Per due anni l'ASCII smuggling è stato soprattutto un problema per gli agenti AI. Oggi gli spammer lo hanno adottato per aggirare i filtri delle piattaforme email, e il passaggio di mano dice qualcosa di preciso: la tecnica non appartiene più alla nicchia degli attacchi ai modelli di linguaggio, ma sta diventando un'arma di evasione per campagne di massa.

Il meccanismo si basa su una serie di caratteri Unicode speciali. Il punto di codice U+E0041, per esempio, rappresenta per un computer la lettera 'A'; U+E0061 rappresenta la 'a'. Sono caratteri che i sistemi leggono senza difficoltà ma che per gli occhi umani restano quasi invisibili. Inseriti in un'email, permettono di nascondere istruzioni o contenuti che i filtri antispam dovrebbero intercettare. Un LLM che processa il messaggio vede e interpreta quei tag; il destinatario umano no.

La migrazione dall'attacco agli LLM allo spam non è un semplice riuso. Mette in luce una divergenza strutturale tra due modi di leggere lo stesso testo. I filtri tradizionali lavorano spesso su pattern visibili o su rappresentazioni normalizzate; un LLM lavora su sequenze di token e può decodificare codifiche invisibili. Chi usa l'ASCII smuggling scommette proprio su questa differenza: il sistema automatico riceve un contenuto, il lettore umano ne riceve un altro.

Questa ambiguità diventa critica quando gli LLM entrano nelle pipeline aziendali di gestione della posta. In un deployment self-hosted, un agente potrebbe leggere un'email, estrarre informazioni, preparare risposte o attivare processi. Se le istruzioni malevole viaggiano nei tag ASCII, l'operatore che sorveglia il sistema vede un messaggio innocuo mentre il modello riceve comandi nascosti. Il controllo dei dati e la sovranità locale non eliminano il rischio se il preprocessing non normalizza o scarta i caratteri invisibili prima dell'inference. Al contrario, spostano la responsabilità sulla configurazione interna: occorre decidere dove sanificare il testo, quali sequenze considerare sospette e cosa registrare nei log.

C'è anche un segnale di mercato. Quando una tecnica passa dai laboratori di sicurezza agli spammer, si commoditizza. Diventa un problema di igiene di base per chi gestisce infrastrutture di posta e agenti AI, non più un caso di studio per ricercatori. Per chi valuta deployment on-premise, AI-RADAR offre framework analitici su /llm-onpremise per valutare i trade-off tra controllo diretto della pipeline e complessità operativa. Il punto non è se un modello self-hosted sia più o meno esposto di un servizio cloud in astratto, ma come la catena di normalizzazione del testo viene progettata. L'ASCII smuggling, in questo senso, è un promemoria: la sicurezza non sta solo nel modello, ma nel punto in cui il testo smette di essere invisibile.