Check Point нашла скрытую рекламу в jailbreak-наборе для OpenAI Codex
Исследователи Check Point Research обнаружили Haiou — набор для обхода ограничений OpenAI Codex, который меняет глобальные инструкции ИИ-агента и добавляет в его ответы рекламу стороннего LLM-шлюза. Репозиторий haiou-codex на GitHub, опубликованный 10 июля 2026 года, на момент исследования имел 403 звезды и 77 форков.
Jailbreak с рекламной нагрузкой
Check Point назвала эту схему prompt adware. В традиционном понимании adware показывает нежелательную рекламу на компьютере или мобильном устройстве. В этом случае рекламное поведение закрепляется в инструкциях агента на естественном языке и влияет на последующие ответы модели.
Haiou вносит рекламу сайта zz.aiapi2025[.]top в конфигурационные файлы Codex. Check Point описывает продвигаемый сервис как непрозрачный LLM-шлюз, совместимый с OpenAI: он выступает посредником между приложением и поставщиком языковой модели. Исследователи допускают, что бесплатный jailbreak-набор используется как канал привлечения пользователей к платному шлюзу.
После установки триггерами рекламы становятся обычные приветствия и слова Seagull, hi, hello, hey, yo и are you there?. Это отличает находку от разовой подсказки в диалоге: изменение рассчитано на сохранение в глобальных инструкциях агента.
Как маскируется изменение поведения
Для обхода ограничений Haiou использует несколько приёмов prompt injection, включая ролевые сценарии и представление запросов по кибербезопасности как задания Capture The Flag. В пакет также включены ориентированные на безопасность навыки для пентеста, взлома и обратной разработки.
На GitHub haiou-codex позиционируется как локальный пакет настройки, добавляющий Codex китайскую техническую манеру общения и рабочий процесс для исследований безопасности. Набор также поставлялся вместе с Codex-X — китайским open-source инструментом с графическим интерфейсом для настройки Codex. Check Point отмечает, что Codex официально недоступен в материковом Китае.
Риск для цепочки доверия
Руководитель группы анализа вредоносного ПО Check Point Педро Дримел Нето подчеркнул, что поведение внедряется через инструкции и конфигурацию на естественном языке, а не через традиционную исполняемую нагрузку. Поэтому пользователю и средствам защиты его сложнее распознать как программное изменение.
Контекст подобных экспериментов расширяет эксперименты со взломом OpenAI через Claude и показывает, почему возможности ИИ-инструментов требуют отдельной оценки безопасности. Даже рекламная вставка демонстрирует, что сторонний навык или конфигурация способны навязать агенту нежелательное постоянное поведение.
Для бизнеса практический вывод состоит в том, чтобы включать промпты, Skills и внешние компоненты ИИ-агентов в цепочку доверия. Перед внедрением их следует проверять так же внимательно, как пакеты и другие зависимости: особенно изменения глобальных инструкций и непонятные обращения к внешним LLM-шлюзам.