从攻击 AI 到绕过邮件过滤

ASCII 走私利用一段特殊的 Unicode 标签区，包含 128 个几乎完美镜像 ASCII 字符的标签，却对人眼近乎不可见。例如标签 U+E0041 对应大写字母”A”，U+E0061 对应小写字母”a”。大约两年前，攻击者发现可以用这些隐形标签把恶意指令藏进邮件等不可信内容，从而让针对大语言模型的提示词注入攻击更难被察觉。

如今，垃圾邮件发送者把同一套原理反过来用：不再向 AI 隐藏指令，而是向过滤系统隐藏触发垃圾判定的关键词。

微软监测到爆发式增长

微软表示，自今年 2 月初起，其邮件安全产品 Microsoft Defender for Office 检测到的 ASCII 走私特征签名出现激增：单日检测量从约 2.1 万条，在 24 小时内飙升至超过 130 万条；仅四天后便达到 250 万条。这一洪流持续了数月，直到 5 月中旬才明显回落。

微软解释，这些标签字符对人不可见，却存在于文本处理层——正是这种特性既能被用来向模型走私指令，也能在检测器评估前混淆关键词。”意图相反，机制却相似，而且不会引起收件人的警觉。”

关键词被”肢解”

垃圾邮件发送者会把隐形标签塞进”funding”这类词的中间，让过滤器读成”fun”和”ding”两个片段，从而错过完整的触发词。以金融为主题的垃圾邮件是重灾区，被隐藏的还包括”credit””term”等词。

这类手法对依赖机器学习与自然语言处理的分类器尤其有效：分词器遇到隐形标签后，可能把常见词拆成陌生片段，或生成罕见 token，导致模型无法匹配已知垃圾邮件模式。

防御思路

微软已向开发者发布指引，建议在对邮件内容做判定前，先对 Unicode 标签做归一化处理。对于同时守护企业邮箱与 LLM 驱动系统的安全团队而言，Unicode 走私已成为同一类需要重点防范的攻击面。

相关分析由 Ars Technica 安全版块记者 Dan Goodin 报道。

网页邮箱几十年来都在解决一个难题：如何把不可信的 HTML 安全地显示给用户。各家普遍依赖净化器（sanitizer）来过滤内容，但净化器认为安全的，和浏览器实际渲染的，往往存在落差——这正是漏洞的入口。

PortSwigger 研究员 Gareth Heyes 在过去几个月里，针对 Yahoo Mail、AOL Mail、Fastmail、ProtonMail、Gmail 与 Outlook 等客户端，系统性地挖掘解析器与净化器之间的偏差，并演示了如何突破信任边界、外泄令牌、攻陷第三方网站，甚至窃取密码。

一个典型手法是滥用 HTML 的 label 标签。它的 for 属性可以指向任意带 id 的表单元素，从而继承该元素的点击行为，而这一点常被净化器忽略。Heyes 在 Outlook 中找到一个真实缺陷：一封邮件就能控制 Outlook 的界面（微软至今未修复）。

更巧妙的是对 AI 浏览器的间接提示注入。OpenAI 推出 Atlas 浏览器后，Heyes 利用 CSS 的 :before 与 :after 伪元素，给受害者看一段法语、却给大模型看另一段指令——当用户用翻译功能时，Atlas 被诱导自动打开多个标签页，并通过网址片段把用户的名字发往远程服务器。

另一种攻击发生在「粘贴到草稿」时。若剪贴板里夹带恶意 CSS，粘进 AOL 或 Yahoo 邮件会触发一段竞态，让网页 CSS 绕过净化。借助嵌套属性选择器与背景图外泄，攻击者甚至能偷走 Medium「邮件登录」流程中 12 位十六进制令牌，直接登录他人账号。

Heyes 同时给出了防御思路与未来攻击形态。对普通用户而言，最务实的建议是：别直接粘贴来源不明的富文本，涉及敏感账户的登录链接更要多留个心眼。

来源：PortSwigger Research