Бесплатный набор команд для обхода ограничений OpenAI Codex незаметно превращает ИИ-помощника в рекламную площадку. Исследователи Check Point обнаружили, что пакет Haiou меняет постоянные инструкции нейросети и заставляет её продвигать сторонний сервис даже во время обычного приветствия.
Находка началась с неправильно настроенного сервера злоумышленника, использовавшего Cobalt Strike. Рядом находились сетевой сканер Ladon, инструмент тестирования на проникновение VulnClaw и китайский пакет Haiou. Причастность автора Haiou к атакам не доказана.
Пакет распространяется через GitHub и обещает научить Codex выполнять задания, от которых модель обычно отказывается. Среди приёмов есть ролевая игра, запрет на отказы и представление опасных запросов как учебных соревнований CTF. Пакет также устанавливает шесть навыков для пентестов и реверс-инжиниринга.
Главный сюрприз скрыт в файле 00-identity.md. После установки Haiou добавляет в глобальные инструкции Codex правило реагировать на слова hi, hello, ctf и другие короткие обращения. Вместо обычного приветствия помощник выдаёт фразу о «чайке» и рекламирует адрес zz.aiapi2025.top. Реклама сохраняется между сеансами.
Check Point назвала механизм prompt adware, рекламным ПО на уровне промптов. В отличие от привычных рекламных модулей, здесь не требуется внедрять исполняемый код в систему. Достаточно изменить доверенные текстовые инструкции, которые агент загружает при работе. Тот же приём позволяет менять рекомендации агента.
Исследователи изучили версию Haiou 4.5.0. Вместо открытых текстовых файлов автор распространяет зашифрованный пакет payload.pkg. Скрипты для Windows, Linux и macOS проверяют подпись Ed25519 и хеш SHA-256, после чего расшифровывают содержимое с помощью AES-256-GCM. Ключ встроен в установщик, а инструкции трудно прочитать заранее.
Реклама ведёт на шлюз, совместимый с API OpenAI. Исследователи предполагают, что бесплатный Haiou помогает привлекать клиентов к платному сервису. При этом признаков вредоносности конкретного шлюза не обнаружено. Отдельный модуль даже запрещает агенту проверять рекламируемый сайт на уязвимости.
В опубликованном исследовании Check Point также описывает различия между версиями. Рекламная команда присутствует в активно поддерживаемом пакете для Codex, но отсутствует в отдельном репозитории Haiou для Claude Code. Во время испытания Claude Sonnet 5 распознала попытку промпт-инъекции и отказалась следовать инструкции. В пакет входит средство восстановления прежних настроек.
Пакет набрал более 250 звёзд на GitHub и продвигался через китайские площадки, включая Bilibili. Сам факт обнаружения на сервере преступника не доказывает злонамеренности разработчика. Но случай показывает, как сторонние пакеты инструкций могут менять поведение ИИ-агента и превращать его ответы в скрытый канал продвижения услуг.