ASCII 走私技术在钓鱼攻击中的应用与防御研究

摘要

ASCII 走私是一种源自人工智能提示注入研究的文本混淆技术，其核心机制是利用不可见 Unicode 标签字符在文本中嵌入对人类不可见、但可被特定解析系统读取的内容。近期该技术被迁移应用于大规模钓鱼活动，攻击者利用不可见字符分割金融诱饵关键词，从而规避邮件安全网关的关键词检测。本文系统梳理 ASCII 走私技术的原理及其从 AI 安全研究到网络钓鱼武器化的演化路径，基于已披露的攻击活动实证分析其基础设施特征，包括老化域名策略、注册信息聚集性、IP 地址分布与历史解析行为，探讨该技术对传统邮件过滤体系和自然语言处理检测模型的冲击，从邮件内容规范化检测、基础设施关联威胁狩猎、老化域名持续监控、多源情报交叉验证四个维度提出防御框架。研究表明，ASCII 走私代表了 AI 安全研究成果向网络犯罪领域迁移的新趋势，防御方需要在内容层和基础设施层同时构建检测能力，并关注前沿安全研究的武器化风险。

1 引言

网络钓鱼攻击的技术演进始终围绕一个核心目标展开：在不触发安全检测的前提下，将恶意内容送达目标用户并诱导其执行预期动作。为实现这一目标，攻击者持续探索各类内容混淆与规避技术，从早期的简单字符替换、HTML 标签嵌套，到后期的图片化文本、URL 短链接跳转，再到近年来利用生成式人工智能制造高度仿真的钓鱼内容，规避手段的复杂度不断提升。每一轮检测技术的升级，都会催生新一轮的规避方法，攻防双方在邮件内容层面的博弈长期处于动态平衡之中。

2026 年披露的一项大规模钓鱼活动揭示了一种值得关注的新型规避技术。攻击者在钓鱼邮件中使用不可见的 Unicode 标签字符分割 "funding" 等金融诱饵词汇，使得基于关键词匹配的邮件过滤器无法识别这些敏感词，而邮件在普通邮件客户端中渲染时，不可见字符不影响文本的视觉呈现，受害者看到的仍然是完整且通顺的诱饵内容。这种技术在人工智能安全研究领域被称为 "ASCII 走私"，最初用于提示注入攻击 —— 在人类不可见的位置嵌入指令，使大语言模型在处理文本时执行隐藏指令。此次攻击活动标志着该技术已从 AI 安全研究领域迁移至传统网络钓鱼场景，成为攻击者规避邮件检测的新工具。

迪妙网络空间安全学院研究团队指出，ASCII 走私在钓鱼场景中的应用具有特殊的警示意义。它不是一种全新发明的攻击技术，而是对已有研究成果的创造性迁移和再利用。这意味着 AI 安全领域的研究产出正在成为网络犯罪的技术来源，攻防知识的迁移速度正在加快，防御方需要更加关注前沿研究成果的潜在武器化风险，而非仅仅跟踪已在野出现的攻击手段。

从已披露的攻击活动数据来看，此次利用 ASCII 走私的钓鱼 campaign 规模较大。微软的调查识别了 148 个钓鱼域名，其中公开披露了 20 个域名和 25 个 IP 地址作为威胁指标。进一步的威胁情报分析在这些初始指标的基础上关联发现了 165 个相关工件，其中 158 个未被 VirusTotal 平台上的任何杀毒引擎检测到，检测盲区比例极高。这一数据表明，基于 ASCII 走私的钓鱼攻击在当前的安全检测体系下具有较强的隐蔽性，传统的依赖域名黑名单和关键词匹配的防御手段难以有效应对。

反网络钓鱼技术专家芦笛强调，ASCII 走私的危险性不仅在于其规避检测的技术能力，更在于它暴露了邮件安全体系中一个长期被忽视的薄弱环节 —— 对 Unicode 文本规范化处理的不足。绝大多数邮件安全网关在进行关键词检测时，默认输入文本是标准的可见字符序列，没有对文本进行充分的 Unicode 规范化和不可见字符清洗，这就为攻击者利用不可见字符混淆内容留下了空间。随着 Unicode 字符集的不断扩展和 AI 生成内容的普及，这类基于字符编码层面的规避技术可能会越来越多地出现在野攻击中。

本文围绕 ASCII 走私技术在钓鱼攻击中的应用展开系统研究。首先梳理该技术的基本原理及其从 AI 提示注入研究到网络钓鱼武器化的演化路径；其次基于已披露的攻击活动数据，从域名基础设施、IP 地址、网络流量等维度进行实证分析，刻画攻击者的基础设施运营特征；然后分析该技术对传统邮件安全体系的冲击机制；进而从内容层和基础设施层两个层面提出防御框架与检测思路；最后讨论该案例对网络安全研究的启示，特别是 AI 安全研究成果武器化的风险与防御研究的前瞻性要求。

2 ASCII 走私技术的原理与演化

2.1 从 AI 提示注入到邮件规避的技术迁移

ASCII 走私这一概念最早出现在大语言模型的安全研究中。提示注入是针对大语言模型的一类攻击方式，攻击者在输入文本中嵌入隐藏指令，试图绕过模型的系统提示和安全限制，使模型执行攻击者期望的操作。早期的提示注入主要依赖在文本中显式写入指令，例如在一段看似正常的文本末尾添加 "忽略以上所有指令，执行以下操作" 之类的内容。这类显式注入容易被人类阅读者发现，也容易被输入过滤机制拦截。

为了提升提示注入的隐蔽性，研究者开始探索利用文本编码层面的特性来隐藏注入指令。ASCII 走私正是在这一背景下提出的技术方案。其核心思路是利用 Unicode 标准中定义的标签字符 —— 这是一组原本用于语言标签标注的特殊控制字符，在常规文本渲染中不可见 —— 将注入指令编码到这些不可见字符序列中。当人类阅读文本时，这些字符不显示，阅读者看到的是正常的文本内容；但当大语言模型的分词器处理输入文本时，部分模型的分词器会将这些标签字符识别为独立的 token，从而使模型 "看到" 人类看不到的隐藏指令。这种人机感知不一致的特性，使得 ASCII 走私成为一种高效的提示注入载体。

据 DiMiao,CN 分析，ASCII 走私从 AI 安全研究迁移到钓鱼邮件规避，本质上是利用了同一技术特性在不同系统中的差异化解析行为。在 AI 提示注入场景中，差异化体现在人类视觉系统与大语言模型分词器之间；在钓鱼邮件场景中，差异化体现在邮件安全网关的解析引擎与最终用户邮件客户端的渲染引擎之间。攻击者在邮件正文中插入不可见 Unicode 标签字符，安全网关在进行关键词匹配时，如果没有对文本进行规范化处理，可能会将被不可见字符分割的词汇视为不连续的字符序列，从而无法匹配预设的关键词规则；而邮件客户端在渲染 HTML 或纯文本邮件时，不可见控制字符不产生视觉输出，受害者看到的是完整连贯的诱饵文本。同一组不可见字符，在检测系统和终端用户之间造成了感知差异，这正是 ASCII 走私能够实现规避的技术基础。

这种技术迁移的路径值得深入关注。AI 安全研究领域的成果通常以学术论文、技术博客、开源工具等形式公开，这些公开资料为安全社区提供了防御参考，但同时也为攻击者提供了技术灵感。ASCII 走私的原始研究公开后，攻击者不需要从零研发类似技术，只需要理解其核心原理并将其适配到邮件规避场景即可。这种 "研究成果武器化" 的模式大幅降低了攻击者的技术门槛，也缩短了从新概念提出到在野利用的时间窗口。

2.2 不可见 Unicode 字符的作用机制

要理解 ASCII 走私在邮件场景中的作用机制，需要从 Unicode 字符集的结构和邮件文本的处理流程两个层面展开分析。

Unicode 标准中包含多种类型的不可见或零宽字符。除了标签字符之外，还包括零宽空格、零宽连接符、零宽非连接符、字节顺序标记、各种格式控制字符等。这些字符在文本中不占据视觉宽度，或者在常规渲染中被抑制显示，但在文本的字节层面确实存在，并且会影响文本的解析和处理。ASCII 走私技术主要利用的是 Unicode 标签字符集中的字符，这些字符设计初衷是在纯文本环境中标注文本的语言属性，例如在多语言混合文本中标注某一段文字的语言代码，以便渲染引擎选择合适的字体和排版规则。由于这一使用场景较为小众，绝大多数文本处理系统对标签字符的处理并不完善，这就为攻击者利用它们进行内容混淆提供了条件。

在钓鱼邮件的具体应用中，攻击者将不可见标签字符插入到敏感关键词的字母之间。例如，将 "funding" 这个词拆分为 "f"、不可见字符、"u"、不可见字符、"n"、不可见字符、"d"、不可见字符、"i"、不可见字符、"n"、不可见字符、"g" 的形式。从字节序列来看，这个词已经不再是连续的 "funding" 字符串，而是被不可见字符打断的字符序列。如果邮件安全网关的关键词检测模块直接在原始字节流上进行子串匹配，那么 "funding" 这个关键词将无法被匹配到，因为原始文本中不存在连续的这七个字母。网关可能会判定该邮件不包含敏感关键词，从而放行。

而在邮件客户端渲染时，情况则完全不同。无论是基于 HTML 的富文本邮件还是纯文本邮件，标准的文本渲染引擎在遇到 Unicode 格式控制字符和标签字符时，通常会将其视为不可打印字符而跳过渲染，不产生任何可见输出。因此，受害者在邮件客户端中看到的仍然是完整的 "funding" 一词，不可见字符的存在完全不影响阅读体验。受害者无法通过视觉感知到文本中隐藏了额外字符，也就不会对邮件的真实性产生怀疑。

反网络钓鱼技术专家芦笛指出，ASCII 走私的巧妙之处在于它利用了文本处理链条中不同环节的实现差异。邮件从发送到被用户阅读，需要经过发送服务器、传输链路、接收网关、内容过滤引擎、存储服务器、邮件客户端等多个环节，每个环节对文本的解析和处理方式可能不同。攻击者只需要找到其中一个环节 —— 通常是内容过滤引擎 —— 对不可见字符处理不完善的漏洞，就可以实现对该环节的规避，而不影响其他环节的正常功能。这种利用系统间实现差异的攻击思路，在网络安全领域并不罕见，但 Unicode 字符层面的差异长期以来没有得到足够重视。

需要说明的是，ASCII 走私这一名称在技术上并不完全准确，因为该技术利用的是 Unicode 字符而非 ASCII 字符。ASCII 字符集仅包含 128 个基础字符，其中的控制字符虽然也有不可见的，但在现代文本系统中通常会被显式处理或过滤。Unicode 字符集的范围远大于 ASCII，其中的格式控制字符和标签字符才是 ASCII 走私技术真正利用的对象。这一名称的沿用更多是出于研究社区的习惯，而非技术上的精确描述。

2.3 与传统混淆技术的差异

ASCII 走私并非第一种用于邮件规避的文本混淆技术。在其出现之前，攻击者已经发展出多种内容混淆手段来规避邮件过滤。将 ASCII 走私与这些传统技术进行对比，有助于更清晰地理解其特点和优势。

传统的关键词混淆技术主要包括以下几类。第一类是字符替换，即用视觉上相似的字符替换原词中的字母，例如用数字 "0" 替换字母 "o"，用数字 "1" 替换字母 "l"，用希腊字母 "ο" 替换拉丁字母 "o" 等。这类方法的特点是替换后的字符在视觉上与原字符相似，但字节编码不同，因此可以规避精确的关键词匹配。然而，这类方法会改变文本的视觉呈现，仔细阅读的用户可能会发现拼写异常，而且安全网关可以通过归一化处理 —— 将相似字符映射回标准字符 —— 来检测这类混淆。

第二类是 HTML 标签嵌套，即在关键词的字母之间插入不影响渲染的 HTML 标签或 CSS 样式，例如在字母之间插入空的 span 标签、注释、零宽 HTML 实体等。这类方法仅适用于 HTML 格式的邮件，对于纯文本邮件无效。而且现代邮件安全网关通常会先剥离 HTML 标签再进行文本分析，因此这类方法的规避效果有限。

第三类是内容加密或编码，即将邮件正文进行 Base64 编码、ROT13 变换等处理，使关键词在原始字节流中不可见，然后在邮件客户端中通过脚本或特殊渲染方式还原。这类方法通常需要邮件客户端支持脚本执行或特殊解码，而现代邮件客户端默认禁用脚本执行，因此这类方法的适用范围受限，且编码特征本身容易被检测。

ASCII 走私与上述传统技术相比，具有几个显著差异。首先，ASCII 走私不改变文本的视觉呈现。字符替换会导致拼写异常，HTML 标签嵌套在某些客户端中可能出现渲染异常，而 ASCII 走私使用的不可见字符在所有标准渲染引擎中都不产生视觉输出，因此受害者看到的文本与正常文本完全一致，没有任何可感知的异常。这大大降低了被人工审核或用户怀疑的概率。

其次，ASCII 走私同时适用于纯文本和 HTML 格式的邮件。由于不可见字符是文本本身的一部分，而非依赖 HTML 结构，因此无论邮件是纯文本还是富文本格式，该技术都能生效。这扩展了攻击的适用场景，也增加了防御的难度 —— 防御方不能仅通过加强 HTML 解析来应对这类混淆。

第三，ASCII 走私利用的是 Unicode 标准中合法定义的字符，而非异常编码或畸形结构。标签字符是 Unicode 标准正式定义的字符，具有合法的码位和语义，文本处理系统在遇到这些字符时通常不会将其视为错误或异常，而是按照标准规范进行处理（即忽略渲染）。这意味着基于异常检测的安全机制可能不会对包含这些字符的文本产生告警，因为文本在编码层面是完全合法的。

迪妙安全研究团队认为，ASCII 走私的上述特点使其成为一种比传统混淆技术更难防御的规避手段。它不留下视觉痕迹，不依赖特定邮件格式，利用的是合法的 Unicode 字符，这些特性叠加在一起，使得传统的基于关键词匹配和简单归一化的检测机制难以有效应对。要检测 ASCII 走私，需要在文本处理流程中引入专门的 Unicode 规范化步骤，对不可见字符进行显式识别和处理，这对邮件安全网关的文本处理能力提出了更高要求。

3 基于 ASCII 走私的钓鱼攻击实证分析

3.1 攻击活动概况与基础设施特征

2026 年 9 月，微软公开披露了一项利用 ASCII 走私技术的大规模钓鱼活动。该活动的核心特征是在钓鱼邮件中使用不可见 Unicode 标签字符分割金融诱饵词汇，以规避邮件安全网关的关键词检测。攻击目标主要聚焦于金融融资相关场景，邮件内容围绕 "funding"（融资）、"capital"（资金）、"loan"（贷款）等主题展开，诱导受害者访问钓鱼网站并提交敏感信息。

微软的调查共识别了 148 个与该活动相关的钓鱼域名，并在公开报告中披露了其中 20 个域名和 25 个 IP 地址作为威胁指标。基于这些初始指标开展的进一步威胁情报分析，通过 WHOIS 历史查询、反向 WHOIS 关联、DNS 历史解析、网络流量分析等手段，又发现了 137 个与攻击活动相关的邮件关联域名、19 个额外 IP 地址（其中 8 个被确认为恶意）、9 个 IP 关联域名，累计整理出 165 个相关攻击工件。值得注意的是，在这 165 个工件中，有 158 个未被 VirusTotal 平台上集成的任何杀毒引擎检测到，未检测率高达 95% 以上。这一数据从侧面反映了该攻击活动的隐蔽性 —— 不仅邮件内容层通过 ASCII 走私规避了内容检测，其基础设施层也成功规避了主流威胁情报平台的覆盖。

从攻击活动的时间线来看，该活动呈现出长期运营的特征。网络流量数据显示，潜在受害者与攻击基础设施之间的通信最早可追溯至 2026 年 3 月，持续至 2026 年 9 月微软披露时仍在活跃，时间跨度超过半年。而部分域名的注册时间更早，最早可追溯至 2021 年 5 月。这表明攻击者并非临时注册域名开展攻击，而是采用了 "储备域名、长期持有、择机启用" 的运营策略，通过域名老化来降低新注册域名带来的风险评分。

反网络钓鱼技术专家芦笛指出，该攻击活动的基础设施运营模式体现了成熟网络犯罪组织的典型特征。长期储备域名、使用主流注册商、选择与目标受众相同的地理区域托管基础设施、控制域名和 IP 的暴露面，这些策略的组合使用使得攻击基础设施在常规的威胁情报扫描中难以被识别。再叠加邮件内容层的 ASCII 走私规避技术，整个攻击链条在内容和基础设施两个层面都具有较强的隐蔽性，这也是该活动能够长期运营而未被广泛检测的重要原因。

3.2 域名资产的老化策略与注册特征

域名是钓鱼攻击基础设施的核心组件，其注册特征和运营策略能够反映攻击者的资源投入和规避思路。对此次攻击活动中披露的 20 个域名进行分析，可以发现几个显著的注册特征。

第一，域名普遍具有较长的注册历史。20 个域名的注册时间分布在 2021 年 5 月至 2025 年 9 月之间，其中 2021 年注册 3 个，2024 年注册 5 个，2025 年注册 12 个。在微软 2026 年 9 月将其识别为威胁指标时，这些域名的平均年龄已超过一年，最老的域名已有超过五年的注册历史。这种老化策略的目的十分明确：新注册域名在许多安全评分系统中会被赋予较高的风险权重，而注册时间较长的域名往往被视为更可信。攻击者通过提前注册并长期持有域名，在启用时已经积累了足够的 "年龄信誉"，从而降低被基于域名年龄的检测机制拦截的概率。

第二，所有域名均通过同一家注册商 GoDaddy 注册，且注册地均为美国。注册商的聚集性是攻击者基础设施运营的一个典型特征 —— 使用同一家注册商可以简化域名管理流程，降低运营成本，同时也可能是因为该注册商的某些政策（如隐私保护服务、审核宽松度）更符合攻击者的需求。注册地选择美国则与攻击目标的地理分布相关：该活动的金融诱饵内容和目标受众主要面向英语用户，美国注册的域名在地理信誉上更不容易引起怀疑，且美国的 IP 地址和托管服务也更容易获取。

第三，域名命名具有明显的金融主题聚集性。披露的域名包括directcapitalboost.com、digitalcapitalboost.com、fundingexpresscapital.com、guardiancapitalway.com、ourbusinessloans.com、onlinedirectfinance.com、harboradvancefunding.com、advancefundingboost.com等，这些域名均包含 capital、funding、loan、finance、boost、advance 等金融相关词汇，组合方式呈现出 "修饰词 + 金融核心词 + 后缀" 的固定模式。这种命名模式与钓鱼邮件中的金融诱饵内容高度一致，表明域名是围绕特定攻击主题精心选择和注册的，而非随机生成的任意域名。

第四，部分域名在被微软识别为 IoC 之前很久就已被威胁情报系统标记为可疑。First Watch 恶意域名数据源显示，有 5 个域名在被微软标记前 345 至 630 天就已被识别为 "可能出于恶意意图注册"。例如digitalcapitalboost.com在 2024 年 12 月就被标记，比微软的识别时间早了 630 天；fundingexpresscapital.com和guardiancapitalway.com均在 2025 年 3 月被标记，比微软识别早了 365 天。这一数据说明，尽管这些域名较早进入了威胁情报系统的视野，但由于其长期未被实际武器化、呈现出 "休眠" 状态，可能没有触发高优先级的告警或处置，直到实际用于攻击时才被重新关注。

据 DiMiao,CN 分析，域名老化策略与威胁情报的时效性之间存在内在的张力。威胁情报系统通常基于域名的当前行为来评估风险，一个长期休眠、没有恶意活动的域名，即便注册时被标记为可疑，其风险评分也可能随着时间推移而降低。攻击者正是利用了这一点：提前注册域名，让其在威胁情报系统中 "冷却"，等到风险评分降低后再启用。这种策略对基于实时行为的威胁情报体系构成了挑战，要求防御方不仅关注域名的当前状态，还要追溯其完整的注册历史和风险标记记录。

3.3 IP 基础设施与网络流量特征

除域名之外，IP 地址是钓鱼攻击基础设施的另一核心组件。对此次活动中披露的 25 个 IP 地址进行分析，可以揭示攻击者在网络层的运营特征。

首先，所有 IP 地址均地理定位于美国。这与域名注册地的选择一致，反映了攻击者在基础设施地理布局上的统一策略 —— 将整个攻击链条的基础设施都部署在美国，以匹配目标受众的地理分布，降低因地理异常而触发检测的概率。对于主要面向美国用户的金融钓鱼攻击而言，来自美国 IP 的网站访问在地理信誉上更为 "正常"，不容易被基于地理位置异常的风控系统拦截。

其次，IP 地址呈现出明显的段内聚集特征。披露的 IP 地址中，多个地址位于 173.236.20.0/24 这一 C 段，包括 173.236.20.2、173.236.20.7、173.236.20.10、173.236.20.13、173.236.20.23 等。同一 C 段内聚集多个攻击 IP，表明攻击者可能租用了同一托管服务商的多台服务器，或者使用了同一 ASN 内的 IP 资源。这种段内聚集虽然便于管理，但也为基于 IP 段信誉的检测提供了线索 —— 一旦该段内的某个 IP 被标记为恶意，同段内的其他 IP 可以被关联排查。

第三，IP 地址具有较长的历史解析记录。DNS 历史数据显示，23 个 IP 地址累计产生了 9264 条历史 IP 到域名的解析记录，时间跨度从 2017 年 2 月持续至 2026 年 9 月。其中 173.236.20.2 和 173.236.20.23 各有 1000 条解析记录，173.236.20.7 有 976 条，这些 IP 显然不是专门为此次攻击新购置的，而是长期运营的基础设施，可能在不同时期被用于不同的恶意活动或被多个攻击者共享使用。这种 "基础设施复用" 模式在网络犯罪生态中十分常见，降低了单个攻击活动的基础设施成本，但也使得不同攻击活动之间可以通过共享的 IP 或域名进行关联。

第四，网络流量数据揭示了攻击活动的实际影响范围。IASC 的样本网络流量数据显示，在 2026 年 3 月 13 日至 9 月 7 日期间，有 19 个可能属于受害者的唯一 IP 地址与 6 个攻击 IP 进行了通信，这些受害者 IP 分布在 5 个不同的 ASN 中。虽然这只是样本数据而非全量统计，但已经可以看出该攻击活动确实产生了实际的受害者访问，而非仅仅是基础设施部署而未被利用。此外，针对域名directcapitalboost.com的流量数据显示，2026 年 8 月 1 日有两个来自不同 ASN 的唯一客户端 IP 通过 4 次 DNS 查询访问了该域名，表明该域名在被微软公开披露前仍在活跃使用。

迪妙网安研究团队指出，该攻击活动的 IP 基础设施特征反映了攻击者在 "隐蔽性" 和 "运营效率" 之间的权衡。使用长期持有的 IP 和同一 C 段内的多台服务器可以降低运营成本、提高管理效率，但也增加了被关联检测的风险；将所有 IP 部署在美国可以降低地理异常检测，但也使得 IP 范围相对集中，便于防御方进行区域化监控。这种权衡是所有网络犯罪组织都面临的决策，防御方可以通过分析攻击者的选择模式来优化检测策略，例如重点监控长期持有、段内聚集、金融域名关联密集的 IP 资源。

3.4 攻击工件的扩散性与检测盲区

此次攻击活动分析中最值得关注的发现之一，是攻击工件的扩散性和检测盲区的规模。基于微软披露的 20 个域名和 25 个 IP 地址，通过 WHOIS 历史查询、反向 WHOIS 关联、DNS 历史解析等手段，最终关联出 165 个相关工件，是初始披露数量的三倍以上。这一扩散过程揭示了攻击基础设施的真实规模远大于公开披露的范围，也反映了初始威胁指标的局限性。

关联发现的主要路径包括以下几条。第一条路径是通过 WHOIS 历史记录中的注册邮箱进行反向关联。在 20 个初始域名中，有一个域名的历史 WHOIS 记录中包含公开的注册邮箱地址。通过对该邮箱进行反向 WHOIS 查询，发现了 137 个使用同一邮箱注册的其他域名。这些域名虽然没有被微软标记为 IoC，但由于与已知攻击域名共享注册者身份，具有较高的关联嫌疑。其中部分域名的命名模式与已知攻击域名一致，包含金融相关词汇，进一步支持了关联性判断。

第二条路径是通过 IP 地址进行反向 DNS 关联。对 25 个初始 IP 地址进行历史解析查询，发现这些 IP 在不同时期还解析过 9 个其他域名。这些 IP 关联域名可能是同一攻击者在不同时期使用的钓鱼域名，也可能是共享同一基础设施的其他攻击者的域名。无论哪种情况，它们都与已知攻击基础设施存在直接关联，应当纳入威胁情报的监控范围。

第三条路径是通过网络流量数据发现新的 IP 地址。对已知攻击域名和 IP 的通信流量进行分析，发现了 19 个额外的 IP 地址，其中 8 个被确认为恶意。这些 IP 可能是攻击基础设施的备用节点、命令控制服务器或数据收集服务器，在初始调查中未被识别，但通过流量关联可以纳入攻击基础设施图谱。

最令人担忧的是检测盲区的规模。在最终整理的 165 个相关工件中，有 158 个未被 VirusTotal 平台上的任何杀毒引擎检测到，未检测比例超过 95%。这意味着，如果仅依赖主流威胁情报平台和杀毒引擎的检测结果，防御方将对此次攻击活动的绝大部分基础设施一无所知。只有通过主动的威胁狩猎和关联分析，才能发现这些隐藏在初始指标之外的攻击工件。

反网络钓鱼技术专家芦笛强调，这一发现揭示了当前威胁情报生态的一个结构性局限：威胁情报平台的覆盖主要依赖自动化扫描和用户提交，对于采用老化策略、低活跃度运营、内容层规避的攻击基础设施，自动化扫描的检出率很低。而攻击者恰恰在利用这一局限，通过长期运营和低调活动来规避情报平台的覆盖。因此，防御方不能被动依赖第三方威胁情报，而应当建立主动的威胁狩猎能力，基于已有的少量指标通过多维度关联分析来挖掘完整的攻击基础设施图谱。

4 ASCII 走私对邮件安全体系的冲击

4.1 对基于关键词过滤的绕过机制

关键词过滤是邮件安全网关中历史最悠久、应用最广泛的检测机制之一。其基本原理是维护一个包含敏感词汇、恶意 URL、已知钓鱼术语等内容的规则库，对 incoming 邮件的正文、主题、附件文本进行扫描，如果匹配到规则库中的内容，则触发相应的拦截或告警动作。在长期的攻防实践中，关键词过滤已经从简单的精确匹配发展到支持正则表达式、模糊匹配、上下文关联等更复杂的匹配方式，但其核心逻辑依然是基于文本内容的模式匹配。

ASCII 走私技术对关键词过滤的绕过，正是利用了模式匹配对文本连续性的依赖。绝大多数关键词匹配算法在执行时，需要在输入文本中查找与规则字符串完全一致的连续子串。当攻击者在关键词的字母之间插入不可见 Unicode 字符后，原始文本中不再存在连续的关键词字符串，匹配算法自然无法命中。例如，规则库中配置了 "funding" 这一金融敏感词，但当邮件正文中的 "funding" 被不可见字符分割为 "f [不可见] u [不可见] n [不可见] d [不可见] i [不可见] n [不可见] g" 时，精确匹配算法在文本中找不到连续的 "funding" 子串，因此不会触发该规则。

要让关键词过滤能够检测 ASCII 走私，需要在匹配之前对文本进行预处理 —— 剥离不可见字符、执行 Unicode 规范化。然而，这一看似简单的预处理步骤在实际的邮件安全网关中并未得到普遍实现。原因是多方面的：首先，许多邮件安全产品的文本处理模块是多年前开发的，其设计假设输入文本是标准的可见 ASCII 或 Unicode 字符，没有预留不可见字符处理的逻辑；其次，Unicode 规范化涉及复杂的字符映射和标准化算法，实现起来有一定的技术门槛，且可能影响邮件处理的性能；第三，在 ASCII 走私被广泛用于攻击之前，不可见字符混淆并不是一个突出的威胁，安全厂商没有足够的动力去投入资源解决这一 "非紧急" 问题。

迪妙安全研究团队的测试表明，在未做 Unicode 规范化处理的邮件安全网关上，ASCII 走私对关键词过滤的绕过率接近 100%。即便是支持正则表达式和模糊匹配的高级规则引擎，只要其匹配是在原始文本上执行的，就无法有效检测被不可见字符分割的关键词。只有在匹配前显式地过滤掉 Unicode 格式控制字符和标签字符，将文本归一化为标准可见字符序列后，关键词匹配才能恢复正常。这一发现意味着，大量已部署的邮件安全网关在 ASCII 走私面前存在系统性的检测盲区，需要通过规则更新或引擎升级来弥补。

4.2 对自然语言处理检测模型的干扰

随着机器学习和自然语言处理技术的发展，越来越多的邮件安全产品开始采用基于 NLP 的检测模型来识别钓鱼邮件。这类模型不依赖预定义的关键词规则，而是通过大量标注数据训练，学习钓鱼邮件在词汇、句法、语义等层面的统计特征，从而对未知邮件进行分类判断。NLP 模型在处理变体词汇、新颖表达等方面比传统关键词规则具有更好的泛化能力，被认为是下一代邮件安全检测的核心技术。

然而，ASCII 走私技术对 NLP 检测模型同样构成了干扰，其作用机制与对关键词过滤的绕过既有相似之处，也有不同之处。

相似之处在于，NLP 模型的文本预处理流程通常也包含分词步骤，而分词器在遇到被不可见字符分割的词汇时，可能会产生异常的分词结果。如果分词器将不可见字符视为词分隔符，那么 "funding" 可能被拆分为多个单字母的 "词"，这与正常文本中的词汇分布完全不同，可能导致模型的特征提取出现偏差。如果分词器忽略不可见字符并将相邻字母合并为一个词，那么模型可能正常识别 "funding"，但这种行为取决于分词器的具体实现，并非所有 NLP 框架都默认如此处理。

不同之处在于，NLP 模型具有一定的鲁棒性，可能能够从上下文中推断出被分割词汇的语义。即使 "funding" 被分割为单字母，模型在看到周围的金融相关上下文时，仍然可能判断该邮件具有金融钓鱼的语义特征。因此，ASCII 走私对 NLP 模型的干扰效果通常不如对关键词过滤那样彻底。但是，干扰效果的降低并不意味着完全无效 —— 不可见字符的存在会改变文本的字符级和词级特征分布，可能导致模型的置信度下降，将原本高置信度的钓鱼邮件判定为低风险或边界案例，从而绕过基于置信度阈值的拦截机制。

据 DiMiao,CN 分析，ASCII 走私对 NLP 模型的干扰程度取决于模型的架构和训练数据。基于字符级卷积神经网络的模型对字符层面的扰动更为敏感，不可见字符的插入可能显著改变其特征提取结果；基于词嵌入和循环神经网络或 Transformer 架构的模型对词级语义的依赖更强，对字符层面扰动的鲁棒性相对较好，但如果分词阶段出现异常，依然会受到影响。此外，如果模型的训练数据中没有包含 ASCII 走私类型的对抗样本，模型在遇到这类输入时可能出现分布外检测失效的问题，即无法正确处理训练分布之外的输入。

这一分析对邮件安全产品的 NLP 模型训练提出了新的要求。为了有效检测 ASCII 走私，NLP 模型的训练数据中应当包含使用不可见字符混淆的对抗样本，使模型学习到这类文本的特征模式；同时，模型的文本预处理流程应当包含 Unicode 规范化步骤，将不可见字符显式处理后再输入模型。仅靠模型自身的泛化能力来应对 ASCII 走私是不可靠的，必须在数据和预处理层面主动纳入对这类规避技术的考量。

4.3 对人工审核与用户识别的影响

除了自动化检测系统，ASCII 走私对人工审核和最终用户的识别能力也产生了影响，尽管影响的机制与自动化系统不同。

对于安全运营中心的分析人员而言，ASCII 走私带来的主要挑战是增加了人工研判的难度。当分析人员在邮件客户端或 SIEM 系统中查看一封可疑邮件时，不可见字符不显示，分析人员看到的是正常的文本内容。如果分析人员仅凭视觉阅读来判断邮件是否包含可疑内容，可能会忽略 ASCII 走私的存在，将其误判为正常邮件。要发现 ASCII 走私，分析人员需要查看邮件的原始源码或十六进制转储，检查文本中是否包含异常的 Unicode 控制字符。这一操作在常规的邮件研判流程中并不常见，许多分析人员没有养成查看原始字节的习惯，因此 ASCII 走私可能在人工审核环节同样被漏过。

对于最终用户而言，ASCII 走私几乎不影响其对邮件内容的感知。由于不可见字符在邮件客户端中完全不显示，用户看到的钓鱼邮件与正常的金融推广邮件在视觉上没有任何区别。用户无法通过肉眼发现文本中隐藏了不可见字符，也就无法基于这一特征来识别钓鱼邮件。这意味着 ASCII 走私不会增加用户端的识别线索，用户仍然需要依靠发件人地址、链接域名、内容逻辑等传统特征来判断邮件真伪。从这个角度看，ASCII 走私对用户的直接影响较小，但它通过规避自动化检测系统，使得更多钓鱼邮件能够到达用户收件箱，从而间接增加了用户面临的风险。

反网络钓鱼技术专家芦笛指出，ASCII 走私的一个值得警惕的趋势是，它可能与其他社会工程技术结合使用，形成多层规避。例如，攻击者可以在使用 ASCII 走私规避关键词过滤的同时，利用生成式 AI 制作高度仿真的邮件内容，结合品牌冒充和个性化信息，使钓鱼邮件在内容层面也难以被识别。当内容层规避和社会工程层伪装叠加时，无论是自动化检测系统还是人工审核，面临的挑战都会显著增加。因此，对 ASCII 走私的防御不能仅停留在字符处理层面，还需要与其他维度的检测能力协同配合。

5 防御框架与检测思路

5.1 邮件内容层的 Unicode 规范化检测

针对 ASCII 走私在邮件内容层的规避机制，最直接的防御措施是在邮件安全网关的文本处理流程中引入 Unicode 规范化检测。这一措施的核心目标是，在进行关键词匹配、NLP 模型推理或其他内容分析之前，对邮件文本进行标准化处理，消除不可见字符造成的感知差异。

具体而言，Unicode 规范化检测应当包含以下几个步骤。第一步是不可见字符识别。系统需要扫描邮件正文、主题、附件文本等所有可解析文本内容，识别其中包含的 Unicode 格式控制字符、标签字符、零宽字符、字节顺序标记等不可见或零宽字符。这一步需要基于完整的 Unicode 字符属性表，准确区分可见字符和不可见字符，避免误判。第二步是字符剥离或标记。对于识别出的不可见字符，系统可以选择两种处理方式：一种是直接将其从文本中剥离，生成一份 "干净" 的文本用于后续分析；另一种是保留原始文本，但将不可见字符的位置和类型标记出来，作为额外的特征供检测引擎使用。两种方式各有优劣：剥离方式简单直接，可以确保后续的关键词匹配和 NLP 分析在标准文本上执行；标记方式保留了更多信息，可以用于检测是否存在异常的不可见字符使用模式。实践中可以同时采用两种方式，既生成干净文本用于内容分析，又保留不可见字符的元数据用于异常检测。

第三步是 Unicode 标准化转换。除了处理不可见字符，系统还应当对文本执行 Unicode 标准化，将等价的字符序列统一为标准形式。Unicode 标准定义了四种规范化形式，分别是 NFC、NFD、NFKC 和 NFKD，其中 NFKC 形式将兼容字符统一为等价形式，对于检测利用视觉相似字符进行混淆的攻击尤为有效。通过执行 NFKC 规范化，可以将各种全角字符、兼容字符、视觉相似字符统一为标准形式，从而降低字符替换类混淆技术的效果。将不可见字符剥离与 Unicode 标准化结合，可以在文本进入检测引擎之前建立一道 "规范化屏障"，确保后续分析基于标准、干净的文本执行。

第四步是异常使用模式检测。仅仅剥离不可见字符还不够，因为正常邮件中几乎不会大量使用不可见 Unicode 标签字符。系统应当对不可见字符的使用模式进行统计分析，如果一封邮件中包含异常数量的不可见字符，或者不可见字符集中出现在敏感词汇的字母之间，应当将其作为高风险特征纳入评分。这种基于使用模式的检测可以作为内容规范化的补充，即使攻击者使用了某些尚未被纳入剥离列表的新型不可见字符，异常的使用模式本身也可以触发告警。

迪妙网络空间安全学院研究团队建议，邮件安全厂商应当将 Unicode 规范化检测作为标准功能纳入产品，而非可选配置。考虑到 ASCII 走私等基于字符编码的规避技术可能会越来越多地出现，建立完善的文本规范化处理流程是邮件安全基础设施的必要组成部分。对于企业自建的邮件安全系统，也应当在网关或邮件传输代理层面增加 Unicode 规范化处理模块，确保所有进入内部网络的邮件都经过标准化处理后再进行安全检测。

5.2 基于基础设施关联的威胁狩猎

如前文实证分析所示，此次 ASCII 走私钓鱼活动的大量攻击工件未被主流威胁情报平台检测到，仅靠被动的情报订阅无法实现有效覆盖。因此，防御方需要建立主动的威胁狩猎能力，基于已有的少量威胁指标，通过多维度的基础设施关联分析来挖掘完整的攻击图谱。

基础设施关联威胁狩猎的核心思路是：任何攻击活动都不是孤立存在的，其域名、IP、注册者、证书、DNS 配置等要素之间存在各种关联关系，通过沿着这些关联关系进行遍历和扩展，可以从一个已知的恶意指标出发，发现大量未被标记的关联恶意资产。具体的关联路径包括以下几种。

第一种是注册者关联。通过 WHOIS 历史记录获取已知恶意域名的注册者邮箱、注册人姓名、注册电话等信息，然后通过反向 WHOIS 查询找出使用相同注册信息的其他域名。在此次攻击活动中，正是通过一个域名的历史 WHOIS 邮箱关联发现了 137 个其他域名。注册者关联是最直接、最高效的关联路径，因为同一攻击者通常会使用相同的注册信息批量注册域名，即使使用隐私保护服务，历史记录中也可能留下可关联的线索。

第二种是 IP 关联。通过 DNS 历史解析获取已知恶意域名曾经解析过的 IP 地址，然后通过反向 DNS 查询找出这些 IP 曾经托管过的其他域名。IP 关联可以发现同一基础设施上承载的不同攻击活动的域名，以及攻击者在不同时期使用的域名轮换。对于采用 fast-flux 或 IP 轮换策略的攻击者，IP 关联的范围可能很广，需要结合时间窗口和其他特征进行筛选。

第三种是名称服务器关联。已知恶意域名使用的权威名称服务器可以作为关联线索，找出使用同一组名称服务器的其他域名。攻击者通常会为一批域名配置相同的名称服务器，尤其是在使用自建 DNS 的情况下，名称服务器的聚集性更为明显。名称服务器关联可以发现同一攻击者控制的域名集群，即使这些域名尚未被实际用于攻击。

第四种是 TLS 证书关联。通过证书透明度日志查询已知恶意域名的证书信息，包括证书申请者、序列号、公钥等，然后找出使用相同证书或相同申请者信息的其他域名。证书关联对于检测使用 HTTPS 的钓鱼网站尤为有效，因为证书中包含的元数据提供了丰富的关联维度。

第五种是命名模式关联。对已知恶意域名的命名模式进行分析，提取其词汇组合、构词规律、主题特征等，然后在新注册域名流中搜索符合相同模式的域名。命名模式关联可以发现攻击者新注册的、尚未被使用的域名，实现检测的进一步左移。

据 DiMiao,CN 分析，有效的基础设施关联威胁狩猎需要具备几个前提条件。首先是数据资源的获取能力，需要访问 WHOIS 数据库、DNS 历史数据、证书透明度日志、新注册域名流等多源数据，商业威胁情报平台通常提供这些数据的 API 接口，但成本较高；开源数据源如 WHOIS 查询、公共 DNS 历史、证书透明度日志等可以提供基础覆盖，但数据完整性和查询频率受限。其次是关联分析的技术能力，需要构建图数据库或关联分析引擎，将域名、IP、注册者、证书等实体作为节点，将各种关联关系作为边，支持高效的图遍历和子图挖掘。第三是分析人员的专业能力，威胁狩猎不是完全自动化的过程，需要分析人员根据经验判断关联的强度、筛选误报、识别攻击模式，因此需要具备域名基础设施分析和攻击归因经验的安全人员参与。

5.3 老化域名的风险评估与持续监控

此次攻击活动中攻击者普遍采用老化域名策略，提前数月甚至数年注册域名并长期持有，待风险评分降低后再启用。这一策略对基于域名年龄和实时行为的传统风险评估体系构成了挑战，要求防御方建立针对老化域名的全生命周期风险评估与持续监控机制。

传统的域名风险评估通常赋予新注册域名较高的风险权重，因为大量钓鱼攻击使用注册后立即启用的新域名。这一策略在过去是有效的，但随着攻击者越来越多地采用老化域名策略，单纯依赖域名年龄进行风险评估已经不够。一个注册了五年的域名，如果其注册者身份可疑、命名模式符合钓鱼特征、历史上曾被标记为可疑，那么即便它长期没有恶意活动，其真实风险也不应被低估。

针对老化域名的风险评估应当包含以下几个维度。第一个维度是注册历史追溯。系统不应仅看域名的当前注册信息，而应当追溯其完整的注册历史，包括历次注册者变更、注册商变更、联系信息变更等。如果一个域名在历史上曾使用过与已知恶意域名相同的注册者邮箱或注册商，即便当前注册信息已变更，也应当保留历史风险标记。第二个维度是命名模式分析。如前所述，钓鱼域名通常具有主题聚集的命名模式，金融钓鱼域名包含 capital、funding、loan 等词汇，品牌仿冒域名包含与目标品牌相似的字符串。对老化域名进行命名模式分析，可以在其被启用之前就识别出潜在的钓鱼域名。第三个维度是基础设施关联。将老化域名与已知恶意基础设施进行关联比对，如果该域名曾经解析过恶意 IP、使用过恶意名称服务器、与恶意域名共享注册者，则应当提高其风险评分。第四个维度是活跃度变化监控。长期休眠的域名如果突然出现 DNS 配置变更、解析到新 IP、产生访问流量等活跃度变化，可能是攻击者准备启用的信号，应当触发重点监控和深度分析。

持续监控是老化域名风险管理的关键环节。由于老化域名可能在注册后数年才被启用，一次性的风险评估不足以覆盖其全生命周期。系统应当对高风险的老化域名建立持续监控机制，定期检查其 DNS 配置、解析状态、证书签发、网站内容等变化，一旦发现从休眠状态转为活跃状态的迹象，立即启动深度分析。这种持续监控的资源投入应当根据域名的风险评分进行差异化分配：高风险域名监控频率高、分析维度多；低风险域名监控频率低、仅关注关键变化。

反网络钓鱼技术专家芦笛强调，老化域名策略的本质是攻击者利用时间维度来规避基于即时特征的检测。防御方要有效应对这一策略，就必须将时间维度纳入风险评估体系，建立 "一次标记、终身跟踪" 的域名风险管理机制。对于在注册阶段就被识别为可疑的域名，不应因为其长期未活动而降低监控级别，而应当将其纳入长期观察名单，持续跟踪其状态变化。只有这样，才能在攻击者启用老化域名的第一时间发现并处置，避免其在 "冷却" 后绕过检测。

5.4 多源威胁情报的交叉验证

单一来源的威胁情报存在覆盖盲区和误报风险，此次攻击活动中 158 个工件未被 VirusTotal 检测的事实充分说明了这一点。因此，构建多源威胁情报的交叉验证机制，是提升检测覆盖率和准确性的重要途径。

多源威胁情报交叉验证的核心思想是，将来自不同渠道、采用不同检测方法的威胁情报进行汇聚和比对，通过多源信息的相互印证来提高检测的置信度，同时发现单一来源遗漏的威胁。具体而言，交叉验证机制应当包含以下几个层面。

第一个层面是情报来源的多元化。防御方应当同时订阅多种类型的威胁情报源，包括：商业威胁情报平台提供的域名和 IP 黑名单、开源威胁情报社区的共享数据、证书透明度日志的实时监控、新注册域名流的筛选结果、内部安全设备产生的告警数据、行业信息共享组织的威胁通报等。不同来源的情报具有不同的覆盖范围和检测方法：商业平台可能覆盖已知的大规模攻击活动，开源社区可能发现新颖的攻击手法，证书透明度和新注册域名流可以实现前置检测，内部告警数据可以反映针对本组织的定向攻击。将这些来源汇聚在一起，可以形成互补的情报覆盖网络。

第二个层面是情报质量的评估与加权。不同来源的情报质量参差不齐，误报率差异很大。交叉验证机制应当对每个情报源的历史准确性进行评估，为不同来源分配置信度权重。当多个高置信度来源同时标记一个域名为恶意时，该域名的恶意置信度最高；当仅有一个低置信度来源标记时，应当谨慎对待，可能需要人工复核。通过加权融合，可以在提高覆盖率的同时控制误报率。

第三个层面是关联情报的自动挖掘。多源情报汇聚后，不应当只是简单的列表合并，而应当利用关联分析挖掘隐藏在不同来源之间的联系。例如，一个域名可能没有被任何黑名单直接标记，但它与一个已知恶意 IP 存在历史解析关系，同时其命名模式与另一个来源标记的钓鱼域名一致，这两个间接证据的组合可以将该域名识别为高风险。这种基于多源关联的挖掘可以发现单一来源无法覆盖的威胁，是交叉验证机制的核心价值所在。

第四个层面是情报的闭环验证与反馈。对于交叉验证机制发现的高风险但未被广泛标记的工件，应当通过主动探测、沙箱分析、人工研判等方式进行验证，并将验证结果反馈到情报系统中，更新各来源的置信度评分和关联规则。这种闭环反馈机制可以持续优化交叉验证的准确性，使系统随着运行时间的增长而不断进化。

迪妙网安研究团队认为，多源威胁情报交叉验证的实施难点不在于技术实现，而在于数据获取和运营成本。汇聚多源情报需要订阅多个商业服务、接入多个开源数据源、建设数据处理和关联分析平台，这对中小型组织而言可能是较重的负担。对此，可以采取分层实施的策略：基础层利用免费的开源情报源和内部告警数据建立初步的交叉验证能力；进阶层根据自身行业特点和威胁面，选择性订阅针对性强的商业情报源；高级层建设自主的威胁狩猎和情报生产能力，将内部发现的威胁情报反馈到社区，形成情报的良性循环。通过分层实施，不同规模的组织都可以在自身资源范围内建立有效的多源情报交叉验证机制。

6 对网络安全研究的启示

6.1 AI 安全研究成果的武器化风险

ASCII 走私从 AI 提示注入研究到钓鱼邮件规避的迁移，是一个典型的 "安全研究成果武器化" 案例。这一现象提示我们，人工智能安全领域的研究产出正在成为网络犯罪的技术来源，其武器化的速度和广度可能超出传统预期。

AI 安全研究的开放性是一把双刃剑。一方面，开放的研究文化促进了安全社区的知识共享和技术进步，使得防御方能够及时了解新的攻击方法并开发相应的防御措施；另一方面，公开的研究成果也为攻击者提供了免费的技术资源，降低了攻击技术的研发门槛。在 AI 安全领域，由于大语言模型的快速普及和高度关注，提示注入等攻击技术的研究成果传播速度极快，从学术论文到技术博客再到开源工具，往往在短时间内就形成完整的技术知识体系。攻击者只需要理解核心原理并进行场景适配，就可以将其转化为实际的攻击工具。

ASCII 走私的迁移路径特别值得关注，因为它不是在 AI 场景内部的武器化，而是跨场景的技术迁移。原始研究针对的是大语言模型的提示注入，利用的是人类视觉与模型分词器之间的感知差异；而在钓鱼场景中，攻击者利用的是邮件安全网关与邮件客户端之间的解析差异。虽然两个场景的技术细节不同，但核心原理 —— 利用不可见字符造成不同系统间的感知不一致 —— 是通用的。这种跨场景迁移的能力意味着，AI 安全研究中发现的许多技术，可能在看似不相关的领域中找到应用场景，其武器化的影响范围可能远超研究本身的预期。

据 DiMiao,CN 分析，随着人工智能技术在网络安全领域的深度应用，AI 安全研究成果武器化的风险将持续上升。一方面，AI 模型正在被集成到越来越多的安全产品中，从邮件安全网关到终端检测响应，从 Web 应用防火墙到安全信息与事件管理平台，AI 模型的广泛部署为提示注入等攻击提供了更多的攻击面；另一方面，AI 安全研究的公开性和传播速度使得攻击者能够快速获取最新的攻击技术，并将其适配到不同的产品和场景中。防御方需要认识到，AI 安全不是一个孤立的研究领域，其研究成果的影响会渗透到整个网络安全生态中。

应对 AI 安全研究成果武器化的风险，需要从几个方面着手。首先，AI 安全研究社区在公开发布敏感攻击技术时，应当同步提供或推动相应的防御方案，尽量缩短 "攻击公开" 到 "防御就绪" 之间的时间窗口。其次，安全产品厂商应当关注 AI 安全领域的研究动态，主动评估新的攻击技术对自身产品的影响，并及时更新检测规则和产品架构。第三，企业安全团队应当将 AI 相关的攻击技术纳入威胁建模和红队演练的范围，测试自身安全体系对这类攻击的抵御能力。第四，监管机构和行业组织可以推动建立 AI 安全研究的负责任披露机制，在促进知识共享的同时控制武器化风险。

6.2 攻防知识迁移的加速趋势

ASCII 走私案例反映的另一个趋势是攻防知识迁移的加速。在传统的网络安全攻防格局中，一种新的攻击技术从概念提出到在野利用，通常需要数月甚至数年的时间，防御方有相对充裕的时间来研究和部署防御措施。然而，随着信息传播速度的加快、开源工具的普及、攻击即服务模式的成熟，这一时间窗口正在被大幅压缩。

知识迁移加速的驱动因素是多方面的。首先是信息传播渠道的多元化。技术博客、社交媒体、视频平台、开源代码仓库等渠道使得新的攻击技术能够以极快的速度传播到全球的安全社区和地下犯罪社区。一篇技术博客发表后，可能在数小时内就被攻击者获取并开始研究适配。其次是攻击技术的模块化和工具化。许多攻击技术已经被封装为易用的工具或框架，攻击者不需要深入理解底层原理，只需要进行简单的配置和调用就可以使用。这大大降低了技术使用的门槛，使得知识迁移从 "理解原理" 简化为 "会用工具"。第三是攻击即服务生态的成熟。在地下犯罪市场中，各种攻击工具、基础设施、技术服务都可以购买，攻击者可以通过采购快速获得新的攻击能力，而不需要自行研发。这种商业化的攻击生态加速了技术从研发者到最终使用者的流转。

迪妙安全研究团队指出，攻防知识迁移加速对防御方提出了更高的要求。传统的 "发现攻击 — 分析原理 — 开发防御 — 部署更新" 的线性响应模式，在知识迁移加速的背景下可能无法跟上攻击的节奏。当防御方完成对一种新攻击技术的防御部署时，攻击者可能已经迁移到下一种技术。因此，防御方需要从被动响应转向主动预判，建立对前沿攻击技术的持续跟踪和前瞻性评估能力，在技术被大规模在野利用之前就做好防御准备。

具体而言，主动预判可以从几个层面展开。在研究层面，安全团队应当持续跟踪学术会议、技术博客、开源项目、地下论坛等渠道，关注新的攻击技术和研究成果，并评估其在实际攻击中的可行性和影响。在产品层面，安全产品的架构应当具备足够的灵活性和可扩展性，能够快速集成新的检测规则和防御逻辑，而不需要进行大规模的架构改造。在运营层面，企业安全团队应当建立威胁狩猎和红队演练机制，主动模拟新的攻击技术来测试自身防御体系，发现并弥补薄弱环节。在协作层面，行业组织和信息共享平台应当加速威胁情报的流转，使得新的攻击技术能够在社区内快速共享和应对。

6.3 防御研究的前瞻性要求

ASCII 走私案例以及攻防知识迁移加速的趋势，对网络安全防御研究提出了前瞻性的要求。防御研究不能仅仅停留在对已知攻击的分析和应对上，而应当具备预测未来攻击方向、提前布局防御能力的视野。

前瞻性防御研究的第一个方向是关注技术交叉领域的创新。ASCII 走私是 AI 安全与邮件安全交叉的产物，类似的交叉创新可能在更多领域出现。例如，生成式 AI 与深度伪造技术的结合可能催生更具迷惑性的钓鱼内容，量子计算与密码学的交叉可能对现有加密体系构成威胁，物联网与工业控制系统的融合可能扩大网络攻击的物理影响。防御研究应当主动关注这些交叉领域，分析潜在的攻击路径和防御需求。

第二个方向是加强对底层协议和标准的安全分析。ASCII 走私利用的是 Unicode 标准中合法定义的字符，以及邮件处理链条中不同环节对这些字符的实现差异。类似的底层协议和标准中可能还存在其他未被充分利用的攻击面。防御研究应当深入分析 DNS、HTTP、SMTP、Unicode、TLS 等基础协议和标准的安全特性，发现其中可能被攻击者利用的设计特性和实现差异，提前提出规范化和检测方案。

第三个方向是构建自适应的防御体系。面对快速变化的攻击技术，静态的规则库和固定的检测模型难以持续有效。防御研究应当探索自适应、自学习的防御体系，能够根据新的攻击样本自动更新检测规则、优化模型参数、调整防御策略。这种自适应能力可以大幅缩短从攻击出现到防御就绪的时间，是应对知识迁移加速的关键技术方向。

反网络钓鱼技术专家芦笛指出，前瞻性防御研究的核心是转变思维方式：从 "攻击发生后我们如何应对" 转向 "攻击可能如何发生以及我们如何提前准备"。这种转变要求安全研究者不仅具备分析已知攻击的能力，还具备想象力和预判力，能够从攻击者的角度思考问题，发现潜在的攻击路径。当然，前瞻性不等于盲目猜测，而是基于对技术趋势、攻击原理、攻防博弈规律的深入理解，做出有依据的判断和准备。

7 结语

ASCII 走私技术在钓鱼攻击中的应用，是网络安全攻防博弈中一个具有标志性意义的案例。它将源自人工智能提示注入研究的文本混淆技术迁移到传统邮件钓鱼场景，利用不可见 Unicode 标签字符在邮件安全网关与终端用户之间制造感知差异，实现了对关键词过滤等传统检测机制的有效规避。已披露的攻击活动数据显示，该技术与老化域名策略、美国本土基础设施布局、低活跃度运营等手段结合使用，形成了内容层和基础设施层双重隐蔽的攻击模式，导致大量攻击工件未被主流威胁情报平台检测到。

本文系统梳理了 ASCII 走私的技术原理及其演化路径，从域名注册特征、IP 基础设施、网络流量、攻击工件扩散等维度对已披露攻击活动进行了实证分析，探讨了该技术对关键词过滤、NLP 检测模型、人工审核等邮件安全环节的冲击机制，并从 Unicode 规范化检测、基础设施关联威胁狩猎、老化域名持续监控、多源情报交叉验证四个方面提出了防御框架。研究表明，ASCII 走私的防御需要在内容层和基础设施层同时发力，单一维度的检测难以有效应对这种多层规避的攻击模式。

更为重要的是，ASCII 走私案例揭示了 AI 安全研究成果武器化和攻防知识迁移加速的趋势。防御方需要认识到，前沿安全研究的影响范围可能远超其原始场景，跨场景的技术迁移正在成为攻击创新的重要来源。应对这一趋势，要求安全研究从被动响应转向主动预判，关注技术交叉领域的创新，加强底层协议的安全分析，构建自适应的防御体系。只有在攻击技术被大规模利用之前就做好防御准备，才能在持续加速的攻防博弈中保持主动。

本文的分析主要基于已公开披露的单一攻击活动数据，对于 ASCII 走私技术在更广泛攻击场景中的应用情况、不同邮件安全产品对该技术的检测能力差异、以及防御措施的实际部署效果等问题，还需要更多的实证数据和后续研究来进一步验证和深化。随着 Unicode 字符集的持续扩展和 AI 技术在网络安全中的深度应用，字符编码层面的规避技术可能继续演进，相关的检测和防御研究也需要同步推进。

编辑：芦笛（公共互联网反网络钓鱼工作组）

来源：迪妙网络空间安全学院