Il contrabbando ASCII è una tecnica di elusione in cui gli aggressori nascondono contenuti inserendo nel testo caratteri Unicode invisibili o non visualizzati. Il messaggio può sembrare normale a una persona, ma il software che cerca, divide o classifica la stringa grezza può vedere una sequenza diversa di code point. Questa discrepanza può compromettere la corrispondenza delle parole chiave, confondere i tokenizzatori o far sì che gli strumenti di sicurezza non rilevino termini sospetti.
Nelle attacchi reali, questo viene usato in esche di phishing, payload di prompt injection e altri abusi basati sul testo per aggirare filtri semplici. Ad esempio, una parola come “loan” può essere divisa da un carattere invisibile in modo che continui a essere letta correttamente sullo schermo ma non corrisponda più a una regola che cerca il token esatto. I difensori riducono questo rischio normalizzando il testo, ispezionando i code point grezzi, utilizzando un parsing consapevole di Unicode e segnalando caratteri rari o inattesi nei messaggi ad alto rischio. La lezione chiave è che i controlli di sicurezza devono analizzare la struttura del testo, non solo il suo aspetto visualizzato.