Check Point Research ha descrito un comportamiento que llama «prompt adware»: un paquete de jailbreak no necesita cambiar un binario para influir en un agente. Puede modificar sus instrucciones de confianza y dejar una orden persistente que altera respuestas futuras. El caso analizado es Haiou, un paquete para OpenAI Codex que prometía una configuración técnica y de seguridad más permisiva.
La publicidad no estaba en el modelo
El modelo no fue reentrenado ni se ha documentado una vulnerabilidad de OpenAI. Check Point observó que Haiou escribía instrucciones en la configuración global que Codex consulta al trabajar. Esas instrucciones podían hacer que determinadas interacciones normales desencadenaran una respuesta promocional para un gateway de modelos de terceros.
La distinción es importante. Un agente combina el modelo con instrucciones, herramientas, memoria, archivos y permisos. Si uno de esos componentes se instala con confianza y modifica el contexto que el agente considera válido, la conducta resultante puede cambiar aunque el modelo base no haya cambiado. Para el usuario, la diferencia entre «el modelo respondió así» y «una instrucción local lo empujó a responder así» no siempre es visible.
Qué encontró Check Point
La investigación estudió la versión 4.5.0 de Haiou y describió un conjunto de módulos de prompt junto con seis Skills orientadas a áreas como pruebas de seguridad, ingeniería inversa, análisis de memoria y seguridad de juegos. El informe encontró el paquete en un servidor mal configurado que también alojaba herramientas de uso ofensivo, pero no estableció que el autor de Haiou estuviera detrás de esas operaciones ni que el gateway anunciado fuese malicioso.
En la prueba de Check Point, Codex mostró el contenido promocional después de que las instrucciones globales fueran alteradas. En otra prueba, Claude Code identificó el intento de inyección y no siguió la orden. Esa comparación no es una clasificación general de agentes: son dos observaciones concretas con herramientas, configuraciones y modelos distintos.
La cobertura independiente de The Hacker News confirmó la naturaleza del paquete y su distribución como una supuesta mejora local de Codex. La Cloud Security Alliance, al revisar el caso, subrayó el riesgo de que Skills y configuraciones de terceros se conviertan en una cadena de suministro de instrucciones, aunque no describió un incidente con víctimas identificadas.