Imagem editorial original gerada para o Plugged Ninja.
Uma técnica que ficou conhecida em 2025 por enganar assistentes de inteligência artificial acabou reaproveitada para um objetivo bem mais antigo: driblar filtros de e-mail. A constatação é da Microsoft, que publicou em 3 de setembro de 2026 uma análise assinada pela equipe de pesquisa de segurança e pelos analistas Noam Kochavi e Sarah Wolstencroft.
O achado tem uma origem curiosa. A regra de caça que detectou a campanha não foi escrita para procurar phishing: foi construída para identificar tentativas de injeção de prompt em mensagens de e-mail, dentro do trabalho de proteção do Microsoft Defender para Office 365. Ela encontrou outra coisa — milhões de mensagens de golpe financeiro usando os mesmos caracteres invisíveis, mas com finalidade oposta.
O termo ASCII smuggling, ou contrabando ASCII, descreve o uso de caracteres Unicode invisíveis ou que não são desenhados na tela para esconder conteúdo dentro de um texto de aparência normal.
O bloco mais explorado é o de tags Unicode, que ocupa a faixa U+E0000 a U+E007F. Ele contém uma cópia sombra dos caracteres ASCII imprimíveis: U+E0041 espelha a letra A, U+E0061 espelha a letra a, e assim por diante. O bloco foi criado originalmente para marcação de idioma e hoje está em grande parte obsoleto.
A propriedade que interessa ao atacante é simples: a maioria desses pontos de código não é renderizada por fontes e interfaces comuns. Uma cadeia de texto pode, portanto, carregar uma mensagem ilegível para a pessoa e ainda assim processada normalmente por qualquer software — ou modelo de linguagem — que receba o conteúdo bruto.
No último ano, o contrabando ASCII virou recorrente na literatura sobre injeção de prompt e injeção cruzada de prompt (XPIA). O padrão de ataque é direto: o atacante esconde instruções em caracteres de tag invisíveis dentro de uma página, documento ou e-mail; a pessoa não vê nada fora do comum; mas o assistente de IA que ingere o texto bruto enxerga os caracteres, decodifica o conteúdo e pode ser induzido a seguir instruções de terceiros, com consequências que variam conforme as permissões e as salvaguardas do assistente.
Como o método demonstra com clareza a distância entre o que o humano lê e o que o modelo processa, ele apareceu em muitos relatos de red teaming, palestras e ferramentas ao longo de 2025. Foi esse holofote que trouxe o bloco U+E0000 a U+E007F de volta à cena.
A construção da assinatura rendeu um detalhe instrutivo. A primeira versão sinalizava qualquer ponto de código da faixa e se mostrou grosseira demais: disparava sobre mensagens legítimas que continham um dos três emojis de bandeira de subdivisão do Reino Unido — Inglaterra, Escócia e País de Gales —, porque esses emojis são codificados justamente com caracteres de tag. A bandeira do País de Gales, por exemplo, combina o ponto de código base U+1F3F4 com uma sequência invisível soletrando gbwls e um terminador, U+E007F. Excluídos esses casos, o que restou foi ruído benigno de gateways de segurança, provedores de caixa postal e pesquisadores testando mensagens, o que estabeleceu uma linha de base estável na qual qualquer pico passaria a indicar abuso.
O pico veio em 9 de fevereiro de 2026. No dia anterior, a assinatura havia disparado em cerca de 21 mil mensagens; em 9 de fevereiro, em mais de 1,3 milhão — um salto de aproximadamente duas ordens de grandeza. O volume atingiu mais de 2,3 milhões de mensagens em 11 de fevereiro, com pico de volume diário em 26 de fevereiro, chegando a 2,37 milhões.
Dois traços chamam atenção nos dados divulgados pela Microsoft:
A Microsoft é explícita quanto ao alcance dessas datas: elas delimitam o uso observado da técnica, não da campanha como um todo, que começou antes sem os caracteres invisíveis e continuou depois de abandoná-los.
A surpresa apareceu na amostragem das mensagens sinalizadas: não havia nenhuma instrução escondida dirigida a um assistente de IA. Os caracteres de tag invisíveis estavam inseridos dentro de palavras-chave financeiras, partindo-as ao meio para que uma comparação literal falhasse.
O exemplo dado pela própria Microsoft é a palavra funding (financiamento), transmitida como fun mais U+E0020 mais ding, em que U+E0020 é o caractere invisível TAG SPACE. A campanha não codificava mensagem alguma no bloco de tags: usava um único caractere invisível como separador, salpicado dentro de termos de alto valor de sinal. Tecnicamente, é inserção de caractere invisível usando um ponto de código do bloco de contrabando ASCII, e não contrabando de mensagem propriamente dito.
Para quem recebe o e-mail, e para pipelines que descartam ou normalizam esses caracteres, a palavra continua sendo funding. Para um detector que procura a cadeia literal, ou uma expressão regular que não prevê pontos de código invisíveis intercalados, a sequência de bytes deixa de conter o termo contíguo.
O alvo mais valioso, porém, não são as regras literais: são os modelos de aprendizado de máquina e processamento de linguagem natural que hoje dominam a classificação de spam e phishing. Esses classificadores dividem o texto em tokens ou subpalavras antes de analisá-lo. Um termo limpo como funding tende a virar um token familiar; com o U+E0020 no meio, o tokenizador pode passar a ver fun, um caractere inesperado e ding, ou emitir subtokens raros. Se a normalização rodar antes, porém, o caractere simplesmente some e a palavra é recuperada. O comportamento depende inteiramente de onde a normalização entra no pipeline.
Há um contraponto que a Microsoft faz questão de registrar: como esse tipo de manipulação praticamente não aparece em tráfego normal, sua presença vira um sinal de alta confiança. Uma técnica pensada para fazer a mensagem parecer mais inofensiva aos modelos acaba entregando aos defensores um indicador com baixíssima taxa de falso positivo.
Inserir caracteres invisíveis ou parecidos para quebrar correspondência de palavras-chave é prática antiga em spam e phishing: há anos se veem espaços de largura zero (U+200B), espaço inquebrável (U+00A0), hifens suaves e substituição por homóglifos. O que muda aqui são três pontos. A escolha do caractere, já que em vez do espaço de largura zero habitual a campanha recorreu ao bloco de tags Unicode, que saiu do esquecimento por causa da pesquisa em segurança de IA. A escala e a disciplina operacional, com volume diário na casa dos milhões. E um possível ponto cego, porque o bloco de tags é menos abusado que os caracteres de largura zero e pode não estar coberto pelas rotinas de normalização.
A campanha rodou sobre centenas de domínios descartáveis com nomes de tema financeiro, remontados a partir de um vocabulário pequeno — capital, fund, funding, loan, loc, lend, finance, business, express, growth. Em 9 de fevereiro, 148 desses domínios responderam por cerca de 96% do volume sinalizado.
Mas esses domínios eram apenas a marca que o destinatário via. O envio real foi retransmitido por infraestrutura associada à ActiveCampaign, plataforma legítima de automação de marketing por e-mail, que reescreve todos os links da mensagem para passar por seus próprios domínios de rastreamento. Cerca de 98,5% das mensagens medidas casavam com o formato de envelope da plataforma, e aproximadamente 92% do volume diário partia de um único bloco de rede /24.
Cabe aqui uma ressalva que a própria Microsoft faz: esse bloco de rede e esses domínios de rastreamento são espaço legítimo, compartilhado por todos os clientes da plataforma. Servem para delimitar a investigação, nunca como indicador de bloqueio isolado.
Procurada antes da publicação, a ActiveCampaign afirmou ter testado a técnica contra seus sistemas de moderação: mensagens com caracteres Unicode invisíveis recebem o mesmo veredito que suas equivalentes sem ofuscação, e o uso intenso do recurso é, em si, tratado como sinal suspeito. A Microsoft conectou essa atividade a uma campanha de phishing mais ampla, com tema da agência americana de pequenos negócios (SBA), já documentada anteriormente pela Fortra — anterior, portanto, à adoção dos caracteres Unicode.
A pergunta é legítima e a resposta divulgada é matizada. Na estrutura do Defender para Office 365, mais de 99% das mensagens foram sinalizadas por camadas que não dependiam de identificar os caracteres de tag: reputação de remetente, de IP, de URL e de domínio, classificação de spam e phishing por aprendizado de máquina, detecção de personificação de marca e verificações de autenticação. A pilha de filtragem também consegue capturar uma imagem do conteúdo da mensagem e extrair o texto visível por OCR, o que anula esse tipo de truque.
Isso vale para um produto específico. A recomendação da Microsoft aos demais é testar o comportamento no próprio ambiente, porque as implementações variam.
O princípio central proposto é curto: normalize antes de comparar. Todo conteúdo que será avaliado por lógica de palavra-chave, assinatura ou expressão regular deve ter os pontos de código invisíveis removidos ou dobrados antes da comparação. Na prática:
Em termos de classificação, o caso é mapeado nas técnicas T1566 (Phishing) e T1027 (Obfuscated Files or Information) do MITRE ATT&CK, e na classe AML.T0068 (LLM Prompt Obfuscation) do MITRE ATLAS.
O contrabando ASCII construiu sua reputação como ataque de IA: esconder instruções das pessoas mantendo-as visíveis aos modelos. O que esta campanha mostra é a mesma técnica reaproveitada para o objetivo inverso — ocultar conteúdo de phishing dos sistemas de detecção, mantendo-o legível para o alvo humano.
A conclusão prática vai além do caso específico. Técnicas de segurança raramente ficam confinadas ao domínio em que nasceram. À medida que os métodos de ataque da era da IA se tornam mais conhecidos, é razoável esperar que sejam adaptados para ameaças tradicionais como phishing e spam, e que a fronteira entre segurança de IA e segurança de e-mail continue perdendo nitidez para quem defende.
Duas campanhas pré-registradas de pesquisadores britânicos pararam antes da pergunta central: o instrumento de medição…
O primeiro modelo multimodal da família V4 saiu do Hugging Face com 304,6 bilhões de…
Um SSRF sem autenticação com nota 10.0 no CVSS pode ser encadeado a uma injeção…
Pesquisadores do Google Research e da Virginia Tech separam trajetórias brutas, conhecimento consolidado e instruções…
Modelo multimodal com 125 bilhões de parâmetros e apenas 6 bilhões ativados por token traz…
Sexto relatório anual da Sophos ouviu 226 líderes de TI em 17 países. O custo…