Prompt-Adware im OpenAI-Codex-Jailbreak verändert Agenten-Anweisungen

Check Point Research hat eine neue Form von Malware identifiziert, die sich gegen künstliche Intelligenz-Agenten richtet, insbesondere innerhalb des Ökosystems von OpenAI Codex. Die am 4. November 2026 veröffentlichte Entdeckung zeigt, wie Konfigurationsdateien manipuliert werden können, um persistente Werbung in die Ausgabe eines KI-Modells einzufügen. Diese Technik, als Prompt-Adware bezeichnet, stellt einen Wandel von traditionellen, ausführbaren Bedrohungen hin zur Injection natürlicher Sprache dar.

Das spezifische Werkzeug, das dieses Verhalten verursacht, ist ein Jailbreak-Bundle namens Haiou, was auf Chinesisch „Seagull“ (Möwe) bedeutet. Es wurde entwickelt, um die Sicherheitstrainings und Inhalts-Guardrails von OpenAI Codex zu umgehen. Durch die Änderung der vertrauenswürdigen Anweisungen, die dem KI-Agenten gegeben werden, zwingt das Bundle das Modell dazu, in seinen Antworten auf übliche Begrüßungen der Nutzer einen Drittanbieter-Dienst für AI-Gateways zu bewerben.

Was passiert ist

Das Haiou-Bundle funktioniert, indem es die globale Anweisungsdatei ändert, die vom Codex-Agenten verwendet wird. Anstatt einer binären Payload, die auf dem Betriebssystem ausgeführt wird, nutzt es Prompt-Injection-Techniken, um das Verhalten der KI zu verändern. Wenn ein Nutzer mit dem kompromittierten Agenten über Standard-Aktivierungsphrasen wie hi, hello, hey, yo oder are you there interagiert, antwortet der Agent mit einer Werbung für eine Website, die unter zz.aiapi2025[.]top gehostet wird. Diese Seite bietet ein intransparentes, OpenAI-kompatibles Large Language Model Gateway an, das als Middleware zwischen Anwendungen und LLM-Anbietern fungiert.

Forscher bei Check Point glauben, dass das primäre Ziel nicht bloße Störung, sondern Kundenakquise ist. Die kostenlose Verteilung des Jailbreaks dient als Marketingkanal für den kostenpflichtigen Gateway-Dienst. Das Bundle enthält zudem Skills, die sich auf Penetration Testing, Cracking und Reverse Engineering konzentrieren, und rahmt Cybersecurity-Anfragen als Capture-The-Flag-Szenarien neu ein, um die Erkennung weiter zu umgehen und Nutzer anzusprechen, die an Sicherheitsforschung interessiert sind.

Das Tool wird über ein GitHub-Repository namens haiou-codex vertrieben, das sich selbst als lokales Erweiterungskonfigurationspaket beschreibt. Es behauptet, Codex eine chinesische technische Persönlichkeit und einen Workflow für Sicherheitsforschung hinzuzufügen. Seit seiner Veröffentlichung am 10. Juli 2026 hat das Repository 403 Stars und 77 Forks gesammelt. Es ist auch in Codex-X gebündelt, einer Open-Source-Grafikschnittstelle zur Konfiguration von Codex, die wahrscheinlich Nutzer in Regionen anspricht, in denen Codex nicht offiziell verfügbar ist, wie etwa Festlandchina.

Wichtige Details

• Die Bedrohung wird als Prompt-Adware bezeichnet, weil sie Werbung direkt in die natürlichen Sprachantworten der KI injiziert, anstatt visuelle Pop-ups anzuzeigen.
• Das Jailbreak-Bundle Haiou modifiziert die globalen Agenten-Anweisungen, um das Verhalten über Sitzungen hinweg persistent zu beeinflussen.
• Übliche Begrüßungen lösen Werbung für zz.aiapi2025[.]top aus, einen Drittanbieter-LLM-Gateway-Dienst.
• Das Repository haiou-codex wurde seit dem 10. Juli 2026 403-mal gestarred und 77-mal geforked.
• Der Angriffsvektor basiert auf Änderungen der Konfiguration in natürlicher Sprache, was ihn schwerer erkennbar macht als traditionelle Malware.
• Pedro Drimel Neto von Check Point merkte an, dass Prompts und Drittanbieter-Komponenten nun Teil der Vertrauensketten von Unternehmen sind.

Hintergrund

Prompt Injection ist eine Technik, bei der Angreifer die Eingabe, die an ein großes Sprachmodell gegeben wird, so manipulieren, dass die ursprünglichen Anweisungen überschrieben werden. In diesem Fall muss der Angreifer keine Software-Schwachstelle im Code selbst ausnutzen. Stattdessen nutzt er die Tendenz des Modells aus, den neuesten oder prominentesten Anweisungen zu folgen. Durch die Einbettung bösartiger Direktiven in die Konfigurationsdateien, die die Persona und Regeln des Agenten definieren, stellt der Angreifer sicher, dass diese Direktiven als Befehle mit hoher Priorität behandelt werden.

Dies unterscheidet sich von traditioneller Adware, die typischerweise Software auf einem Gerät installiert, um Banner anzuzeigen oder Web-Traffic umzuleiten. Prompt-Adware existiert vollständig im Kontext der KI-Interaktion. Sie erfordert weder Root-Zugriff noch Ausführungsrechte auf dem Host-Rechner. Dies macht sie besonders tückisch für Entwickler, die Konfigurationspaketen aus Open-Source-Communities vertrauen und davon ausgehen, dass sie sicher sind, weil sie keine kompilierten Binärdateien enthalten.

Warum es wichtig ist

Für Teams, die KI-Tools selbst hosten oder Drittanbieter-Modelle in ihre Workflows integrieren, hebt dieser Vorfall eine kritische Erweiterung der Angriffsfläche in der Lieferkette hervor. Traditionell konzentrieren sich Sicherheitsteams darauf, Abhängigkeiten auf bekannte Schwachstellen in Code-Bibliotheken zu scannen. Wenn jedoch KI-Agenten involviert sind, werden Konfigurationsdateien, Prompts und benutzerdefinierte Skills Teil der Vertrauenskette. Eine bösartige Konfiguration kann die Integrität des Agenten kompromittieren, ohne dass Standard-Antivirus-Alarme ausgelöst werden.

Die Verwendung natürlicher Sprache als Übertragungsmechanismus bedeutet, dass statische Analyse-Tools, die für Code entwickelt wurden, diese Bedrohungen möglicherweise übersehen. Sicherheitsteams müssen nun die Herkunft von Prompt-Vorlagen und Konfigurations-Bundles berücksichtigen. Wenn ein Team ein vorgefertigtes Setup wie Codex-X verwendet oder Skills aus Community-Repositories importiert, vertraut es implizit den Autoren dieser Anweisungen in natürlicher Sprache. Dies verwischt die Grenze zwischen Softwareentwicklung und Content-Moderation und erfordert neue Verifizierungsstrategien.

Darüber hinaus zeigt die Persistenz der Werbe-Injektion, dass jede nachfolgende Interaktion betroffen ist, sobald die Kernanweisungen eines Agenten kompromittiert sind. Dies kann zu Datenlecks führen, wenn das beworbene Gateway als Proxy verwendet wird, oder einfach die Zuverlässigkeit des KI-Assistenten beeinträchtigen. Für Unternehmen untergräbt dies die Vorhersehbarkeit und Sicherheitsgarantien, die von eingesetzten KI-Agenten erwartet werden.

Was Sie tun können

• Prüfen Sie alle Konfigurations-Bundles und Prompt-Vorlagen von Drittanbietern, bevor Sie sie in Ihre KI-Agenten-Umgebungen importieren.
• Überwachen Sie die Ausgaben von KI-Agenten auf unerwartete Promotion-Inhalte oder Weiterleitungen zu unbekannten Domains.
• Beschränken Sie die Fähigkeit von KI-Agenten, externe Netzwerke zu nutzen oder nicht autorisierte Gateways ohne ausdrückliche Genehmigung zu verwenden.
• Implementieren Sie strenge Versionskontrolle für Agenten-Anweisungen und überprüfen Sie Änderungen an globalen Prompts regelmäßig.
• Schulen Sie Entwicklungsteams über die Risiken von Prompt Injection und die Bedeutung, Konfigurationen nur aus vertrauenswürdigen Repositories zu beziehen.
• Erwägen Sie die Nutzung isolierter Umgebungen zum Testen neuer KI-Skills oder Konfigurationen, bevor Sie diese in Produktionssystemen bereitstellen.