要点
- OpenAI の AI 開発エージェント「Codex」の安全の制限を外す無料の道具「Haiou（海鸥、カモメの意味）」が、AI への指示を書き換えて、有料サービスの広告を AI に言わせていた。
- 書き換えられるのは、Codex が毎回信じて読む「指示ファイル」や設定で、Check Point Research はこの手口を「プロンプト広告（prompt adware）」と名付けた。
- 今回は広告だけだが、同じやり方を使えば、利用者が気づかないうちに AI の答えをねじ曲げられる。出どころの分からない AI 用の設定パッケージは入れないほうがよい。
何が起きたか
セキュリティ会社の Check Point Research が、2026年11月3日に報告を出した。
対象は「Haiou」という配布物である。GitHub の利用者「haiou-666」が「haiou-codex」という名前で公開している。中国語の説明では、Codex に中国語の技術者らしい性格と、セキュリティ作業のやり方を足す「ローカル強化の設定パッケージ」とされている。11月4日の時点で、GitHub で 403 のスターがついている。
中身は「脱獄（ジェイルブレイク）」の道具である。脱獄とは、AI が安全のために断る作業を、言葉の工夫で引き受けさせることだ。Check Point によると、Haiou は約30の指示の部品を使う。AI に役を演じさせる、断らせない、攻撃の作業を CTF（腕前を競うハッキングの大会）の練習だと思わせる、といった手口だ。侵入テスト、ソフトの解析、ライセンスの解除などの「スキル」（AI に足す作業の手順書）も6つ入れる。
問題は、ここに広告が仕込まれていたことだ。Check Point によると、インストールすると Codex の設定ファイルと、すべての作業で読まれる全体の指示ファイルが書き換えられる。そのあと利用者が「hi」「hello」「海鸥」などのあいさつを打つと、AI は決まった文で広告を返す。宣伝先は「zz.aiapi2025.top」という、OpenAI と同じ形で使える有料の中継サービス（AI への問い合わせを取り次ぐサービス）である。さらに、その中継サービスへの攻撃テストを、利用者が許可を主張しても断るよう指示する部品まで入っていた。
この脱獄の部品は、Codex を画面で設定する中国の道具「Codex-X」にも入っている。
Check Point は、作者がサイバー犯罪とつながっている証拠も、中継サービスが悪質だという証拠も見つかっていないと書いている。無料の道具で客を集め、有料の中継サービスに誘う商売だろうと見ている。
日本の利用者への影響
日本の組織や利用者に被害があったかは、分からない。どの資料も、日本での被害には触れていない。だが、Haiou は中国語向けに作られたもので、自分で探して入れた人にしか当たらない。
気をつけたいのは、「AI の断りを外せる」「AI が賢くなる」とうたう設定パッケージが、日本語の SNS や共有サイトでも出回りうることだ。こうした物は、普通のアプリと違ってただの文章ファイルに見える。Check Point によると、Haiou は実行ファイルではなく、設定の中の文章だけで動く。
今すぐやること
- Haiou や Codex-X を入れたことがあるか思い出す。入れたなら、Check Point によると付属のアンインストーラーで元の設定に戻せる。
- Codex の全体の指示ファイルと、入れたスキルの一覧を開いて、自分で書いた覚えのない文や、知らない URL がないか見る。
- 中継サービスを通して AI を使っていたなら、そのサービスに預けた API キー（AI を使うための合い鍵）を作り直すことを考える。Check Point は、中継サービスの一部が利用者のデータを盗み見たり、秘密の鍵を盗んだりするという研究を紹介している。
- 出どころの分からない AI 用の指示ファイル・スキル・設定パッケージは入れない。入れるなら、中身の文を先に全部読む。
- 会社の端末では、AI エージェントの指示ファイルやスキルも、ソフトと同じように管理の対象にする。
背景
AI エージェントは、指示ファイルやスキルに書かれた文を「信じてよい指示」として読む。だから、そのファイルを書き換えれば、プログラムを入れなくても AI のふるまいを変えられる。Check Point は、この種の変更は普通の悪いプログラムのようには見えないと指摘している。
Check Point は、今回の広告は目立つので気づけたが、もっと見えにくい操作もありうると書いている。たとえば、AI が勧める製品や業者を、利用者に知られずに特定の会社へ寄せることだ。
なお、Check Point が同じ広告の文を Claude Code で試したところ、Claude Sonnet 5 はこれをプロンプトインジェクション（AI をだます指示）と見て従わなかったという。Haiou の Claude 版に広告がないのは、そのためかもしれないと Check Point は見ている。
Check Point によると、この配布物は、攻撃用の道具 Cobalt Strike を使う者の、設定を誤ったサーバーの上でも見つかった。ただし、それは配布物がサイバー犯罪のために作られたことを意味しない、とも書いている。
技術者向けの詳細
- 一次情報: Check Point Research「Free the Model, Sell the Gateway」（2026-11-03）
- 分析された版: Codex 版 4.5.0。ランチャーが
payload.pkgを Ed25519 署名と SHA-256 で確かめ、埋め込みの鍵で AES-256-GCM を復号し、一時ディレクトリに展開して後で消す。 - 広告を含む部品:
00-identity.md。パッケージ内のCLAUDE.mdにも同じ広告がある。 - 中継サービスを守る部品:
03-protected-site.md。 - 脱獄の部品の例:
06-autonomy.md、07-action-first-language.md、08-dual-use-professional.md、10-persona.md、11-ctf-fullspeed.md。 - スキル名:
seagull-game-security、seagull-lab、seagull-license-security、seagull-memory、seagull-pentest、seagull-reverse - 広告の出るきっかけの語（この語と完全に一致したときに出る）: 在吗 / 在线吗 / 启动 / 海鸥 / hi / hello / 你好 / 嘿 / yo / ctf / coach / 教练
- 調べる語: ドメイン
zz.aiapi2025.top、GitHub のhaiou-666/haiou-codex - Check Point は具体的なファイルの場所を書いていない。OpenAI の文書では、Codex の全体の指示ファイルは
~/.codex/AGENTS.md、設定は~/.codex/config.toml、利用者のスキルは$HOME/.agents/skillsにある。次のように手元を調べられる。
grep -rniE "aiapi2025|haiou|seagull|海鸥" ~/.codex ~/.agents 2>/dev/null
ls ~/.agents/skills ~/.codex/skills 2>/dev/null | grep -i seagull
config.tomlに、知らないmodel_providerやbase_urlがないかも確かめる。
