Por Canuto  

Una técnica creada para ocultar instrucciones maliciosas dirigidas a modelos de inteligencia artificial ahora es utilizada por spammers para esquivar filtros de correo. Microsoft registró un salto desde unas 21.000 detecciones diarias hasta más de 1,3 millones, mientras los atacantes esconden palabras clave mediante caracteres Unicode invisibles.
***

  • El ASCII smuggling utiliza etiquetas Unicode casi invisibles para los lectores, pero legibles durante el procesamiento informático.
  • Microsoft observó que las detecciones subieron de aproximadamente 21.000 a más de 1,3 millones en un solo día de febrero.
  • Los spammers buscan confundir tanto las coincidencias literales como los sistemas modernos basados en aprendizaje automático y procesamiento de lenguaje natural.

Una técnica que ganó notoriedad por ayudar a ocultar instrucciones maliciosas dirigidas a modelos de inteligencia artificial ahora tiene un nuevo uso: evadir los filtros contra el correo no deseado. Los spammers incorporan caracteres Unicode prácticamente invisibles dentro de palabras que suelen activar las defensas, con la expectativa de que el destinatario vea el mensaje normal mientras los sistemas automáticos procesan una cadena distinta.

El fenómeno muestra cómo los atacantes reutilizan herramientas diseñadas para manipular sistemas de IA y las adaptan a objetivos más tradicionales, como las campañas masivas de correo. Según Ars Technica, Microsoft observó a comienzos de este año un crecimiento abrupto de mensajes que empleaban esta técnica, conocida de manera general como ASCII smuggling, con un pico que alcanzó millones de detecciones diarias.

Una técnica nacida alrededor de los ataques a la IA

El ASCII smuggling consiste en representar caracteres mediante un rango especial de etiquetas Unicode, en lugar de escribir las instrucciones con texto ordinario. Dentro de ese bloque existen 128 etiquetas que imitan casi por completo una parte del código ASCII, aunque fueron diseñadas para resultar casi invisibles a las personas y continuar siendo reconocibles durante el procesamiento de texto.

Entre los ejemplos descritos figura la etiqueta U+E0041, que representa la letra «A», y U+E0061, asociada con la letra «a». Cuando las instrucciones maliciosas se esconden de esa forma dentro de un correo electrónico u otro contenido no confiable, un modelo de lenguaje puede detectarlas durante su análisis, mientras que la persona que revisa visualmente el mensaje no necesariamente advierte que existen.

En su uso original, la técnica buscaba hacer más sigilosas las llamadas inyecciones de prompts, un tipo de ataque que intenta conseguir que un sistema de IA siga instrucciones insertadas en información externa. El objetivo no era cambiar el aspecto visible del contenido, sino aprovechar la diferencia entre lo que interpreta el modelo y lo que percibe el usuario que lee el mensaje.

Los spammers invirtieron esa lógica sin modificar el mecanismo fundamental. En vez de esconder instrucciones para que las ejecute un modelo, introducen caracteres invisibles dentro de términos que los filtros suelen buscar, de modo que el destinatario continúa viendo una palabra familiar mientras el sistema de seguridad recibe una secuencia fragmentada o inesperada.

Millones de detecciones y una nueva disputa con los filtros

Microsoft registró el aumento a principios de febrero, cuando las firmas de ASCII smuggling detectadas por Defender for Office pasaron de aproximadamente 21.000 por día a más de 1,3 millones en una sola jornada. Cuatro días después, las detecciones alcanzaron 2,5 millones, un salto que reflejó la velocidad con la que la técnica comenzó a aparecer en campañas de spam.

La oleada se mantuvo durante meses y cayó bruscamente a mediados de mayo, aunque las mediciones citadas por la compañía abarcaron hasta el 18 de junio de 2026. Microsoft también presentó impactos diarios de firmas en dominios de remitentes con temática financiera, utilizando una escala logarítmica para mostrar la evolución de las detecciones durante ese periodo.

El mecanismo puede ocultar términos relacionados con dinero, crédito o financiamiento, que suelen aparecer en mensajes masivos diseñados para atraer a posibles víctimas. Si una secuencia invisible se coloca dentro de «funding», por ejemplo, el receptor puede seguir viendo la palabra completa, mientras un filtro identifica por separado «fun» y «ding», lo que reduce la posibilidad de una coincidencia directa.

La evasión no representa una novedad absoluta: durante décadas, los spammers han utilizado espacios de ancho cero y espacios de no separación para romper cadenas literales y alterar la secuencia de bytes que revisan algunas expresiones regulares. Las etiquetas Unicode ocultas, sin embargo, pudieron resultar especialmente útiles porque ciertos filtros todavía no estaban preparados para reconocerlas y porque también afectan a los sistemas que clasifican mensajes mediante aprendizaje automático.

El problema para los modelos de detección

La dificultad principal aparece cuando un filtro no compara simplemente una palabra completa, sino que primero transforma el texto en tokens o fragmentos de subpalabras. Un término limpio como «funding» puede convertirse en una unidad conocida para el clasificador, pero la inserción de un carácter invisible puede llevar al tokenizador a separar la cadena, producir fragmentos poco frecuentes o generar unidades desconocidas.

El resultado depende de la forma en que cada sistema procese y normalice el contenido. En algunos casos, el carácter especial puede desaparecer antes del análisis y dejar intacta la palabra original; en otros, puede permanecer como un elemento inesperado entre «fun» y «ding», modificando la representación que utiliza el modelo para decidir si el mensaje parece legítimo o sospechoso.

Microsoft explicó que el mayor beneficio para el atacante no consiste únicamente en impedir una búsqueda literal, sino en aprovechar las limitaciones de los modelos de aprendizaje automático y procesamiento de lenguaje natural. Si el sistema no convierte el mensaje en una imagen y luego extrae su contenido mediante reconocimiento óptico de caracteres, podría no interpretar el texto de la misma manera que una persona.

La diferencia entre la apariencia visual y la estructura interna del mensaje crea una superficie de evasión que también resulta relevante para los sistemas de IA integrados en herramientas de correo. Un lector puede reconocer una oferta financiera o una solicitud de crédito, mientras el filtro recibe una secuencia alterada que dificulta asociarla con patrones ya conocidos de spam y phishing.

Qué pueden hacer los desarrolladores

La respuesta exige que los filtros identifiquen y traten de manera específica las etiquetas Unicode utilizadas para ocultar contenido, en lugar de depender exclusivamente de coincidencias exactas. La orientación difundida por Microsoft apunta a que los desarrolladores deben considerar estos caracteres durante la normalización, el análisis de tokens y la clasificación general del mensaje.

Una defensa eficaz también debe evaluar qué ocurre después de eliminar o transformar los caracteres invisibles. Si el sistema solo borra la etiqueta y continúa sin revisar el resultado, podría pasar por alto una palabra de riesgo reconstruida; si la conserva como un símbolo extraño, debe evitar que ese fragmento reduzca artificialmente la puntuación de peligro.

El reto consiste en mejorar la detección sin castigar de forma indiscriminada los usos legítimos de Unicode, que aparece en idiomas, nombres y formatos digitales diversos. Los filtros necesitan distinguir entre una característica lingüística normal y una inserción deliberada que altera palabras relacionadas con pagos, crédito, ofertas financieras o campañas de phishing.

La expansión del ASCII smuggling ilustra una carrera continua entre quienes diseñan defensas y quienes buscan esquivarlas. La técnica nació como una forma de ocultar instrucciones frente a sistemas de IA, pero su adopción por spammers confirma que cualquier diferencia entre lo que ve una persona y lo que procesa una máquina puede convertirse rápidamente en una herramienta de abuso.

Dan Goodin, editor sénior de Seguridad de Ars Technica con sede en San Francisco, informó sobre la evolución de esta práctica y sus implicaciones para los filtros de correo. El episodio deja una advertencia para los desarrolladores: la seguridad no depende solo de reconocer palabras peligrosas, sino de comprender cómo cada capa del sistema representa, divide y normaliza el texto antes de tomar una decisión.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados