Truque de 'contrabando' de caracteres invisíveis migra da manipulação de IA para o phishing

A Microsoft documentou uma campanha de phishing financeiro que combina uma técnica antiga de esteganografia textual com um objetivo até então associado à segurança de modelos de linguagem. Entre fevereiro e meados de 2026, atacantes distribuíram picos de 2,3 milhões de e-mails por dia a partir de aproximadamente 148 domínios remetentes com temática financeira, montados a partir de um vocabulário reciclável de 28 tokens, operando estritamente em dias úteis e silenciando nos fins de semana — um padrão que por si só funciona como impressão digital comportamental para caçadores de ameaças.

A técnica central é o chamado ASCII smuggling, ou Unicode tag smuggling: o uso de pontos de código do bloco Unicode Tags (U+E0000 a U+E007F), originalmente criado para marcação de idiomas e hoje obsoleto, mas ainda processado por praticamente todo software de texto. Como esses caracteres não são renderizados visualmente, é possível inserir um caractere de tag invisível no meio de uma palavra — por exemplo, transformando 'funding' em algo como 'fun' + U+E0020 + 'ding' — sem que o destinatário humano perceba qualquer alteração. Em prompt injection contra LLMs, esses mesmos caracteres eram usados para esconder instruções inteiras dentro de páginas web, documentos ou e-mails: o texto parecia inofensivo a um humano, mas um assistente de IA que processa a string bruta "lia" o comando oculto e podia executá-lo. No caso agora relatado, o uso é o inverso: em vez de contrabandear uma instrução, o caractere invisível serve para quebrar a tokenização de uma palavra-chave sensível, fazendo com que motores de detecção baseados em correspondência literal de string ou regex simplesmente não reconheçam o termo.

A convergência é o ponto mais relevante da descoberta. Uma técnica popularizada no contexto de ataques a modelos de IA — e discutida majoritariamente por pesquisadores de segurança de IA — foi absorvida pelo ecossistema de crimes financeiros tradicionais, que historicamente evolui táticas de ofuscação de texto (leetspeak, homóglifos, espaçamento anômalo) para escapar de filtros de spam. Isso confirma que técnicas de evasão não ficam confinadas ao domínio em que nasceram: uma vez que a mecânica de 'caracteres invisíveis quebram correspondência exata' se torna conhecida, ela é reaproveitada por qualquer ator que precise driblar detecção baseada em texto, seja um filtro de e-mail, seja o input de um LLM.

Na prática, a própria Microsoft observou que mais de 99% das mensagens da campanha foram sinalizadas mesmo sem que os filtros identificassem diretamente os caracteres de tag, graças a camadas complementares como reputação de remetente/IP, classificação por machine learning e autenticação de domínio — o que sugere que defesas em profundidade continuam sendo eficazes mesmo contra evasões inéditas em uma camada específica. Ainda assim, a recomendação central é clara: qualquer pipeline que avalie conteúdo por palavra-chave, assinatura ou regex — seja um filtro anti-phishing, seja um sistema de ingestão de conteúdo para um agente de IA — precisa normalizar e remover pontos de código invisíveis antes de aplicar a comparação, e tratar a mera presença de caracteres do bloco Tags como sinal de anomalia de alta confiança.

O caso reforça um ponto estrutural para times de segurança: pesquisa em segurança de IA e pesquisa em segurança de e-mail/phishing, tradicionalmente tratadas como disciplinas separadas, precisam trocar informações de forma mais próxima. Uma mitigação desenhada para proteger um LLM contra prompt injection (normalização de Unicode na ingestão) é exatamente a mesma mitigação que fecha essa nova rota de evasão de phishing, e o inverso também é verdadeiro: heurísticas de detecção de campanhas de spam em massa podem antecipar novas variantes de ataques a IA antes que apareçam nesse domínio.