Quand une technique d’obfuscation de l’IA sert à contourner les filtres anti-phishing

Des caractères Unicode invisibles, surtout connus dans les travaux sur l’obfuscation de prompts, ont été réutilisés dans une campagne de phishing pour compliquer la détection de mots-clés financiers. Microsoft décrit une technique précise : insérer ces caractères au milieu de termes lisibles par le destinataire, mais moins faciles à reconnaître pour certains filtres ou modèles de traitement.

L’observation vient de Microsoft Security Research. Elle ne signifie pas que tous les systèmes de messagerie sont vulnérables, ni qu’une seule règle Unicode suffirait à bloquer une campagne. Elle montre surtout qu’une technique apparue dans la sécurité de l’IA peut rapidement trouver un autre usage dans des attaques plus classiques.

Quand l’ASCII smuggling quitte le laboratoire de l’IA

L’« ASCII smuggling » désigne ici l’emploi de caractères non rendus ou difficiles à voir pour transporter une information qui n’est pas perçue de la même manière par un humain et par un logiciel. Microsoft rappelle que cette famille de techniques a été étudiée dans le contexte des injections de prompts : une instruction peut être masquée à l’œil tout en restant présente dans le texte transmis à un modèle.

Dans la campagne étudiée, l’objectif était différent. Les messages ne cherchaient pas à dissimuler une instruction destinée à un assistant. Ils inséraient des caractères du bloc Unicode Tags dans des mots d’appât liés au financement, afin de casser une correspondance littérale ou de modifier la façon dont un pipeline segmente le texte. Le destinataire pouvait continuer à lire le mot, tandis qu’un filtre dépendant d’une chaîne continue pouvait recevoir une séquence différente.

Une campagne observée dans la télémétrie Microsoft

Selon Microsoft, les détections liées à cette signature ont fortement augmenté le 9 février 2026. Le pic rapporté dépasse 2,3 millions de messages le 11 février. L’entreprise décrit ensuite une phase à fort volume d’environ trois mois, avec une nette baisse après le 15 mai. Ces dates bornent l’activité correspondant à la technique observée dans la télémétrie ; elles ne décrivent pas nécessairement toute la durée de la campagne.

Le rythme présentait aussi une régularité hebdomadaire : beaucoup de messages en semaine, puis une forte baisse le week-end. Microsoft rapporte des volumes journaliers compris entre 1 et 2,37 millions pendant la période de pointe, avec un maximum le 26 février. Ces nombres doivent être lus comme des mesures internes de l’éditeur, et non comme une estimation indépendante de l’ensemble du phishing circulant dans le monde.

La plage principalement surveillée est U+E0000-U+E007F. L’article cite notamment U+E0020, placé entre des lettres d’un mot. Microsoft signale toutefois qu’une détection naïve peut aussi rencontrer des séquences légitimes, par exemple dans certains drapeaux de subdivision. Une règle opérationnelle doit donc tenir compte du contexte et éviter de traiter chaque caractère de cette plage comme une preuve suffisante.

Pourquoi le problème dépasse la simple recherche de mots

Un filtre qui cherche une expression exacte peut ne plus voir le même motif si un caractère invisible est placé au milieu. Les systèmes modernes ne reposent cependant pas tous sur une recherche littérale. Microsoft indique que plus de 99 % des messages de l’activité décrite ont été signalés par des couches qui ne dépendaient pas directement des caractères Tags : réputation des expéditeurs et des domaines, analyse des URL, authentification, modèles anti-phishing et autres signaux.

La conclusion utile n’est donc pas qu’un caractère invisible permettrait de contourner les protections. Elle est plus nuancée : les pipelines qui normalisent, segmentent ou analysent le contenu à des étapes différentes doivent savoir comment ils traitent ces caractères. Une transformation effectuée trop tard peut laisser une signature manquer son objectif ; une normalisation effectuée en amont peut au contraire rendre le motif visible pour les contrôles suivants.

La parade proposée : normaliser avant de comparer

Microsoft recommande de normaliser ou de retirer les caractères invisibles et non rendus avant l’application des signatures de contenu. Leur présence peut aussi devenir un signal d’anomalie, à condition d’exclure les usages légitimes connus. L’entreprise conseille également d’examiner les domaines d’expédition, les infrastructures de relais, les URL de suivi et les autres indices comportementaux plutôt que de dépendre d’un seul indicateur.

Le même principe concerne les outils d’IA qui ingèrent des courriels, des documents ou des pages Web. Nettoyer et normaliser les données avant leur transmission réduit le risque qu’un texte visuellement anodin contienne des caractères interprétés autrement par le modèle. Cela ne remplace ni les contrôles d’accès, ni la validation humaine, ni les protections propres au service utilisé.

Ce qu’il faut retenir

• Une technique étudiée dans le contexte des injections de prompts a été réemployée pour gêner la détection de messages de phishing.
• Les chiffres publiés sont des observations de télémétrie Microsoft et doivent rester présentés comme telles.
• Les caractères Unicode invisibles sont un indice à normaliser et à contextualiser, pas une preuve autonome de compromission.
• La défense repose sur plusieurs couches : contenu normalisé, réputation, authentification, analyse des URL et détection comportementale.