イスラエルのセキュリティ企業Check Point Researchが、OpenAIのAIコーディング支援ツール「Codex」向けに出回っている“脱獄（ジェイルブレイク）”ツール一式に、AIに広告を話させる仕掛けが隠されていたと発表しました。脱獄とは、AIに設けられた安全上の制限を言葉巧みに外して、本来は断られる回答を引き出そうとする行為のことです。Check Pointはこの新しい手口を「プロンプト広告（prompt adware）」と名付けました。
問題のツールは「Haiou」という名前で、分析されたのはバージョン4.5.0です。役割を演じさせたり、ハッキング技術を競うCTF（競技）の場だと思い込ませたりする文章で、AIの制限をすり抜けようとします。その一方で、Codexが毎回読み込む「グローバルな指示ファイル」（AIへの恒久的な指示書）を書き換え、利用者が「hi」などと話しかけると、特定の外部AIゲートウェイ（複数のAIをまとめて使えるサービス）の宣伝を決まった文句で表示するよう仕込んでいました。
この手口がやっかいなのは、プログラムのコードを一切含まず、自然な文章による「指示」だけでできている点です。従来のウイルス対策は怪しいコードを探す仕組みが中心のため、こうした指示の改ざんは見つけにくく、ソフトの脆弱性とは違う種類の新しいリスクといえます。今回は広告の表示にとどまり、Check Pointは宣伝先のサービス自体が悪質だという証拠や、企業のデータが盗まれた形跡は見つかっていないとしています。しかし同社は、同じやり方で、利用者に気づかれないままAIのおすすめや助言をねじ曲げることもできると警告しています。
なお、このツールはサイバー犯罪者が使っていた設定不備のサーバー上で見つかりました。Check Pointの検証では、AnthropicのClaude Code（Sonnet 5）はこの仕掛けを「プロンプトインジェクション（AIを乗っ取るための不正な指示）」と見抜き、従わなかったということです。
AIエージェントを使う人は、出どころの不明な「制限解除ツール」や拡張機能（スキル、追加の指示ファイルなど）を安易に導入しないことが第一です。導入する場合も、中に書かれている指示の内容を事前に確認しましょう。企業では、AIへの共通指示ファイルを正常な状態と定期的に比べ、知らないうちに書き換えられていないかをチェックすることが勧められています。
出典: The Hacker News「Researchers Uncover Prompt Adware Hidden in OpenAI Codex Jailbreak Toolkit」