Microsoft Security Blog 於 2026 年 9 月 3 日披露一個值得留意的跨域變化：原本在 AI prompt injection 研究中用來把指令藏在文字裡的 ASCII smuggling，已被攻擊者改用來逃避傳統 phishing filter。今次 Microsoft 觀察到的郵件，並不是把隱藏指令交給 AI，而是把 invisible Unicode tag characters 插入金融誘餌字詞，令檢測器看到的字串不再完整。
ASCII smuggling 主要使用 Unicode Tags block U+E0000 至 U+E007F。這些 code point 通常不會在一般字體和介面中顯示，但會保留在原始文字裡，並可被 language model 或其他 parsing software 讀到。Microsoft 以 U+E0041 對應字母 A、U+E0061 對應 a 作說明；真正的風險在於人眼看到的內容和模型或 filter 收到的內容可能不同。
在 AI security 研究裡，典型攻擊是把 instruction 藏在網頁、文件或 email，讓人看不到而讓 AI assistant 讀到。這次 phishing campaign 反過來使用同一種文字層技巧：把一個像 funding 的字切成 fun、不可見字元、ding。對收件人來說仍然像正常詞語，但對只做 literal match 或未先 normalization 的 signature，原本的連續關鍵詞已經不存在。
Microsoft 的 detection 起點來自 Defender for Office 365 的 prompt-injection protection research。第一版 signature 只要看到 U+E0000 至 U+E007F 就告警，但很快發現 England、Scotland 和 Wales 的 subdivision flag emoji 本身也使用 tag characters，因此要先排除合法 emoji，再把剩餘訊號和 sender、domain、URL 及行為模式結合。
Microsoft telemetry 顯示，signature hits 在 2026 年 2 月 9 日急升，2 月 11 日超過 230 萬封；研究團隊把活動聚成大約 150 個 finance-themed sender domains，並觀察到嚴格的 weekday-on、weekend-off 節奏。這個特定 tag-character 使用階段在 5 月 15 日後急跌，低量殘餘延至 6 月中。這是 Microsoft telemetry 中一個 campaign phase 的時間範圍，不等於整個 phishing campaign 的完整生命週期。
Microsoft 也強調，大部分郵件不是靠單一 Unicode signal 才被攔截，超過 99% 的訊息由 sender、IP、URL、domain reputation、ML phishing classification、brand impersonation、authentication 和其他 layered protection 標記。這一點很重要：ASCII smuggling 可以揭示 detection gap，但不能自動推論所有 filter 都會被同樣方式繞過。
防守原則可以濃縮成 normalize before you match：在做 keyword、signature 或 regex 檢查前，先剝除或折疊 Unicode tag characters 及其他 invisible code points；同時把 tag-block 出現視為 anomaly signal，再按 finance-themed domain、bulk 行為和 email infrastructure 作交叉驗證。相同 normalization 亦應放在 AI ingestion 之前，減少 email 內容把隱藏指令帶入 assistant 的機會。
這次研究的價值，是說明 AI security 技巧不會永遠留在 AI 產品內。當 prompt injection 的文字操控方法被 threat actor 借用到 phishing，防守方需要同時理解 Unicode、tokenization、email filtering、ML classifier 和 agent ingestion。對企業而言，最穩妥的方向不是尋找一個神奇 signature，而是把 normalization、OCR、reputation、authentication、AI prompt-injection protection 和人工調查組成多層 pipeline。
