ASCII smuggling: Unsichtbare Unicode-Zeichen täuschen jetzt auch Spamfilter

Von Prompt Injection zu E-Mail-Kampagnen

ASCII smuggling, das bereits mit Prompt-Injection-Angriffen auf Systeme der künstlichen Intelligenz in Verbindung gebracht wurde, wird nun eingesetzt, um die Wirksamkeit von Spam- und Antiphishing-Filtern zu verringern.

Bei dieser Technik werden normalerweise unsichtbare Unicode-Zeichen in Wörter eingefügt, die für den Empfänger lesbar bleiben. Die Sicherheitssoftware kann jedoch eine andere Zeichenfolge verarbeiten als die, die auf dem Bildschirm zu sehen ist. Ein verdächtiges Wort wirkt für einen Menschen unverändert, wird während der automatischen Analyse aber möglicherweise aufgeteilt oder verändert.

Microsoft hat diese Umgehungstechnik in Microsoft Defender for Office beobachtet. Die mit ASCII smuggling verbundenen Erkennungen nahmen schnell zu: An einem Tag Anfang Februar stieg ihre Zahl von etwa 21.000 auf mehr als 1,3 Millionen. Vier Tage später waren es bereits 2,5 Millionen.

Die Aktivität setzte sich über Monate fort und ging Mitte Mai dann abrupt zurück. Die Daten umfassen auch tägliche Erkennungen von Unicode-Signaturen, die mit finanzbezogenen Absenderdomains verknüpft waren und zwischen dem 9. Februar und dem 18. Juni 2026 überwacht wurden.

Die Kampagne wurde keiner bestimmten Gruppe zugeordnet. Die Verantwortlichen werden allgemein als Spammer beschrieben; Hinweise auf ihre Herkunft oder die verwendete Infrastruktur gibt es nicht.

So funktionieren unsichtbare Unicode-Tags

Die Methode nutzt einen Block aus 128 Unicode-Tag-Zeichen, der einen Abschnitt des ASCII, des American Standard Code for Information Interchange, nahezu vollständig abbilden kann.

Diese Zeichen können von Computersystemen interpretiert werden, wurden aber so konzipiert, dass sie für Menschen normalerweise nicht sichtbar sind. So steht der Code U+E0041 für den Großbuchstaben „A“, während U+E0061 dem Kleinbuchstaben „a“ entspricht.

Bei Angriffen auf Anwendungen, die auf Sprachmodellen basieren, können die Tags Anweisungen in E-Mails, Dokumenten oder anderen nicht vertrauenswürdigen Inhalten verbergen. Der Benutzer sieht den Befehl nicht, ein KI-Agent könnte ihn dennoch verarbeiten und entsprechend handeln.

Bei Spam wird dieses Prinzip umgekehrt. Das Ziel besteht nicht darin, eine Anweisung vor einem Menschen zu verbergen, sondern zu verhindern, dass der Filter ein Wort korrekt erkennt, das der Benutzer weiterhin sehen kann.

Zu den manipulierten Begriffen gehören Dollarbeträge und englische Wörter, die in Finanzangeboten häufig vorkommen, etwa „credit“, „term“ und „funding“. Diese Ausdrücke können zur Risikobewertung einer Nachricht beitragen.

Wird ein unsichtbares Tag in die Mitte von „funding“ eingefügt, kann das Wort auf dem Bildschirm normal erscheinen. Der Filter könnte es dagegen als zwei getrennte Segmente behandeln: „fun“ und „ding“.

Ein in diesem Zusammenhang genanntes Zeichen ist U+E0020. Wenn es innerhalb einer Zeichenfolge platziert wird, hängt seine Wirkung davon ab, wie das System Parsing, Normalisierung und Tokenisierung durchführt.

Warum auch KI-Klassifikatoren Fehler machen können

ASCII smuggling bringt nicht nur reguläre Ausdrücke oder Prüfungen auf eine exakte Übereinstimmung von Zeichenfolgen in Schwierigkeiten. Die Technik kann auch Klassifikatoren beeinträchtigen, die Machine Learning, natürliche Sprachverarbeitung und Sprachmodelle einsetzen.

Diese Systeme analysieren einen Satz nicht zwangsläufig so, wie ihn ein Mensch sieht. Der Text wird häufig in Token oder Sub-Token aufgeteilt, also in numerische Einheiten, die das Modell zur Klassifizierung des Inhalts verwendet.

Ein unsichtbares Zeichen in der Mitte eines Wortes kann unterschiedliche Ergebnisse hervorbringen. Der Tokenizer könnte „funding“ in „fun“, das unerwartete Unicode-Tag und „ding“ aufteilen. Möglich ist auch, dass seltene oder unbekannte Token entstehen, die das Modell während des Trainings nur selten gesehen hat.

In beiden Fällen geht eine für die Klassifizierung nützliche Eigenschaft verloren. Das Modell erhält nicht mehr den erwarteten Begriff, sondern eine ungewöhnliche Darstellung, die bei der Risikobewertung möglicherweise weniger stark ins Gewicht fällt.

Das Ergebnis hängt davon ab, ob das System den Text vor der Tokenisierung normalisiert. Wird das unsichtbare Zeichen entfernt, könnte der Filter „funding“ korrekt wiederherstellen. Eine unvollständige Normalisierung oder eine Normalisierung an der falschen Stelle der Pipeline lässt die Umgehung jedoch bestehen.

Hier liegt das zentrale Problem: Die sichtbaren Inhalte und die zugrunde liegende Darstellung stimmen nicht überein.

Eine Abwehr, die ausschließlich die Unicode-Zeichenfolge auswertet, analysiert das, was in der Nachricht codiert ist. Ein Empfänger reagiert dagegen auf das, was der E-Mail-Client anzeigt. Um beide Ebenen miteinander zu vergleichen, kann es erforderlich sein, den Inhalt zu rendern und einer optischen Zeichenerkennung zu unterziehen, statt sich ausschließlich auf den extrahierten Text zu verlassen.

Eine Weiterentwicklung jahrzehntealter Techniken

Das Verbergen von Wörtern in unerwünschten Nachrichten ist keine neue Methode. Seit Jahrzehnten fügen Spammer Zero-Width-Spaces, geschützte Leerzeichen und andere Sonderzeichen ein, um die von regulären Ausdrücken untersuchten Zeichenfolgen zu verändern.

Unicode-Tags ergänzen dieses Vorgehen jedoch um eine Variante, die einigen Abwehrsystemen weniger vertraut sein dürfte. Filter, die für die Erkennung der gängigsten Manipulationen entwickelt wurden, behandeln diese Codes möglicherweise nicht als verdächtige oder zu ignorierende Elemente.

Der Vorteil betrifft nicht nur ältere textbasierte Regeln. Das Einfügen der Tags kann die Darstellung, die ML- und NLP-Modellen übergeben wird, direkt verändern. Dadurch verlagert sich das Problem von der Suche nach einzelnen Wörtern auf die Robustheit der gesamten Sprachpipeline.

Dieselbe Eigenschaft hatte ASCII smuggling bereits für indirekte Prompt Injection nützlich gemacht. Eine KI-Anwendung kann Inhalte aus E-Mails, Websites oder Dokumenten übernehmen und Anweisungen interpretieren, die der Benutzer nicht sieht. Bei der Umgehung von Spamfiltern soll der Text dagegen sichtbar, von der Maschine aber nicht korrekt erkannt werden.

Es handelt sich um zwei unterschiedliche Einsatzbereiche derselben Diskrepanz.

Auswirkungen und betroffene Produkte

Microsoft Defender for Office ist das Produkt, in dem Microsoft den starken Anstieg der Signaturen festgestellt hat. Grundsätzlich kann die Problematik jedoch auch E-Mail-Plattformen, Antiphishing-Gateways, Tokenizer, Textanalysatoren sowie ML- oder NLP-basierte Klassifikatoren betreffen.

Weitere konkrete Produkte oder Hersteller werden nicht genannt. Informationen zu betroffenen Versionen, verwundbaren Builds oder bestimmten exponierten Konfigurationen liegen nicht vor.

Außerdem handelt es sich nicht um eine formalisierte Sicherheitslücke. Es gibt weder eine CVE-Kennung noch einen CVSS-Score oder eine Einstufung des Schweregrads. Entsprechend findet sich auch kein Eintrag im Katalog Known Exploited Vulnerabilities der CISA und keine bundesweite Frist für ein Update.

Die Auswirkungen hängen davon ab, welche Rolle die verschleierten Begriffe bei der Gesamtklassifizierung spielen. ASCII smuggling allein garantiert nicht, dass eine E-Mail sämtliche Prüfungen passiert. Die Technik kann jedoch linguistische Signale entfernen, die zur Erkennung von Spam, Finanzbetrug und Phishing verwendet werden.

Für Empfänger ist das Risiko konkret: Betrügerische Nachrichten könnten den Posteingang erreichen, obwohl sie Ausdrücke enthalten, die ohne Verschleierung zu ihrer Blockierung beigetragen hätten.

So lassen sich Filter widerstandsfähiger machen

Microsoft hat Entwicklern Hinweise zur Gestaltung entsprechender Schutzmechanismen gegeben. Ein bestimmtes Software-Update oder ein Workaround für Microsoft Defender for Office ist jedoch nicht bekannt.

Filter sollten zunächst Unicode-Tag-Zeichen und andere unsichtbare Elemente erkennen und ihr Vorhandensein als mögliches Signal für Verschleierung protokollieren. Sich auf eine Liste verdächtiger Wörter zu verlassen, reicht nicht aus.

Die Normalisierung muss kontrolliert und konsistent erfolgen. Es ist sinnvoll, den Originaltext mit dem Ergebnis zu vergleichen, das nach dem Entfernen oder Umwandeln unsichtbarer Zeichen entsteht. Dabei muss jedoch verhindert werden, dass der Prozess neue Mehrdeutigkeiten erzeugt.

Auch das Verhalten des Tokenizers sollte überprüft werden. Eine erhöhte Zahl unbekannter, seltener oder unerwarteter Token innerhalb gängiger Wörter kann ein nützlicher Indikator sein, insbesondere bei Nachrichten mit Finanzbezug.

In Systemen mit höherem Risiko kann der Vergleich zwischen dem zugrunde liegenden Text und dem tatsächlich angezeigten Inhalt Rendering und OCR umfassen. Dieser Ansatz benötigt mehr Ressourcen, verringert aber die Diskrepanz zwischen dem, was der Filter analysiert, und dem, was der Empfänger sieht.

Regeln sollten sich außerdem nicht nur auf einzelne Wörter konzentrieren. Das wiederholte Auftreten von Unicode-Tags in Kombination mit Finanzdomains, Zahlungsaufforderungen, Links oder anderen verdächtigen Signalen bietet eine robustere Grundlage, um den Missbrauch zu erkennen.

Die von Microsoft beobachtete Welle zeigt, dass die Technik nicht mehr auf die Sicherheit von LLMs beschränkt ist. Sie ist zu einem operativen Werkzeug in E-Mail-Kampagnen geworden und nutzt dieselbe Schwachstelle aus: Eine Maschine kann einen anderen Text lesen als den, der einem Menschen angezeigt wird.