9月6日、Inside AI News が「What Is ASCII Smuggling and How It Helps Spammers Bypass AI Email Filters」と題した記事を公開した。Unicodeの不可視文字を悪用してAIメールフィルターをすり抜ける「ASCIIスマグリング」という攻撃手法を取り上げており、2026年2月のある1日だけで検知数が21,000件から130万件超へと急増するという衝撃的なデータが報告されている。なお、本記事はInsideAI NewsによるMicrosoftの研究レポートの二次引用を含んでおり、技術的な根拠はMicrosoftの観測データに基づく。

1日で検知数が21,000件から130万件超へ

Microsoftの研究者が観測したデータが、この攻撃の規模を端的に示している。2026年2月のある1日で、ASCIIスマグリングの検知数が21,000件から130万件超へと急増。その後4日以内に250万件に達した。

この急増が確認されたのは2026年2月のことで、攻撃者が手法の大規模テストを行っていたとみられる。その後、防御側が対応策を展開し始めたことを受けてか、同年5月中旬に検知数は急落した。約3ヶ月にわたる観測期間を通じて、攻撃側が防御側の反応を見ながら戦術を調整していた様子が見て取れる。

仕組み：人間には見えて、フィルターには見えない

ASCIIスマグリングの核心は、Unicodeの「タグ文字」ブロック（U+E0000番台）の悪用にある。このブロックには128文字が定義されており、例えばU+E0041が「A」、U+E0061が「a」に対応する。ASCII文字セットをそのまま映したような構造だが、画面上ではほぼ不可視だ。

攻撃者はこのタグ文字をスパムメール本文中の単語に埋め込む。たとえば「funding」という単語に不可視タグを挟むと、メールフィルターには「fun」と「ding」の2単語として認識される一方、受信者の画面には「funding」とそのまま表示される。

Microsoftはこの問題を次のように説明している（InsideAI News経由）。

"Because tag characters are invisible to humans but exist at the text-processing level, the same property that makes them useful for smuggling instructions into a model also makes them useful for obfuscating keywords before a detector evaluates them."
— Microsoft（InsideAI News経由）

つまり、人間が見るレイヤーと機械がテキスト処理するレイヤーの間に意図的なギャップを作るのが本質だ。

AIフィルターが本質的に苦手な理由

従来のスパムフィルターは「dollar」「credit」「term」といったキーワードのパターンマッチで動作してきた。ASCIIスマグリングはそのパターンを壊す。

さらに厄介なのは、機械学習や自然言語処理（NLP）ベースの現代的なスパム分類モデルも同様に騙せる点だ。文字列レベルで単語が分断されているため、モデルが本来のコンテキストを正しく解釈できない。

Microsoftはフィルターが検知できる唯一の確実な方法として、視覚的な解析を挙げている（InsideAI News経由）。

"Unless a filtering system takes a picture of a message and does OCR extraction over the visual image, it may miss this type of attack."
— Microsoft（InsideAI News経由）

要するに、メール本文を画像としてレンダリングしてOCRにかけない限り、テキスト処理だけでは見抜けないという構造的な弱点がある。

「プロンプトインジェクション」からの転用

この手法が興味深いのは、元々AIエージェントへの攻撃として開発されたものである点だ。Unicodeタグ文字をプロンプトインジェクション攻撃に悪用する手法は、セキュリティ研究者が2024年以前から報告しており、本記事公開時点（2026年9月）から起算すると2年以上前から観測されている。攻撃者はUnicodeタグ文字に悪意のある指示を隠し、大規模言語モデル（LLM）に読み込ませることでAIエージェントに隠し命令を送り込んでいた。

LLMはタグ文字をテキストとして処理できるが、人間のユーザーには見えない。この非対称性を利用した手法だ。

今回のスパムキャンペーンは、この仕組みを逆用している。AIに命令を「見せる」ために使っていたタグ文字を、今度はAIフィルターから単語を「隠す」ために使う。目的は正反対だが、メカニズムは同一だ。

Microsoftはフィルター開発者向けにASCIIスマグリングへの対処ガイダンスを公開しており、セキュリティ研究者はメッセージングプラットフォームへの応用についても警告している。

構造的な脅威として捉えるべき理由

2026年2月から5月にかけての急増・急落のパターンは、攻撃者が組織的に手法を大規模テストし、防御側の反応を見ながら戦術を調整していることを示している。一時的なキャンペーンとして片付けるのは危険だ。

同じUnicodeトリックは他のチャネルにも転用可能であり、セキュリティ研究者はAIエージェントを使ったメッセージングプラットフォームへのスパムについても警告を発している。テキスト処理と表示の間のギャップが埋まらない限り、同種の攻撃は続くとみられる。

詳細はWhat Is ASCII Smuggling and How It Helps Spammers Bypass AI Email Filtersを参照していただきたい。