AI · Текст подготовлен с помощью искусственного интеллекта
Архитектуры безопасности, проверяющие входящий текст, опираются на хрупкое допущение: модель парсит ровно то же представление, которое человек видит на экране. Когда злоумышленники внедряют невидимые управляющие последовательности в исходный поток данных, этот разрыв создает прямую слепую зону для систем защиты. Телеметрия Microsoft зафиксировала подобную уязвимость в ходе масштабной фишинговой кампании: невидимые теги Юникода разбивали финансовые триггерные слова, ослепляя лексические фильтры и токенизаторы подслов, при этом текст оставался визуально безупречным для получателей-людей.
Механика обфускации через блок Tags
Техника, получившая название «ASCII-контрабанда» (ASCII smuggling) или обфускация через блок тегов, использует кодовые точки из диапазона Unicode Tags (от U+E0000 до U+E007F). Поскольку эти символы относятся к неотображаемым управляющим элементам, почтовые клиенты показывают конечным пользователям чистый текст. Однако внутри системы вставка таких байтов между буквами разделяет целые смысловые единицы на разрозненные фрагменты в процессе токенизации. Фильтр, настроенный на поиск слов вроде «finance» или «invoice», видит лишь изолированные, не совпадающие с паттерном подслова и пропускает письмо, хотя сотрудник компании без труда его читает.
Невидимые символы Юникода из блока Tags разбивают исходные слова на аномальные фрагменты, не меняя визуального восприятия текста для человека.
Этот метод обхода обнажает инженерную проблему: слепое доверие исходным строкам без жесткой предварительной очистки данных перед инференсом. Стандартные токенизаторы LLM и поисковики паттернов обрабатывают входящий текст буквально. Если конвейер безопасности не выполняет детерминированную нормализацию Юникода — например, удаление неиспользуемых кодовых точек тегов и приведение к канонической форме, — атакующие получают бесплатный способ обхода последующих классификаторов.
Телеметрия и инфраструктура масштабной кампании
Реальный масштаб этой тактики стал очевиден во время массовой рассылки, направленной на финансовые департаменты корпораций. Microsoft Defender зафиксировал первые 21 000 подозрительных сообщений 8 февраля, а уже 9 февраля их число превысило 1,3 млн. 11 февраля объем трафика преодолел отметку в 2,3 млн, а 26 февраля достиг пика в 2,37 млн писем.
Фаза максимальной активности продолжалась около трех месяцев, резко пошла на спад после 15 мая и затихла к середине июня. Злоумышленники организовали атаку через сеть из порядка 150 финансовых доменов-отправителей, предлагавших поддельные бизнес-кредиты, авансовые кредитные линии и пополнение оборотного капитала.
Телеметрия зафиксировала всплеск свыше 2,3 млн сообщений за несколько дней, при этом для маскировки массовой рассылки использовалась легитимная инфраструктура.
Чтобы обойти периметральные детекторы аномалий, операторы направляли трафик через доверенные каналы маршрутизации. Около 98,5% перехваченных сообщений соответствовали заголовкам легитимного сервиса почтовых рассылок, а один сетевой блок /24 обеспечивал примерно 92% суточной доставки на протяжении двух недель.
Нормализация пайплайнов и эшелонированная защита
Хотя изощренная фрагментация на уровне символов обнулила базовую проверку текста, кейс показал системную закономерность: изоляция на уровне текста не заменяет эшелонированную оборону. В данном случае 99,8% фишингового объема удалось перехватить, поскольку маршрутизация и целевые ссылки оставались аномальными, несмотря на маскировку текста.
Для команд безопасности, использующих ИИ-фильтры, архитектурным императивом становится детерминированная очистка данных на этапе сбора (ingestion). Конвейеры обработки должны жестко удалять и нормализовать спецсимволы Юникода до передачи данных моделям обнаружения. Это гарантирует, что токенизаторы анализируют ту же семантическую реальность, которую видит человек, а не байтовый шум злоумышленников.