乍看之下，信中「funding」、「loan」或「credit」等字樣完全正常；但對某些郵件過濾系統而言，這些字其實不是連續的字元序列。微軟指出，攻擊者在字母之間插入不會顯示的 Unicode Tag 字元，讓人眼讀到原本的單字，卻可能使依賴字面關鍵字、特徵碼或正規表示式的偵測規則失效。1

這種做法稱為 ASCII 走私（ASCII smuggling）。它原先因 AI 提示注入研究而受到注意，如今被移植到傳統電子郵件釣魚攻擊中。

攻擊者怎麼讓關鍵字「看得到、抓不到」？

此活動把非渲染的 Unicode Tag 字元嵌入金融誘餌字詞，例如「funding」、「loan」與「credit」。對收件者而言，文字外觀幾乎不變；但在實際字元層級，原本應連在一起的單字已被隱藏字元切開。1

若防護系統只尋找未被中斷的特定詞彙，規則就可能無法命中。微軟也提醒，不同郵件閘道、剖析器、分類器與後續處理系統對異常 Unicode 字元的處理未必一致，這會讓偵測與追查更加複雜。1

這與 ASCII 走私在 AI 攻擊中的典型用途剛好相反：在提示注入情境裡，隱藏字元可用來避開人的視線、讓模型讀到指令；這次則是讓人看見釣魚誘餌，同時干擾郵件安全系統對底層文字的分析。1

偽裝成企業貸款優惠的大量寄信活動

微軟遙測資料顯示，用於偵測 ASCII 走私的狩獵特徵在 2026 年 2 月 9 日起明顯增加，之後約三個月在平日持續維持較高活動量。微軟報告稱，該活動單日曾超過 230 萬封郵件。1

郵件主打虛構的企業貸款與信貸方案，並使用可拋棄式寄件者網域，以及 ActiveCampaign 的寄送基礎設施。這使流量表面上更接近大量行銷郵件，而非典型遭入侵郵件伺服器所發出的惡意信件。1

微軟表示，ActiveCampaign 已調查這起濫用事件，並對已辨識的帳戶採取行動。事件也反映：即使是具有反濫用措施的正規郵件寄送服務，仍可能遭攻擊者利用。1

為何 Unicode 正規化是第一道修補

最直接的處置原則是：先正規化 Unicode，再做文字偵測。微軟建議，在套用關鍵字規則、特徵碼或正規表示式分析之前，先偵測、移除或標示 Unicode Tag 字元與控制字元。1

郵件安全團隊可將此納入整體防護流程：

• 及早正規化並檢查郵件文字：應在內容比對前，以及資料交給後續剖析或分類流程前完成。1
• 驗證每一個處理環節：郵件閘道、剖析器、分類器及下游工具對罕見字元的解讀可能不同。1
• 不要只依賴內容比對：微軟指出，其防護也會綜合寄件者、IP、URL 與網域信譽、驗證機制、機器學習分類及冒充偵測。1
• 主動搜尋異常 Unicode 使用情形：在看似平常的行銷或金融文案中出現不可見或控制類字元，值得進一步調查。1

正規化不是取代其他安全控制，而是避免一種狹隘的混淆技巧，直接瓦解原本有效的內容規則。完整攔阻仍需要信譽、驗證、URL 分析與反釣魚能力共同運作。

會讀取郵件的 AI 助理，也必須把信件視為不可信輸入

風險不只在傳統收件匣過濾器。企業愈來愈常將郵件交給 AI 助理、摘要工具、工作流程自動化系統或代理程式處理。微軟建議，這類系統應將電子郵件視為不可信輸入：在模型讀取前先正規化與檢查內容、部署提示注入防護，並限制自動化代理程式可使用的工具與權限。1

若沒有這些控制，攻擊者可能利用隱藏內容同時瞄準兩個目標：先干擾既有郵件安全流程，再影響之後讀取或採取行動的 AI 系統。

AI 時代的規避手法，正進入舊有攻擊管道

ASCII 走私不表示每一種提示注入技巧都必然成為垃圾郵件戰術；但它說明了，原本在 AI 安全領域發展或普及的手法，可以低成本移植到釣魚郵件等成熟攻擊管道。1

另一項由滑鐵盧大學與非營利 AI 安全研究組織 FAR.AI 主導的研究發現，受測的 21 個開放權重大型語言模型都能被修改以繞過其安全防護。這項結果僅適用於該研究測試的開放權重模型，並不代表這起釣魚活動使用了任何特定模型；不過，它強化了一項實務教訓：面對大規模濫用，模型內建護欄不應是組織唯一倚賴的控制措施。

對電子郵件防禦者而言，優先事項很明確：把文字正規化納入標準前處理步驟、驗證整條郵件處理鏈的實際行為，並假設新興 AI 相關混淆技術，終究可能出現在熟悉的社交工程攻擊裡。

乍看之下，信中「funding」、「loan」或「credit」等字樣完全正常；但對某些郵件過濾系統而言，這些字其實不是連續的字元序列。微軟指出，攻擊者在字母之間插入不會顯示的 Unicode Tag 字元，讓人眼讀到原本的單字，卻可能使依賴字面關鍵字、特徵碼或正規表示式的偵測規則失效。1

這種做法稱為 ASCII 走私（ASCII smuggling）。它原先因 AI 提示注入研究而受到注意，如今被移植到傳統電子郵件釣魚攻擊中。

攻擊者怎麼讓關鍵字「看得到、抓不到」？

此活動把非渲染的 Unicode Tag 字元嵌入金融誘餌字詞，例如「funding」、「loan」與「credit」。對收件者而言，文字外觀幾乎不變；但在實際字元層級，原本應連在一起的單字已被隱藏字元切開。1

若防護系統只尋找未被中斷的特定詞彙，規則就可能無法命中。微軟也提醒，不同郵件閘道、剖析器、分類器與後續處理系統對異常 Unicode 字元的處理未必一致，這會讓偵測與追查更加複雜。1

這與 ASCII 走私在 AI 攻擊中的典型用途剛好相反：在提示注入情境裡，隱藏字元可用來避開人的視線、讓模型讀到指令；這次則是讓人看見釣魚誘餌，同時干擾郵件安全系統對底層文字的分析。1

偽裝成企業貸款優惠的大量寄信活動

微軟遙測資料顯示，用於偵測 ASCII 走私的狩獵特徵在 2026 年 2 月 9 日起明顯增加，之後約三個月在平日持續維持較高活動量。微軟報告稱，該活動單日曾超過 230 萬封郵件。1

郵件主打虛構的企業貸款與信貸方案，並使用可拋棄式寄件者網域，以及 ActiveCampaign 的寄送基礎設施。這使流量表面上更接近大量行銷郵件，而非典型遭入侵郵件伺服器所發出的惡意信件。1

微軟表示，ActiveCampaign 已調查這起濫用事件，並對已辨識的帳戶採取行動。事件也反映：即使是具有反濫用措施的正規郵件寄送服務，仍可能遭攻擊者利用。1

為何 Unicode 正規化是第一道修補

最直接的處置原則是：先正規化 Unicode，再做文字偵測。微軟建議，在套用關鍵字規則、特徵碼或正規表示式分析之前，先偵測、移除或標示 Unicode Tag 字元與控制字元。1

郵件安全團隊可將此納入整體防護流程：

• 及早正規化並檢查郵件文字：應在內容比對前，以及資料交給後續剖析或分類流程前完成。1
• 驗證每一個處理環節：郵件閘道、剖析器、分類器及下游工具對罕見字元的解讀可能不同。1
• 不要只依賴內容比對：微軟指出，其防護也會綜合寄件者、IP、URL 與網域信譽、驗證機制、機器學習分類及冒充偵測。1
• 主動搜尋異常 Unicode 使用情形：在看似平常的行銷或金融文案中出現不可見或控制類字元，值得進一步調查。1

正規化不是取代其他安全控制，而是避免一種狹隘的混淆技巧，直接瓦解原本有效的內容規則。完整攔阻仍需要信譽、驗證、URL 分析與反釣魚能力共同運作。

會讀取郵件的 AI 助理，也必須把信件視為不可信輸入

風險不只在傳統收件匣過濾器。企業愈來愈常將郵件交給 AI 助理、摘要工具、工作流程自動化系統或代理程式處理。微軟建議，這類系統應將電子郵件視為不可信輸入：在模型讀取前先正規化與檢查內容、部署提示注入防護，並限制自動化代理程式可使用的工具與權限。1

若沒有這些控制，攻擊者可能利用隱藏內容同時瞄準兩個目標：先干擾既有郵件安全流程，再影響之後讀取或採取行動的 AI 系統。

AI 時代的規避手法，正進入舊有攻擊管道

ASCII 走私不表示每一種提示注入技巧都必然成為垃圾郵件戰術；但它說明了，原本在 AI 安全領域發展或普及的手法，可以低成本移植到釣魚郵件等成熟攻擊管道。1

另一項由滑鐵盧大學與非營利 AI 安全研究組織 FAR.AI 主導的研究發現，受測的 21 個開放權重大型語言模型都能被修改以繞過其安全防護。這項結果僅適用於該研究測試的開放權重模型，並不代表這起釣魚活動使用了任何特定模型；不過，它強化了一項實務教訓：面對大規模濫用，模型內建護欄不應是組織唯一倚賴的控制措施。

對電子郵件防禦者而言，優先事項很明確：把文字正規化納入標準前處理步驟、驗證整條郵件處理鏈的實際行為，並假設新興 AI 相關混淆技術，終究可能出現在熟悉的社交工程攻擊裡。