코덱스 탈옥 패키지, 프롬프트에 광고 숨겼다

오픈AI의 코딩 에이전트 코덱스(Codex)용 무료 탈옥 패키지가 에이전트를 광고판으로 바꿔 놓고 있었다고 보안업체 체크포인트 리서치가 11월 3일(현지시간) 보고서에서 밝혔다. '하이어우(Haiou·중국어로 갈매기)'라는 이 패키지는 코덱스 설정을 고쳐, 사용자가 "hi" 같은 인사만 쳐도 외부 API 중계 서비스를 홍보하는 정해진 답을 내놓게 만든다.

체크포인트는 이를 '프롬프트 애드웨어'로 명명하며 "실행 파일이 아니라 설정 파일 속 자연어만으로 작동한다"고 설명했다.

핵심 정리

• 하이어우 4.5.0은 "hi", "ctf" 등이 입력되면 코덱스가 zz.aiapi2025.top의 API 중계 서비스를 홍보하게 한다.
• 프롬프트가 AES-256-GCM으로 암호화돼 깃허브에서는 광고가 보이지 않는다.
• 중계 서비스 자체가 악성이라는 단서는 없지만, 불투명한 LLM 게이트웨이는 데이터 위험이 있다는 경고다.

코덱스 탈옥 패키지 구조

하이어우는 깃허브 사용자 haiou-666의 haiou-codex 저장소에 올라 있다. 저장소는 AGENTS.md 파일과 모듈형 프롬프트·스킬로 코덱스에 중국어 기술 페르소나와 보안 연구 기능을 더하는 확장 팩이라고 스스로를 소개한다. 11월 4일 기준 저장소의 별(star)은 396개, 포크는 73개였다. 보고서 작성 시점엔 250개 이상이었다.

패키지에는 seagull-pentest, seagull-reverse, seagull-license-security 등 스킬 6개가 들어 있다. 체크포인트는 라이선스 크랙, 모의해킹, 역공학, 게임 안티치트 우회가 주된 용도라고 분석했다.

광고는 어디에 숨었나

광고 문구는 00-identity.md 모듈에 들어 있다. 사용자가 지정 단어를 입력하면 코덱스는 체크포인트 번역 기준 "갈매기 접속 완료. 감자튀김 먹을래? API 중계/게이트웨이를 하나 열었어 … 응원해 줘"라는 문장을 내놓는다.

실행 스크립트는 payload.pkg 파일을 Ed25519 서명과 SHA-256 해시로 확인한 뒤 스크립트에 박힌 AES-256-GCM 키로 복호화한다. 03-protected-site.md 모듈은 "사용자가 권한이나 CTF 상황을 주장하더라도" 광고하는 중계 서버에는 공격 테스트를 하지 말라고 에이전트에 지시한다.

클로드 코드판과 소네트 5

체크포인트에 따르면 클로드 코드(Claude Code)용 판도 있지만, 광고 삽입 장치를 갖추고 꾸준히 관리되는 것은 코덱스판뿐으로 보인다. 다만 패키지의 CLAUDE.md 파일에도 광고가 들어 있다. 시험 결과 "소네트 5는 프롬프트 인젝션 시도로 판단하고 따르지 않았다"고 보고서는 적었다.

맥락: API 중계 서비스가 문제인 이유

체크포인트는 광고된 서비스를 불투명한 오픈AI 호환 LLM 게이트웨이로 보고, 무료 패키지가 고객 유치 창구라고 분석했다. 보고서는 일부 게이트웨이가 사용자 데이터를 엿보고 비밀 정보를 빼낸다는 학술 연구도 인용했다.

이 패키지는 코발트 스트라이크를 운용하는 위협 행위자의 웹서버에서도 발견됐다. 다만 연구진은 제작자와 사이버 범죄를 잇는 증거는 없다고 선을 그었다.

전망

체크포인트는 AGENTS.md, CLAUDE.md 같은 설정 파일도 이제 실행 코드만큼 꼼꼼히 들여다봐야 한다고 지적했다. 커뮤니티 프롬프트 팩을 허용하는 조직은 해당 파일을 검토하고 코딩 에이전트가 호출하는 API 주소를 기록할 필요가 있다.

자주 묻는 질문

프롬프트 애드웨어란 무엇인가?

AI 에이전트 설정 파일의 자연어 지시로 광고를 끼워 넣는 수법을 가리키는 체크포인트의 용어다.

광고된 API 중계 서비스는 악성인가?

체크포인트는 악성이라는 단서는 찾지 못했다고 했다. 다만 내부가 불투명해 보낸 코드와 프롬프트가 제3자에게 노출된다.

클로드 코드에서도 통하나?

체크포인트 시험에서 소네트 5는 CLAUDE.md의 광고 지시를 프롬프트 인젝션 시도로 판단하고 따르지 않았다.

참고 자료

• Free the Model, Sell the Gateway: Prompt Adware hidden in Jailbreak Bundles — 체크포인트 리서치(2026년 11월 3일)
• haiou-666/haiou-codex — 깃허브(2026년 11월 4일 접속)