ASCII‑Smuggling 技术跨域迁移下的大规模金融钓鱼威胁研究

摘要

AI 红队测试所诞生的 ASCIISmuggling 混淆技术，已经从大模型提示注入场景迁移至传统邮件钓鱼领域，成为攻击者规避邮件安全过滤的新型技术手段。该技术依托 Unicode 标签块 U+E0000U+E007F 区间不可见字符，在不改变人类阅读展示效果的前提下割裂文本关键词，破坏静态关键词与正则匹配逻辑。微软威胁情报捕获的针对小企业 SBA 贷款申请群体的大规模钓鱼活动，单日峰值投递量可达 237 万条恶意邮件，完整展现该类跨域攻击的现实破坏力。本文基于该真实攻击事件样本，厘清 ASCIISmuggling 的技术本源，解析攻击活动的时间周期、目标群体、社会工程诱饵、投递基础设施特征，剖析 AI 安全技术向传统网络威胁迁移背后的攻防演化逻辑。反网络钓鱼技术专家芦笛指出，该类威胁的本质并非出现全新系统漏洞，而是人机文本解析差异带来检测失效，很多安全产品忽视 Unicode 文本归一化预处理环节，由此形成防护缺口。本文进一步剖析现有邮件安全体系面对编码混淆攻击的短板，客观评估各类防御手段的收益与误报风险，从邮件网关预处理、第三方 SaaS 邮件流量管控、AI 输入净化、安全运营、人员意识多个维度构建分层防御框架，同时明确防御方案的能力边界，为企业应对 AI 时代跨域衍生的钓鱼威胁提供实证参考。 关键词：网络钓鱼；ASCIISmuggling；Unicode 不可见字符；提示注入；邮件安全；跨域威胁

1 引言

大模型安全红队研究过程中诞生的各类对抗技术，原本主要用于验证人工智能系统的安全缺陷，但是部分混淆手段快速被黑产团伙吸收改造，应用在传统网络攻击当中，ASCIISmuggling 就是极具代表性的案例。该技术最早被用于构造 AI 越狱、提示注入载荷，利用 Unicode 标签块字符实现文本内容的人机差异化解析，人类阅读无法感知隐藏字符，机器程序却可以完整读取编码信息。以往行业将该威胁归类为 AI 应用专属风险，并未充分预判其向邮件钓鱼、垃圾邮件等传统攻击向量迁移的可能性。

微软安全研究团队在针对提示注入威胁的狩猎工作中，意外捕获了一场大规模金融主题钓鱼活动，攻击者复用 ASCIISmuggling 技术，不再构造面向大模型的隐藏指令，而是将不可见字符插入金融诱饵关键词内部，专门用来规避邮件安全网关的静态内容检测。该攻击活动具备工业化批量投递特征，严格遵循工作日发送、周末流量近乎归零的运行节奏，峰值阶段单日邮件数量达到 237 万封，攻击目标聚焦寻求融资贷款的中小商业主体，与更早的 SBA 贷款信息窃取攻击存在链路关联。

从威胁事件可以看到，攻防技术的流动是双向的，AI 安全领域的对抗手段会向下渗透到成熟的黑产钓鱼业务当中。当前不少企业的邮件安全建设，依旧沿用传统防护思路，重点关注 IP 黑名单、域名信誉、邮件协议校验，对于 Unicode 编码层面的文本混淆缺少完整处理流程；同时越来越多企业将大模型助手接入邮件系统，又带来提示注入的次生风险，一套混淆技术同时威胁传统邮件安全与 AI 业务组件，进一步放大整体风险面。

现有公开材料大多停留在事件通报层面，缺少针对该跨域攻击的系统性学术梳理，对攻击技术迁移动因、基础设施滥用风险、防御方案的现实约束缺少深入讨论。本文以该真实钓鱼事件作为实证载体，完整还原攻击链路，解析技术对抗机理，辨析现有防护体系的不足，给出兼顾业务可用性与安全能力的落地策略，不追求理想化绝对防护效果，立足企业真实业务场景形成完整分析结论。

2 ASCIISmuggling 技术原理与跨域迁移动因

2.1 Unicode 标签块字符的属性与原始用途

Unicode 标准中 U+E0000U+E007F 标签块字符集合，在设计之初用于附加文本元标记，该字符集内部包含一套和标准 ASCII 字符一一对应的映射编码。该区间字符在绝大多数邮件客户端、浏览器渲染层不会输出可见符号，终端用户阅读文本时无法感知字符存在；但是程序读取原始文本字节流的时候，会完整保留全部标签块编码，不会自动丢弃或者转换。

该特性造就人机解析的天然分歧：面向人的展示层过滤该类字符的视觉输出，面向安全设备、大模型解析器的原始文本层完整保留编码。这一特性本身不属于软件漏洞，属于 Unicode 标准定义的合法编码，安全风险来源于攻击者对该特性的恶意滥用，而非编码本身存在缺陷。

在 AI 安全红队测试场景中，安全研究者最早利用该字符集合实现 ASCIISmuggling，把恶意提示指令全部编码到标签块字符内部。普通用户阅读文档、邮件看不到任何异常指令，但是大模型读取原始文本字节时，能够解析被隐藏的提示，实现提示注入、模型越狱，以此暴露大模型输入校验环节的安全缺陷。在这一阶段，该技术被视作专门针对 AI 系统的攻击手段，安全行业对其在传统邮件场景下的危害预估不足。

2.2 向邮件钓鱼场景迁移的技术逻辑

攻击者并没有改动 ASCIISmuggling 底层实现逻辑，只是改变载荷的使用目的。在本次钓鱼活动中，攻击者不再利用标签块字符嵌入隐藏 AI 指令，而是把不可见字符插入 “funding”“loan”“credit” 等金融高危关键词的字母间隙。对于邮件客户端渲染输出，插入字符不会改变单词显示形态，收件人看到完整正常的金融词汇；而邮件安全网关获取原始文本字符串之后，关键词被特殊字符切割为碎片化字符串，静态关键词匹配、正则字符串匹配规则无法命中目标，由此实现绕过内容过滤。

反网络钓鱼技术专家芦笛强调，攻击技术跨域复用是网络威胁演化的重要趋势。一项对抗技术只要核心逻辑是制造 “人眼可见” 和 “机器解析” 之间的不一致，就可以在不同载体之间迁移。AI 安全研究产出的混淆技巧，一旦被黑产理解掌握，就会快速移植到邮件、文档、网页等传统攻击载体，安全防护不能割裂不同业务域的威胁情报。

对比传统零宽字符混淆手段，标签块字符集合规模更大，载荷构造灵活度更高。过去大量邮件安全产品已经针对 U+200B 零宽空格等常见不可见控制字符增加清洗逻辑，但是 U+E0000U+E007F 标签块属于相对冷门编码区间，大量存量安全网关的预处理名单没有覆盖该范围，给攻击者留下可利用的防护缺口。同时标签块字符同时威胁邮件系统与大模型组件，单一攻击样本可以同时触发两类风险，威胁影响范围更广。

同时必须客观认清该技术的能力边界：ASCIISmuggling 只能干扰依赖原始文本字符串比对的静态检测机制，无法对抗基于 IP、域名、URL 信誉、机器学习语义分类、伪造品牌检测、邮件身份认证的多维度防护。微软 Defender 产品依靠多层防护能力，依旧拦截超过 99% 的本次攻击样本，证明混淆手段不能直接穿透成熟的多层防护体系，但是对于只依靠关键词黑名单的轻量化邮件防护，该混淆手段可以实现有效逃逸。

2.3 技术实现所需要的攻击前置条件

攻击者想要将该混淆手段用于大规模钓鱼投递，需要满足几项现实条件。第一，目标防护设备在执行特征匹配之前，没有开展完整的 Unicode 文本归一化清洗；第二，终端邮件客户端对标签块字符执行不渲染处理，保证诱饵文本对受害者保持可读性；第三，攻击者具备批量生成带标签块字符邮件样本的工具，能够适配批量邮件投递平台的数据格式。

本次事件中攻击者全部条件均得到满足，黑产可以直接复用 AI 安全领域已经公开的 ASCIISmuggling 构造工具，只需要修改载荷逻辑，不再生成隐藏提示词，改为在关键词中间插入标签块字符，技术改造成本很低，这也是该技术能够快速产业化落地的重要原因。安全研究公开的对抗技术，如果没有配套给出防御指引，就有可能转变为攻击者的攻击工具库。

3 SBA 贷款主题大规模钓鱼攻击事件实证分析

3.1 攻击活动时间线与运行模式

该攻击活动的完整业务主体启动时间早于 2026 年 2 月 9 日，早期阶段攻击者并未使用 ASCIISmuggling 混淆手段。2026 年 2 月 9 日，搭载标签块字符混淆的恶意邮件数量出现爆发式增长，单日告警命中样本从约 21000 封暴涨至 130 万封以上。2 月 26 日到达流量顶峰，单日投递量最高达到 237 万封。高流量周期持续大约三个月，攻击具备极强的调度特征，工作日维持高投递量，周末邮件流量几乎归零，该特征说明攻击依托自动化批量投递基础设施执行，并非人为手动发送邮件。

2026 年 5 月 15 日之后，携带标签块混淆字符的邮件数量急剧下滑，但并不代表整个钓鱼行动终止。攻击者只是放弃 ASCIISmuggling 这一项混淆手段，原始的 SBA 贷款钓鱼业务继续运行，只是不再插入不可见 Unicode 字符，后续仍然持续产出钓鱼邮件样本。遥测数据显示，5 月中旬之后依旧持续捕获到该活动的残余样本，一直延续到 6 月之后。

该行为模式反映黑产项目的典型策略：攻击者会测试部署新型对抗技术，当绕过收益可观就大规模投放；当安全厂商补齐检测能力，该技术的逃逸效果下降之后，就舍弃该混淆手段，保留钓鱼业务本体，切换其他对抗方式继续开展欺诈，而不是直接终止整个攻击项目。因此即便该批次带标签块字符的流量消退，同类思路的变种攻击依旧会反复出现。

3.2 攻击目标与社会工程诱饵设计

本次攻击瞄准申请小企业管理局 SBA 贷款的中小商业主体。处在融资需求下的企业经营者，本身会主动浏览融资相关信息，接收各类贷款业务邮件，心理上更容易接纳授信、融资类消息，社会工程欺骗的成功率更高。攻击者的诱饵延续此前 Fortra 安全团队在 2025 年 9 月记录的同类攻击模板，对外宣称企业可以在 48 小时之内获取 400 万至 1000 万美元额度的商业贷款。

钓鱼邮件模仿正规商业融资推广邮件的排版风格，邮件正文当中设置诱导交互入口，引导受害者跳转至攻击者搭建的落地页面。落地页面专门设计表单，用于收集企业营收、申请贷款额度、个人信用分数、岗位信息、任职年限、联系方式等商业敏感信息。该攻击的直接目的不是窃取账号密码，而是完成商业情报搜集，获取信息之后可以开展后续的电信欺诈、定向勒索、商业信息倒卖等下游黑产业务。

攻击者精准选择 “funding”“capital”“loan”“advance”“credit” 这一批金融词汇作为混淆对象。这些词汇属于邮件安全系统重点监控的高危关键词，攻击者在词汇内部插入不可见标签块字符，混淆技术与社会工程诱饵形成完整配合，专门针对静态关键词过滤制造逃逸条件。普通企业员工通过肉眼阅读邮件，完全无法分辨文本底层已经被插入特殊编码字符。

3.3 攻击投递基础设施与平台滥用风险

该批海量钓鱼邮件没有通过攻击者自建的恶意邮件服务器分发，而是滥用 ActiveCampaign 正规商业自动化营销平台的服务完成投递。微软观测统计显示，两周观测周期内，约 98.5% 的恶意邮件样本符合 ActiveCampaign 的邮件信封格式特征，攻击邮件内的跳转链接大量使用该平台的 clicktracking 域名activehosted.com与acemlnd.com。邮件流量主要来自 173.236.20.0/24 这一段属于服务商的合法共享发送网络段。

利用合规第三方 SaaS 邮件平台投递钓鱼邮件，是当前高级钓鱼活动的重要手段。服务商本身的 IP 地址、域名具备基础信誉，能够降低邮件被 IP 信誉黑名单直接拦截的概率，恶意邮件更容易抵达用户收件箱。攻击者借用正规平台带来的 “正常业务” 外衣，弱化钓鱼邮件的异常特征。

微软向 ActiveCampaign 通报滥用事件之后，平台方反馈其审核系统能够识别该类不可见 Unicode 字符，大量使用该类字符的邮件会被标记为可疑行为。但平台的检测机制并没有完全阻止攻击发生。究其原因，商业营销平台需要在拦截恶意内容和避免误拦截正常付费客户业务邮件之间取得平衡，检测策略不能无限制收紧，攻击者可以通过调整混淆载荷，规避平台侧的内容审核，实现恶意内容批量外发。

反网络钓鱼技术专家芦笛指出，滥用合法 SaaS 邮件平台开展钓鱼是持续上升的威胁趋势。很多企业安全防护策略默认来自知名第三方营销平台的邮件具备可信度，对该类流量简化安全检测，由此形成明显安全缺口。合法基础设施不等于安全可信的邮件内容，该认知偏差需要被安全运营团队纠正。

3.4 威胁发现路径体现的跨域检测价值

本次攻击的捕获过程本身具备很强的启示意义：微软原本开发该狩猎签名的目的是检测 AI 提示注入载荷，在对该签名告警样本做分析的时候，并没有发现面向大模型的隐藏指令，只看到被标签块字符切割的金融钓鱼关键词。也就是用于 AI 安全的检测逻辑，意外发现了传统邮件钓鱼活动。

这一现象说明，很多对抗技术的特征指纹是共通的，安全防御不能把 AI 安全、邮件安全作为完全割裂的领域。针对 AI 威胁开发的检测规则，同样可以用于捕获传统钓鱼攻击，安全团队应当推动不同安全域之间威胁特征、检测逻辑的复用。

4 ASCIISmuggling 攻击暴露的邮件安全体系短板

4.1 静态字符串匹配检测机制的固有局限

大量邮件安全网关将关键词黑名单、正则表达式签名作为基础检测手段。该类方案计算开销低、部署简单，对于特征明确的传统钓鱼样本拦截效果稳定。但是整套检测逻辑建立在一个前提假设：恶意文本的字符序列固定不变，攻击者不会对文本字符序列做变形篡改。ASCIISmuggling 这类字符混淆技术直接破坏该前提。

攻击者只需要在高危关键词字符之间插入不可见编码，原始关键词完整字符串就被打碎，静态字符串匹配规则直接失效。即便运维人员持续扩充关键词库，只要攻击者可以插入特殊字符割裂词汇，静态匹配就会持续存在绕过可能性。这并不代表关键词规则需要被彻底废弃，关键词匹配依旧可以作为检测链路当中的其中一环，但不能作为独立核心检测手段。单纯依靠关键词过滤的轻量化防护架构，面对该类高级对抗攻击会出现明显防护失效。

4.2 Unicode 文本归一化预处理普遍缺失

该攻击能够生效最核心的技术根源，是很多邮件安全检测链路缺少完整的 Unicode 文本归一化处理流程。安全设备提取邮件主题、正文原始文本之后，直接送入关键词、正则检测模块，没有提前识别、清理无渲染意义的特殊代码点。

归一化处理的核心目标就是消除那些不改变视觉展示、但是改变底层字节序列的特殊字符。如果在特征匹配之前，安全网关完成预处理，剥离 U+E0000U+E007F 标签块以及各类零宽控制字符，再将清洗完成的干净文本送入检测，被割裂的关键词就会恢复完整，关键词规则就能够正常触发告警。

现实业务环境中，不少邮件安全产品的预处理逻辑只处理部分常见编码兼容转换，并未覆盖标签块这类相对冷门的 Unicode 区间，部分产品甚至直接跳过归一化步骤，直接拿原始编码文本开展检测。不同厂商安全产品对 Unicode 处理实现逻辑并不统一，同一封混淆邮件，在部分设备可以完成清洗，在另一部分设备直接放行，造成防护效果参差不齐。同时还要注意，标签块字符在部分合法场景存在少量用途，例如部分旗帜 emoji 会依赖该区间字符，因此不能简单粗暴全盘删除，需要结合上下文做风险判断。

4.3 第三方 SaaS 邮件流量的安全管控缺位

企业业务运转过程中会收到大量来自商业邮件营销平台的邮件，很多企业默认第三方平台已经完成完整内容安全审核，将该类流量加入白名单，跳过部分安全检测流程。本次攻击事件证明，即便平台具备对应的检测能力，依旧无法完全杜绝攻击者滥用平台资源投递钓鱼邮件。

平台内容审核存在天然矛盾：如果检测阈值设置过高，大量正常商业营销邮件会被误拦截，损害付费客户使用体验；阈值设置过低，则攻击者就有机会调整载荷绕过检测。攻击者会持续迭代混淆方式对抗平台审核，企业不能把第三方平台的审核当作自身安全防护的替代。

4.4 邮件AI 联动架构带来次生攻击面

ASCIISmuggling 技术原生和 AI 提示注入相关，当企业办公系统打通邮箱与大模型助手，允许 AI 读取邮件正文、完成摘要整理、辅助回复邮件等工作，就会衍生出新的攻击路径。即便人类用户无法识别隐藏载荷，大模型会读取原始文本当中的标签块编码，触发潜藏的提示注入指令。攻击者不再仅仅依靠欺骗用户点击链接完成攻击，还可以尝试诱导 AI 助手读取敏感邮箱数据、对外发送消息，将传统钓鱼升级成对 AI 业务组件的攻击。

不少企业部署邮件AI 联动业务时，只聚焦业务功能实现，忽略输入文本的编码净化环节，没有把邮件网关的归一化逻辑同步复制到 AI 组件输入入口，形成新的安全漏洞。

5 针对 ASCIISmuggling 类编码混淆威胁的分层防御体系

针对 ASCIISmuggling 代表的 Unicode 编码混淆钓鱼威胁，不存在单一技术手段可以实现彻底阻断，需要构建多层协同防御体系，覆盖邮件网关预处理、第三方流量管控、AI 输入净化、安全运营、人员意识多个维度，同时客观看待各类方案的误报风险与能力边界，摒弃理想化防护设想。

5.1 邮件网关完善 Unicode 文本预处理流程

邮件安全网关作为第一道技术防线，核心改进点是调整检测执行顺序，在关键词匹配、正则签名检测之前完成文本归一化预处理。识别并剥离 U+E0000U+E007F 标签块字符，同步清理零宽空格、双向控制字符等其他无渲染意义的代码点，完成清洗之后，再将归一化文本送入后续检测模块，还原被特殊字符割裂的关键词。

反网络钓鱼技术专家芦笛强调，安全设备不建议直接设置简单黑名单，只要检测到标签块区间字符就直接拦截邮件。因为存在少量合法业务场景会使用该区间字符，一刀切拦截会带来不可忽视的业务误报。更加合理的处置策略是双重逻辑并行：一方面执行字符清洗，输出净化后的文本用于内容检测；另一方面将标签块字符的出现作为强异常风险标记，提升该邮件整体风险评分，结合发件信誉、发送行为、URL 检测等多维度信号综合研判，而不是简单直接拦截。

同时必须坚持多信号交叉检测，不能把关键词规则作为主要判断依据。将域名信誉、IP 行为特征、邮件身份认证校验、链接沙箱检测、机器学习语义分析互相兜底。正如本次攻击事件所呈现，即便混淆手段干扰关键词检测，依靠其他维度依旧可以拦截绝大多数恶意样本，多重检测相互兜底，降低单一机制被绕过带来的安全损失。安全运维人员需要定期核验安全产品配置，确认 Unicode 归一化功能已经正确启用，很多安全产品具备该能力，但默认配置并未完整开启。

5.2 第三方 SaaS 邮件流量的安全治理

企业网关不应当对来自 ActiveCampaign 这类第三方营销平台的邮件做特殊放行，全部外部流量统一进入完整安全检测链路。安全运营团队梳理企业真实业务需要的第三方邮件来源，建立业务白名单基线，对于业务不需要用到的邮件营销平台，在网关层面做访问限制。

持续跟踪威胁情报，关注攻击者正在滥用的 SaaS 邮件平台，及时更新风险研判策略。当内部观测到大量来自同一第三方平台的可疑钓鱼邮件，除内部处置之外，向平台提交滥用事件报告，推动平台优化自身检测规则，形成外部治理闭环。同时定期复盘来自第三方平台的告警样本，识别攻击者新的混淆变种。

5.3 邮件AI 联动业务的输入净化与权限约束

对于部署 AI 办公助手、AI 读取邮件内容的企业，必须把文本归一化处理延伸到大模型组件的输入入口。AI 读取邮件文本之前，执行和邮件网关同源的 Unicode 清洗操作，过滤标签块字符与各类零宽控制字符，将净化完成的文本交付大模型处理，阻断利用 ASCIISmuggling 实现的隐形提示注入攻击路径。

文本预处理属于必要条件，而非充分条件。编码清洗只能防御依托不可见字符的提示注入，无法抵御其他类型提示注入手段，必须搭配其他 AI 安全控制措施。同时对 AI 助手执行最小权限约束，即便出现提示注入突破，严格限制 AI 能够执行的操作范围，禁止 AI 无限制读取全量邮箱数据、主动向外发送邮件，依靠权限收缩压缩攻击成功之后的危害边界。

5.4 企业安全运营与人员安全意识建设

技术防护无法做到百分之百拦截全部威胁，安全运营流程与人员意识是重要补充防线。运维团队定期审计邮件安全设备配置，确认 Unicode 预处理、特殊字符检测相关策略生效；持续观测安全告警日志，关注样本中出现标签块字符的告警，及时捕获新型混淆变种。

面向企业员工开展针对性钓鱼安全培训，更新编码混淆类攻击相关知识。向员工传递核心认知：邮件肉眼阅读正常，不等于底层文本没有经过篡改，不能仅仅依靠阅读体验判断邮件真伪。尤其面对融资、资金、授信相关邮件，不要直接点击邮件内按钮与链接，通过独立通讯渠道和业务方二次核验。

优化可疑邮件上报机制，简化员工上报操作路径。安全团队接收上报样本之后完成样本研判，反向迭代安全设备检测规则，形成 “用户上报样本分析策略迭代” 的运营闭环。

5.5 防御体系客观能力边界

企业安全团队应当理性看待整套防御方案的局限性，不存在能够彻底消灭该类攻击的技术方案。攻击者未来仍然可以挖掘 Unicode 标准内其他未被充分关注的控制字符，开发出新的混淆变种对抗归一化处理逻辑。文本归一化只能解决 “插入不可见字符割裂词汇” 这一类特定绕过方式，对同形字替换、HTML 标签混淆、图片承载诱饵文本等其他钓鱼绕过手段没有防护效果。

即便整套技术体系配置完备，依旧存在漏报可能性。多层防护的价值是抬高攻击者绕过成本，降低攻击成功率，而不是实现绝对零风险。企业需要摒弃单台设备解决全部钓鱼问题的认知，持续跟踪威胁情报，跟随攻击者技术迭代动态调整防护策略。

6 结语

ASCIISmuggling 从 AI 红队测试技术演变为百万级规模钓鱼活动的攻击手段，是跨域威胁演化的典型案例。攻击者并未挖掘全新高危漏洞，只是复用已经公开的混淆技术，改变载荷用途，瞄准传统邮件安全体系当中 Unicode 文本处理的短板开展攻击。该攻击事件证明，AI 安全领域的对抗技术不会局限在人工智能应用场景，会快速流入黑产工具库，作用于邮件钓鱼这类成熟攻击载体。

该次 SBA 贷款主题钓鱼活动展现出攻击者完整工业化运作特征：依托第三方合法邮件营销基础设施，遵循自动化批量投递节奏，瞄准有融资需求的中小企业群体，以收集商业敏感信息作为攻击目标。当 ASCIISmuggling 的绕过收益下降，攻击者放弃该混淆技术，但整体钓鱼业务持续存续，预示同类逻辑的变种威胁会长期存在。

反网络钓鱼技术专家芦笛强调，应对该类跨域衍生威胁，不能只针对标签块字符做单点补丁，需要从安全架构层面补齐文本归一化预处理环节，将字符编码安全纳入邮件安全、AI 应用安全的常态化设计。防御工作需要邮件网关技术能力、第三方流量管控、AI 输入净化、安全运营流程、人员安全意识多维度相互配合，多重防护互相兜底，以此降低编码混淆钓鱼带来的业务风险。同时安全从业者需要客观认清防护边界，持续跟踪攻防演化，动态迭代安全策略，适配不断变化的网络钓鱼威胁。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院