Haiou: balík pro „osvobození“ Codexu tiše přepisuje pokyny agenta a vkládá do nich reklamu

Co se stalo

Check Point Research 3. listopadu 2026 zveřejnil rozbor balíku Haiou pro programovacího agenta OpenAI Codex. Balík slibuje „osvobozeného“ agenta, který bez výhrad pomůže s pentestingem, reverzním inženýrstvím, ochranou her proti podvádění nebo obcházením licencí. Instaluje k tomu šest vlastních skills (seagull-pentest, seagull-reverse a další) a moduly s pokyny, které oslabují bezpečnostní omezení modelu.

Výzkumníci si všimli ještě jedné věci: balík do globálních pokynů agenta vkládá reklamu. Když uživatel agenta pozdraví (třeba „hi“, „hello“, „ctf“ nebo čínským ekvivalentem), agent odpoví jediným pevně daným řádkem, který propaguje bránu k jazykovým modelům a prosí o podporu. Check Point pro to zavádí pojem prompt adware – reklama, která nežije ve spustitelném kódu, ale v textu pokynů.

Jak to funguje

Codex podle dokumentace OpenAI čte globální pokyny z domovského adresáře Codexu (výchozí ~/.codex, jinak podle proměnné CODEX_HOME): nejdřív AGENTS.override.md, jinak AGENTS.md. Pak přidá soubory AGENTS.md z projektu. Co se do těchto souborů zapíše, agent bere jako důvěryhodný pokyn od uživatele – a to v každé relaci, dokud to někdo nesmaže.

Modul 03-protected-site.md navíc označuje doménu brány za „chráněnou infrastrukturu“ a agentovi zakazuje proti ní cokoli testovat.

Proč je to důležité

Samotná reklama je spíš nepříjemnost. Check Point ale upozorňuje na princip: stejná trvalá změna pokynů by mohla agenta nenápadně vést k doporučování určitých knihoven, zkreslovat technické rady nebo ho nasměrovat na bránu, která čte data. U některých bran k jazykovým modelům se podle výzkumníků už našlo čtení dat uživatelů, krádež klíčů ke cloudu a vkládání volání nástrojů. Tradiční ochrana to nevidí, protože jde jen o text.

Balík Check Point našel i na špatně nastaveném serveru útočníka, který přes Cobalt Strike napadal počítače čínsky mluvících uživatelů; vedle něj ležel skener Ladon a pentestovací agent VulnClaw. Výzkumníci zdůrazňují, že autora balíku s kyberzločinem nic nespojuje – ukazuje to jen, že takové nástroje útočníci používají.

Jak poznat, že balík máte

Indikátory z rozboru Check Pointu (doména zneškodněná):

zz[.]aiapi2025[.]top
github.com/haiou-666/haiou-codex
github.com/yynxxxxx/Codex-X
00-identity.md
03-protected-site.md
seagull-pentest  seagull-reverse  seagull-lab
seagull-memory   seagull-license-security  seagull-game-security

Naše tipy ke kontrole (nejde o seznam Check Pointu):

• Otevřete ~/.codex/AGENTS.md a ~/.codex/AGENTS.override.md (nebo totéž v CODEX_HOME) a hledejte pokyny, které jste nepsali – hlavně „odpověz jen tímto řádkem“, cizí URL a zákazy testování.
• Projděte nainstalované skills a hledejte názvy začínající seagull-.
• Zkontrolujte soubory CLAUDE.md, které jste si nezaložili sami.
• Ve firmě hledejte v DNS a proxy logech dotazy na doménu brány. Ta sama škodlivá není, ale ukazuje, že na počítači je nástroj, který firma neschválila.

Náš IOC extraktor z logů vytáhne domény ke srovnání; běží jen ve vašem prohlížeči.

Co udělat

1. Zmapujte AI agenty ve firmě – kdo používá jaké agenty, skills, brány a rozšíření (doporučení Check Pointu).
2. Schvalujte, co se smí instalovat: seznam povolených nástrojů, skills a bran k modelům. Balíky „bez omezení“ patří mezi zakázané.
3. Hlídejte soubory s pokyny jako konfiguraci: globální AGENTS.md a skills lze verzovat nebo kontrolovat změnu otisku. Hash kalkulačka pomůže porovnat soubor se schválenou verzí.
4. Omezte, k čemu agent smí: tajemství, produkční přístupy a citlivý kód jen tam, kde je to nutné.
5. Když Haiou najdete, použijte odinstalátor balíku nebo ručně odstraňte vložené moduly a skills a zkontrolujte, zda se přes cizí bránu neposílala firemní data.

Podobný vzorec – AI agenti jako nový terč i nástroj – popisujeme ve zprávě ARTEX: útočníci nechávají AI agenty hledat tajemství na GitHubu.