Yapay zekâ modellerini hedef almak için geliştirilen ve zararlı komutları gizlemekte kullanılan ustaca bir yöntem, artık spam göndericiler tarafından da benimsenmiş durumda. E-posta platformlarındaki filtreleri aşarak toplu mesaj kampanyalarında kullanılan istenmeyen e-postaları tespit etmekten kaçınmayı amaçlıyorlar.
Bu yöntem genel olarak ASCII smuggling olarak biliniyor. Yaklaşık iki yıl önce, prompt injection olarak adlandırılan bir yapay zekâ saldırı türünü daha gizli hale getirmenin bir yolu olarak dikkat çekti. Yapay zekâ modelleri tarafından işlenecek e-postalara veya güvenilmeyen diğer içeriklere yerleştirilen zararlı komutlar, sıradan metinlerle değil, özel bir dizi Unicode karakteriyle yazılıyor. Örneğin, U+E0041 karakteri "A" harfini, U+E0061 karakteri ise "a" harfini temsil ediyor.
Artık Sadece Prompt Injection Gizlemekle Kalmıyor
Bu 128 karakterlik blok, Amerikan Standart Kodlama Bilgi Değişimi (ASCII) karakter kümesinin bir bölümünü neredeyse kusursuz bir şekilde taklit ediyor. Ancak büyük bir farkla: Bu karakterler bilgisayarlar tarafından okunabilirken, tasarım gereği insanlar tarafından neredeyse tamamen görünmezler. Zararlı komutlar bu karakterlerle ifade edildiğinde, yapay zekâ modelleri bu komutları algılıyor, ancak e-postayı okuyan insanlar bunları asla göremiyor.
Bu yılın başlarında Microsoft, bu tekniği kullanan spam mesajlarında büyük bir artış görmeye başladı. Şubat ayının başlarındaki tek bir günde, Microsoft Defender for Office tarafından tespit edilen ASCII smuggling imzalarının sayısı günlük yaklaşık 21.000'den 1,3 milyonu aştı. Dört gün içinde ise bu sayı 2,5 milyona fırladı. Bu yoğunluk aylarca sürdü ve Mayıs ortasında keskin bir şekilde azaldı.
Microsoft'un açıklamasına göre, "Etiket karakterleri insanlar için görünmez ancak metin işleme düzeyinde bulunduğundan, modellerin içine komut gizlemek için kullanışlı olmalarını sağlayan özellik, anahtar kelimeleri bir algılayıcı değerlendirmeden önce gizlemek için de kullanışlı hale geliyor." Yani amaç tersine dönüyor ancak mekanizma benzer kalıyor ve kullanıcının şüphelenmesi engelleniyor.
Spam göndericiler, özellikle gönderdikleri toplu e-postalarda sıkça rastlanan dolar miktarları ve "kredi", "vade" gibi kelimeleri içeren filtreleri atlatmak için Unicode karakterlerini gizlemeye çalışıyor. Örneğin, "fonlama" kelimesinin ortasına görünmez metinler serpiştirerek, filtrelerin kelimeyi "fon" ve "lama" olarak okumasını sağlayabiliyorlar. Oysa alıcı, kelimeyi tam haliyle "fonlama" olarak görüyor.
Belirli tetikleyici kelimeleri gizlemek için özel metin kullanmak yeni bir şey değil. Spam göndericiler yıllardır benzer sonuçlar elde etmek için sıfır genişlikli boşluklar ve kırılmayan boşlukler gibi karakterleri kullanıyorlar. Bu karakterler, tam eşleşen bir dizgeyi arayan filtreleri engelleyebilir ve düzenli ifadelerin (regex) aradığı bayt dizisini değiştirebilir. Spam göndericilerin, bazı spam filtrelerinin henüz bu karakterleri tespit edecek şekilde programlanmamış olmasından dolayı gizli Unicode etiketlerini benimsemiş olmaları muhtemel. Bunun daha büyük bir nedeni ise, spam tespiti için yapay zekâ (ML) ve doğal dil işleme (NL) modellerinin sağladığı avantajlara karşı koymak olabilir.
Microsoft, geliştiricilerin spam'deki ASCII smuggling'i daha iyi hesaba katacak filtreler programlamaları için rehberlik sağladı.
