Görünmez Unicode etiketleri artık spam filtrelerini aşmak için kullanılıyor

Yapay zeka ajanlarına yönelik saldırılarda kötücül komutları saklamak için kullanılan bir teknik, spam gönderenlerin eline geçti. Microsoft'un perşembe günü yayımladığı analize göre ASCII smuggling adıyla bilinen yöntem, e-posta platformlarının istenmeyen mesajları işaretleyen filtrelerini aşmak için kullanılıyor.

Teknik, iki yıl önce prompt injection saldırılarını daha gizli hale getiren bir yol olarak dikkat çekmişti. Kötücül talimatlar normal metinle değil, Unicode'un özel bir etiket aralığıyla yazılıyor. Örneğin U+E0041 kod noktası "A" harfini, U+E0061 ise "a" harfini yansıtıyor. 128 etiketten oluşan blok ASCII'nin bir bölümünü neredeyse birebir taklit ediyor; tek büyük fark, bu karakterlerin bilgisayarlar tarafından okunabilirken insanlar için tasarım gereği neredeyse tamamen görünmez olması. Böylece dil modeli talimatı algılıyor, e-postayı okuyan kişi hiçbir şey görmüyor.

Günde 21 binden 2,5 milyona

Microsoft, bu yılın başında tekniği kullanan spam mesajlarında büyük bir artış gördü. Şubat başındaki bir günde, Microsoft Defender for Office'in tespit ettiği ASCII smuggling imzaları günlük yaklaşık 21 binden 1,3 milyonun üzerine çıktı. Dört gün içinde sayı 2,5 milyona ulaştı. Yoğunluk aylarca sürdü, mayıs ortasında ise hızla düştü.

Microsoft'un açıklamasına göre etiket karakterlerinin insanlara görünmez olması ama metin işleme düzeyinde var olması, hem modele talimat kaçırmayı hem de bir dedektör değerlendirme yapmadan önce anahtar kelimeleri gizlemeyi mümkün kılıyor: "Amaç tersine çevrilmiş ama mekanizma benzer ve kullanıcının şüphesi uyanmıyor."

Tokenizer'ı şaşırtmak

Spam gönderenler dolar tutarları ya da "credit" ve "term" gibi toplu e-postalarda sık geçen kelimeleri arayan filtreleri atlatmayı hedefliyor. Örneğin "funding" kelimesinin ortasına görünmez metin serpildiğinde filtre "fun" ve "ding" okuyabiliyor, alıcı ise "funding" görüyor.

Tetikleyici kelimeleri gizlemek yeni değil; sıfır genişlikli boşluklar ve bölünmeyen boşluklar onlarca yıldır benzer amaçla kullanılıyor. Yeni tercihin nedeni, bazı filtrelerin bu etiketleri henüz tanımaması ve daha önemlisi makine öğrenmesi ile doğal dil işlemeye dayanan sınıflandırıcıları hedef alması. Bir filtreleme sistemi mesajın görüntüsünü alıp OCR uygulamıyorsa bu tür saldırıyı kaçırabiliyor. Metni alt kelime parçalarına bölen tokenizer, kelimenin ortasına eklenen görünmez U+E0020 yüzünden bildik birimi artık göremiyor; ya nadir alt token'lar üretiyor ya da normalizasyon önce çalışırsa karakteri atıp "funding" ifadesini geri kazanıyor.

Microsoft'un yazısı, geliştiricilerin filtrelerini bu tekniğe karşı nasıl programlayabileceğine dair yönlendirme de içeriyor. Ayrıntılar Ars Technica'nın haberinde.