AIのプロンプト注入から転用 — 見えないUnicode文字で検出をすり抜けるフィッシングをMicrosoftが分析

Microsoftは2026年9月3日、AIモデルへのプロンプト注入（指示の忍び込ませ）で知られる ASCIIスマグリング の手口が、従来型のフィッシングメールの検出回避に転用されていたとする分析を公表した。分析を主導したのはMicrosoft Security ResearchのNoam Kochavi氏とSarah Wolstencroft氏だ。AIセキュリティの研究で注目された回避技術が、通常の迷惑メールやフィッシングの現場に流れ込んだ大規模な観測例であり、Microsoftは検出の枠組みの見直しを呼びかけている。

ASCIIスマグリングとは

ASCIIスマグリングとは、人間の目には見えない、あるいは描画されないUnicode文字を使って、一見正常な文章の中に隠し内容を埋め込む手口だ。悪用されたのは Unicodeタグブロック（U+E0000〜U+E007F） と呼ばれる範囲で、印刷可能なASCII文字に対応する「影」の文字が収められている。もともとは言語タグ付けのために用意された仕組みで、現在はほぼ廃止されている。

この範囲の文字は一般的なフォントや画面では描画されないため、人間には何も異常が見えない。一方で、メール本文をそのまま受け取るAIアシスタントやソフトウェアは不可視文字も処理するため、人間が見る内容と機械が読む内容に差が生まれる。2025年を通じてAIのレッドチーミング（攻撃者視点の安全性検証）の報告や講演、ツールで頻繁に取り上げられ、一躍有名になったとMicrosoftは説明している。

キーワード内部に不可視文字を挿入

今回の発見は、Microsoft Defender for Office 365のプロンプト注入対策の研究の一環として作られた検出ロジック（ハンティング用シグネチャ）が、AIへの指示の隠蔽ではなく金融系フィッシングを検出したことがきっかけだ。攻撃者はAIへの指示を忍び込ませていたのではなく、funding（資金調達）などの金融系キーワードの内部に不可視のタグ文字（TAG SPACE＝U+E0020など）を1文字だけ挿入し、単語を分断していた。受信者には funding と正常に読めるが、文字列 funding そのままでの照合や正規表現では一致しなくなる。

Microsoftによると、より大きな効果は機械学習や自然言語処理の分類モデルに対するものだ。多くのメール分類器は文章をトークン（意味の断片）に分割して判断するため、途中に未知の不可視文字が混ざると funding という見慣れた単位として認識されなくなり、迷惑メール判定をすり抜けやすくなる。一方で、通常のメールでタグブロックの文字が現れることはほぼないため、存在自体が逆に精度の高い検知材料になるとMicrosoftは指摘している。

なお、似た手口としてゼロ幅スペース（U+200B）やノーブレークスペースを使った単語分断は以前から知られている。今回新しかったのは、文字の選択（AI研究で有名になったタグブロックの採用）と規模・規律だとMicrosoftは整理している。

2月9日に急増、平日に集中して約3か月継続

Microsoftのテレメトリ（Defender for Office 365の観測データ）によると、検出ロジックの反応は2026年2月8日の約2万1,000件から、翌2月9日には130万件超へ約2桁の規模で急増し、2月11日には230万件超でピークに達した。その後3月下旬にかけて平日の量は約8割まで段階的に減少し、大量送信の段階は5月15日を境に急速に縮小した。6月中旬まで低い残存が続き、時折小さな増加も見られたという。

2つの特徴が際立っている。第一に厳密な週間リズムで、平日は大量に送信される一方、日曜にはほぼゼロまで落ち込み、翌日に全量へ戻る。これは定時実行される大量送信基盤の典型的な動きだとMicrosoftは説明している。第二に、約150（148）の使い捨て金融系送信者ドメインの集団にほぼ集約され、検出反応全体の約96%を占めた。ドメイン名は advance・boost・business・capital・funding・loan など28語の語彙の組み合わせで作られ、使い回されていた。

メール自体は正規のメール配信プラットフォームであるActiveCampaignの基盤を経由して送られていた。受信者が押すリンクは同プラットフォームのクリック計測ドメイン（acemlnd.com、activehosted.com）に書き換えられ、送信元IPの約92%は単一の/24ブロック（173.236.20[.]0/24）に集中していた。Microsoftは公開前にActiveCampaignと調査結果を共有したと説明している。同社は、不可視文字を含むメッセージも含まない場合と同じ判定になるとの検証結果を示し、乱用への対策投資を続けるとの声明をMicrosoft経由で寄せた。なお、MicrosoftはこのIPブロックや計測ドメイン自体は正規サービスの共有領域であり、単独では悪性判定の根拠にしないよう注意している。

同系統の広範なキャンペーン自体はこの手口の採用より前から存在し、手口の使用終了後も続いていた。Microsoftの分析対象はタグ文字が使われていた期間とメッセージに限られる。

検出の隙間とMicrosoftが示す対策

Microsoftは、メール防御の仕組みにおける潜在的な隙間として、内容の検出処理の前にUnicodeタグ文字が正規化（除去・統一）されるか、あるいは検知されるかを検証すべきだと指摘している。Defenderではメッセージ内容の画像化とOCR（光学文字認識）による可視テキスト抽出も含む層状の防御で対応し、今回の観測量の99%超はタグ文字そのものの検知に依存しない層（送信者・IP・URL・ドメインの評価、機械学習分類、なりすまし検知、認証確認など）で検知されたと説明している。

そのうえでMicrosoftは、次の対策を推奨している。いずれも同社が実際に公表した内容だ。

• 照合の前に正規化する — キーワードやシグネチャ、正規表現で評価する前に、件名・本文からUnicodeタグ文字（U+E0000〜U+E007F）や他のゼロ幅・不可視文字を除去・統一し、単語内部への挿入で照合が無効化されないようにする
• タグブロック文字の存在自体を異常信号として扱う — 一部の地域旗絵文字など正規の用途を除き、通常のメールで現れることはほぼないため、精度の高い異常検知の材料になる
• 行動の指紋を見る — 使い捨ての金融系ドメインからの大量送信が平日に集中し週末に止まるなど、タグ文字の急増と送信パターンの組み合わせは確度の高い手がかりになる
• AIに取り込む前の正規化にも同じ対策を適用する — この回避を防ぐ制御は、メールを取り込むAIアシスタントへのプロンプト注入対策にも同時になる

Microsoftは、Defender for Office 365にこの種の手口を検知するヒューリスティック検知を備え、金融系送信者ドメインを追跡・遮断していると説明している。プロンプト注入対策機能（Defender for Office 365 Plan 2またはMicrosoft 365 E5の利用者向け）は、不可視文字でAIへの指示を隠す試みへの防御にもなると同社は述べている。適用範囲は製品のライセンスや設定、テレメトリに依存すると付記している。

MicrosoftはMITRE ATT&CKの観点から、今回の活動にT1566（フィッシング）、T1027（難読化されたファイル・情報）、およびAIセキュリティの分類であるMITRE ATLASのAML.T0068（LLMプロンプト難読化）が該当すると整理している。

読者が行うべきこと

Microsoftが示す対策に沿えば、まず自組織のメール防御や検知ロジックがUnicodeタグ文字（U+E0000〜U+E007F）を正規化・検知しているかを検証することが出発点になる。Microsoftが公開した高度なハンティングクエリ（EmailEventsテーブル向け）は、不可視文字そのものではなく金融系語彙の送信者ドメインと配信基盤の形状で追跡する形を取っており、自環境に応じた調整のうえで利用できると同社は説明している。

利用者側の基本は変わらない。不審な融資・与信の勧誘メールは安易に開かず、リンク先の正当性を送信者表示だけで判断しないことが重要だ。管理者はDefender for Office 365などの層状防御とプロンプト注入対策機能の設定状態を確認し、週末に止まる大量送信のような行動パターンも含めて監視するとよい。

出典

• ASCII smuggling crosses over from AI prompt injection to phishing evasion — Microsoft Security Blog