Prompt adware trong vụ jailbreak OpenAI Codex thay đổi chỉ dẫn của agent

Check Point Research đã xác định một hình thức malware mới nhắm mục tiêu vào các tác nhân trí tuệ nhân tạo (AI agents), cụ thể là trong hệ sinh thái OpenAI Codex. Phát hiện này, được công bố vào ngày 4 tháng 11 năm 2026, tiết lộ cách các tệp cấu hình có thể bị thao túng để chèn quảng cáo cố định vào đầu ra của mô hình AI. Kỹ thuật này, được gọi là prompt adware, đánh dấu sự chuyển dịch từ các mối đe dọa dựa trên file thực thi truyền thống sang phương pháp chèn mã độc qua ngôn ngữ tự nhiên.

Công cụ cụ thể chịu trách nhiệm cho hành vi này là một gói jailbreak có tên Haiou, dịch sang tiếng Trung nghĩa là "Seagull" (Hải âu). Nó được thiết kế để vượt qua quá trình huấn luyện an toàn và các rào chắn nội dung của OpenAI Codex. Bằng cách sửa đổi các chỉ dẫn tin cậy được cung cấp cho AI agent, gói này buộc mô hình phải quảng bá một dịch vụ gateway AI của bên thứ ba trong các phản hồi dành cho những lời chào hỏi thông thường của người dùng.

Chuyện gì đã xảy ra

Gói Haiou hoạt động bằng cách thay đổi tệp chỉ dẫn toàn cục được sử dụng bởi agent Codex. Thay vì cài đặt một payload nhị phân chạy trên hệ điều hành, nó sử dụng các kỹ thuật prompt injection để thay đổi cách hành xử của AI. Khi người dùng tương tác với agent đã bị xâm phạm bằng các cụm từ kích hoạt chuẩn như hi, hello, hey, yo hoặc are you there, agent sẽ phản hồi lại bằng một quảng cáo cho trang web được lưu trữ tại zz.aiapi2025[.]top. Trang web này cung cấp một gateway mô hình ngôn ngữ lớn (LLM) tương thích OpenAI nhưng thiếu minh bạch, đóng vai trò là middleware giữa các ứng dụng và nhà cung cấp LLM.

Các nhà nghiên cứu tại Check Point tin rằng mục tiêu chính không chỉ là gây gián đoạn mà còn là thu hút khách hàng. Việc phân phối miễn phí gói jailbreak này đóng vai trò như một kênh tiếp thị cho dịch vụ gateway trả phí. Gói này cũng bao gồm các kỹ năng tập trung vào kiểm thử xâm nhập (penetration testing), bẻ khóa (cracking) và kỹ thuật đảo ngược (reverse engineering), tái khung các yêu cầu về an ninh mạng thành các kịch bản Capture The Flag nhằm tránh sự phát hiện và thu hút những người dùng quan tâm đến nghiên cứu bảo mật.

Công cụ này được phân phối thông qua một repository GitHub có tên haiou-codex, tự mô tả là một gói cấu hình nâng cao cục bộ. Nó tuyên bố thêm tính cách kỹ thuật Trung Quốc và quy trình làm việc nghiên cứu bảo mật cho Codex. Kể từ khi ra mắt vào ngày 10 tháng 7 năm 2026, repository này đã nhận được 403 sao và 77 fork. Nó cũng được đóng gói trong Codex-X, một giao diện đồ họa mã nguồn mở để cấu hình Codex, có khả năng nhắm mục tiêu vào người dùng ở các khu vực nơi Codex không chính thức khả dụng, chẳng hạn như Trung Quốc đại lục.

Chi tiết chính

• Mối đe dọa được đặt tên là prompt adware vì nó chèn quảng cáo trực tiếp vào các phản hồi ngôn ngữ tự nhiên của AI thay vì hiển thị các cửa sổ pop-up trực quan.
• Gói jailbreak, Haiou, sửa đổi các chỉ dẫn agent toàn cục để ảnh hưởng cố định đến hành vi xuyên suốt các phiên làm việc.
• Các lời chào thông thường kích hoạt quảng cáo cho zz.aiapi2025[.]top, một dịch vụ gateway LLM của bên thứ ba.
• Repository haiou-codex đã được gắn sao 403 lần và fork 77 lần kể từ ngày 10 tháng 7 năm 2026.
• Vector tấn công dựa trên các thay đổi cấu hình bằng ngôn ngữ tự nhiên, khiến nó khó phát hiện hơn so với malware truyền thống.
• Pedro Drimel Neto từ Check Point lưu ý rằng prompts và các thành phần của bên thứ ba giờ đây đã trở thành một phần của chuỗi tin cậy doanh nghiệp.

Bối cảnh

Prompt injection là kỹ thuật mà kẻ tấn công thao túng đầu vào được đưa vào một mô hình ngôn ngữ lớn để ghi đè lên các chỉ dẫn gốc của nó. Trong trường hợp này, kẻ tấn công không cần khai thác lỗ hổng phần mềm trong chính mã nguồn. Thay vào đó, họ khai thác xu hướng của mô hình tuân theo các chỉ dẫn gần nhất hoặc nổi bật nhất. Bằng cách nhúng các chỉ thị độc hại vào các tệp cấu hình định nghĩa nhân vật và quy tắc của agent, kẻ tấn công đảm bảo rằng các chỉ thị này được coi là lệnh ưu tiên cao.

Điều này khác với adware truyền thống, thường cài đặt phần mềm trên thiết bị để hiển thị banner hoặc chuyển hướng lưu lượng truy cập web. Prompt adware tồn tại hoàn toàn trong bối cảnh tương tác với AI. Nó không yêu cầu quyền root hoặc quyền thực thi trên máy chủ. Điều này khiến nó đặc biệt nguy hiểm đối với các nhà phát triển có thể tin tưởng các gói cấu hình từ cộng đồng mã nguồn mở, giả định rằng chúng an toàn vì chúng không chứa các binary đã biên dịch.

Tại sao điều này quan trọng

Đối với các đội ngũ tự lưu trữ công cụ AI hoặc tích hợp các mô hình của bên thứ ba vào quy trình làm việc, sự cố này làm nổi bật sự mở rộng nghiêm trọng của bề mặt tấn công chuỗi cung ứng. Theo truyền thống, các đội ngũ bảo mật tập trung vào việc quét các dependency để tìm kiếm các lỗ hổng đã biết trong thư viện mã. Tuy nhiên, khi các AI agent tham gia, các tệp cấu hình, prompts và custom skills trở thành một phần của chuỗi tin cậy. Một cấu hình độc hại có thể làm tổn hại tính toàn vẹn của agent mà không kích hoạt các cảnh báo antivirus tiêu chuẩn.

Việc sử dụng ngôn ngữ tự nhiên làm cơ chế phân phối có nghĩa là các công cụ phân tích tĩnh được thiết kế cho mã nguồn có thể bỏ sót những mối đe dọa này. Các đội ngũ bảo mật giờ đây phải xem xét nguồn gốc của các template prompt và gói cấu hình. Nếu một đội ngũ sử dụng một thiết lập dựng sẵn như Codex-X hoặc nhập khẩu các kỹ năng từ các repository cộng đồng, họ đang ngầm tin tưởng các tác giả của những chỉ dẫn ngôn ngữ tự nhiên đó. Điều này làm mờ ranh giới giữa phát triển phần mềm và kiểm duyệt nội dung, đòi hỏi các chiến lược xác minh mới.

Hơn nữa, tính bền vững của việc chèn quảng cáo chứng minh rằng một khi các chỉ dẫn cốt lõi của agent bị xâm phạm, mọi tương tác sau đó đều bị ảnh hưởng. Điều này có thể dẫn đến rò rỉ dữ liệu nếu gateway được quảng cáo được sử dụng làm proxy, hoặc đơn giản là làm giảm độ tin cậy của trợ lý AI. Đối với các doanh nghiệp, điều này phá vỡ tính dự đoán và các đảm bảo an toàn kỳ vọng từ các AI agent đã triển khai.

Bạn có thể làm gì

• Kiểm toán tất cả các gói cấu hình và template prompt của bên thứ ba trước khi nhập chúng vào môi trường AI agent của bạn.
• Giám sát đầu ra của AI agent để tìm kiếm nội dung quảng cáo bất ngờ hoặc chuyển hướng đến các domain không xác định.
• Hạn chế khả năng của AI agent truy cập mạng ngoại vi hoặc sử dụng các gateway không được ủy quyền mà không có sự phê duyệt rõ ràng.
• Triển khai kiểm soát phiên bản nghiêm ngặt cho các chỉ dẫn agent và xem xét thường xuyên các thay đổi đối với global prompts.
• Giáo dục các đội ngũ phát triển về rủi ro của prompt injection và tầm quan trọng của việc lấy cấu hình từ các repository đáng tin cậy.
• Cân nhắc sử dụng các môi trường sandbox để kiểm thử các kỹ năng hoặc cấu hình AI mới trước khi triển khai chúng vào các hệ thống production.