Check Point découvre un « adware de prompt » dans un kit de jailbreak pour Codex qui promeut une passerelle LLM payante

Check Point Research a décrit un kit de jailbreak pour Codex, l'agent de programmation d'OpenAI, qui ne se contente pas de lever les refus de sécurité du modèle : il transforme discrètement l'agent en support publicitaire. Dans un rapport publié le 3 novembre, les chercheurs qualifient la technique de « prompt adware » : des modifications durables des instructions de confiance d'un agent, de ses compétences ou de ses fichiers de configuration, qui orientent ses réponses futures vers des objectifs commerciaux et s'expriment en langage naturel plutôt que sous forme de code exécutable.

Ce que fait le kit

Baptisé Haiou (« mouette » en chinois), le paquet modifie les fichiers de configuration et d'instructions globales de Codex. Ses modules de prompt recourent au jeu de rôle, à la suppression des refus et à la présentation des demandes de sécurité comme des exercices de capture du drapeau (CTF) ; il installe aussi six compétences consacrées aux tests d'intrusion, à la rétro-ingénierie, au contournement de licences et à celui des anti-triche de jeux vidéo. Un module fait répondre l'agent à des salutations comme « hi » ou « hello » par un message fixe vantant zz.aiapi2025.top, une passerelle LLM compatible avec l'API d'OpenAI.

La version analysée, la 4.5.0, embarque ses prompts dans une archive chiffrée et signée que des lanceurs pour Linux, macOS et Windows décompressent dans un dossier temporaire. Check Point soupçonne que cet obscurcissement vise à empêcher les outils d'analyse de créer des signatures qui pousseraient Codex à refuser le contenu. Testée dans Claude Code, la charge a été repérée comme une tentative d'injection de prompt par le modèle Sonnet 5 d'Anthropic, qui a ignoré les consignes publicitaires.

D'où vient le kit

Check Point a découvert le kit sur un serveur web mal configuré appartenant à un acteur malveillant qui exploitait un serveur Cobalt Strike. Les chercheurs insistent : cela ne signifie pas que son auteur l'a conçu à des fins criminelles. Le kit est diffusé ouvertement sur GitHub via le dépôt haiou-codex, qui comptait 403 étoiles et 77 forks selon The Hacker News, et il est intégré à Codex-X, un outil graphique chinois de configuration de Codex.

Les enjeux

Pour les chercheurs, le jailbreak gratuit sert à attirer des clients vers la passerelle payante. Ils n'ont trouvé aucune preuve que celle-ci soit malveillante, mais citent des travaux universitaires montrant que certaines passerelles LLM lisent le trafic des utilisateurs, dérobent des secrets comme des clés d'accès cloud ou injectent des appels d'outils. Pedro Drimel Neto, responsable de l'équipe d'analyse des logiciels malveillants de Check Point, a déclaré à The Hacker News que les prompts, les compétences et les composants tiers font désormais partie de la chaîne de confiance. Le rapport ne mentionne aucune réaction d'OpenAI.