Pesquisadores encontram 'prompt adware' escondido em kit de jailbreak do OpenAI Codex
Pesquisadores da Check Point identificaram um pacote de jailbreak para o OpenAI Codex, batizado de Haiou, que altera as instruções de configuração confiáveis do agente para inserir propagandas de um gateway de IA de terceiros. A técnica, chamada pelos pesquisadores de 'prompt adware', mostra como arquivos de configuração aparentemente inofensivos podem ser usados para sequestrar silenciosamente o comportamento de um agente de codificação.
A Check Point Research publicou uma análise de um bundle de jailbreak para o OpenAI Codex, identificado pelo nome Haiou ('gaivota', em chinês), distribuído como um pacote de configuração ou prompt que usuários instalam para burlar as restrições do agente. Em vez de apenas remover salvaguardas, o Haiou também reescreve partes das instruções de sistema confiáveis do Codex para injetar anúncios de um gateway de IA de terceiro — efetivamente monetizando o canal de confiança entre o usuário e o agente.
Tecnicamente, o ataque explora o fato de que agentes como o Codex carregam arquivos de configuração e prompts de sistema de fontes que o próprio usuário escolhe instalar, e passam a tratar esse conteúdo como confiável assim que carregado. Ao modificar essas instruções — em vez de injetar um payload por fora, via prompt do usuário — o Haiou consegue persistir mudanças de comportamento entre sessões, inserindo recomendações ou redirecionamentos para o gateway anunciado sempre que o agente responde, sem que isso se pareça com uma injeção de prompt clássica vinda de uma fonte externa não confiável.
O caso importa porque mostra uma nova categoria de ameaça à cadeia de suprimentos de agentes de IA: pacotes de jailbreak, hoje disseminados abertamente em comunidades que buscam burlar limites de uso ou custo, tornam-se vetores de monetização maliciosa e, potencialmente, de payloads mais graves (exfiltração de dados, redirecionamento de tráfego) sem que o usuário perceba que seu agente foi alterado. Como esses pacotes circulam fora dos canais oficiais de distribuição da OpenAI, não há verificação de integridade que normalmente protegeria o usuário, o que amplia a superfície de ataque conforme desenvolvedores adotam cada vez mais configurações de terceiros para 'destravar' seus agentes de codificação.