¿Descargaste un jailbreak para Codex? Enhorabuena: tu asistente de IA ahora promociona el gateway de otra persona con solo un "hi"

Un conjunto gratuito de comandos para eludir las restricciones de OpenAI Codex convierte silenciosamente al asistente de IA en una plataforma publicitaria. Investigadores de Check Point descubrieron que el paquete Haiou modifica las instrucciones permanentes de la red neuronal y la obliga a promocionar un servicio de terceros incluso durante un saludo habitual.

El hallazgo comenzó con un servidor mal configurado del atacante que utilizaba Cobalt Strike. Cerca estaban el escáner de red Ladon, la herramienta de pruebas de penetración VulnClaw y el paquete chino Haiou. No se ha probado la implicación del autor de Haiou en los ataques.

El paquete se distribuye a través de GitHub y promete enseñar a Codex a realizar tareas que el modelo normalmente rechaza. Entre las técnicas hay juego de roles, prohibición de negaciones y presentar peticiones peligrosas como competiciones CTF. El paquete también instala seis habilidades para pruebas de penetración y de ingeniería inversa.

La sorpresa principal está oculta en el archivo 00-identity.md. Tras la instalación Haiou añade a las instrucciones globales de Codex una regla para responder a las palabras hi, hello, ctf y otros saludos breves. En lugar del saludo habitual, el asistente emite una frase sobre «chaika» y promociona la dirección zz.aiapi2025.top. La publicidad se conserva entre sesiones.

Check Point llamó a este mecanismo prompt adware, software publicitario a nivel de prompts. A diferencia de los módulos publicitarios habituales, aquí no se requiere inyectar código ejecutable en el sistema. Basta con modificar las instrucciones textuales de confianza que el agente carga durante su funcionamiento. La misma técnica permite cambiar las recomendaciones del agente.

Los investigadores analizaron la versión Haiou 4.5.0. En lugar de archivos de texto abiertos, el autor distribuye un paquete cifrado payload.pkg. Los scripts para Windows, Linux y macOS verifican la firma Ed25519 y la suma SHA-256, tras lo cual descifran el contenido con AES-256-GCM. La clave está incorporada en el instalador y las instrucciones son difíciles de leer de antemano.

La publicidad conduce a una pasarela compatible con la API de OpenAI. Los investigadores sospechan que el Haiou gratuito ayuda a atraer clientes hacia un servicio de pago. No obstante, no se detectaron indicios de que la pasarela concreta fuera maliciosa. Un módulo separado incluso prohíbe al agente comprobar el sitio promocionado en busca de vulnerabilidades.

En el estudio publicado en esta investigación, Check Point también describe las diferencias entre versiones. El comando publicitario está presente en el paquete activamente mantenido para Codex, pero está ausente en el repositorio separado de Haiou para Claude Code. Durante las pruebas, Claude Sonnet 5 detectó un intento de inyección de prompt y se negó a seguir la instrucción. El paquete incluye una herramienta para restaurar la configuración anterior.

El paquete obtuvo más de 250 estrellas en GitHub y se promocionó a través de plataformas chinas, incluida Bilibili. El mero hecho de encontrarlo en el servidor de un delincuente no prueba la mala intención del desarrollador. Pero el caso muestra cómo paquetes externos de instrucciones pueden cambiar el comportamiento del agente de IA y convertir sus respuestas en un canal oculto para promocionar servicios.