프롬프트 인젝션 공격을 은닉하는 데 쓰이던 'ASCII 밀수(ASCII smuggling)' 기법이 이제 스팸 발송자들이 이메일 필터를 우회하는 데 활용되고 있습니다. 유니코드 태그 문자는 사람 눈에는 보이지 않지만 기계는 읽을 수 있어, ML/NLP 기반 스팸 분류기의 토큰화를 교란할 수 있습니다. 마이크로소프트는 올해 초 이 기법을 사용한 스팸이 하루 2.1만 건에서 250만 건까지 급증했다고 밝혔습니다.
자바스크립트 기반의 실시간 협업 에디터에서 두 개의 이모지를 나란히 입력하고 그 사이에 다른 문자를 삽입할 때, 내부 CRDT 라이브러리가 서로게이트 페어(Surrogate Pair)를 정확히 반으로 나누는 버그가 발생해 에디터의 동기화가 조용히 멈추는 현상에 대한 디버깅 스토리입니다. 이 문제는 U+FFFF를 넘어서는 다중 바이트 이모지와 특정 바이트 오프셋에서만 발생하기 때문에 원인을 파악하기 매우 어려웠으며, 결국 코드 유닛(Code Unit), 코드 포인트(Code Point), 그래핌 클러스터(Grapheme Cluster)의 차이를 이해함으로써 해결할 수 있었습니다.
최근 공급망 공격자들이 육안으로 보이지 않는 유니코드 특수문자를 이용해 악성 패키지를 깃허브 등 주요 저장소에 대량으로 배포하는 위협이 감지되었습니다. AI를 활용해 정상적인 코드 커밋처럼 위장한 이 패키지들은 기존의 정적 분석 도구나 수동 코드 리뷰를 무력화시켜 매우 심각한 보안 위협을 초래합니다.