Microsoft Security Research vient de documenter un déplacement technique instructif : une campagne de phishing à très grande échelle utilise désormais les caractères Unicode invisibles popularisés par la recherche sur le prompt injection et l’ASCII smuggling, non pour tromper un modèle de langage, mais pour déjouer les systèmes traditionnels de détection des e-mails. Le vrai sujet n’est pas une vague de phishing de plus. C’est que des techniques inventées pour attaquer ou tester les IA deviennent un réservoir d’innovation pour les attaques classiques. Une précaution d’emblée : aucune attribution étatique n’existe ici. Il s’agit d’un cybercrime non attribué, à ne surtout pas convertir en signal d’ingérence étrangère.
La technique, et son échelle
Le procédé insère des caractères invisibles du bloc Unicode Tags, U+E0000 à U+E007F, à l’intérieur de mots sensibles. En glissant par exemple une espace invisible dans le mot « funding », l’attaquant le laisse parfaitement lisible pour l’humain, mais le fragmente pour certains traitements automatisés, ce qui peut perturber signatures, expressions régulières et tokenisation. La télémétrie de Microsoft Defender donne la mesure du basculement : environ 21 000 messages le 8 février 2026, plus de 1,3 million le 9 février, un pic supérieur à 2,3 millions le 11 février, puis une cadence hebdomadaire soutenue, entre 1 et 2,37 millions de messages en semaine, pendant environ 3 mois jusqu’au 15 mai, portée par près de 150 domaines expéditeurs à thématique financière.
La campagne n’est pas isolée. Dès septembre 2025, Fortra avait documenté une opération plus large exploitant la plateforme légitime ActiveCampaign, des domaines tournants et des sites générés par IA, pour usurper des programmes de financement de la Small Business Administration américaine, avec la promesse de 4 à 10 millions de dollars en 48 heures. Cette source indépendante confirme l’infrastructure et la campagne générale ; la nouveauté de septembre 2026 est l’ajout de l’obfuscation Unicode à cette chaîne déjà connue.
Le transfert offensif, de l’IA vers le cyber classique
C’est ce renversement qui fait la valeur du signal. En 2025 et 2026, l’ASCII smuggling était surtout étudié comme un problème de sécurité des agents IA : un texte invisible pour l’humain mais interprétable par la machine servait à glisser une instruction cachée, une forme de prompt injection. Ici, le sens est inversé : un texte normal pour l’humain devient une représentation perturbée pour la machine, afin d’échapper au filtre. Microsoft souligne précisément que la technique s’est déplacée d’un domaine de recherche lié aux modèles de langage vers une campagne de phishing industrielle. Le mécanisme est général, et c’est une externalité de la sécurité de l’IA, décrite ici comme label d’analyse et non comme concept déposé : la recherche offensive autour de l’IA ne reste pas confinée à l’IA, elle alimente aussi les attaques traditionnelles.
L’emprunt de réputation, et pourquoi ActiveCampaign n’est pas complice
Le dispositif comporte un second étage. Une large partie des messages transitait par une infrastructure de marketing électronique légitime, ce qui peut compliquer les défenses fondées sur la réputation de l’expéditeur : l’attaquant emprunte momentanément la crédibilité d’un tiers respectable. La rigueur impose ici de ne pas glisser de l’usage vers l’accusation. ActiveCampaign, la plateforme concernée, indique que les messages contenant des caractères Unicode invisibles reçoivent les mêmes verdicts de modération que leur version non obfusquée, et qu’un recours massif à cette technique est lui-même traité comme un signal suspect. Une infrastructure détournée n’est pas une infrastructure complice. Mais la leçon compte pour l’avenir : une plateforme n’a pas besoin d’être malveillante pour devenir, le temps d’une campagne, une couche de camouflage.
Ce qu’il ne faut pas conclure
La mesure s’impose, car le sujet se prête aux raccourcis. Microsoft indique lui-même que plus de 99 % des messages étaient déjà repérés par d’autres couches de protection, réputation d’expéditeur, d’adresse et de domaine, classification par apprentissage, détection d’usurpation de marque, vérifications d’authentification. La technique n’a donc pas rendu les défenses aveugles ; elle révèle un angle mort possible dans certaines architectures de filtrage, pas une compromission générale. Il faut tenir 4 séparations : une technique issue de la recherche en IA n’est pas une attaque menée par une IA ; une infrastructure détournée n’est pas un fournisseur complice ; un caractère Unicode invisible n’est pas, isolément, un indicateur suffisant de malveillance ; et un phishing industriel n’est pas une opération d’influence étatique.
Ce qu’ELMARQ retient
Le prochain effet de l’IA sur la menace cyber ne viendra pas nécessairement d’un pirate qui demande à un assistant d’écrire un logiciel malveillant. Il peut venir des techniques inventées pour attaquer les IA elles-mêmes, recyclées ailleurs. Pour une direction de la sécurité ou des risques, 3 conséquences. D’abord, la recherche offensive sur l’IA devient un indicateur avancé de l’innovation des attaques classiques : la veille ne peut plus séparer sécurité de l’IA et cybersécurité. Ensuite, la défense en profondeur reste la vraie protection, comme le montre le fait que d’autres couches ont intercepté l’écrasante majorité des messages ; aucun filtre unique ne suffit. Enfin, la discipline d’analyse demeure : pas d’attribution étatique sans preuve, et pas de conversion d’un signal cyber en récit géopolitique. Le même déplacement traverse le mandat de l’agent, décrit ici le 28 août : un contenu piégé ne devient un risque majeur qu’au moment où un système autorisé à agir le lit. C’est en tenant ces 3 lignes que l’on transforme une curiosité technique en avantage défensif. Nous l’avions déjà noté à propos de la bascule du cyber vers l’autonomie des agents : le terrain se déplace plus vite que les catégories qui servent à le décrire.
