Cybersecurityonderzoekers hebben een opvallend nieuw dreigingspatroon blootgelegd: prompt adware die zich verstopt in een jailbreak-toolkit voor OpenAI Codex. De bundle staat in het teken van het aanpassen van “trusted instructions” van een AI-agent, zodat de agent in opvolgende reacties reclame gaat plaatsen voor een derde partij.
Check Point Research noemt de techniek Haiou (Chinees voor “zeemeeuw”). Het gaat niet om een klassiek virus of een zichtbaar uitvoerbaar bestand, maar om manipulatie via prompts, configuraties en extra “skills” die het gedrag van de agent blijvend kunnen beïnvloeden.
Wat is prompt adware in een AI-agent?
Normale adware is software die ongewenste advertenties toont, bijvoorbeeld als pop-ups of banners. Prompt adware tilt dat gedrag naar AI-agenten: met een jailbreak die de veiligheidsafspraken en contentbeperkingen omzeilt, kan een aanvaller een advertentieboodschap structureel onderdeel maken van de output.
In het geval van Haiou wordt het advertentiegedrag niet alleen geactiveerd op een moment zelf, maar lijkt het persisterend: de bundle wijzigt globale instructies zodat toekomstige agentantwoorden ook advertenties bevatten.
Hoe werkt Haiou (volgens het onderzoek)?
De onderzoekers beschrijven dat de jailbreak is ontworpen om het configuratiebestand van OpenAI Codex te wijzigen. Daardoor kan de toolkit advertenties injecteren voor een website die een “opaque, OpenAI-compatible LLM gateway” aanbiedt.
Het achterliggende zakelijke model lijkt tweeledig: de jailbreakbundle fungeert als een distributiekanaal voor een betaald gateway-aanbod. Met andere woorden: de advertentie moet de gebruiker naar de betaalde dienst trekken.
Concreet gebruikt Haiou taalsignalen om het reclamegedrag te triggeren. Voorbeelden die in het onderzoek worden genoemd zijn veelgebruikte begroetingen en activeringswoorden zoals “Seagull”, “hi”, “hello”, “hey”, “yo” en “are you there?”. Wanneer zulke woorden worden herkend, verschijnt vervolgens de advertentie voor zz.aiapi2025[.]top.
Prompt injection-technieken en “skills” in de toolkit
Haiou probeert de modelbeschermingen te omzeilen met meerdere prompt injection-methoden. Volgens Check Point draait het onder meer om technieken zoals rolverdeling en het omzetten van cybersecurity-verzoeken naar een Capture The Flag (CTF)-achtige scenario-opzet.
Daarnaast installeert de bundle security-gefocuste skills die gericht zijn op activiteiten zoals penetration testing, cracking en reverse engineering. Op zichzelf zijn dat termen die ook in legitieme contexten voorkomen, maar in combinatie met een jailbreak en persisterende instructie-aanpassingen ontstaat er een gevaarlijk geheel.
Belangrijk detail: in plaats van een traditionele payload die direct als malware-achtig gedrag herkenbaar is, wordt het effect volgens de onderzoekers “ingebracht” via natuurlijke taal en configuratie. Dat maakt het lastiger om op één klassiek signaal te detecteren.
Persisterende advertenties via globale instructies
Het kernprobleem zit in de persistente component. De toolkit voegt advertenties toe aan een global agent instruction file, zodat advertenties niet alleen bij één specifieke prompt opduiken, maar doorwerken in latere interacties.
Daarmee raakt de aanval aan een bredere categorie risico’s: gedrag van een AI-agent wordt beïnvloed door derde onderdelen, zoals skills en configuraties. Dat is precies waar supply chain-aanvallen op kunnen leunen—zeker wanneer teams AI-agenten beschouwen als betrouwbare tools binnen hun werkprocessen.
Waarom dit meer is dan “alleen maar een advertentie”
Een advertentie lijkt voor veel gebruikers relatief onschuldig. Toch laten de bevindingen zien dat een aanvaller ongewenst gedrag structureel kan introduceren via componenten die bij AI-omgevingen horen. Zodra AI-agenten onderdeel worden van bedrijfsprocessen, wordt de keten aan prompts, skills en externe configuraties onderdeel van het vertrouwen dat organisaties opbouwen.
Check Point wijst er in dit verband op dat dit risico kan opschalen zodra AI-agenten in enterprise-omgevingen worden ingezet. Wat eerst “alleen reclame” is, kan later leiden tot andere, minder zichtbare afwijkingen in gedrag—bijvoorbeeld rond beleid, data-uitvoer of veiligheidschecks.
Hoe kan je risico’s beperken?
Ook als je niet direct met Codex werkt, is het advies breder: bescherm de “trust chain” van je AI-agenten. Hieronder staan praktische stappen die passen bij wat er in het onderzoek wordt beschreven.
1) Beperk en controleer derde partijen
Laat niet zomaar skills, jailbreakbundles of “enhancement configurations” toe in je omgeving. Beoordeel of een package bedoeld is voor lokale verbetering, of dat het mogelijk gedrag en output kan manipuleren.
2) Let op persisterende instructies
Wanneer je agentconfiguraties wijzigt, ga dan na welke onderdelen wereldwijd gelden. Als een pakket globale instructies kan aanpassen, kan het advertentie- of manipulatiegedrag in toekomstige sessies terugkomen.
3) Herken triggerwoorden en ongewenste output
Een signatuur zoals het activeren van reclame bij begroetingen is relatief eenvoudig om te missen, maar niet onmogelijk om te detecteren. Bouw waar mogelijk outputcontroles in die ongewenste inhoud, URL’s of afwijkend gedrag signaleren.
4) Gebruik gelaagde beveiliging
Beveiliging rond AI-agenten werkt zelden met één maatregel. Zie ook het inzicht dat runtime security en governance helpen om gedrag te blijven beoordelen nadat een agent al draait. Een nuttige verdiepingsbron is het artikel over Bron: https://thehackernews.com/2026/11/researchers-uncover-prompt-adware.html
