Microsoft araştırmacıları, yapay zekâ modellerine yönelik talimat enjeksiyonu araştırmalarında bilinen “ASCII kaçakçılığı” (ASCII smuggling) tekniğini, talimatları kullanıcılardan gizleyip modellere göstermek yerine e-posta filtrelerini şaşırtmak amacıyla yeniden kullanan geniş çaplı bir finansal kimlik avı kampanyası tespit etti.
Kampanya, U+E0000 ile U+E007F arasındaki Tags aralığındaki görünmez Unicode karakterlerine dayanıyordu. Mesaj alıcıya normal görünüyordu, ancak saldırgan metin düzeyinde parçalamak için finansal kelimelerin içine görünmez bir karakter yerleştiriyordu. Bir vakada funding kelimesi, iki bölümünün arasına U+E0020 eklenmiş biçimde görünüyordu; bu durum kelimenin tamamını arayan metin eşleşmesini engelleyebilir.
9 Şubat'ta büyük sıçrama
Microsoft, e-posta mesajlarında talimat enjeksiyonu veya metin gizleme içerebilecek içerikleri tespit etmek üzere Microsoft Defender for Office 365 içinde arama mantığı geliştirirken bu faaliyeti keşfetti. Sinyal 8 Şubat 2026'da yaklaşık 21 bin kez tetiklendi; ertesi gün ise 1,3 milyon mesajı aştı.
Mesajların çoğu, finansal nitelik taşıyan yaklaşık 150 gönderici alan adı etrafında toplandı. Yüksek hacimli aşama 9 Şubat'tan sonra yaklaşık üç ay sürdü ve 15 Mayıs 2026'dan sonra keskin biçimde azaldı; haziran ortasına kadar sınırlı faaliyet devam etti. Kampanya 26 Şubat'ta zirveye ulaştı; iş günlerinde günlük hacim 1 milyon ile 2,37 milyon mesaj arasında değişti. Ayrıca belirgin bir haftalık örüntü izledi: pazartesiden cumaya yoğun faaliyet, hafta sonu ise neredeyse tamamen sessizlik.
Gizli mesaj kaçakçılığı değil, kelime kamuflajı
Microsoft, incelediği örneklerde yapay zekâ asistanına yöneltilmiş gizli talimatlar bulmadı. Bunun yerine Tags karakterleri, kredi teklifleri, kredi limitleri ve ön finansmanla ilişkili kelimelerin içine ayraç olarak yerleştirildi. Bu durum, sınıflandırmadan önce kelime eşleştirmesine veya metnin alt birimlere bölünmesine dayanan sistemleri etkileyebilir; ancak sonuç, sistemin analizden önce bu karakterleri normalleştirip dönüştürmesine veya silmesine bağlıdır.
Görünmez karakterlerin eşleşmeyi aşmak için kullanılması ilk kez gerçekleşmiyor; saldırganlar daha önce sıfır genişlikli boşluklardan, görsel olarak benzer karakterlerden ve yumuşak tirelerden yararlandı. Buradaki yenilik, yakın zamanda yapay zekâ güvenliği araştırmalarıyla ilişkilendirilen bir Unicode aralığının kullanılması ve ölçeğin günlük milyonlarca mesaja ulaşmasıdır.
Görünüşte meşru bir gönderim yapısı
Kampanya, finansal kelimelerden oluşturulmuş yüzlerce geçici alan adı kullandı ve bu örüntü, arama sinyalinin yakaladığı mesajların yaklaşık %96'sını oluşturdu. Mesajların çoğu, ActiveCampaign elektronik pazarlama platformunun altyapısı üzerinden gönderildi; platform bağlantıları acemlnd[.]com ve activehosted[.]com izleme alan adlarını kullanarak yeniden yazdı.
Microsoft, bu alan adlarının veya 173.236.20[.]0/24 adres bloğunun tek başına kötü amaçlı göstergeler olarak değerlendirilmemesi konusunda uyarıyor; çünkü bunlar başka müşterilere ait meşru mesajları da taşıyabilecek ortak bir altyapıdır. Şirkete göre mesajların %99'undan fazlası, yalnızca Unicode sinyaliyle değil; gönderici, alan adı ve IP adresi itibarı, bağlantı analizi, mesaj sınıflandırması, marka taklidi tespiti ve kimlik doğrulama kontrolleri dâhil olmak üzere birden fazla katman aracılığıyla engellendi.
Bu gelişme neden önemli?
Kampanya, yapay zekâ güvenliği bağlamında ortaya çıkan saldırı yöntemlerinin geleneksel kimlik avına hızla aktarılabileceğini gösteriyor. Uygulamada e-posta sistemleri, kelime ve düzenli ifade kurallarını uygulamadan önce metni normalleştirmeli; görünmez Unicode karakterlerini, Tags karakterlerine de dayanan İngiltere, İskoçya ve Galler bayrakları gibi bilinen meşru kullanımları hariç tutarak, anomali göstergesi olarak ele almalıdır.
Microsoft ayrıca e-posta içeriğini yapay zekâ sistemlerine aktarmadan önce aynı normalleştirmenin uygulanmasını ve kampanyanın davranışsal altyapı göstergelerinin—değişken finansal alan adları, iş günlerindeki gönderim örüntüsü, zarf göndericisinin biçimi ve izleme bağlantıları—tek başına hüküm vermek yerine çapraz göstergeler olarak kullanılmasını öneriyor. Bu önlemlerin etkinliği, Unicode'un işlenme biçimine ve her ortamdaki koruma ürünlerinin ayarlarına bağlı olmaya devam ediyor.