El contrabando invisible: cuando la seguridad asume que el mal se ve como texto

Microsoft vio cómo las detecciones de ASCII smuggling saltaban de 21.000 a 2,5 millones diarias en semanas. La técnica nació para envenenar prompts de modelos de lenguaje: caracteres Unicode invisibles al ojo humano —U+E0041 para 'A', U+E0061 para 'a'— que la máquina lee sin fricción. Los spammers la adoptaron para fragmentar palabras clave —'funding' se vuelve 'fun' + carácter invisible + 'ding'— y burlar filtros que buscan coincidencias literales o tokens estadísticos. El patrón es viejo: lo que nace contra la IA migra a infraestructura más débil y masiva. El correo electrónico, con sus décadas de parches, recibió el golpe primero.

Pero la migración no frena en Unicode. Una investigación de Lineaje Inc. y la Universidad Estatal de Arizona, aceptada en FAGEN@ICML 2026, demuestra que los guardarraíles textuales fallan cuando la señal maliciosa viaja en arreglos de números flotantes. En 14.400 ataques contra APIs comerciales de tres proveedores, un carrier basado en sistemas de funciones iteradas alcanzó 94,3 % de fuga frente a un ensamble de dos capas —clasificador de Meta más filtro estadístico—. El mismo payload en texto plano fue detectado siempre. La diferencia no era el contenido, sino el vehículo: cuando la instrucción entra al contexto del modelo reconstruida desde un canal numérico, la inspección textual no tiene evidencia sobre la que actuar.

El modelo de amenaza es quirúrgico. El atacante no toca el código de reconstrucción. Controla solo los arrays numéricos que el pipeline confía y reconstruye antes de pasarlos al modelo. No hay capa textual donde bloquear: ni en la configuración cruda, ni en el reporte generado. El ensamble defensor no detectó ninguno de los carriers numéricos a nivel de muestra; su confianza máxima fue 0,225 contra umbral de 0,5. Un detector de volcado hexadecimal frena el formato actual, pero eso es firma de presentación, no defensa contra la clase de carrier numérico.

La suposición frágil recorre toda la cadena: telemetría, configuraciones, salidas de herramientas estructuradas. Todos asumen que lo malo se verá como texto en alguna capa. Esa apuesta ya perdió. La pregunta operativa para un equipo de seguridad en la región no es si su proveedor detecta Unicode, sino si su pipeline valida semánticamente los canales numéricos antes de dárselos al modelo. El siguiente carrier no será texto invisible: serán números que parecen legítimos.