Tu suis la course aux modèles IA ?
Chaque sortie (GPT, Claude, Gemini, Mistral…) décryptée le soir même, en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisis ton rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Des balises Unicode quasi invisibles aux humains servent désormais à maquiller des mots-clés dans des campagnes de masse. Microsoft rapporte une montée fulgurante des détections début février, avant un reflux à la mi‑mai. Cette astuce, née autour des injections de prompt contre des LLM, perturbe les classificateurs d’e‑mails fondés sur le ML et le NLP.
Détections : de 21 000 par jour à 2,5 millions en quatre jours
Microsoft a observé cette année une forte hausse de messages de spam exploitant des caractères invisibles. À partir d’un jour début février, Microsoft Defender for Office est passé d’environ 21 000 signatures de contournement ASCII détectées par jour à plus de 1,3 million. En quatre jours, les détections ont culminé à 2,5 millions. Ce volume est resté élevé pendant des mois avant de retomber nettement à la mi‑mai.
Pourquoi les filtres trébuchent sur des caractères invisibles
Selon Microsoft, des caractères invisibles pour l’utilisateur mais présents au niveau du traitement du texte suffisent à brouiller les mots-clés avant l’évaluation par un détecteur. L’enjeu pour les attaquants est de perturber les modèles de ML et de NLP qui assurent de plus en plus la classification du spam et du phishing. À moins de convertir le message en image et d’appliquer de l’OCR, un système de filtrage peut manquer ces manipulations. Un classificateur d’e‑mail standard segmente souvent le texte en tokens ou sous-mots, et l’insertion d’un caractère tel que U+E0020 peut empêcher la reconnaissance d’une unité familière. Le texte peut alors être scindé en fragments inattendus, produire des sous‑tokens rares, ou, si la normalisation supprime le caractère, redevenir le mot initial.
Une ruse venue des attaques contre les LLM
Le contournement ASCII, connu pour camoufler des instructions d’injections de prompt, a émergé il y a deux ans comme moyen de les rendre plus furtives. La méthode s’appuie sur des balises Unicode spéciales, comme U+E0041 pour « A » et U+E0061 pour « a », appartenant à un bloc de 128 balises qui mime une partie de l’ASCII tout en restant quasi invisible aux humains. Formulées ainsi, des instructions peuvent être lues par un LLM sans apparaître aux yeux d’un lecteur humain.
Cibler les mots déclencheurs, entre vieilles recettes et nouveautés
Les acteurs du spam cherchent à déjouer les filtres qui scrutent des montants et des termes comme « crédit » ou « terme ». En parsemant un mot tel que « financement » de texte invisible, un filtre peut n’y voir que des segments comme « fun » et « ding », tandis que le destinataire lit le mot complet. Le camouflage de mots déclencheurs n’est pas inédit : espaces de largeur nulle et espaces insécables sont utilisés depuis des décennies pour défaire les recherches littérales et perturber les motifs visés par des filtres regex.
Filtres pris de court et pistes de mitigation
L’adoption des balises Unicode cachées s’explique probablement par le décalage de certains filtres qui ne les détectaient pas encore, et par la volonté de contrer les gains apportés par le ML et le NLP à la détection du spam. Un post publié jeudi fournit des conseils aux développeurs pour adapter les filtres afin de prendre en compte ce contournement ASCII.
