AI 프롬프트 인젝션에 쓰이던 ASCII 스머글링 기법이 이메일 피싱 필터 우회로 전용된 사례를 분석한다.
2024년 보안 연구자들은 Anthropic Claude에 눈에 보이지 않는 문자로 명령을 숨기는 실험을 했다. 유니코드 태그 문자로 AI 모델에게만 읽히는 지시를 심는 기법, 이른바 ASCII 스머글링이다. 2026년, 이 기법이 완전히 다른 무대에 등장했다. AI가 아니라 이메일 스팸 필터를 속이는 데 쓰인 것이다.
Microsoft Threat Intelligence는 2026년 2월 9일부터 5월 15일까지 이어진 캠페인을 관측했다. 평일에만 집중적으로 발송량이 치솟았고, 2월 11일에는 하루 최대 약 237만 건의 탐지 시그니처 히트를 기록했다.
이 기법이 쓰는 문자는 유니코드의 Tags 블록(U+E0000~U+E007F)이다. 인쇄 가능한 ASCII 문자를 그대로 미러링한 그림자 문자 집합이다. 예를 들어 U+E0041은 알파벳 'A'와 같은 문자로 취급되지만, 대부분의 렌더링 환경에서는 화면에 나타나지 않는다.
관측된 캠페인은 U+E0020(TAG SPACE) 문자를 금융 관련 단어 중간에 끼워 넣었다. "funding"이라는 단어 중간에 보이지 않는 문자가 들어가는 식이다. 사람이 메일을 열면 정상 단어로 보이지만, 필터는 이를 서로 다른 문자열로 인식해 매칭에 실패한다.
이 캠페인은 capital·funding·loan·advance·boost 같은 제한된 어휘를 조합한 약 148개의 금융 테마 발신 도메인을 사용했다. 발신 경로는 놀랍게도 ActiveCampaign 같은 정상 이메일 마케팅 플랫폼이었다.
미끼 내용은 사업자 대출, 신용한도, 선불 자금 안내였다. 최종 목표는 자격증명 탈취였다. 정상 서비스를 발신 인프라로 삼았기 때문에 발신자 평판만으로는 걸러내기 어려웠다.
이 기법의 뿌리는 이메일이 아니라 LLM 보안 연구에 있다. 2024년 Embrace The Red의 연구는 Claude에서 숨겨진 프롬프트 인젝션에 ASCII 스머글링이 쓰일 수 있음을 시연했다. 보이지 않는 태그 문자로 인코딩된 지시를 AI 모델이 그대로 해석해버리는 문제였다.
이후 주요 AI 모델들은 입력 스트림에서 이런 태그 문자를 걸러내도록 개선됐다. 그런데 같은 문자 집합이 이번에는 AI가 아니라 사람이 만든 이메일 필터를 상대로 재활용됐다. 방어 대상이 AI 모델에서 이메일 파서로 바뀌었을 뿐, 원리는 동일하다.
보이지 않는 문자로 필터를 속이는 시도 자체는 새롭지 않다. 제로폭 공백(U+200B), 줄바꿈 없는 공백(U+00A0), 소프트 하이픈 등이 스팸 필터 우회에 쓰인 전례가 있다. 이번 유니코드 태그 문자 활용은 이 계보의 최신 변종이다.
차이가 있다면 이번 기법은 AI 보안 커뮤니티에서 먼저 검증된 뒤 이메일 위협으로 넘어왔다는 점이다. 공격 기법이 한 도메인에서 다른 도메인으로 옮겨가는 속도가 예전보다 훨씬 빨라졌다는 신호이기도 하다.
Microsoft Defender for Office 365는 단일 유니코드 시그니처가 아니라 발신자·IP 평판, URL 분석, 도메인 평판, ML 기반 스팸·피싱 분류, 브랜드 사칭 탐지, 인증 검사를 결합한 다계층 방어로 대다수 메시지를 걸러냈다고 밝혔다. 이번 캠페인을 처음 포착한 신호는 AI 프롬프트 인젝션 방지 기능이 콘텐츠 분석 전에 유니코드 태그 문자를 정규화하는 과정에서 나왔다.
이는 원래 AI 모델을 지키기 위해 만든 방어 기능이 결과적으로 이메일 위협 탐지에도 재사용된 사례다. MITRE ATLAS의 AML.T0068(LLM Prompt Obfuscation)이 이 계열의 은닉·난독화 기법을 방어 회피 전술로 분류하고 있다.
국내 이메일 보안 솔루션 다수는 아직 유니코드 태그 문자 정규화를 별도 검사 항목으로 두지 않는다. 사업자 대출·정책자금을 미끼로 쓴 스팸은 국내에서도 흔한 유형이라, 유사한 우회 시도가 번역되어 들어올 가능성을 염두에 둘 필요가 있다.
AI 활용 안내 이 글은 AI(Claude)의 도움을 받아 작성되었습니다. 인용된 통계와 사례는 참고 자료에 명시된 출처에 근거하며, 설명을 위한 일부 표현은 각색되었습니다.
면책 조항 본 글은 보안 인식 제고를 위한 교육 목적으로 작성되었습니다. 언급된 공격 기법을 실제로 시도하는 행위는 「정보통신망법」, 「형법」 등에 따라 처벌받을 수 있으며, 본 블로그는 이에 대한 법적 책임을 지지 않습니다.