- AIプロンプト注入を隠した技術がスパムフィルタ回避に転用
- 2026年2月に検出数が1日21,000件から130万件超へ急増
- Unicodeタグがトークン化を妨げ、機械学習型も回避の恐れ
スパムでの悪用が急増
ASCIIスマグリングは、人間にはほぼ見えないUnicodeタグを利用して、文字列をAIやシステムにだけ認識させる技術です。この技術は、AIプロンプトへの悪意ある命令を埋め込む「プロンプトインジェクション」を隠す方法として2年前に注目されました。その技術が現在、スパム送信者によってメールフィルタを回避する手段に転用されています。Microsoftは公式ブログで、この転用が拡大していると報告しました。
Microsoft Defender for Officeが検出したASCIIスマグリングの数は、2026年2月初旬のある日を境に、1日あたり約21,000件から130万件以上へと急増しました。4日後には250万件に達したといいます。この水準は数か月間続き、5月中旬に大きく減少しました。
見えない文字が検出を妨げる
ASCIIスマグリングでは、人間の目には表示されないコードポイントが使われます。たとえばU+E0041は「A」、U+E0061は「a」に対応し、128個のコードでASCII文字の大半を模倣できます。人間の視覚上は空白と変わらないため、悪意のある内容に気づくことは難しいといえます。
スパム送信者は、フィルタが検出する「credit」や「term」といった単語、あるいは金額表現の中に、この不可視文字を挿入します。単語「funding」の途中にU+E0020を入れると、フィルタは「fun」と「ding」に分解してしまう可能性があります。受信者の画面では「funding」と表示されるため、違和感は生まれません。
対策と今後の不透明さ
不可視文字でテキストを偽装する手法自体は、ゼロ幅スペースや非改行スペースを使った攻撃として以前から存在しました。今回のASCIIスマグリングは、広いコード範囲でASCII文字を再現できるため、従来のフィルタだけでなく機械学習による分類にも影響します。Microsoftは、メッセージを画像として処理しOCRで文字を読み取らない限り、こうした攻撃を見逃す可能性があると指摘しています。
このためMicrosoftは、開発者向けに対策フィルタを実装するための指針を提供しました。しかし、具体的なコードや設定は記事では公開されていません。検出数が5月中旬に急減した理由も不明で、スパム業者が他の手法へ移行したのかどうかは確認できていません。日本語メールへの影響についても、記事からだけでは判断できません。
| 比較軸 | AI攻撃での使われ方 | スパム回避での使われ方 |
|---|---|---|
| 目的 | プロンプトインジェクションを隠す | 不審キーワードを隠す |
| 対象 | LLMが処理する入力文 | メールフィルタの検出 |
| 見え方 | 人間には見えない | 人間には見えない |
| 観測時期 | 2年前からAI攻撃で注目 | 2026年2月から検出数が急増 |
The bigger prize for the attacker, though, is not preventing the literal string matches; it is the ML- and NLP-based models that increasingly drive modern spam and phishing classification.
攻撃者にとってより大きな狙いは、リテラル文字列の一致を防ぐことではなく、現代のスパムやフィッシングの分類をますます担うML・NLPベースのモデルをすり抜けることにある。
今後の見通し
ASCIIスマグリングを使ったスパムが急増した後、検出数は5月中旬に減りました。しかし、同じ技術がAI攻撃とスパム回避の両方で使えるため、今後は別の形で再び増える可能性があります。Microsoftが公開した対策指針の内容や、実際のフィルタ製品への実装状況が明らかになれば、対応の有効性を判断できるでしょう。また、英語以外の文字体系での影響についての調査も進むとみられます。
日本の開発者・IT企業にとっての意味
日本のIT企業にとって、ASCIIスマグリングはこれまでAIプロンプトインジェクションの文脈で知られていたかもしれません。今回の報道で、同じ技術がスパムフィルタをすり抜けるために悪用されていることが分かりました。メール配信システムやチャットボットを開発する現場では、Unicodeタグをそのまま言語モデルやフィルタに渡さない前処理が求められます。特に、日本語環境でも英単語や数値は存在するため、言語を限定せずに不可視文字を正規化しておくと安全です。加えて、自社のスパムフィルタを評価する際には、ASCIIスマグリングを含むテストデータを用意し、検出率を定期的に確認するのが有効とみられます。
気になる点
- ASCIIスマグリングは日本語のスパムメールでも使われる可能性がありますか？
- 記事で紹介されたタグはASCII文字を模倣するため、日本語の文字そのものは対象外です。ただし、日本語メールに含まれる英単語や数字の部分には同じ手法を適用できると考えられます。日本語での具体的な事例は記事では報告されていません。
- フィルタ側でできる具体的な対策はあるのですか？
- Microsoftは、正規化を行えばU+E0020のような文字が除去される場合があると述べています。一方、メッセージを画像化してOCRで読む方法も挙げており、具体的な実装は同社の指針を確認する必要があります。
- Microsoft Defender for Officeで検出された250万件は何を意味しますか？
- これはMicrosoft Defender for Officeが検出したASCIIスマグリングのシグネチャ（特徴パターン）の件数です。同じ手法を使うスパムの一部を示すものであり、全スパム数を表しているわけではありません。
用語解説
- ASCII smuggling
- 人間には見えないUnicodeタグでASCII文字を表現し、AIやフィルタの検出をすり抜ける技術。
- Unicodeタグ
- U+E0000帯の特殊なコード。画面上で読めないが、コンピュータには文字として認識される。
- プロンプトインジェクション
- 悪意のある指示をAIの入力文に埋め込み、本来の命令を乗っ取る攻撃。
- トークナイゼーション
- テキストをAIが処理しやすい単語や部分列に分割する処理。
出典
Once popular for attacking AI, ASCII smuggling is embraced by spammers
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する