微软：AI 提示注入技巧转向钓鱼邮件

微软安全研究团队 9 月 3 日在微软安全博客上说，研究人员观测到一场高流量的钓鱼邮件行动：攻击者在正常文字里混入了屏幕上不会显示的 Unicode 标签字符。这种手法此前主要因人工智能提示注入研究而为人所知，名为 ASCII 走私。文章由 Noam Kochavi 与 Sarah Wolstencroft 署名。

看不见的字符是什么

按照微软的技术说明，ASCII 走私是用屏幕上不会被绘制出来的隐形 Unicode 字符，把内容藏进外观正常的文本里。被滥用最多的是 Unicode 标签区块，范围从 U+E0000 到 U+E007F。它是可打印 ASCII 的一份影子副本，例如 U+E0041 对应 A，U+E0061 对应 a。多数字体和界面不绘制这个基本已弃用的区块，于是一段文本可以携带人眼读不到、模型或软件却会照常处理的信息。

微软说，新的地方在于用途。过去一年，在提示注入与跨提示注入（XPIA）研究里，攻击者把指令藏进隐形字符给 AI 助手看：人看不出异常，吞下原始文本的助手却能把它解回文字，并可能依权限被引向数据外泄或越权操作。这一次方向反了过来，攻击者不是把指令藏给模型，而是用同样的字符切开 funding 这类资金诱饵词，让邮件过滤器解析不出来。目的被反转，机制不变。

防守端看到了什么

该发现来自 Microsoft Defender for Office 365 的提示注入防护研究。按微软的遥测，为捕捉 ASCII 走私而写的狩猎特征，命中量在 2026 年 2 月 9 日急剧上升，随后约三个月里在工作日持续高位；大多数被标记的邮件不是靠某一个 Unicode 专属信号，而是靠分层防护判定的。博客另有章节讲了狩猎特征的写法、检测盲区以及缓解指南。

Microsoft Threat Intelligence 在 X 上的帖子说，遥测把这项技术与一场持续数月、以资金为主题的大规模钓鱼行动关联起来，其中使用了数百个轮换的发件域名和一致的基础设施特征。