Prompt Adware es el nombre técnico de Haiou, y su truco empieza con un saludo. El usuario escribe «hi» en Codex, el agente de programación de OpenAI, y la respuesta no trae código: trae un anuncio. Una línea fija presenta a Seagull, pregunta si quieres papas fritas y promociona una pasarela de inteligencia artificial. Nadie instaló un programa de anuncios. La publicidad vive dentro de las instrucciones del agente.
Check Point Research llegó al paquete por una puerta lateral. Su equipo encontró el servidor web mal configurado de un actor que operaba Cobalt Strike. Los registros mostraban equipos privados de personas de habla china comprometidos, y en el mismo espacio dormían Ladon, un escáner de redes, y VulnClaw, un agente para pruebas de penetración. Entre ese arsenal apareció Haiou, un paquete chino pensado para debilitar las barreras de Codex.
El informe, del 3 de noviembre, define el prompt adware como una modificación que altera de forma persistente las instrucciones de confianza de un agente: indicaciones globales, Skills o archivos de configuración. Su objetivo: influir en respuestas futuras con fines comerciales o de comportamiento. La diferencia con el adware de siempre es el material: no hay un ejecutable escondido en el sistema, hay lenguaje natural en archivos que el agente lee como órdenes propias.
El anuncio vive en un archivo de texto
Haiou se distribuye gratis en GitHub, en la cuenta haiou-666, con versiones para Codex y para Claude Code. The Hacker News contó 403 estrellas y 77 bifurcaciones en el repositorio haiou-codex desde su apertura el 10 de julio de 2026. El paquete se presenta como una mejora local: aporta una personalidad técnica china y un flujo de trabajo para investigación de seguridad. Check Point analizó la versión 4.5.0, y solo la edición de Codex trae activo el mecanismo publicitario.
El contenido llega tapado. Los lanzadores para Linux, macOS y Windows verifican el archivo payload.pkg con firmas Ed25519 y huellas SHA-256 y lo descifran con una clave AES-256-GCM del propio script. Check Point plantea que ese cifrado busca esquivar los escáneres automáticos que rastrean textos de jailbreak para crear detecciones. Al abrirse, el paquete suelta 31 módulos de instrucciones y seis Skills con nombre de gaviota: seguridad de juegos, laboratorio, licencias, memoria, pruebas de penetración e ingeniería inversa.
Cada módulo empuja una puerta distinta. El archivo 10-persona.md impone un personaje brusco que rompe reglas y bloquea las frases de rechazo habituales del modelo. El 07 prohíbe abrir la respuesta pidiendo autorización o marcando límites. El 08 ordena reinterpretar como trabajo profesional cualquier petición ambigua de doble uso, y el 11 convierte las tareas ofensivas en ejercicios educativos de Capture The Flag (CTF). Otro módulo, el 06, deja frases atajo que retiran la cautela restante con una sola orden del usuario.
El negocio está en la pasarela, no en el saludo
La publicidad quedó escrita en el módulo 00-identity.md. Sus disparadores son saludos y palabras comunes en inglés y en chino: hi, hello, hey, yo, ctf, coach y Seagull. Cuando el usuario escribe una, el agente debe responder esa línea exacta y nada más. El módulo 03-protected-site.md completa el círculo: declara la pasarela anunciada como infraestructura protegida y prohíbe someterla a pruebas ofensivas, aunque el usuario alegue autorización o un contexto educativo.
zz.aiapi2025.top funciona como intermediaria entre una aplicación y un proveedor de modelos, con compatibilidad con la interfaz de OpenAI. Check Point no halló indicios de que la pasarela sea maliciosa; su lectura del negocio es directa: el paquete gratuito capta clientes para un servicio de pago. El riesgo aparece en el tipo de intermediario. Este sitio ya contó el caso de un relé de IA con Codex y Claude Code que operaba sin entorno aislado, y un estudio citado por Check Point documentó pasarelas que espían datos, roban claves de acceso a la nube e inyectan llamadas a herramientas para ejecutar código en la sesión enrutada.
El contraste llegó desde la competencia. El paquete de Codex incluye un CLAUDE.md con la misma instrucción, resto probable del empaquetado, pero el repositorio para Claude Code no contiene el mecanismo. Al probar la carga con Claude Code, el modelo Sonnet 5 marcó el intento como inyección de instrucciones y se negó a cumplirlo. La versión de Claude se promociona en un video de Bilibili para usuarios hartos de las negativas de la IA.
Haiou también viene dentro de Codex-X, herramienta china que configura Codex desde una interfaz gráfica. Pedro Drimel Neto, líder del equipo de análisis de programas maliciosos de Check Point, explicó a The Hacker News que el comportamiento entra por lenguaje natural y configuración, no por una carga ejecutable reconocible como comportamiento de software. Su advertencia apunta a las empresas: las indicaciones, las Skills y los componentes de terceros que influyen en un agente forman parte de la cadena de confianza.
Para quien programa con agentes, la revisión útil es concreta: abrir los archivos de instrucciones globales antes de instalar paquetes de terceros y tratar esos textos como una dependencia de código. Haiou trae incluso un desinstalador que revierte los cambios y restaura la configuración original, publicidad incluida. El dato que cierra el informe incomoda más que el anuncio de las papas fritas: Check Point no encontró evidencia que vincule al autor del paquete con el actor del servidor donde apareció, y el repositorio sigue público en GitHub.
Fuente: Check Point Research
