一封釣魚電郵未必要故意串錯字，或者寫到古古怪怪，先可以避過過濾器。Microsoft 追蹤到一輪由 2026 年 2 月至 5 月中嘅釣魚活動：收件人眼中，電郵誘餌字句可以完全正常；但攻擊者喺字詞之間塞入睇唔見嘅 Unicode 字元，令部分電郵處理系統讀到另一套字元序列。1

Microsoft 將呢種做法稱為 ASCII smuggling。呢項技術原先喺 AI 提示詞注入研究中較多人認識，今次就被挪用嚟隱藏財務主題釣魚電郵嘅可疑字眼。1

一個字，人睇到；系統未必配對到

攻擊者喺「funding」、「loan」同「credit」等誘餌字詞中，插入唔會顯示出嚟嘅 Unicode Tag 字元。畫面上，個字仍然似係完整；但實際字元層面，佢已經唔再係連續字串。1

問題就出喺呢度：如果防護系統主要靠精確關鍵字、特徵碼或正則表達式（regex）比對，原本用嚟找完整財務字詞嘅規則，未必捉到中間夾咗隱形字元嘅版本。Microsoft 又提醒，不同剖析器同後續處理系統對呢類字元嘅處理未必一致，會令偵測更複雜。1

呢次用法其實同 AI 提示詞注入嘅常見方向相反。喺 AI 攻擊情境，隱形字元可用嚟向人隱藏指令、但畀模型讀到；今次就係讓人睇到誘餌內容，同時干擾電郵防護系統分析底層文字。1

單日逾 230 萬封嘅「商業貸款」誘餌

Microsoft 遙測資料顯示，相關偵測命中量由 2026 年 2 月 9 日開始急升，之後約三個月喺工作日持續處於高位。按 Microsoft 報告，活動單日曾發出超過 230 萬封訊息。1

呢批電郵推銷虛構嘅商業貸款同信貸優惠，並使用一次性寄件網域及 ActiveCampaign 基礎設施。呢種發送方式令流量表面上較似大量市場推廣郵件，而唔係典型被入侵電郵伺服器所發出嘅垃圾郵件。1

Microsoft 表示，ActiveCampaign 已調查相關濫用情況，並對已識別帳戶採取行動。事件亦反映，即使係有反濫用措施嘅正規郵件發送服務，仍可能被人利用。1

最直接嘅補救：先做 Unicode 正規化

Microsoft 嘅核心建議相當清楚：做文字偵測之前，先正規化 Unicode。實務上，即係喺套用關鍵字規則、特徵碼或 regex 分析前，先偵測、移除或者標記 Unicode Tag 字元同控制字元。1

對資安團隊而言，可以納入整個電郵防護流程：

• 盡早正規化同檢查郵件文字。 應喺內容比對之前，以及資料交畀後續剖析或分類程序之前完成。1
• 逐層測試處理結果。 郵件閘道、剖析器、分類器同下游工具，可能各自以唔同方式處理罕見字元。1
• 唔好只靠內容比對。 Microsoft 指出，其防護亦會綜合寄件者、IP、網址及網域信譽；驗證機制；機器學習分類，以及冒認偵測等訊號。1
• 主動搜查異常 Unicode 使用情況。 一般推廣文案中夾雜隱形或類控制字元，值得進一步調查。1

正規化唔係要取代其他防護層，而係避免一種狹窄嘅規避手法令原本有用嘅文字控制失效；信譽、驗證同反釣魚保護仍然係攔截整封郵件嘅關鍵。

會讀電郵嘅 AI 助手，都要當郵件係不可信輸入

風險亦唔止限於傳統收件匣過濾器。愈來愈多機構將電郵交畀 AI copilot、摘要工具、工作流程自動化或代理系統處理。Microsoft 建議，呢類系統應將電郵視為不可信輸入：喺模型讀取前先正規化同檢查內容、加入防提示詞注入措施，並限制自動化代理可用嘅工具同權限。1

如果無呢啲控制，攻擊者有機會以隱藏內容同時針對兩個目標：傳統電郵安全流程，同埋之後會讀取或處理該封郵件嘅 AI 系統。

AI 時代嘅規避招數，會流入舊有釣魚渠道

ASCII smuggling 唔代表每一種提示詞注入技巧都一定會變成垃圾郵件手法；但今次事件顯示，喺 AI 安全領域出現或流行嘅技巧，可以低成本移植到釣魚電郵等成熟攻擊渠道。1

另一項由滑鐵盧大學（University of Waterloo）及非牟利 AI 安全研究機構 FAR.AI 主導嘅研究亦提醒，模型自身護欄唔應該係唯一防線。研究測試咗 21 個開放權重語言模型，全部都可被修改以繞過安全保護。呢個結果只針對受測開放權重模型，亦無證據顯示今次釣魚活動使用咗任何特定模型；不過，佢反映咗一個實際資安原則：面對可大規模濫用嘅風險，唔可以只依賴模型層面嘅護欄。

對電郵防禦團隊嚟講，優先事項好具體：將文字正規化變成標準預處理步驟、驗證整條郵件處理鏈嘅行為，並假設今日同 AI 有關嘅混淆技巧，遲早可能出現喺熟悉嘅社交工程攻擊之中。

一封釣魚電郵未必要故意串錯字，或者寫到古古怪怪，先可以避過過濾器。Microsoft 追蹤到一輪由 2026 年 2 月至 5 月中嘅釣魚活動：收件人眼中，電郵誘餌字句可以完全正常；但攻擊者喺字詞之間塞入睇唔見嘅 Unicode 字元，令部分電郵處理系統讀到另一套字元序列。1

Microsoft 將呢種做法稱為 ASCII smuggling。呢項技術原先喺 AI 提示詞注入研究中較多人認識，今次就被挪用嚟隱藏財務主題釣魚電郵嘅可疑字眼。1

一個字，人睇到；系統未必配對到

攻擊者喺「funding」、「loan」同「credit」等誘餌字詞中，插入唔會顯示出嚟嘅 Unicode Tag 字元。畫面上，個字仍然似係完整；但實際字元層面，佢已經唔再係連續字串。1

問題就出喺呢度：如果防護系統主要靠精確關鍵字、特徵碼或正則表達式（regex）比對，原本用嚟找完整財務字詞嘅規則，未必捉到中間夾咗隱形字元嘅版本。Microsoft 又提醒，不同剖析器同後續處理系統對呢類字元嘅處理未必一致，會令偵測更複雜。1

呢次用法其實同 AI 提示詞注入嘅常見方向相反。喺 AI 攻擊情境，隱形字元可用嚟向人隱藏指令、但畀模型讀到；今次就係讓人睇到誘餌內容，同時干擾電郵防護系統分析底層文字。1

單日逾 230 萬封嘅「商業貸款」誘餌

Microsoft 遙測資料顯示，相關偵測命中量由 2026 年 2 月 9 日開始急升，之後約三個月喺工作日持續處於高位。按 Microsoft 報告，活動單日曾發出超過 230 萬封訊息。1

呢批電郵推銷虛構嘅商業貸款同信貸優惠，並使用一次性寄件網域及 ActiveCampaign 基礎設施。呢種發送方式令流量表面上較似大量市場推廣郵件，而唔係典型被入侵電郵伺服器所發出嘅垃圾郵件。1

Microsoft 表示，ActiveCampaign 已調查相關濫用情況，並對已識別帳戶採取行動。事件亦反映，即使係有反濫用措施嘅正規郵件發送服務，仍可能被人利用。1

最直接嘅補救：先做 Unicode 正規化

Microsoft 嘅核心建議相當清楚：做文字偵測之前，先正規化 Unicode。實務上，即係喺套用關鍵字規則、特徵碼或 regex 分析前，先偵測、移除或者標記 Unicode Tag 字元同控制字元。1

對資安團隊而言，可以納入整個電郵防護流程：

• 盡早正規化同檢查郵件文字。 應喺內容比對之前，以及資料交畀後續剖析或分類程序之前完成。1
• 逐層測試處理結果。 郵件閘道、剖析器、分類器同下游工具，可能各自以唔同方式處理罕見字元。1
• 唔好只靠內容比對。 Microsoft 指出，其防護亦會綜合寄件者、IP、網址及網域信譽；驗證機制；機器學習分類，以及冒認偵測等訊號。1
• 主動搜查異常 Unicode 使用情況。 一般推廣文案中夾雜隱形或類控制字元，值得進一步調查。1

正規化唔係要取代其他防護層，而係避免一種狹窄嘅規避手法令原本有用嘅文字控制失效；信譽、驗證同反釣魚保護仍然係攔截整封郵件嘅關鍵。

會讀電郵嘅 AI 助手，都要當郵件係不可信輸入

風險亦唔止限於傳統收件匣過濾器。愈來愈多機構將電郵交畀 AI copilot、摘要工具、工作流程自動化或代理系統處理。Microsoft 建議，呢類系統應將電郵視為不可信輸入：喺模型讀取前先正規化同檢查內容、加入防提示詞注入措施，並限制自動化代理可用嘅工具同權限。1

如果無呢啲控制，攻擊者有機會以隱藏內容同時針對兩個目標：傳統電郵安全流程，同埋之後會讀取或處理該封郵件嘅 AI 系統。

AI 時代嘅規避招數，會流入舊有釣魚渠道

ASCII smuggling 唔代表每一種提示詞注入技巧都一定會變成垃圾郵件手法；但今次事件顯示，喺 AI 安全領域出現或流行嘅技巧，可以低成本移植到釣魚電郵等成熟攻擊渠道。1

另一項由滑鐵盧大學（University of Waterloo）及非牟利 AI 安全研究機構 FAR.AI 主導嘅研究亦提醒，模型自身護欄唔應該係唯一防線。研究測試咗 21 個開放權重語言模型，全部都可被修改以繞過安全保護。呢個結果只針對受測開放權重模型，亦無證據顯示今次釣魚活動使用咗任何特定模型；不過，佢反映咗一個實際資安原則：面對可大規模濫用嘅風險，唔可以只依賴模型層面嘅護欄。

對電郵防禦團隊嚟講，優先事項好具體：將文字正規化變成標準預處理步驟、驗證整條郵件處理鏈嘅行為，並假設今日同 AI 有關嘅混淆技巧，遲早可能出現喺熟悉嘅社交工程攻擊之中。