Nevidljivi Unicode znakovi iz istraživanja o promptovima našli su se u kampanji od 2,3 miliona poruka dnevno

Potpis za pretragu napisan da u elektronskoj pošti hvata ubacivanje uputstava kroz sadržaj našao je nešto drugo. Microsoft Security Research je 3. septembra 2026. objavio da nevidljive Unicode znakove koje je pratio koristi masovna kampanja prevarnih poruka, a ne neko ko pokušava da se obrati modelu. Iste tačke kôda koje skrivaju uputstvo od čitaoca, a ostavljaju ga vidljivim pomoćniku, jednako dobro skrivaju ključnu riječ od filtera, a ostavljaju je čitljivom onome kome je poruka namijenjena.

Šta je kampanja stvarno radila

Unicode blok Tags, od U+E0000 do U+E007F, sadrži nevidljivu kopiju štampanih ASCII znakova. Namijenjen je bio označavanju jezika i sada je uglavnom napušten, a većina fontova i interfejsa za njega ne iscrtava ništa. Timovi koji napadaju modele proveli su prethodnu godinu pokazujući da model koji čita sirov tekst te znakove ipak vidi, i odatle dolazi naziv ASCII smuggling.

Ova kampanja je namjeru okrenula naopako. Umjesto da u bloku oznaka sakrije poruku, ubacivala je jedan nevidljivi znak U+E0020 unutar ključnih riječi, pa je engleska riječ funding putovala kao fun, nevidljivi razdvajač i ding. Primaocu riječ i dalje izgleda kao funding. Detektoru koji traži doslovan tekstualni niz cijele riječi više nema. Microsoft izričito kaže da je ovo umetanje nevidljivog znaka radi izbjegavanja filtera, a ne krijumčarenje uputstva.

Kako je saobraćaj izgledao

Pogoci potpisa bili su u hiljadama sve do 8. februara 2026. Tog dana je signal reagovao na oko 21.000 poruka. Već 9. februara 2026. reagovao je na više od 1,3 miliona, a 11. februara 2026. dostigao je vrhunac od preko 2,3 miliona. Radnim danima je obim zatim bio između milion i 2,37 miliona, da bi krajem marta pao na otprilike 80 odsto manje po radnom danu. Faza velikog obima naglo je oslabila poslije 15. maja 2026.

Poruke su se grupisale oko otprilike 150 domena pošiljalaca s finansijskim imenima, sastavljenih premetanjem istog malog rječnika riječi kao što su capital, funding, guardian i boost. Na tu grupu je otpalo oko 96 odsto obima koji je potpis označio. Sama pošta je išla preko legalne platforme za reklamnu poštu ActiveCampaign, koja svaku odlaznu vezu prepisuje na sopstvene domene za praćenje, pa domen pošiljaoca koji primalac vidi nije mjesto na koje klik vodi.

• Kampanja je radila radnim danima i svakog vikenda gotovo utihnula, a to je prepoznatljiv trag zakazanog masovnog slanja.
• Mamci su bili ponude poslovnih kredita, kreditnih linija i avansnog finansiranja, uobičajen oblik prevare ili krađe pristupnih podataka.
• Microsoft je nalaze podijelio s platformom ActiveCampaign prije objave i njihov odgovor navodi u samom tekstu.
• U alatu Defender for Office 365 preko 99 odsto poruka zaustavili su slojevi koji te nevidljive znakove uopšte nisu ni gledali.

Zašto nevidljivi znak zbuni klasifikator

Poklapanje doslovnog tekstualnog niza je lakši dio problema. Teži dio je to što današnje razvrstavanje neželjene i prevarne pošte radi na modelima koji tekst prvo dijele na tokene. Čista riječ mamac je pri tome poznat token ili poznat niz manjih dijelova. Kad se u sredinu ubaci jedna nevidljiva tačka kôda, tokenizator umjesto toga može da ispusti rijetke ili nepoznate dijelove, pa klasifikator više ne gleda ono na čemu je učio.

Da li će se to uopšte dogoditi zavisi od jednog koraka, a taj korak je normalizacija. Ako obrada nevidljive znakove ukloni prije analize, riječ je opet funding i ništa nije dobijeno. Ako ih ne ukloni, sve poslije toga čita drugačiji niz nego što ga vidi primalac. Microsoft uz to primjećuje i odbrambenu stranu iste činjenice: te tačke kôda su u običnoj pošti toliko rijetke da je njihovo prisustvo samo po sebi pouzdan znak odstupanja.

Šta promijeniti u sopstvenoj obradi

Preporuka je da se nevidljive tačke kôda uklone ili svedu iz naslova i tijela poruke prije nego što se pokrene ijedno poređenje po ključnoj riječi, potpisu ili obrascu, i da se ista normalizacija primijeni prije svega što model čita. Tu drugu polovinu treba da preuzme i onaj ko poštu uopšte ne filtrira. Pomoćnik koji sažima stranicu, prijavu kvara ili sanduče čita sirov tekst s potpuno istom slijepom tačkom.

Treba preuzeti i jedan detalj o podešavanju. Prva verzija Microsoftovog potpisa označavala je svaku tačku kôda iz bloka oznaka i stalno je reagovala na ispravne poruke, jer se emodži zastave Engleske, Škotske i Velsa upisuju baš tim znakovima. Ovako usko pravilo traži da se poznati ispravni slučajevi zapišu prije nego što upozorenja išta znače.