Bạn mở Codex, gõ “hello”, và câu trả lời đầu tiên của AI là quảng cáo cho một dịch vụ bạn chưa từng nghe tên. Không có file .exe nào chạy, không có antivirus nào báo gì.
Đây không phải truyện hư cấu. Ngày 3/11/2026, Check Point Research công bố một kỹ thuật mới mà họ đặt tên là prompt adware, và bộ jailbreak đầu tiên họ phân tích theo kỹ thuật này tên là Haiou.
1. Prompt Adware là gì: quảng cáo nhét vào AI, không cần mã độc
Prompt adware là khi file instruction mà AI agent tin tưởng bị sửa bằng ngôn ngữ tự nhiên, để câu trả lời sau đó của agent bị chi phối vì lý do thương mại. Không có payload thực thi, không có mã độc quen thuộc. Thứ bị cài vào máy bạn chỉ là chữ.
Check Point mô tả cơ chế này là “persistent instruction” được ghi vào file instruction toàn cục của agent. Vì file đó được agent đọc lại ở mỗi phiên làm việc, chỉ một lần sửa là quảng cáo xuất hiện lại mãi. Đây cũng là loại hành vi quét malware truyền thống gần như không thấy, vì nó nằm trong file cấu hình chứ không phải tệp thực thi.
2. “Haiou” là gì: bộ jailbreak Codex đóng gói từ Trung Quốc
Haiou (海鸥, nghĩa là hải âu) là bộ jailbreak dành cho OpenAI Codex, do tài khoản GitHub haiou-666 phát hành. Repo haiou-codex có hơn 400 sao và 79 fork (kiểm tra 05/11/2026), được giới thiệu như một bộ cấu hình tăng cường cục bộ cho Codex, tự mô tả là thêm “tính cách kỹ thuật Trung Quốc” cùng quy trình nghiên cứu bảo mật. Gói này có 33 module prompt và 6 Skill chuyên về pentest, reverse engineering, crack license và memory runtime.
3. Cơ chế bám: quảng cáo nằm trong file instruction toàn cục
Module 00-identity.md trong bundle chứa chỉ dẫn bám: khi người dùng chào hỏi bằng một trong nhóm từ khoá như hi, hello, hey, yo, “are you there?” hay chính tên Haiou, agent phải trả lời kèm lời mời dùng dịch vụ gateway của tác giả bundle, tại địa chỉ zz.aiapi2025[.]top. Cơ chế jailbreak của nó là đóng vai và đóng khung các yêu cầu an ninh mạng thành bài tập CTF để lái được model từ chối.
Cái bị “bám” không phải câu trả lời của một lần hỏi, mà là file instruction toàn cục. Mọi phiên sau đó đều mang theo chỉ dẫn đó. Đây cũng là lý do nó lọt qua được: người dùng cài một bộ jailbreak trông hợp lý, rồi không biết mình đang nuôi một quảng cáo vĩnh viễn trong máy.
4. Mô hình kinh doanh: cho miễn phí jailbreak, bán LLM gateway
Theo báo cáo kỹ thuật của Check Point ngày 3/11/2026, dịch vụ được quảng cáo là một LLM gateway dạng OpenAI-compatible, tức một lớp middleware đứng giữa ứng dụng và nhà cung cấp LLM. Cách tạo ra doanh thu thì giản dị: bundle jailbreak được phát hành miễn phí, và chính bundle đó là kênh thu hút khách cho dịch vụ gateway trả phí. Bạn cài jailbreak “miễn phí”, rồi bị dẫn sang dịch vụ trả phí của người đã viết jailbreak đó.
Ở đây người dùng không bị mã độc đánh cắp dữ liệu. Họ bị bán một dịch vụ mà họ không chủ động tìm mua. Bản thân gateway có thể hợp pháp, vì nó cung cấp quyền truy cập model.
5. Rủi ro thật cho doanh nghiệp Việt đang dùng AI coding tool
Cơ chế tấn công không cần payload thực thi, nghĩa là nó đi qua được nhiều bộ lọc. Cùng cơ chế đó có thể hướng recommendation về một vendor thuê chạy, quảng bá dịch vụ khác, hoặc làm lệch lời khuyên kỹ thuật.
Với đội ngũ Việt Nam đang dùng AI coding tool hằng ngày, rủi ro thực tế nằm ở chỗ khác: file instruction toàn cục và các Skill lạ là chỗ team hay cài để lấy “miễn phí”. Trước đây team chỉ cần audit code, giờ phải audit cả chỉ dẫn của agent. So với lỗ hổng AI coding tool kiểu EMBRACE và backdoor Claude Code trên Cursor, prompt adware là kiểu thứ ba: kênh phân phối hợp pháp, cấu hình bị sửa.
6. Checklist tự bảo vệ: 5 việc cho dev và team IT
- Coi file instruction toàn cục (AGENTS.md, CLAUDE.md, ~/.codex) là file cấu hình nhạy cảm. Giữ một bản “known-good” để so sánh.
- Không cài gói jailbreak hay Skill từ nguồn lạ, đặc biệt gói nén archive.
- Chỉ dùng LLM gateway có uy tín, hoặc tự chạy model.
- Cảnh báo team khi file cấu hình của agent thay đổi.
- Không cấp quyền ghi file cấu hình toàn cục cho agent.
Lưu ý
Bốn chỗ dễ đọc sai. Gateway được quảng cáo không được biết là độc hại. Check Point không quan sát thấy Haiou đánh cắp thông tin công ty, và không phân loại đây là tấn công chuỗi cung ứng AI. Bundle được tìm thấy trên web server của tội phạm là do server cấu hình sai, tác giả bundle không bị coi là tội phạm. Không có số liệu nào về số người dùng Việt Nam bị ảnh hưởng.
Câu hỏi thường gặp
Prompt adware có phải malware không?
Không theo nghĩa truyền thống. Không có payload thực thi, và theo Check Point, họ không quan sát thấy nó đánh cắp dữ liệu. Hậu quả hiện tại là agent nói sai lệch, chèn quảng cáo, và mở đường cho thao túng tinh vi hơn.
Claude Code có bị không?
Trong repo Haiou chỉ có bản dành cho Codex. Khi Check Point thử với Sonnet 5, Claude Code nhận diện được prompt injection và không làm theo.
Có nên dùng jailbreak không?
Đây là đánh đổi. Bạn đang đổi việc model từ chối bằng việc agent bị dẫn dắt bởi chỉ dẫn của kẻ khác.
Nếu đã cài rồi thì làm gì?
So file instruction toàn cục với bản “known-good”, xem lại các Skill đã cài, và đổi mọi khoá API đi qua gateway lạ.
Nguồn tham khảo
- Free the Model, Sell the Gateway: Prompt Adware hidden in Jailbreak Bundles, Check Point Research (03/11/2026), https://research.checkpoint.com/2026/free-the-model-sell-the-gateway-prompt-adware-hidden-in-jailbreak-bundles/
- Prompt Adware: How Hidden AI Instructions Could Create a New Enterprise Security Risk, Check Point Blog (03/11/2026), https://blog.checkpoint.com/security/prompt-adware-how-hidden-ai-instructions-could-create-a-new-enterprise-security-risk/
- Researchers Uncover Prompt Adware Hidden in OpenAI Codex Jailbreak Toolkit, The Hacker News (04/11/2026), https://thehackernews.com/2026/11/researchers-uncover-prompt-adware.html
- haiou-codex, GitHub (kiểm tra 05/11/2026), https://github.com/haiou-666/haiou-codex
Leave a Reply
You must be logged in to post a comment.