Check Point 发现 OpenAI Codex 越狱漏洞可注入网关广告

只需一句简单的“你好”，AI 编程助手就会开始推广商业服务。Check Point Research 在 Haiou 中发现了这种行为，Haiou 是一个用于 OpenAI Codex 的免费越狱工具包。该工具包会篡改代理程序的持久化指令，导致用户一打招呼就显示商业 AI 网关的广告。但问题不仅仅在于不受欢迎的广告。相同的指令也可能影响代理程序提供的技术建议和推荐。

从越狱到广告渠道

海鸥捆绑包版本4.5.0包含六个专注于安全的技能。它通过提示词试图绕过Codex的限制，并以夺旗游戏的名义发出有问题的命令。该捆绑包更进一步：启动器首先检查签名归档文件并解码隐藏的提示文件。其中一个文件修改了Codex的指令集，导致简单的“hello”一词生成AI网关的广告，而不是普通的问候语。

捆绑包的内容不易查看。根据其公共GitHub仓库，它以压缩归档文件的形式分发，而不是纯文本提示文件。然而，GitHub仓库本身并未独立证实Check Point关于4.5.0版本中隐藏指令的发现。

研究人员的结论与未得出结论

Check Point 在一台配置错误的威胁行为者服务器上发现了 Haiou，旁边还有 Cobalt Strike 和其他黑客工具。但研究人员没有找到任何将 Haiou 作者与网络犯罪联系起来的证据。他们未观察到任何信息窃取行为，也未发现被推广的网关具有恶意迹象。他们并未将其定性为已确认的供应链攻击。在他们的测试中，Claude Code 拒绝了注入的指令。

然而，研究人员成功确定了 Haiou 如何影响 Codex 的响应。Haiou 会篡改代理的信任指令，导致广告在不同会话中出现。Check Point 将此类行为称为“提示型广告软件（prompt adware）”。以下两个定义有助于解释该技术的工作原理及其推广方式：

提示广告软件： Check Point 将其定义为一种“持续改变代理可信指令”的修改，以出于商业或行为目的影响未来的响应。

AI网关： 在应用程序和模型提供商之间传递请求和响应的中介。

为何底层的管道机制比单一广告更重要

Check Point 未发现证据表明 Haiou 所推广的网关具有恶意性。但网关位于 AI 代理与其模型提供商之间，能够访问交换的信息。这一位置本身就蕴含着风险。

另一项研究项目调查了428个LLM API路由器，其中包括28个付费服务和400个免费服务。其中9个被调查的服务在返回的工具调用中注入了恶意代码，另有17个与研究人员植入的虚假AWS凭据进行了交互。然而，这些情况均不会对海鸥产生任何影响。该研究展示了中间商如何影响AI代理接收并执行的信息。

贯穿指令文件和技能模块的模式

网关并非影响 AI 代理的唯一途径。看似普通的文件可能携带改变其行为的指令。

永固安全在一名客户的下载文件夹中发现了一个恶意的AGENTS.md文件。在其复现过程中，Codex在超过90%的尝试中成功执行了有效载荷。另一次Snyk的调查检查了3,984个智能体技能（Skills），确认其中包含76个恶意有效载荷。

上述发现凸显了一个更大的问题。这表明AI代理倾向于执行文件和技能中包含的指令，而未能充分理解此类执行可能带来的负面后果。因此，云安全联盟建议从安全角度将指令文件视为可执行代码进行对待。

促使替代方案网关更具吸引力的成本压力

随着企业面临控制AI支出的日益增长的压力，安全问题也随之凸显。Gartner预测，随着令牌消耗量的增加，到2028年AI编码成本将超过开发人员的平均薪资。更便宜的网关可能会吸引那些希望降低这些开支的公司。

但成本只是决策的一部分。麦肯锡发现，近三分之二的受访组织认为安全和风险是扩大智能体AI规模的主要障碍。

Haiou 的案例凸显了这些担忧的重要性。在采用第三方网关或技能之前，公司需要验证其来源、审查代理指令并限制权限。此外，还应监控代理是否出现意外的广告或推荐内容。

如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。