Check Point descubre jailbreak en OpenAI Codex que inyecta anuncios de pasarela

Un simple «hola» es suficiente para que un asistente de codificación con IA comience a publicitar un servicio comercial. Check Point Research descubrió este comportamiento en Haiou, un paquete gratuito de jailbreak para OpenAI Codex. Este paquete altera los comandos persistentes del agente, lo que provoca que se muestre un anuncio de una puerta de enlace de IA comercial tan pronto como un usuario lo saluda. Pero el problema va más allá de los anuncios no deseados. Los mismos comandos también pueden afectar los consejos técnicos y las recomendaciones proporcionadas por el agente.

Del jailbreak al canal de publicidad

La versión 4.5.0 del paquete Haiou incluye seis habilidades centradas en la seguridad. A través de sus indicaciones, intenta eludir las limitaciones y problemas de Codex, emitiendo comandos problemáticos bajo el pretexto de un juego de captura de banderas. El paquete va un paso más allá: el lanzador primero verifica los archivos firmados y descodifica los archivos de indicación ocultos. Uno de esos archivos modifica el conjunto de instrucciones de Codex y hace que la simple palabra "hola" genere un anuncio para una puerta de enlace de IA en lugar de un saludo.

El contenido del paquete no se visualiza fácilmente. Según su repositorio público de GitHub, se distribuye como un archivo archivado comprimido, en lugar de como archivos de indicación de texto sin formato. Sin embargo, el repositorio de GitHub no confirma por sí solo los hallazgos de Check Point sobre las instrucciones ocultas en la versión 4.5.0.

Lo que concluyeron y lo que no los investigadores

Check Point encontró Haiou en un servidor mal configurado de un actor de amenazas, junto con Cobalt Strike y otras herramientas de hacking. Sin embargo, los investigadores no encontraron pruebas que vinculen al autor de Haiou con actividades delictivas cibernéticas. No observaron robo de información ni hallaron indicios de que la puerta de enlace anunciada fuera maliciosa. Se abstuvieron de calificarlo como un ataque confirmado a la cadena de suministro. En sus pruebas, Claude Code rechazó la instrucción inyectada.

Sin embargo, los investigadores pudieron establecer cómo Haiou afecta la respuesta de Codex. Haiou altera los comandos confiables del agente, lo que hace que aparezcan anuncios en diferentes sesiones. Check Point denominó a este comportamiento como «prompt adware» (publicidad integrada en instrucciones). Dos definiciones ayudan a explicar cómo funciona la técnica y qué promueve:

Adware de indicaciones: Check Point lo define como una modificación que "altera persistentemente las instrucciones confiables de un agente" para influir en las respuestas futuras con fines comerciales o conductuales.

Puerta de enlace de IA: Un intermediario que transporta solicitudes y respuestas entre una aplicación y un proveedor de modelos.

Por qué la infraestructura subyacente importa más que un solo anuncio

Check Point no encontró evidencia de que la puerta de enlace anunciada por Haiou fuera maliciosa. Sin embargo, las puertas de enlace se sitúan entre los agentes de IA y sus proveedores de modelos, lo que les da acceso a la información intercambiada. Esa posición conlleva riesgos.

Otro proyecto de investigación estudió 428 enrutadores de API LLM que incluían 28 servicios de pago y 400 gratuitos. Nueve de los servicios investigados inyectaron código malicioso en las llamadas a herramientas devueltas, mientras que 17 interactuaron con credenciales falsas de AWS plantadas por los investigadores. Sin embargo, nada de esto afecta a Haiou en absoluto. La investigación demuestra cómo los intermediarios pueden afectar la información que reciben y sobre la que actúan los agentes de IA.

Un patrón que atraviesa los archivos de instrucciones y las habilidades

Las puertas de enlace no son la única forma de influir en un agente de IA. Los archivos con apariencia normal pueden contener instrucciones que cambian su comportamiento.

Forever Security descubrió un archivo AGENTS.md malicioso en la carpeta Descargas de un cliente. En su reconstrucción, Codex ejecutó la carga útil en más del 90 % de los intentos. Una investigación separada de Snyk examinó 3.984 Habilidades de agentes y confirmó 76 cargas útiles maliciosas.

Los hallazgos citados anteriormente destacan un problema más amplio. Implica que los agentes de IA tienden a ejecutar instrucciones contenidas en archivos y Habilidades sin comprender completamente las repercusiones adversas de dicha ejecución. En consecuencia, la Cloud Security Alliance sugiere tratar los archivos de instrucciones de manera similar al código ejecutable en lo que respecta a la seguridad.

La presión sobre los costes que hace tentadoras las puertas de enlace alternativas

Las preocupaciones de seguridad surgen cuando las empresas enfrentan una creciente presión para controlar el gasto en IA. Gartner prevé que los costos de codificación con IA superen el salario promedio de un desarrollador para 2028, a medida que aumenta el consumo de tokens. Las pasarelas más económicas podrían atraer a empresas que buscan reducir esos gastos.

Pero el costo es solo parte de la decisión. McKinsey descubrió que casi dos tercios de las organizaciones encuestadas consideran la seguridad y el riesgo como barreras importantes para escalar la IA agente.

Haiou destaca por qué estas preocupaciones son importantes. Antes de adoptar puertas de enlace o Habilidades de terceros, las empresas deben verificar sus fuentes, revisar las instrucciones de los agentes y restringir los permisos. También deberían monitorizar a los agentes para detectar anuncios o recomendaciones inesperadas.