攻击者要绕过过滤器，未必需要故意拼错单词，或写出一眼可疑的文案。微软追踪到的一场钓鱼活动中，邮件对收件人而言看起来并无异常；但攻击者在文字中夹入了不可见的 Unicode 字符，让部分邮件处理系统读到的是另一串字符。该活动从 2026 年 2 月持续至 5 月中旬。1

微软将这一手法称为 ASCII 走私（ASCII smuggling）。它因 AI 提示词注入研究而受到关注，如今被改用于隐藏金融主题钓鱼文案、干扰邮件安全检测。1

人眼看完整，过滤器却未必能识别

攻击者在 “funding”（融资）、“loan”（贷款）和 “credit”（信贷）等诱饵词内部插入不显示的 Unicode Tag 字符。视觉上，邮件中的单词仍可能完整呈现；但从字符序列看，它已不再是一个连续的普通词。1

这会影响依赖字面关键词、特征签名或正则表达式的检测规则。例如，一条寻找完整金融术语的规则，在可见字母之间夹有隐藏字符时可能无法命中。微软还指出，不同解析器和后续处理系统对这些字符的处理并不一定一致，这也会增加检测难度。1

这恰好颠倒了该技术在 AI 提示词注入场景中的常见用法：后者通常试图把指令藏给人看、让模型读取；而这次钓鱼攻击则把可见诱饵展示给收件人，同时利用底层字符序列干扰邮件分析。1

单日超 230 万封：以企业贷款为饵的高量投放

微软遥测数据显示，用于发现 ASCII 走私的检测规则命中量从 2026 年 2 月 9 日开始急剧上升，并在约三个月内于工作日维持高位。按微软披露的数据，该活动单日邮件量超过 230 万封。1

邮件宣传的是虚构的企业贷款与信贷优惠。攻击者使用一次性发件域名，并滥用 ActiveCampaign 的基础设施，使这些流量呈现出批量营销邮件的特征，而非典型的被入侵邮件服务器所发出的邮件。1

微软表示，ActiveCampaign 已调查相关滥用情况，并对被识别出的账户采取了行动。这一事件也说明：即使服务商设有反滥用机制，合法的邮件投递平台仍可能被攻击者利用。1

首要修复：在文本检测前做 Unicode 规范化

最直接的防御措施是：在运行文本类检测前，先进行 Unicode 规范化。 微软建议，在执行关键词规则、特征签名或正则分析前，检测、移除或标记 Unicode Tag 字符及控制字符。1

对安全团队而言，这应成为邮件防御流水线的一部分：

• 尽早规范化并检查邮件文本。 应在内容匹配前，以及在内容被交给后续解析、分类环节前完成。1
• 测试每一层处理组件。 邮件网关、解析器、分类器和下游工具对特殊字符的解释可能不同。1
• 不要只依赖内容匹配。 微软指出，其防护还结合发件人、IP、URL 和域名信誉，身份验证，机器学习分类以及仿冒检测等信号。1
• 主动搜寻异常 Unicode 使用。 在看似普通的营销语言中嵌入不可见或类似控制字符的情况，值得进一步调查。1

规范化并不能取代其他防护层；它的作用是避免一种狭窄的规避手法让既有内容控制失效。是否能拦住整封邮件，仍取决于信誉、反钓鱼等多层防护的共同判断。

会读取邮件的 AI 助手，也要按“不可信输入”处理

风险不止于传统收件箱过滤。越来越多组织会把邮件交给 Copilot、摘要工具、工作流自动化系统或 AI 智能体处理。微软建议，这类系统应把邮件视为不可信输入：在模型读取前先进行规范化与检查，防范提示词注入，并限制自动化智能体可调用的工具和权限。1

如果缺少这些控制，攻击者可能同时瞄准两类目标：传统邮件安全链路，以及随后读取或执行邮件内容的 AI 系统。

AI 时代的规避技巧，可能迁移到老牌攻击渠道

ASCII 走私并不意味着每种提示词注入技术都会变成垃圾邮件手法。但它表明，因 AI 安全研究而流行的技术，可能以很低成本被复用于钓鱼邮件等成熟攻击渠道。1

另一项由滑铁卢大学和非营利 AI 安全研究机构 FAR.AI 主导的研究发现，接受测试的 21 个开放权重语言模型都可被修改，从而绕过其安全保护。该结论仅适用于被测试的开放权重模型，不能证明任何特定钓鱼活动使用过此类模型；但它强化了一点：组织在评估大规模滥用风险时，不应只依赖模型自身的安全护栏。

对邮件防御者而言，优先事项很具体：把文本规范化纳入标准预处理流程，验证整个邮件处理链路的实际行为，并假定新出现的 AI 相关混淆技术终会出现在熟悉的社会工程攻击中。

攻击者要绕过过滤器，未必需要故意拼错单词，或写出一眼可疑的文案。微软追踪到的一场钓鱼活动中，邮件对收件人而言看起来并无异常；但攻击者在文字中夹入了不可见的 Unicode 字符，让部分邮件处理系统读到的是另一串字符。该活动从 2026 年 2 月持续至 5 月中旬。1

微软将这一手法称为 ASCII 走私（ASCII smuggling）。它因 AI 提示词注入研究而受到关注，如今被改用于隐藏金融主题钓鱼文案、干扰邮件安全检测。1

人眼看完整，过滤器却未必能识别

攻击者在 “funding”（融资）、“loan”（贷款）和 “credit”（信贷）等诱饵词内部插入不显示的 Unicode Tag 字符。视觉上，邮件中的单词仍可能完整呈现；但从字符序列看，它已不再是一个连续的普通词。1

这会影响依赖字面关键词、特征签名或正则表达式的检测规则。例如，一条寻找完整金融术语的规则，在可见字母之间夹有隐藏字符时可能无法命中。微软还指出，不同解析器和后续处理系统对这些字符的处理并不一定一致，这也会增加检测难度。1

这恰好颠倒了该技术在 AI 提示词注入场景中的常见用法：后者通常试图把指令藏给人看、让模型读取；而这次钓鱼攻击则把可见诱饵展示给收件人，同时利用底层字符序列干扰邮件分析。1

单日超 230 万封：以企业贷款为饵的高量投放

微软遥测数据显示，用于发现 ASCII 走私的检测规则命中量从 2026 年 2 月 9 日开始急剧上升，并在约三个月内于工作日维持高位。按微软披露的数据，该活动单日邮件量超过 230 万封。1

邮件宣传的是虚构的企业贷款与信贷优惠。攻击者使用一次性发件域名，并滥用 ActiveCampaign 的基础设施，使这些流量呈现出批量营销邮件的特征，而非典型的被入侵邮件服务器所发出的邮件。1

微软表示，ActiveCampaign 已调查相关滥用情况，并对被识别出的账户采取了行动。这一事件也说明：即使服务商设有反滥用机制，合法的邮件投递平台仍可能被攻击者利用。1

首要修复：在文本检测前做 Unicode 规范化

最直接的防御措施是：在运行文本类检测前，先进行 Unicode 规范化。 微软建议，在执行关键词规则、特征签名或正则分析前，检测、移除或标记 Unicode Tag 字符及控制字符。1

对安全团队而言，这应成为邮件防御流水线的一部分：

• 尽早规范化并检查邮件文本。 应在内容匹配前，以及在内容被交给后续解析、分类环节前完成。1
• 测试每一层处理组件。 邮件网关、解析器、分类器和下游工具对特殊字符的解释可能不同。1
• 不要只依赖内容匹配。 微软指出，其防护还结合发件人、IP、URL 和域名信誉，身份验证，机器学习分类以及仿冒检测等信号。1
• 主动搜寻异常 Unicode 使用。 在看似普通的营销语言中嵌入不可见或类似控制字符的情况，值得进一步调查。1

规范化并不能取代其他防护层；它的作用是避免一种狭窄的规避手法让既有内容控制失效。是否能拦住整封邮件，仍取决于信誉、反钓鱼等多层防护的共同判断。

会读取邮件的 AI 助手，也要按“不可信输入”处理

风险不止于传统收件箱过滤。越来越多组织会把邮件交给 Copilot、摘要工具、工作流自动化系统或 AI 智能体处理。微软建议，这类系统应把邮件视为不可信输入：在模型读取前先进行规范化与检查，防范提示词注入，并限制自动化智能体可调用的工具和权限。1

如果缺少这些控制，攻击者可能同时瞄准两类目标：传统邮件安全链路，以及随后读取或执行邮件内容的 AI 系统。

AI 时代的规避技巧，可能迁移到老牌攻击渠道

ASCII 走私并不意味着每种提示词注入技术都会变成垃圾邮件手法。但它表明，因 AI 安全研究而流行的技术，可能以很低成本被复用于钓鱼邮件等成熟攻击渠道。1

另一项由滑铁卢大学和非营利 AI 安全研究机构 FAR.AI 主导的研究发现，接受测试的 21 个开放权重语言模型都可被修改，从而绕过其安全保护。该结论仅适用于被测试的开放权重模型，不能证明任何特定钓鱼活动使用过此类模型；但它强化了一点：组织在评估大规模滥用风险时，不应只依赖模型自身的安全护栏。

对邮件防御者而言，优先事项很具体：把文本规范化纳入标准预处理流程，验证整个邮件处理链路的实际行为，并假定新出现的 AI 相关混淆技术终会出现在熟悉的社会工程攻击中。