Adware de prompts en el jailbreak de OpenAI Codex modifica las instrucciones del agente

Check Point Research ha identificado una nueva forma de malware dirigida a agentes de inteligencia artificial, específicamente dentro del ecosistema de OpenAI Codex. El descubrimiento, hecho público el 4 de noviembre de 2026, revela cómo se pueden manipular archivos de configuración para insertar anuncios persistentes en la salida de un modelo de IA. Esta técnica, denominada adware de prompts, representa un cambio desde las amenazas tradicionales basadas en ejecutables hacia la inyección de lenguaje natural.

La herramienta específica responsable de este comportamiento es un paquete de jailbreak llamado Haiou, que se traduce como "Gaviota" en chino. Fue diseñado para evadir el entrenamiento de seguridad y las barreras de contenido de OpenAI Codex. Al modificar las instrucciones confiables dadas al agente de IA, el paquete obliga al modelo a promover un servicio de gateway de IA de terceros en sus respuestas a saludos comunes de los usuarios.

Qué ocurrió

El paquete Haiou opera alterando el archivo de instrucciones globales utilizado por el agente de Codex. En lugar de instalar una carga binaria que se ejecuta en el sistema operativo, utiliza técnicas de inyección de prompts para cambiar el comportamiento de la IA. Cuando un usuario interactúa con el agente comprometido utilizando frases de activación estándar como hi, hello, hey, yo o are you there, el agente responde con un anuncio para un sitio web alojado en zz.aiapi2025[.]top. Este sitio ofrece un gateway opaco de modelos de lenguaje grandes compatible con OpenAI, que actúa como middleware entre aplicaciones y proveedores de LLM.

Los investigadores de Check Point creen que el objetivo principal no es simplemente interrumpir, sino adquirir clientes. La distribución gratuita del jailbreak sirve como canal de marketing para el servicio de gateway pago. El paquete también incluye habilidades centradas en pruebas de penetración, cracking e ingeniería inversa, reformulando solicitudes de ciberseguridad como escenarios Capture The Flag para evadir aún más la detección y atraer a usuarios interesados en la investigación de seguridad.

La herramienta se distribuye a través de un repositorio de GitHub llamado haiou-codex, que se describe a sí mismo como un paquete de configuración de mejora local. Afirma añadir una personalidad técnica china y un flujo de trabajo de investigación de seguridad a Codex. Desde su lanzamiento el 10 de julio de 2026, el repositorio ha acumulado 403 estrellas y 77 forks. También está incluido en Codex-X, una interfaz gráfica de código abierto para configurar Codex, probablemente dirigida a usuarios en regiones donde Codex no está oficialmente disponible, como China continental.

Detalles clave

• La amenaza se denomina adware de prompts porque inyecta anuncios directamente en las respuestas de lenguaje natural de la IA en lugar de mostrar ventanas emergentes visuales.
• El paquete de jailbreak, Haiou, modifica las instrucciones globales del agente para influir persistentemente en el comportamiento entre sesiones.
• Los saludos comunes activan anuncios para zz.aiapi2025[.]top, un servicio de gateway de LLM de terceros.
• El repositorio haiou-codex ha sido marcado con estrella 403 veces y forkeado 77 veces desde el 10 de julio de 2026.
• El vector de ataque depende de cambios de configuración en lenguaje natural, lo que hace más difícil detectarlo que el malware tradicional.
• Pedro Drimel Neto de Check Point señaló que los prompts y los componentes de terceros ahora forman parte de la cadena de confianza empresarial.

Contexto

La inyección de prompts es una técnica en la que los atacantes manipulan la entrada dada a un modelo de lenguaje grande para anular sus instrucciones originales. En este caso, el atacante no necesita explotar una vulnerabilidad de software en el código en sí. En su lugar, explota la tendencia del modelo a seguir sus instrucciones más recientes o prominentes. Al incrustar directivas maliciosas en los archivos de configuración que definen la persona y las reglas del agente, el atacante asegura que estas directivas sean tratadas como comandos de alta prioridad.

Esto difiere del adware tradicional, que típicamente instala software en un dispositivo para mostrar banners o redirigir tráfico web. El adware de prompts existe completamente dentro del contexto de la interacción con la IA. No requiere acceso root ni permisos de ejecución en la máquina host. Esto lo hace particularmente insidioso para desarrolladores que pueden confiar en paquetes de configuración de comunidades de código abierto, asumiendo que son seguros porque no contienen binarios compilados.

Por qué importa

Para equipos que alojan herramientas de IA por su cuenta o integran modelos de terceros en sus flujos de trabajo, este incidente destaca una expansión crítica de la superficie de ataque de la cadena de suministro. Tradicionalmente, los equipos de seguridad se enfocan en escanear dependencias en busca de vulnerabilidades conocidas en bibliotecas de código. Sin embargo, cuando están involucrados agentes de IA, los archivos de configuración, prompts y habilidades personalizadas pasan a formar parte de la cadena de confianza. Una configuración maliciosa puede comprometer la integridad del agente sin activar alertas antivirus estándar.

El uso de lenguaje natural como mecanismo de entrega significa que las herramientas de análisis estático diseñadas para código podrían pasar por alto estas amenazas. Los equipos de seguridad deben considerar ahora la procedencia de las plantillas de prompts y los paquetes de configuración. Si un equipo usa una configuración pre-construida como Codex-X o importa habilidades de repositorios comunitarios, está confiando implícitamente en los autores de esas instrucciones de lenguaje natural. Esto difumina la línea entre el desarrollo de software y la moderación de contenido, requiriendo nuevas estrategias de verificación.

Además, la persistencia de la inyección de anuncios demuestra que una vez que las instrucciones principales del agente están comprometidas, cada interacción posterior se ve afectada. Esto puede llevar a fugas de datos si el gateway anunciado se usa como proxy, o simplemente degradar la fiabilidad del asistente de IA. Para las empresas, esto socava la previsibilidad y las garantías de seguridad esperadas de los agentes de IA desplegados.

Qué puedes hacer

• Audita todos los paquetes de configuración de terceros y plantillas de prompts antes de importarlos en tus entornos de agentes de IA.
• Monitorea las salidas de los agentes de IA en busca de contenido promocional inesperado o redirecciones a dominios desconocidos.
• Restringe la capacidad de los agentes de IA para acceder a redes externas o usar gateways no autorizados sin aprobación explícita.
• Implementa control de versiones estricto para las instrucciones del agente y revisa regularmente los cambios en los prompts globales.
• Educa a los equipos de desarrollo sobre los riesgos de la inyección de prompts y la importancia de obtener configuraciones de repositorios confiables.
• Considera usar entornos sandboxeados para probar nuevas habilidades o configuraciones de IA antes de desplegarlas en sistemas de producción.