Software · 6 settembre 2026 · 5 min di lettura
Dall'IA allo spam di massa: come l'ASCII smuggling ha imparato a ingannare i filtri
In sintesi: Nata originariamente per occultare istruzioni malevole nei modelli linguistici senza insospettire gli utenti umani, la tecnica dell'ASCII smuggling ha compiuto il salto verso il crimine informatico tradizionale. Microsoft ha documentato una massiccia campagna di spam che sfrutta caratteri Unicode invisibili per spezzare le parole chiave finanziarie e neutralizzare i controlli automatici. L'episodio dimostra come i vettori d'attacco sviluppati per la sicurezza dell'intelligenza artificiale stiano rapidamente contaminando le infrastrutture software convenzionali.
di Team Mocchi's
La mutazione di una tecnica nata per violare i modelli linguistici
Negli ultimi due anni, la sicurezza dei Large Language Model ha fatto i conti con un vettore insidioso battezzato ASCII smuggling: un metodo ideato per eseguire prompt injection nascondendo le istruzioni malevole all'interno di stringhe apparentemente vuote o innocue per gli utenti umani, ma perfettamente decifrabili dai tokenizer delle intelligenze artificiali. Oggi quella stessa tattica ha abbandonato i confini dei laboratori di ricerca per riversarsi nella posta elettronica aziendale.
Come riporta Ars Technica, gli operatori di campagne di spam e phishing su larga scala hanno integrato questa manipolazione del codice Unicode per eludere i motori di ispezione dei principali gateway di posta. Il meccanismo rappresenta un'inversione d'intento perfetta: mentre negli attacchi agli agenti IA la tecnica serve a far eseguire un ordine all'algoritmo tenendolo nascosto alla persona, nelle campagne email serve a mostrare un messaggio ingannevole alla persona nascondendone le parole sentinella ai sistemi di sicurezza automatizzati.
Il meccanismo: caratteri invisibili per gli occhi, visibili per il codice
Alla base del trucco c'è un blocco specifico dello standard Unicode — l'intervallo compreso tra U+E0000 e U+E007F —, storicamente pensato per allegare tag e metadati linguistici al testo ma caduto in disuso per la resa a schermo. Questo blocco riproduce quasi simmetricamente i 128 caratteri della tabella ASCII tradizionale: per esempio, il punto di codice U+E0041 corrisponde alla lettera maiuscola «A», mentre U+E0061 specchia la minuscola «a».
La particolarità risiede nel fatto che la quasi totalità dei browser web e dei client email ignora graficamente questi caratteri speciali, lasciando lo spazio visivo intatto. A livello di elaborazione del testo, tuttavia, i caratteri continuano a esistere. I truffatori sfruttano questa asimmetria inserendo le etichette invisibili all'interno di termini critici monitorati dai filtri antispam, come offerte di credito, tassi di interesse o richieste di pagamento.
Se un filtro cerca la parola «funding» per identificare una potenziale truffa di anticipo fondi, l'inserimento di un tag invisibile a metà stringa induce l'analizzatore a leggere due token separati («fun» e «ding») oppure una sequenza indecifrabile, permettendo al messaggio di superare la barriera. L'utente destinatario, aprendo il messaggio, vedrà invece la parola «funding» perfettamente composta, senza alcun artefatto visivo evidente.
L'ondata registrata da Microsoft: picchi da 2,5 milioni al giorno
L'impatto sul campo è stato repentino. I ricercatori del team di sicurezza di Microsoft hanno rilevato una crescita esponenziale nell'uso di queste firme all'interno di Microsoft Defender for Office. Secondo i dati condivisi dal gruppo di Redmond, i rilevamenti giornalieri della tecnica sono balzati da una media fisiologica di circa 21.000 eventi a oltre 1,3 milioni nell'arco di ventiquattr'ore, per poi toccare un picco di 2,5 milioni di rilevamenti al giorno pochi giorni dopo.
La campagna, caratterizzata da una persistenza di diversi mesi prima di una graduale flessione, ha preso di mira in modo particolare comunicazioni a tema finanziario trasmesse da un'ampia rete di domini compromessi o registrati ad hoc. Come spiegato dagli esperti di sicurezza, sebbene l'occultamento di parole chiave tramite spazi a larghezza zero (zero-width space) sia noto da decenni, il ricorso ai tag Unicode di derivazione prompt injection offre un'evasione molto più efficace contro i filtri moderni basati su modelli statistici e NLP che non siano stati esplicitamente calibrati per ripulire questi metadati.
Il punto di Mocchi's
Questa vicenda dimostra con chiarezza quanto la sicurezza applicativa convenzionale e la sicurezza dei sistemi IA siano ormai vasi comunicanti. Per le aziende italiane che gestiscono pipeline software, piattaforme SaaS o integrazioni documentali, la lezione è netta: la sanitizzazione e la normalizzazione Unicode devono diventare un passaggio obbligato prima di qualunque elaborazione algoritmica, dai filtri anti-abuso ai tokenizzatori dei modelli di linguaggio. Trattare il testo grezzo in ingresso dandone per scontata l'integrità visiva espone sia i flussi operativi tradizionali sia i nuovi agenti intelligenti a manipolazioni invisibili ma devastanti sul piano logico.