injection ai sistemi di intelligenza artificiale, il problema va oltre il rilevamento dello spam e si trasforma in una questione di interpretazione affidabile del testo. La questione aperta è come individuare questi segnali in modo coerente senza convertire il testo in un’immagine e sottoporlo a OCR, e in che misura le raccomandazioni di Microsoft per gli sviluppatori saranno applicate nei diversi filtri.