かつてAIを攻撃した「ASCIIスマグリング」技術、今やスパムメールの新たな主役に

かつてはもっぱら人工知能への攻撃に用いられてきた「ASCIIスマグリング」技術が、スパムメールの攻防領域に着実に根を下ろしつつある。ASCIIスマグリングとは、人間の目では識別できない一群のUnicode文字を使い、一見正常なテキストに余分な情報を紛れ込ませることで、プログラムやAIを欺き、さらにはモデルの判断ロジックまで変えてしまう手法を指す。Ars Technicaの最近の報道によれば、もともと「研究者のおもちゃ」や「標的型攻撃の武器」に過ぎなかったこの文字操作手法が、今やスパム送信者に大規模に活用されているという。

「かつては見過ごされていたUnicode文字ブロックは、人間の目にはまったく見えないにもかかわらず、ますます広く使われるようになっている。」——Ars Technica

スパムメール自体は目新しいものではない。新しいのは、攻撃者が利用するのが視覚的に紛らわしい文字ではなく、テキスト層における「見えない底層構造」だという点だ。この技術は可読の単語を分解し、「不可視の詰め物」を注入することで、キーワードフィルター・全文検索・メール要約・状況把握システムにそれぞれ異なる解釈をさせ、幾重もの防御ラインをすり抜ける。

ASCIIスマグリングとは何か？

デジタルシステムの最も基本的な単位はバイトであり、テキストは文字セットのエンコーディングによって定義される。ASCII文字セットはわずか128文字しか持たないが、後に各民族の言語をサポートするためUnicodeファミリーが数万にのぼる符号位置へと拡張され、その中には「書式制御」専用に設計されたメタ文字の一群が含まれている。これらの文字はグリフを持たず視覚的なスペースを占有しないか、特定の環境においてのみソフトハイフン・不可視区切り文字として表示される。例えばゼロ幅スペース（U+200B）、ゼロ幅ノーブレークスペース（U+2060）、左から右へのエンベディング（U+202A）などは、通常は画面上に何も表示しないが、バイト列およびUnicode符号位置としては明確に存在する。検索エンジン・メールフィルター・大規模言語モデルのいずれも、これらを「実在する符号位置」として読み込む。

攻撃者はまさにこの「存在するが見えない」という特性を利用し、二つのマシン間——あるいはマシンと人間の間——で食い違ったテキストの見え方を作り出す。たとえて言えば、スパムメッセージ中の各キーワードの文字の間にひそかに複数のゼロ幅スペースが挿入されていれば、人間が目視確認した際は依然として「urgent account suspension」という自然な文章に見えるが、形態素解析エンジンは各文字をばらばらに分解し、元の単語シグナルを希薄化してしまう。逆に、攻撃者が隠れたUnicode文字に特定の内容を担わせ、ターゲットのAIがそれを「読み取れる」場合、モデルは悪意ある命令を実行するよう誘導されることさえある。これがASCIIスマグリングの核心だ——人間に見える情報は一切変えずに、別の命令をこっそりマシンへ「密輸」するのである。

かつてはAIを攻撃し、今はスパムへ直行

生成AIが急速に普及した2年間で、こうした不可視文字はジェイルブレイクプロンプトの増幅器と暗号化レイヤーとしてほぼ定番化した。研究者と攻撃者はいくつかの著名な大規模言語モデルで類似の脆弱性を発見している。ユーザー入力にゼロ幅スペースを混入させると、その中間に挟まれた指示テキストがモデルに書式指定として解釈され、システムが事前に設定した「安全ガードレール」を上書きするプロンプトインジェクションを引き起こす可能性がある。メールの領域では、受信側が自然言語セキュリティゲートウェイを通じてメールをAI要約ツールやリアルタイム分類器に渡すことが多く、同種の技術が十分に機能する余地が与えられている。

Ars Technicaが観察した新たなトレンドは、スパム送信者がASCIIスマグリングを特定のAIターゲットへの「精密外科的攻撃」から、高度に自動化された「網を広く張る」方式へと格上げしたことだ。彼らのワークフローにおいて、ASCIIスマグリングは複数の役割を果たす。スパムテキストを人工的な抽出検査では完全に無傷に見せる。ポピュラーなスパムコンテンツのハッシュフィンガープリントを無効化する（スキャンのたびに異なる配列の不可視文字が生成されるため）。さらに、発信評価システムや言語モデルベースのアンチスパムモデルが依拠する「意味論的経路」を回避する。仮にあるメールが最終的にスパムと判定されても、攻撃者はスマグリング文字のエンコード順を素早く変えて再び配信キューに投入できる。

さらに厄介なのは、こうした手作業の痕跡が顕著な攻撃がスパムのコストを再定義したことだ。かつてはアンダーグラウンドがフィルター回避技術を習得するにはメールサーバーの文法とIPレピュテーションを理解する必要があった。今は、オープンソーススクリプトを使って通常のスパムコンテンツにゼロ幅文字を挿入し、同様にAI機能を備えたメールサービスプロバイダーの審査にアップロードするだけでよい——実際には攻撃者がAIに「最適なスマグリング戦略」を自動生成させ、大量生成された無数のバリアントを従来の方法より何桁も速く展開している。

編集後記：「見えないこと」がリスクになった今、どうすべきか？

ASCIIスマグリングが実験室を飛び出してスパム産業チェーンに採用された根本的な原因は、すべての検知システムが「テキストをより深く理解すること」を追求しながら、「テキスト自体が信頼できるかどうか」をほとんど問うてこなかったことにある。文字レベルでのホワイトリスト構築や不要な制御文字の正規化による除去は、もはや後回しにできない最適化項目だ。

個人ユーザーにとってこの攻撃は比較的見えにくいが、過度に不安になる必要はない。メールサービスプロバイダーがゲートウェイ層で一度「Unicodeクレンジング」を行えば、可視文字以外のほとんどの干渉を除去できる。難しいのは、企業がAIメールゲートウェイはモデルを本番環境に置けば万事解決というわけではないことを理解する必要がある点だ。同じTransformerモデルであっても、受信側が不可視文字を除去する前にトークナイズを行えば、いわゆる「意味論的理解」は処理に着手する前からすでに汚染されている。したがって、将来のセキュリティアーキテクチャは、より上流の文字入力段階に「データ衛生」のバルブを設けなければならない。

最後に、視点を少し引いて考えてみよう。人間の知覚とマシンの理解の間に分裂を作り出せる技術はどれも、必然的に欺瞞の天然の温床となる。「AIへの攻撃」から「スパムへの転用」へ、ASCIIスマグリングのダウングレード活用はおそらく終着点ではなく、グレー・ブラックマーケットがセキュリティ技術を規模化して吸収する一つの普通のサイクルに過ぎない。防御者にとっての真の対抗策は、Unicodeを完全に拒否することでもAIへの過度な依存でもなく、「見えない文字」も「聞こえない言葉」も追跡に値すると認めることにある。

本稿はArs Technicaより編訳