Pesquisadores de segurança cibernética revelaram detalhes de um pacote de jailbreak do OpenAI Codex projetado para modificar as instruções confiáveis de um agente de inteligência artificial (IA) e inserir anúncios de um gateway de IA de terceiros.
O fenômeno recebeu o codinome de adware de prompt da Check Point Research.
Chamado Haiou (que significa “gaivota” em chinês), o jailbreak modifica os arquivos de configuração do OpenAI Codex para injetar anúncios do site do autor do jailbreak nas respostas seguintes do agente.
“O serviço anunciado é um gateway opaco, compatível com a OpenAI, uma camada intermediária entre uma aplicação e um provedor de modelos de linguagem de grande porte (LLM, na sigla em inglês)”, afirmou a Check Point Research em um relatório técnico. “O modelo de negócio provável é usar o pacote de jailbreak distribuído gratuitamente como canal de aquisição para o serviço de gateway pago.”
Adware é um tipo de software que exibe anúncios indesejados, que podem aparecer nos computadores ou dispositivos móveis dos usuários, geralmente na forma de pop-ups ou banners. O adware de prompt estende esse comportamento suspeito aos agentes de IA por meio de um jailbreak que burla o treinamento de segurança do modelo e as barreiras de proteção de conteúdo.
A ideia é modificar de forma persistente as instruções globais do agente, por meio de linguagem natural, para influenciar respostas futuras. Isso faz com que saudações ou palavras de ativação comuns, como “Seagull”, “hi”, “hello”, “hey”, “yo” e “are you there?”, disparem um anúncio do domínio “zz.aiapi2025[.]top”.
O Haiou tenta fazer o jailbreak de um modelo usando diversas técnicas de injeção de prompt, como a interpretação de papéis e a reformulação de solicitações relacionadas à segurança cibernética em um cenário de Capture The Flag (CTF, competição em que os participantes precisam encontrar “bandeiras” escondidas). Além disso, o pacote instala habilidades voltadas a testes de invasão, quebra de senhas e engenharia reversa.
No entanto, o pacote não para por aí. Ele também injeta anúncios persistentes no arquivo global de instruções do agente para promover o site do gateway de LLM. No GitHub, o “haiou-codex” é divulgado como um “pacote local de configuração de aprimoramento” que adiciona uma “personalidade técnica chinesa e um fluxo de trabalho de pesquisa em segurança para o Codex”. No momento da apuração, o repositório havia sido bifurcado 77 vezes e recebido 403 estrelas desde sua disponibilização, em 10 de julho de 2026.
Vale notar que o Codex não está oficialmente disponível na China continental, o que sugere que o serviço provavelmente tem como público pessoas ou organizações que querem experimentar assistentes de programação de IA ocidentais.
Além disso, o jailbreak foi incluído no Codex-X, uma ferramenta de visualização de código aberto, de origem chinesa, para configurar o Codex por meio de uma interface gráfica.
“O comportamento é introduzido por meio de instruções em linguagem natural e de configuração, e não por uma carga útil executável tradicional, que usuários e equipes de segurança podem reconhecer mais facilmente como comportamento de software”, afirmou Pedro Drimel Neto, líder da equipe de análise de malware da Check Point.
Embora a exibição de um anúncio possa parecer relativamente inofensiva no contexto geral, as descobertas mostram como um ator mal-intencionado poderia introduzir comportamentos indesejados por meio de habilidades ou configurações de terceiros, levando a ataques à cadeia de suprimentos.
“À medida que agentes de IA passam a fazer parte de ambientes corporativos, os prompts, as Skills e os componentes de terceiros que influenciam seu comportamento também se tornam parte da cadeia de confiança”, disse Neto.
