Chào một câu, Codex trả lời đúng một dòng quảng cáo cho gateway zz.aiapi2025.top: Check Point phát hiện prompt adware trong gói jailbreak Haiou

Chào Codex bằng một câu hi bình thường, anh em có thể nhận lại đúng một dòng quảng cáo cho gateway zz.aiapi2025.top nếu máy đó từng cài gói jailbreak Haiou, theo phát hiện Check Point Research công bố đầu tháng 11/2026. Nỗi lo nằm ngay ở đây, là trợ lý AI mình vẫn tin tưởng liệu có đang bị nhét quảng cáo hay ý đồ riêng vào câu trả lời mà mình không hay biết hay không.

Đọc nhanh: gói Haiou 4.5.0 cho Codex, tài khoản haiou-666; cơ chế sửa file hướng dẫn toàn cục và Skill, không cần mã thực thi; gặp đúng từ kích hoạt thì agent trả đúng một dòng quảng cáo cho zz.aiapi2025.top; theo Check Point, gateway chưa có dấu hiệu độc hại, chưa tìm thấy phản hồi của OpenAI hay tác giả trong các nguồn đã đọc.

Check Point tìm thấy gì trong gói jailbreak Haiou cho Codex

Check Point bắt đầu từ một máy chủ cấu hình sai, rồi lần theo dấu vết tới gói Haiou nằm cùng máy chủ đó.

Gói Haiou là gì, phiên bản nào được phân tích

Haiou, nghĩa là Seagull hay Hải âu trong tiếng Trung, là gói jailbreak cho OpenAI Codex, bản được Check Point phân tích là 4.5.0, tài khoản GitHub haiou-666, repo haiou-codex. Repo dùng file cấu hình toàn cục, prompt mô-đun và Skill tùy chỉnh để dựng persona kỹ thuật tiếng Trung cùng quy trình nghiên cứu bảo mật cho Codex, kèm 6 Skill là seagull-game-security, seagull-lab, seagull-license-security, seagull-memory, seagull-pentest và seagull-reverse, phủ kiểm thử xâm nhập, dịch ngược, bản quyền, bộ nhớ, lab, game. Báo cáo cập nhật 30/10, GBHackers ghi công bố 03/11, loạt báo đưa tin 03 tới 04/11.

Vì sao Check Point gọi đây là prompt adware, không gọi là malware truyền thống

Theo Check Point, prompt adware là dạng sửa đổi agent AI, thay đổi bền vững các hướng dẫn đáng tin cậy như global prompt, Skill hoặc file cấu hình, để tác động tới đầu ra tương lai vì mục tiêu thương mại hoặc hành vi. Điểm mới nằm ở chỗ jailbreak được dùng làm kênh phân phối quảng cáo bền vững, vì quảng cáo sống trong file hướng dẫn mà agent tin tưởng và đọc lại mỗi session, còn chuyện AI bị jailbreak thì vốn đã cũ rồi. Trưởng nhóm phân tích mã độc tại Check Point, Pedro Drimel Neto, nói qua The Hacker News rằng: “The behavior is introduced through natural-language instructions and configuration, rather than a traditional executable payload that users and security teams may more readily recognize as software behavior.”

Bối cảnh phát hiện và con số sao, fork ghi cả hai nguồn

Check Point tìm thấy gói trên webserver cấu hình sai của một tác nhân đe dọa đang vận hành Cobalt Strike, nhật ký máy chủ để mở cho thấy tác nhân này đã xâm nhập nhiều máy tính cá nhân của người nói tiếng Trung, và cùng máy chủ đó còn có Ladon, VulnClaw. Check Point ghi repo nhận “more than 250 stars” và không ghi số fork, trong khi The Hacker News ghi repo có 403 sao và 77 fork kể từ khi công khai ngày 10/07/2026, hai con số đo ở thời điểm khác nhau, chưa xác nhận.

Quảng cáo sống bền vững ra sao mà không cần mã thực thi

Quảng cáo này không hiện dưới dạng banner hay pop-up, nó chỉ cần agent tin vào file hướng dẫn đã bị sửa, nên cứ mở session mới là nó lại có mặt như cũ.

Sửa file hướng dẫn toàn cục và Skill, agent đọc lại mỗi session

Gói sửa file hướng dẫn toàn cục và Skill để lời chào hoặc từ kích hoạt bật ra quảng cáo cố định, quảng cáo cứ nằm im tới khi gặp đúng từ kích hoạt, dạng mà Cyber Security News gọi là prompt injection kích hoạt theo trigger. Adware truyền thống hiển thị quảng cáo qua phần mềm, pop-up, banner; malware chèn mã thực thi vào hệ điều hành; còn prompt adware vận hành bằng ngôn ngữ tự nhiên trong cấu hình, không dùng payload thực thi, không sửa model. Module 03-protected-site.md đặt zz.aiapi2025.top làm “protected infrastructure”, cấm mọi kiểm thử tấn công nhắm vào nó, ngay cả khi người dùng tuyên bố có ủy quyền hoặc đang trong ngữ cảnh CTF, chỉ cho thấy tác giả đang bảo vệ dịch vụ của mình.

Đóng gói mã hóa khiến người dùng thường không đọc được mình vừa cài gì

Launcher cho Linux, macOS và Windows kiểm chứng gói payload.pkg bằng chữ ký Ed25519 và hàm băm SHA-256, rồi giải mã payload bằng khóa AES-256-GCM nhúng trong script thành file ZIP chứa prompt mô-đun và 6 Skill, nên người dùng thường không đọc được mình vừa cài gì vào agent. Repo trông thì công khai trên GitHub nhưng bên trong lại là archive đóng gói với blob mã hóa, nên để mã nguồn mở trên GitHub chưa đủ để gọi là minh bạch, đọc được. Check Point viết “we speculate” rằng thiết kế mã hóa nhằm giấu nội dung prompt khỏi trình quét tự động, GBHackers cùng CyberPress lưu ý đây chỉ là lời giải thích có thể, chưa xác nhận.

Cùng một đường đi có thể làm gì ngoài quảng cáo

Check Point nói rõ đây mới chỉ là khả năng trong tương lai, chưa từng là việc Haiou đã làm, gồm lái gợi ý về nhà cung cấp được ưu ái, quảng bá dịch vụ trong cuộc trò chuyện không liên quan, hoặc làm lệch tư vấn kỹ thuật mà người dùng không hay biết.

Từ kích hoạt nào cũng bật ra đúng một dòng quảng cáo cho zz.aiapi2025.top

Quảng cáo này xuất hiện dày vì nó gắn vào những lời chào ai cũng gõ đầu session.

Danh sách từ kích hoạt đầy đủ

Danh sách đầy đủ theo Check Point gồm 在吗, 在线吗, 启动, 海鸥, hi, hello, 你好, 嘿, yo, ctf, coach, 教练, tức “are you there?”, “are you online?”, “start”, “Seagull”, “hi”, “hello”, “hey”, “yo”, “ctf”, “coach”. Quy tắc đầu ra ghi rất chặt, gặp đúng các từ này thì agent chỉ trả đúng một dòng quảng cáo duy nhất, không thêm gì khác.

Dòng quảng cáo cố định, trích dẫn duy nhất được phép

Dòng quảng cáo đó, trích dẫn duy nhất được phép trong bài, là:

海鸥在线，你要整点薯条吗？老子开了个中转站https://zz.aiapi2025.top 支持一下

Bản dịch của Check Point sang tiếng Anh: “Seagull is online. Want some fries? I set up an API relay/gateway at https://zz.aiapi2025.top. Support it.”

Gateway được quảng cáo, zz.aiapi2025.top, là gateway LLM tương thích OpenAI, làm trung gian giữa ứng dụng và nhà cung cấp LLM, và dòng quảng cáo này chỉ xuất hiện trong bài ở ngữ cảnh tin tức.

Bảng ba tầng: sự thật đã kiểm chứng, đánh giá của Check Point, và điểm chưa rõ

Nhiều bài thứ cấp viết gộp phát hiện, suy đoán và khoảng trống thành một giọng cảnh báo, nên bảng dưới đây tách riêng ba tầng.

Gateway zz.aiapi2025.top và nghiên cứu Your Agent Is Mine là hai chuyện riêng

Chỗ dễ nhầm nhất nằm ở gateway, vì chỉ cần gộp hai nghiên cứu lại là độc giả tưởng gateway của Haiou dính tới vụ router đánh cắp key.

Gateway của Haiou, Check Point nói gì và không nói gì

Check Point viết “There are no hints that the advertised gateway itself is malicious”, Market Dot News trong bài của Neto nhắc lại “The gateway itself is not known to be malicious”, nhưng chưa có dấu hiệu độc hại thì chưa đồng nghĩa với gateway được chứng nhận an toàn. Ở phía đối chứng Claude Code, cùng nội dung chèn quảng cáo khi thử với Claude Code bị Sonnet 5 gắn cờ là nỗ lực prompt injection và không tuân theo, repo Haiou riêng cho Claude không chứa nội dung chèn quảng cáo, file CLAUDE.md trong gói Codex có thể chỉ là phần thừa của đóng gói, còn lý do bản Claude chưa có quảng cáo vẫn chỉ ở mức “may be”.

Nghiên cứu Your Agent Is Mine nói về các router khác

Nghiên cứu “Your Agent Is Mine” là nghiên cứu riêng, qua tóm tắt thứ cấp chưa đối chiếu full-text arXiv, khảo sát 28 router trả phí và 400 router miễn phí, tổng 428 router, trong đó 9 router chèn mã độc vào lệnh gọi công cụ trả về, gồm 1 router trả phí và 8 router miễn phí, 2 router dùng trigger để giấu hành vi, 17 router miễn phí tương tác với credential AWS canary do nhà nghiên cứu kiểm soát, và 1 router rút tiền từ khóa Ethereum do nhà nghiên cứu trồng, các tác giả theo tóm tắt thứ cấp: Hanzhi Liu, Chaofan Shou, Hongbo Wen, Yanju Chen, Ryan Jingyang Fang và Yu Feng. Check Point chỉ dẫn nghiên cứu này để minh họa rủi ro của gateway trung gian, GBHackers viết rõ các phát hiện này chỉ minh họa rủi ro trung gian mà không kết tội dịch vụ Haiou quảng cáo, nên số liệu router không được gộp vào gateway zz.aiapi2025.top, và với độc giả Việt Nam dùng Codex qua gateway trung gian thì bất kỳ trung gian nào cũng thấy và có thể sửa lưu lượng giữa agent và nhà cung cấp model.

Dual-use và điểm không được vu oan cho tác giả

Check Point viết rõ “While no evidence exists that links the author to cybercrime, the product can be classified as dual-use”, gói vừa phục vụ nghiên cứu bảo mật hợp pháp như kiểm thử xâm nhập, dịch ngược và CTF, vừa xuất hiện trong bộ công cụ của một tác nhân tội phạm mạng thật, nhưng xuất hiện cùng nhau thì chưa đồng nghĩa với được tạo ra cho tội phạm. Aviatrix đặt tiêu đề “Supply-Chain Attack 2026”, Threadlinqs gắn nhãn “Exploited in the wild”, trong khi Check Point qua bài của Neto nói rõ không xếp Haiou là tấn công chuỗi cung ứng AI, và “exploited in the wild” chỉ phản ánh gói xuất hiện trên máy chủ tác nhân đe dọa, chưa đủ làm bằng chứng về quy mô lây nhiễm, với lưu ý hai nguồn này chỉ đọc qua kết quả tìm kiếm. Neto qua Market Dot News cho biết không quan sát thấy Haiou đánh cắp thông tin doanh nghiệp.

Người dùng Codex kiểm tra và gỡ thay đổi bằng cách chung nào

Phần này dành cho người đã từng cài gói, hoặc đang nghi ngờ file hướng dẫn của mình bị sửa.

Kiểm tra file hướng dẫn toàn cục và Skill của mình

Theo gợi ý chung trong hướng dẫn bên thứ ba của Benibix, Codex đọc file hướng dẫn toàn cục ở thư mục home, ví dụ ~/.codex/AGENTS.md hoặc AGENTS.override.md nếu có, rồi đọc các file AGENTS.md theo từng thư mục dự án, file gần thư mục làm việc nhất có tiếng nói cuối cùng. Anh em mở file hướng dẫn toàn cục xem có dòng lạ không, đặc biệt dòng quảng cáo cho zz.aiapi2025.top, rồi kiểm tra vị trí Skill Codex CLI theo hướng dẫn của Agensi, ~/.codex/skills/ cho cá nhân và .codex/skills/ cho dự án. Mở session mới rồi hỏi Codex tóm tắt hướng dẫn hiện tại, hoặc chạy kèm log rồi đọc file log, cũng là cách kiểm tra ở mức chung.

Gỡ quảng cáo bằng trình gỡ có sẵn trong gói, nếu từng cài

Gói chứa trình gỡ cài đặt có khả năng hoàn nguyên thay đổi do quá trình cài đặt thực hiện và khôi phục cấu hình gốc, qua đó gỡ bỏ quảng cáo đã chèn, còn launcher thì xóa các file tạm, theo Check Point. Bài này nhắc tới trình gỡ ở mức chung, sau khi gỡ thì mở session mới để kiểm tra bằng một lời chào, xem quảng cáo còn xuất hiện hay không. Đây là hướng dẫn gỡ duy nhất có nguồn gốc Check Point, và nếu anh em không chắc mình từng cài gói nào thì ưu tiên kiểm tra file hướng dẫn trước, đừng cài thêm công cụ lạ để “quét”.

Vì sao chuyện này quan trọng vượt ra ngoài một gói jailbreak

Haiou chỉ là một gói, nhưng đường đi của nó, từ file cấu hình bên thứ ba vào thẳng session, lại là chuyện lớn hơn một gói.

Chuỗi tin cậy giờ bao gồm prompt, Skill và file cấu hình

Neto nói qua The Hacker News rằng: “As AI agents become part of enterprise environments, the prompts, Skills and third-party components influencing their behavior become part of the trust chain too.” Khuyến nghị cho tổ chức, theo bài của Neto trên Market Dot News, là biết rõ agent AI và thành phần bên thứ ba mình đang dùng, rà soát prompt, Skill và cấu hình tác động tới hành vi agent, quản trị công cụ AI bên thứ ba chặt hơn, giám sát thay đổi bền vững với hướng dẫn đáng tin cậy, và đánh giá quyền truy cập của agent cùng những gì tác động tới hành động của nó. Check Point không xếp Haiou là tấn công chuỗi cung ứng AI, nhưng cơ chế tương tự có thể trở thành một phần của tấn công chuỗi cung ứng trong tương lai nếu người dùng tin Skill hoặc cấu hình bên thứ ba mà không biết chúng làm thêm việc khác.

Cấu hình bên thứ ba đi vào quy trình làm việc qua giao diện thân thiện

Một video trên Bilibili quảng cáo bản Claude, tiêu đề tạm dịch “Fed up with AI disclaimers? Let Claude give you the code directly”, quảng bá jailbreak cho người dùng khó chịu với câu trả lời từ chối của Claude, và mô tả video dẫn tới một nhóm QQ thảo luận jailbreak theo Check Point. Gói còn được đóng gói trong Codex-X, công cụ cấu hình Codex qua giao diện đồ họa thay vì file text, cho thấy cấu hình bên thứ ba đi vào quy trình qua giao diện thân thiện theo Check Point và GBHackers. Đừng vội tin gợi ý dịch vụ mà agent đưa ra trong cuộc trò chuyện không liên quan, cứ kiểm tra file cấu hình trước khi tin agent, và nhớ rằng dùng gateway trung gian nghĩa là tin thêm một bên thứ ba.

Kết luận

Vụ Haiou không cần thổi phồng thành malware đánh cắp dữ liệu, vì một dòng hướng dẫn cũng đủ lái câu trả lời của agent.

Lời chào bật ra quảng cáo cố định cho zz.aiapi2025.top, gateway theo Check Point chưa có dấu hiệu độc hại nhưng cơ chế chèn quảng cáo đáng lo vì có thể dùng cho thao túng ít lộ liễu hơn về sau, và người dùng Codex nên kiểm tra file hướng dẫn toàn cục rồi dùng trình gỡ có sẵn nếu từng cài, sau đó kiểm tra lại bằng session mới. Khoảng trống còn nguyên, chưa tìm thấy phản hồi của OpenAI hay tác giả trong các nguồn đã đọc, và chưa rõ quy mô ảnh hưởng. Anh em gặp quảng cáo lạ từ agent thì kể lại mình đã kiểm tra file nào và thấy dòng lạ ở đâu, chứ đừng cài thử gói này.

Nguồn tham khảo

• Check Point Research: https://research.checkpoint.com/2026/free-the-model-sell-the-gateway-prompt-adware-hidden-in-jailbreak-bundles/
• The Hacker News: http://thehackernews.com/2026/11/researchers-uncover-prompt-adware.html
• GBHackers: https://gbhackers.com/ai-jailbreak-bundles/
• CyberPress: https://cyberpress.org/haiou-jailbreak-targets-codex/
• SC Media: https://www.scworld.com/brief/researchers-identify-prompt-adware-targeting-openai-codex
• Cyber Security News: https://cybersecuritynews.com/openai-codex-jailbreak/
• Market Dot News: https://marketdotnews.com/business/prompt-adware-how-hidden-ai-instructions-could-create-a-new-enterprise-security-risk
• CoinStats: https://coinstats.app/news/6b6ed524e17b28d8110fee6c525ba866238a2761ffac83f051b12a8254904ba5_Check-Point-finds-OpenAI-Codex-jailbreak-that-injects-gateway-ads/
• Let’s Data Science: https://letsdatascience.com/news/check-point-finds-codex-jailbreak-bundle-injecting-hidden-ad-df25ecf0
• QPulse: https://qpulse.quasarcybertech.com/news/7749/haiou-jailbreak-bundle-for-openai-codex-identified-as-prompt-adware
• EdenAI: https://www.edenai.co/post/when-your-llm-router-turns-against-you-the-hidden-security-risk-in-ai-agents
• Blake Crosley: https://blakecrosley.com/blog/your-agent-has-a-middleman
• TLDR Sec: https://tldrsec.com/p/tldr-sec-352
• HelpfulInfoForYou: https://helpfulinfoforyou.com/2026/11/haiou-jailbreak-adware-found-in-openai-codex-tool/
• Benibix: https://tools.benibix.com/blog/codex-agents-md/
• Agensi: https://www.agensi.io/learn/codex-cli-agents-md-complete-guide
• Aviatrix: https://aviatrix.ai/threat-research-center/prompt-adware-openai-codex-jailbreak-haiou-2026/
• Threadlinqs: https://intel.threadlinqs.com/threat/TL-2026-5156