研究人员发现隐藏在 OpenAI Codex 越狱工具包中的提示广告软件

网络安全研究人员披露了一个 OpenAI Codex 越狱工具包的细节——它旨在修改人工智能（AI）智能体的可信指令，以插入第三方 AI 网关的广告。

Check Point Research 将这一现象代号为 prompt adware（提示广告软件）。

这个名为 Haiou（中文意为 "海鸥"）的越狱工具修改 OpenAI Codex 的配置文件，将越狱作者网站的广告注入后续的智能体响应中。

"所广告的服务是一个不透明的、兼容 OpenAI 的 LLM 网关——一个介于应用和 LLM 提供商之间的中间件，" Check Point Research 在一份技术报告中表示。"其可能的商业模式是将免费分发的越狱工具包作为付费网关服务的获客渠道。"

广告软件是一种显示不需要的广告的软件，可能以弹出窗口或横幅的形式出现在用户的计算机或移动设备上。Prompt adware 通过一种击败模型安全训练和内容护栏的越狱手段，将这种不良行为扩展到 AI 智能体。

其思路是通过自然语言持续修改智能体的全局指令以影响未来的响应。这进而导致常见的问候语或激活词（如 "Seagull"、"hi"、"hello"、"hey"、"yo" 和 "are you there?"）触发对 "zz.aiapi2025[.]top" 的广告。

Haiou 尝试使用多种提示注入技术来越狱模型，例如角色扮演以及将网络安全相关请求重新包装为 Capture The Flag（CTF）场景。此外，它还安装专注于渗透测试、破解和逆向工程的安全类技能。

然而，它并不止步于此。该工具包还在全局智能体指令文件中注入持久广告，以推广该 LLM 网关网站。在 GitHub 上，"haiou-codex" 被宣传为一个 "本地增强配置包"，为 Codex 添加 "中文技术人格和安全研究工作流"。截至撰写时，该仓库自 2026 年 7 月 10 日发布以来已被 fork 77 次、star 403 次。

值得注意的是，Codex 在中国大陆并未正式提供，这表明该服务很可能面向想要试用西方 AI 编程助手的个人或组织。

此外，该越狱工具被捆绑在 Codex-X 中——一个通过图形用户界面配置 Codex 的开源中文可视化工具。

"这种行为是通过自然语言指令和配置引入的，而非用户和安全团队更容易识别为软件行为的传统可执行载荷，" Check Point 恶意软件分析团队负责人 Pedro Drimel Neto 表示。

尽管展示广告在更大的格局中似乎相对无害，但这些发现表明，恶意行为者可以通过第三方技能或配置引入不良行为，进而导致供应链攻击。

"随着 AI 智能体成为企业环境的一部分，影响其行为的提示、Skills 和第三方组件也成为信任链的一部分，" Neto 表示。