LO ESENCIAL EN 30 SEGUNDOS

  • El paquete Haiou («gaviota») para Codex burla las salvaguardas del agente con juegos de rol y escenarios CTF y luego inserta en sus instrucciones globales un anuncio de una pasarela compatible con OpenAI.
  • Check Point halló el paquete en un servidor expuesto de un actor malicioso, pero lo considera de doble uso y no encontró pruebas de que la pasarela anunciada sea maliciosa.
  • Los investigadores advierten de que los cambios persistentes en instrucciones, habilidades y configuración de un agente pasan a formar parte de la cadena de suministro de software.

Check Point Research ha descrito un paquete de jailbreak para Codex, el agente de programación de OpenAI, que además de eliminar las negativas de seguridad del modelo convierte al agente en un canal publicitario. En un informe publicado el 3 de noviembre, los investigadores llaman a la técnica «prompt adware»: cambios persistentes en las instrucciones de confianza de un agente, en sus habilidades o en sus archivos de configuración que orientan sus respuestas futuras hacia fines comerciales y que están escritos en lenguaje natural, no como código ejecutable.

Qué hace el paquete

El paquete, llamado Haiou («gaviota» en chino), modifica los archivos de configuración e instrucciones globales de Codex. Sus módulos de prompts recurren al juego de rol, la supresión de negativas y la presentación de las peticiones de seguridad como ejercicios de captura de la bandera (CTF), e instala seis habilidades sobre pruebas de penetración, ingeniería inversa, elusión de licencias y de sistemas antitrampas en videojuegos. Un módulo hace que el agente responda a saludos como «hi» o «hello» con un mensaje fijo que promociona zz.aiapi2025.top, una pasarela LLM compatible con la API de OpenAI.

La versión analizada, la 4.5.0, guarda sus prompts en un archivo cifrado y firmado que unos lanzadores para Linux, macOS y Windows descomprimen en una carpeta temporal. Check Point sospecha que esta ofuscación busca impedir que los escáneres generen firmas que harían que Codex rechazara el contenido. Al probar la carga en Claude Code, el modelo Sonnet 5 de Anthropic la identificó como un intento de inyección de prompts e ignoró las instrucciones publicitarias.

De dónde procede

Check Point encontró el paquete en un servidor web mal configurado de un actor malicioso que operaba un servidor de Cobalt Strike. Los investigadores subrayan que eso no significa que su autor lo creara con fines delictivos. Se distribuye abiertamente en GitHub mediante el repositorio haiou-codex, que según The Hacker News tenía 403 estrellas y 77 bifurcaciones, y también se incluye en Codex-X, una herramienta gráfica china para configurar Codex.

Por qué importa

Los investigadores ven el jailbreak gratuito como una forma de captar clientes para la pasarela de pago. No hallaron pruebas de que esta sea maliciosa, pero citan estudios académicos que muestran que algunas pasarelas LLM leen el tráfico de los usuarios, roban secretos como claves de acceso a la nube o inyectan llamadas a herramientas. Pedro Drimel Neto, responsable del equipo de análisis de malware de Check Point, dijo a The Hacker News que los prompts, las habilidades y los componentes de terceros ya forman parte de la cadena de confianza. El informe no recoge ninguna respuesta de OpenAI.