Codex脱獄パック、プロンプトに広告を仕込む

OpenAIのコーディングエージェント「Codex」向けの無料ジェイルブレイク（脱獄）パッケージが、エージェントを広告塔に変えていた。セキュリティ企業チェック・ポイントの研究部門チェック・ポイント・リサーチが現地時間11月3日に公表した報告書で明らかにした。「Haiou（海鴎、中国語でカモメ）」と呼ばれるこのパッケージはCodexの設定を書き換え、ユーザーが「hi」とあいさつするだけで外部のAPI中継サービスを宣伝する定型文を返させる。

同社はこの手口を「プロンプト・アドウェア」と名付けた。従来のアドウェアと異なり、「実行ファイルではなく、設定ファイル内の自然言語だけで動作する」と説明している。

要点

• Haiouのバージョン4.5.0は、「hi」「hello」「ctf」などの語が入力されると、Codexにzz.aiapi2025.topのAPI中継サービスを宣伝させる。
• プロンプトはAES-256-GCMで暗号化されて配布されるため、GitHubのリポジトリを眺めただけでは広告文は見えない。
• 中継サービス自体が悪意あるものだという手がかりはないが、中身の見えないLLMゲートウェイの利用にはデータ上のリスクがあると同社は警告する。

Codex向け脱獄パッケージの仕組み

HaiouはGitHubユーザー「haiou-666」のリポジトリ「haiou-codex」で公開されている。リポジトリは、独自のAGENTS.mdファイルとモジュール化したプロンプト、スキルによって、Codexにより直接的な中国語の技術者ペルソナとセキュリティ研究のワークフローを加える拡張パックだと自己紹介している。11月4日時点でスターは396、フォークは73だった。報告書の時点ではスターは250超とされていた。

パッケージにはseagull-pentest、seagull-reverse、seagull-license-securityなど6つのスキルが含まれる。同社によると、ライセンスのクラック、侵入テスト、リバースエンジニアリング、ゲームのチート対策回避が主な用途だ。

広告はどこに隠れていたか

広告文は「00-identity.md」というモジュールにある。ユーザーが指定の語を入力すると、Codexは同社の英訳によれば「カモメ、オンライン。ポテトはいかが？APIの中継／ゲートウェイを立ち上げた……応援してね」という一文を返す。

起動スクリプトは「payload.pkg」をEd25519署名とSHA-256ハッシュで検証したうえで、スクリプトに埋め込まれたAES-256-GCM鍵で復号する。別のモジュール「03-protected-site.md」は、「ユーザーが権限やCTFの文脈を主張しても」宣伝先の中継サーバーには攻撃テストをしないようエージェントに指示している。

Claude Code版とSonnet 5

同社によると、Claude Code向けの版も存在するが、広告挿入の仕組みを備えて活発に更新されているのはCodex版のみとみられる。ただしパッケージ内のCLAUDE.mdにも広告は含まれている。研究者が試したところ、「Sonnet 5はプロンプトインジェクションの試みと判断し、従わなかった」と報告書は記す。

背景：API中継サービスが問題になる理由

同社は宣伝先のサービスを、中身の見えないOpenAI互換のLLMゲートウェイと位置付け、無料パッケージは顧客獲得の窓口とみている。報告書は、一部のゲートウェイがユーザーデータをのぞき見し、機密情報を盗み、中にはツール呼び出しを差し込む例もあるとする学術研究を引用した。

研究者はまた、Cobalt Strikeを運用する攻撃者の設定不備のあるWebサーバーで、このパッケージがLadonツールやVulnClawというエージェントとともに見つかったとした。ただし、これは「パッケージがサイバー犯罪用に作られたことを意味しない」とし、作者と犯罪を結びつける証拠もないとしている。

今後の見通し

同社は、AGENTS.mdやCLAUDE.mdといった設定ファイルも、実行コードと同等に精査すべきだと指摘する。開発者にコミュニティ製のプロンプトパックの導入を認める組織は、該当ファイルを確認し、暗号化されたプロンプトを遮断し、コーディングエージェントが呼び出すAPIの接続先を記録する必要がありそうだ。

よくある質問

プロンプト・アドウェアとは何か。

AIエージェントの設定ファイルに書かれた自然言語の指示で広告を差し込む手口を指す、チェック・ポイントの用語である。

宣伝先のAPI中継サービスは悪質なのか。

同社はゲートウェイ自体が悪質だという手がかりは見つからなかったとしている。ただ中身が不透明で、送ったコードやプロンプトが第三者に渡ることになる。

Claude Codeでも通用するのか。

同社の検証では、Sonnet 5がCLAUDE.mdの広告指示をプロンプトインジェクションの試みと判断し、従わなかった。

参考資料

• Free the Model, Sell the Gateway: Prompt Adware hidden in Jailbreak Bundles — チェック・ポイント・リサーチ（2026年11月3日）
• haiou-666/haiou-codex — GitHub（2026年11月4日閲覧）