曾经攻击AI的ASCII走私技术 如今成为垃圾邮件新宠

曾经多用于攻击人工智能的“ASCII走私”技术，正在垃圾邮件攻防领域“落地生根”。所谓ASCII走私，指利用一批人类眼球无法识别的Unicode字符，在看似正常的文本中夹带额外信息，瞒过程序、欺骗AI，甚至改变模型的判断逻辑。Ars Technica在最近一则报道中指出，这种原本属于“研究者玩具”与“定向攻击武器”的字符操作手法，如今正被垃圾邮件发送者大规模使用。

“曾经被人忽视的Unicode字符块，对人眼完全不可见，却正获得越来越广泛的运用。”——Ars Technica

垃圾邮件本身不算新事物；新鲜之处在于，攻击者所利用的通道并非视觉上的相似字符，而是文本层面“看不见的底层结构”。这一技术把可读的词语打散，重新注入“不可见脂肪”，让关键词过滤、全文搜索、邮件摘要和态势感知系统产生不同的理解，从而绕过层层防线。

ASCII走私是什么？

数字系统中最基础的单位是字节，而文本则由字符集编码定义。ASCII字符集仅有128个字符，后来为了支持各民族语言，Unicode家族扩充了数以万计的字码，其中包括一批专为“格式控制”设计的元字符。此类字符没有字形，不占视觉空间，或仅在特定环境下才显示为软连字符/不可见分隔符。比如零宽空格（U+200B）、零宽不换行分隔符（U+2060）、左至右嵌入（U+202A）等，正常情况下屏幕上不展示任何图案，但底层byte和Unicode编号却清晰存在。无论搜索引擎、邮件过滤器还是大语言模型，都会把它们当作“真实的码点”读入。

攻击者恰好利用这种“存在却不可见”的特性，在两台机器——或者是机器与人之间——之间构造出不一致的文本视图。打个比方：一段垃圾信息的每个关键字母间都被悄悄安放了多个零宽空格，那么这段文字在人工核对时仍是通顺的“urgent account suspension”，但分词引擎会将每个字符拆开，导致原有单词信号被稀释。相反，如果攻击者故意让隐藏的Unicode字符承载特定内容，而目标AI能够“读懂”它们，那么模型甚至可能被引导执行恶意指令。这就是ASCII走私的核心要义：不改变人类可见的任何信息，却把另外一条指令偷偷“走私”给机器。

曾经攻击AI，如今直奔垃圾邮件

在生成式AI迅速普及的两年里，这类不可见字符几乎成为了“越狱提示词”的放大器和加密层。研究者与攻击者曾在多个知名大语言模型中发现类似漏洞：在用户输入中夹带零宽空格，位于中间的指令文本可能被模型当成格式说明，从而覆盖系统预设的“安全护栏”，造成提示注入。而在邮件领域，收件方通常接入自然语言安全网关，把邮件交给AI摘要工具或实时分类器，这给同一类技术提供了充分施展的空间。

Ars Technica所观察到的新趋势是，垃圾邮件发送者已经将ASCII走私从对特定AI目标的“外科手术式攻击”，升格为高度自动化的“广撒网”方案。在他们的工作流里，ASCII走私起到多重作用：它让垃圾文本在人工审核抽样时毫无破绽；让流行的垃圾内容哈希指纹失效，因为每次扫描都会生成不同排列的不可见字符；同时还能规避发信信誉体系与基于语言模型的反垃圾模型所依赖的“语义路径”。即便某封邮件最终仍被识别为垃圾，黑客也能迅速变换走私字符的编码顺序，再次投入投递队列。

更麻烦的是，这类手工痕迹显著的攻击重新定义了垃圾邮件的成本。在原来的时代，黑产学习绕过技术需要理解邮件服务器的语法和IP信誉。现在，只需借助开源脚本，将常规垃圾内容插入零宽字符之间，再上传给同样具备AI能力的邮件服务商审批——实际上攻击者会让AI自动生成“最佳走私策略”，使得批量生成的海量变体比传统方式快几个数量级。

编者按：当“看不见”成为风险后，应当怎么办？

ASCII走私之所以能够走出实验室，最终被垃圾邮件产业链拥抱，根本原因是所有检测系统都在追求“更理解文本”，却很少追问“文本本身是否可被信任”。在字符层建立白名单、对非必要控制字符进行规范化剥离，已经不能是再往后放的优化项。

对个人用户而言，这种攻击相对隐蔽，但不必过度焦虑：邮件服务商在网关层进行一次“Unicode洗涤”，就能清除绝大多数可见字符以外的干扰。难点在于企业需要理解，AI邮件网关不等于把模型丢在生产环境就万事大吉——同样一套Transformer模型，如果接收端在清洗不可见字符前就进行分词，那么所谓“语义理解”便在动手处理前就已经被污染。因此，未来安全架构必须在更前面的字符输入端设置一道“数据卫生”阀门。

最后，把视角拉高一点。任何一项技术，只要能在人类感知与机器理解之间制造分裂，就必然成为欺骗物的天然地基。从“攻击AI”到“进入垃圾邮件”，ASCII走私的降级使用或许不是终点，而是灰黑产规模化吸收安全技术的一次普通映射。而对于防御者而言，真正的反制，既不在于彻底拒绝Unicode，也不在于过度依赖AI，而是承认“看不见的字符”和“听不见的词”都值得被追溯。

本文编译自Ars Technica