Un adware par prompt dans le jailbreak d'OpenAI Codex modifie les instructions de l'agent

Check Point Research a identifié une nouvelle forme de malware ciblant les agents d'intelligence artificielle, spécifiquement au sein de l'écosystème OpenAI Codex. La découverte, rendue publique le 4 novembre 2026, révèle comment les fichiers de configuration peuvent être manipulés pour insérer des publicités persistantes dans la sortie d'un modèle d'IA. Cette technique, appelée « prompt adware » (adware par prompt), représente un changement par rapport aux menaces traditionnelles basées sur des exécutables vers l'injection en langage naturel.

L'outil spécifique responsable de ce comportement est un bundle de jailbreak nommé Haiou, qui se traduit par « Mouette » en chinois. Il a été conçu pour contourner la formation à la sécurité et les garde-fous de contenu d'OpenAI Codex. En modifiant les instructions fiables données à l'agent IA, le bundle force le modèle à promouvoir un service tiers de passerelle IA dans ses réponses aux salutations courantes des utilisateurs.

Ce qui s'est passé

Le bundle Haiou fonctionne en altérant le fichier d'instructions global utilisé par l'agent Codex. Au lieu d'installer une charge utile binaire qui s'exécute sur le système d'exploitation, il utilise des techniques d'injection de prompt pour modifier le comportement de l'IA. Lorsqu'un utilisateur interagit avec l'agent compromis en utilisant des phrases d'activation standard telles que hi, hello, hey, yo ou are you there, l'agent répond avec une publicité pour un site web hébergé sur zz.aiapi2025[.]top. Ce site propose une passerelle opaque compatible avec OpenAI pour les grands modèles de langage, agissant comme middleware entre les applications et les fournisseurs de LLM.

Les chercheurs de Check Point estiment que l'objectif principal n'est pas simplement la perturbation, mais l'acquisition de clients. La distribution gratuite du jailbreak sert de canal marketing pour le service payant de passerelle. Le bundle inclut également des compétences axées sur les tests d'intrusion, le cracking et l'ingénierie inverse, reformulant les demandes de cybersécurité en scénarios Capture The Flag pour mieux échapper à la détection et engager les utilisateurs intéressés par la recherche en sécurité.

L'outil est distribué via un dépôt GitHub appelé haiou-codex, qui se décrit comme un package de configuration d'amélioration locale. Il prétend ajouter une personnalité technique chinoise et un flux de travail de recherche en sécurité à Codex. Depuis sa sortie le 10 juillet 2026, le dépôt a obtenu 403 étoiles et 77 forks. Il est également inclus dans Codex-X, une interface graphique open source pour configurer Codex, visant probablement les utilisateurs dans des régions où Codex n'est pas officiellement disponible, comme la Chine continentale.

Détails clés

• La menace est nommée prompt adware car elle injecte des publicités directement dans les réponses en langage naturel de l'IA plutôt que d'afficher des pop-ups visuels.
• Le bundle de jailbreak, Haiou, modifie les instructions globales de l'agent pour influencer de manière persistante le comportement entre les sessions.
• Les salutations courantes déclenchent des publicités pour zz.aiapi2025[.]top, un service tiers de passerelle LLM.
• Le dépôt haiou-codex a été mis en favori 403 fois et forké 77 fois depuis le 10 juillet 2026.
• Le vecteur d'attaque repose sur des modifications de configuration en langage naturel, ce qui rend la détection plus difficile que pour les malwares traditionnels.
• Pedro Drimel Neto de Check Point a noté que les prompts et les composants tiers font désormais partie de la chaîne de confiance de l'entreprise.

Contexte

L'injection de prompt est une technique où les attaquants manipulent l'entrée donnée à un grand modèle de langage pour outrepasser ses instructions originales. Dans ce cas, l'attaquant n'a pas besoin d'exploiter une vulnérabilité logicielle dans le code lui-même. Au contraire, il exploite la tendance du modèle à suivre ses instructions les plus récentes ou les plus proéminentes. En intégrant des directives malveillantes dans les fichiers de configuration qui définissent la persona et les règles de l'agent, l'attaquant s'assure que ces directives sont traitées comme des commandes prioritaires.

Cela diffère des adwares traditionnels, qui installent généralement des logiciels sur un appareil pour afficher des bannières ou rediriger le trafic web. Le prompt adware existe entièrement dans le contexte de l'interaction avec l'IA. Il ne nécessite pas d'accès root ni de permissions d'exécution sur la machine hôte. Cela le rend particulièrement insidieux pour les développeurs qui peuvent faire confiance aux packages de configuration issus de communautés open source, supposant qu'ils sont sûrs car ils ne contiennent pas de binaires compilés.

Pourquoi c'est important

Pour les équipes qui auto-hébergent des outils d'IA ou intègrent des modèles tiers dans leurs flux de travail, cet incident met en évidence une expansion critique de la surface d'attaque de la chaîne d'approvisionnement. Traditionnellement, les équipes de sécurité se concentrent sur l'analyse des dépendances pour détecter les vulnérabilités connues dans les bibliothèques de code. Cependant, lorsque des agents IA sont impliqués, les fichiers de configuration, les prompts et les compétences personnalisées deviennent partie intégrante de la chaîne de confiance. Une configuration malveillante peut compromettre l'intégrité de l'agent sans déclencher les alertes antivirus standard.

L'utilisation du langage naturel comme mécanisme de livraison signifie que les outils d'analyse statique conçus pour le code peuvent manquer ces menaces. Les équipes de sécurité doivent désormais considérer la provenance des modèles de prompts et des bundles de configuration. Si une équipe utilise une configuration pré-construite comme Codex-X ou importe des compétences depuis des dépôts communautaires, elle fait implicitement confiance aux auteurs de ces instructions en langage naturel. Cela brouille la frontière entre le développement logiciel et la modération de contenu, nécessitant de nouvelles stratégies de vérification.

De plus, la persistance de l'injection publicitaire démontre qu'une fois les instructions principales de l'agent compromises, chaque interaction ultérieure est affectée. Cela peut entraîner une fuite de données si la passerelle annoncée est utilisée comme proxy, ou simplement dégrader la fiabilité de l'assistant IA. Pour les entreprises, cela mine la prévisibilité et les garanties de sécurité attendues des agents IA déployés.

Ce que vous pouvez faire

• Auditez tous les bundles de configuration tiers et les modèles de prompts avant de les importer dans vos environnements d'agents IA.
• Surveillez les sorties des agents IA pour détecter tout contenu promotionnel inattendu ou redirections vers des domaines inconnus.
• Restreignez la capacité des agents IA à accéder aux réseaux externes ou à utiliser des passerelles non autorisées sans approbation explicite.
• Implémentez un contrôle de version strict pour les instructions des agents et révisez régulièrement les modifications apportées aux prompts globaux.
• Formez les équipes de développement aux risques d'injection de prompt et à l'importance de sourcer les configurations depuis des dépôts fiables.
• Envisagez d'utiliser des environnements sandboxés pour tester les nouvelles compétences ou configurations IA avant de les déployer sur les systèmes de production.