Haiou infetta le istruzioni di Codex con pubblicità nascosta: Check Point scopre il prompt adware negli agenti AI

📌 In Sintesi

• Check Point Research scopre il prompt adware: il pacchetto Haiou modifica le istruzioni persistenti di OpenAI Codex e inserisce pubblicità per un servizio AI esterno nelle risposte dell’assistente.
• Il jailbreak nasconde istruzioni in archivi cifrati: la versione 4.5.0 distribuisce prompt e sei skill attraverso file protetti da AES-256-GCM, rendendo meno immediata l’ispezione dei contenuti.
• La scoperta avviene su un server utilizzato da cybercriminali: Haiou viene individuato accanto a Cobalt Strike, VulnClaw e Ladon, ma i ricercatori non dimostrano che il suo autore partecipi ad attività criminali o che il gateway pubblicizzato sia malevolo.

Un pacchetto progettato per aggirare le restrizioni di OpenAI Codex nasconde istruzioni persistenti che trasformano le risposte dell’assistente in pubblicità per un servizio AI esterno. La scoperta arriva da Check Point Research, che il 3 novembre 2026 pubblica un’indagine su Haiou, un jailbreak in lingua cinese distribuito attraverso GitHub e integrato anche in strumenti di configurazione per agenti AI. La tecnica viene denominata prompt adware perché non richiede l’installazione di un programma pubblicitario tradizionale: modifica direttamente i file che determinano il comportamento dell’assistente. Una semplice formula di saluto può quindi generare un messaggio promozionale anziché la risposta attesa. L’aspetto più rilevante riguarda la catena di fiducia degli agenti AI, nella quale prompt, skill e configurazioni provenienti da terze parti possono influenzare stabilmente le risposte senza modificare il modello sottostante.

Leggi anche: Codex e Claude Code sotto attacco: un file Downloads può rubare token ed eseguire malware

Check Point scopre Haiou su un server Cobalt Strike utilizzato dai cybercriminali

La ricerca originale di Check Point prende avvio dall’individuazione di un server web configurato in modo errato, utilizzato da un operatore di Cobalt Strike. I registri dell’infrastruttura mostrano compromissioni di computer appartenenti a persone di lingua cinese, mentre sullo stesso sistema vengono individuati strumenti come Ladon, framework di scansione delle reti, VulnClaw, agente per il penetration testing, e il pacchetto Haiou. Il nome significa gabbiano in cinese e identifica un insieme di configurazioni pensate per modificare il comportamento di OpenAI Codex, riducendo le restrizioni applicate alle richieste relative alla sicurezza offensiva. Il repository GitHub haiou-codex, pubblicato dall’utente haiou-666, presenta il software come un pacchetto di miglioramento locale che introduce una personalità tecnica cinese e workflow dedicati alla ricerca di sicurezza.

Haiou utilizza tecniche di role-playing, soppressione dei rifiuti e reinterpretazione delle richieste come esercitazioni Capture The Flag. Comprende sei skill destinate, tra le altre attività, a penetration testing, reverse engineering, analisi della memoria e sicurezza delle licenze software. La presenza del pacchetto nell’infrastruttura di un cybercriminale non prova che l’autore sia coinvolto negli attacchi. Check Point distingue esplicitamente l’impiego di uno strumento dual-use dalle responsabilità di chi lo sviluppa e distribuisce.

Il prompt adware modifica le istruzioni globali di Codex e inserisce pubblicità

L’elemento più interessante della ricerca riguarda la persistenza delle istruzioni pubblicitarie. Il pacchetto non si limita a proporre nuovi prompt durante una singola conversazione, ma modifica i file di configurazione globali utilizzati da Codex nelle sessioni successive. Il contenuto pubblicitario viene inserito nel modulo 00-identity.md, che associa parole comuni come hi, hello, hey, yo, ctf e coach a una risposta predefinita. Quando l’utente utilizza uno di questi termini, l’assistente può rispondere con una frase promozionale che invita a utilizzare il gateway zz.aiapi2025[.]top.

Il servizio viene presentato come un gateway LLM compatibile con le API OpenAI, cioè un intermediario attraverso cui applicazioni e utenti possono accedere a modelli forniti da operatori esterni. Secondo Check Point, il probabile modello commerciale consiste nel distribuire gratuitamente il jailbreak per attirare clienti verso un servizio a pagamento. Un secondo modulo, 03-protected-site.md, introduce una restrizione particolare: il dominio pubblicizzato viene classificato come infrastruttura protetta, impedendo all’agente di svolgere attività offensive contro quel sito anche quando l’utente dichiara di disporre di un’autorizzazione. Il pacchetto modifica quindi contemporaneamente ciò che l’agente consiglia e ciò che gli viene chiesto di non esaminare. Check Point non rileva prove che il gateway sia malevolo, ma documenta un comportamento commerciale introdotto attraverso istruzioni non richieste dall’utente.

Haiou utilizza AES-256-GCM e sei skill per nascondere i prompt distribuiti

La versione Haiou 4.5.0 presenta una struttura di distribuzione più articolata rispetto a un semplice file Markdown. Gli script di installazione disponibili per Windows, Linux e macOS verificano il pacchetto mediante firme Ed25519 e hash SHA-256, quindi decifrano un archivio utilizzando AES-256-GCM e una chiave incorporata nel launcher. Il contenuto viene estratto temporaneamente e comprende numerosi moduli di istruzioni insieme alle sei skill. La cifratura non dimostra da sola un intento malevolo, ma rende meno immediata l’analisi delle istruzioni da parte di utenti e scanner automatici. Check Point ipotizza che questo meccanismo possa ostacolare il riconoscimento dei jailbreak, senza presentare tale intenzione come accertata.

La distribuzione si estende anche a Codex-X, strumento cinese che permette di configurare Codex attraverso un’interfaccia grafica, e a contenuti promozionali pubblicati su Bilibili. I ricercatori verificano inoltre il comportamento con Claude Code: durante il test, Claude Sonnet 5 riconosce il tentativo di prompt injection e non segue le istruzioni pubblicitarie. Il repository Haiou specifico per Claude non contiene il meccanismo pubblicitario osservato nella variante Codex.

Continua con:

Agenti AI, la nuova kill chain: 157 skill malevole e tool poisoning sfuggono ai SOC

Microsoft avverte sul tool poisoning nei componenti MCP e sul rischio di esfiltrazione

Il rischio per le aziende è la manipolazione persistente degli agenti AI

Haiou non rappresenta una vulnerabilità identificata nel codice di Codex né dimostra una compromissione dei sistemi di OpenAI. Il comportamento nasce dall’installazione di configurazioni di terze parti che l’agente tratta successivamente come istruzioni affidabili. La distinzione è fondamentale per comprendere il rischio della supply chain degli agenti AI. Un componente apparentemente utile può modificare le istruzioni globali e influenzare risposte future senza bisogno di alterare i pesi del modello o installare un malware convenzionale. Check Point evidenzia che lo stesso meccanismo potrebbe essere utilizzato per orientare raccomandazioni commerciali, privilegiare determinati fornitori o manipolare suggerimenti tecnici. Queste conseguenze rappresentano possibilità della tecnica, non attività malevole già dimostrate per Haiou. Per le organizzazioni che utilizzano assistenti di sviluppo, diventano quindi importanti la verifica delle skill installate, il controllo delle modifiche ai file di istruzioni e l’approvazione dei gateway AI esterni. Nel caso specifico, Haiou comprende anche un programma di disinstallazione che ripristina le configurazioni originali. Il prompt adware introduce una nuova forma di persistenza nell’intelligenza artificiale: non conserva necessariamente un processo malevolo nel sistema, ma un’istruzione capace di influenzare l’assistente nelle sessioni successive. La ricerca dimostra che il perimetro di sicurezza degli agenti non può limitarsi al codice eseguibile: comprende ormai anche i contenuti testuali ai quali il software attribuisce autorità.