El «ASCII smuggling» pasa de atacar sistemas de IA a ocultar spam

El 4 de septiembre de 2026, Ars Technica informó de que una técnica conocida como «ASCII smuggling», utilizada para ocultar instrucciones maliciosas en ataques de inyección de prompts contra agentes de IA, también está siendo adoptada por campañas de spam.

La técnica emplea un bloque de 128 caracteres Unicode que imita casi por completo una parte del código ASCII. Estos caracteres pueden ser interpretados por ordenadores y modelos de lenguaje, pero resultan prácticamente invisibles para las personas. Así, un mensaje puede incluir instrucciones que el modelo detecta aunque el lector no las vea.

Microsoft detectó a comienzos de febrero un aumento de las firmas asociadas a esta técnica en Microsoft Defender for Office: pasaron de unas 21.000 detecciones diarias a más de 1,3 millones. Cuatro días después, la cifra alcanzó los 2,5 millones. El volumen se mantuvo durante meses y cayó con fuerza a mediados de mayo.

En los mensajes de spam, los caracteres invisibles se insertan en palabras que suelen activar los filtros, como «credit», «term» o cantidades expresadas en dólares. Por ejemplo, al dividir una palabra como «funding», los filtros pueden interpretar fragmentos distintos mientras el destinatario sigue viendo la palabra completa.

Microsoft señaló que el objetivo no es solo evitar coincidencias literales, sino también dificultar el trabajo de los sistemas de clasificación basados en aprendizaje automático y procesamiento del lenguaje natural. Al introducir un carácter invisible, los tokenizadores pueden dividir una palabra de forma inesperada o generar tokens poco frecuentes.

La técnica aprovecha un bloque Unicode creado originalmente para etiquetas de idioma y posteriormente descartado para ese uso. Microsoft publicó recomendaciones para que los desarrolladores adapten los filtros y tengan en cuenta este tipo de ofuscación.

Fuente: Ars Technica.